8 Политика за възлагане на дейности на външни изпълнители

При създаването на политики и документирането на правилата за управление, институциите следва да отчетат аспектите, изброени в приложение I на насоките. Въпреки че политиките и документацията могат да бъдат включени в отделни документи, институциите следва да разгледат възможността за обобщаването им или реферирането им в един документ, отнасящ се до рамката за управление.

Ръководният орган следва да одобрява, редовно да преразглежда и актуализира политиката за възлагане на дейности на външни изпълнители на институцията, като гарантира, че подходящите промени са въведени своевременно.

Политиката за възлагане на дейности следва да вземе предвид въздействието на възлагането на дейности на външни изпълнители върху дейността на институцията и рисковете, на които е изложена (напр. операционни рискове, включително правни и ИТ рискове; репутационен риск и риск от концентрация). Тази политика следва да включва договореностите за отчитане и наблюдение, които ще се прилагат от началото до края на споразумението за възлагане на дейности (вкл. изготвяне на проект за възлагането на дейности на външни изпълнители, сключване на договор с външен изпълнител, изпълнение на договора до неговото изтичане, планове за действие при извънредни ситуации и стратегии за прекратяване на споразумението). Институцията остава изцяло отговорна за всички услуги и дейности, възложени на външни изпълнители, както и за управленските решения, произтичащи от тях. Следователно, политиката за възлагане на дейности следва да поясни, че възлагането на външни изпълнители не освобождава институцията от нейните регулаторни отговорности и задълженията ѝ към нейните клиенти.

Консолидиращата институция следва да гарантира, че в дъщерните предприятия, установени в трети държави и включени в обхвата на пруденциалната консолидация, съществуват правила, процеси и механизми за управление, които са в съответствие с груповите политики за управление и отговарят на изискванията на членове 74— 96 от Директива 2013/36/ЕС и настоящите насоки, доколкото това не противоречи на законите на третата държава.

Изискванията за управление на Директива 2013/36/ЕС и разпоредбите в настоящите насоки се прилагат по отношение на институции, независимо от факта, че те може да са дъщерни предприятия на предприятие майка от трета държава. Когато дъщерно дружество от ЕС с предприятие майка от трета държава, е консолидираща институция, обхватът на пруденциалната консолидация не включва нивото на предприятието майка, намиращо се в трета държава, и други преки дъщерни предприятия на това предприятие майка. Консолидиращата институция следва да гарантира, че политиката за управление в рамките на групата на институцията майка от трета държава е взета предвид в рамките на собствената ѝ политика за управление, доколкото това не противоречи на изискванията, определени съгласно съответното законодателство на ЕС, включително Директива 2013/36/ЕС и допълнителните специфични разпоредби съгласно настоящите насоки.

В политиката следва да се посочи, че правилата за възлагане на дейности на външни изпълнители не трябва да затрудняват ефективния надзор над институцията, осъществяван на място или дистанционно, и не трябва да възпрепятстват каквито и да е било надзорни ограничения, отнасящи се до услуги и дейности. Политиката следва да обхваща и възлагането на дейности на външни изпълнители в рамките на групата (т.е. услуги, предоставяни от отделно юридическо лице в рамките на групата на дадена институция) и да взема предвид всички специфични за групата обстоятелства.

Разумната, надлежна и последователна рискова култура следва да бъде основен елемент от ефективното управление на риска на институцията и да дава възможност на институцията да взема разумни и информирани решения.

Институцията следва да разработи цялостна и приложима в цялата институция рискова култура въз основа на пълното разбиране и цялостната представа за рисковете, пред които е изложена, и въз основа на начина, по който те се управляват, като се има предвид рисковия апетит на институцията.

Институцията следва да разработи рискова култура чрез политики, комуникация и обучение на персонала по отношение на дейностите, стратегията и рисковия профил на институцията и да адаптира комуникацията и обучението на служителите, така че да взема предвид отговорностите на персонала във връзка с поемането на риск и управлението на риска.