4.5 Anvendelse af tredjeparter og outsourcing

Ud over de punkter, der er omhandlet i stk. 9, bør kredit- og finansieringsinstitutterne i deres politikker og procedurer medtage specifikationer, der fastsætter, hvilke fjernidentificeringsfunktioner og -aktiviteter kredit- og finansieringsinstituttet, tredjeparter eller en anden outsourcet tjenesteyder vil udføre.

4.5.1 Anvendelse af tredjepartsudbydere i overensstemmelse med kapitel II, afdeling 4, i direktiv (EU) 2015/849

Ud over EBA's retningslinjer for risikofaktorer⁸ , navnlig retningslinje 2.20-2.21 og 4.32-4.37 i disse retningslinjer, bør de anvende følgende kriterier:

• a) tage de nødvendige skridt til at sikre sig, at tredjepartens egne tiltag vedrørende kundekendskab i processer og procedurer for fjernidentificering af kunder, og de oplysninger, de indsamler i denne forbindelse, er tilstrækkelige og i overensstemmelse med kravene i disse retningslinjer
• b) sikre kontinuiteten i de forretningsforbindelser, der er etableret mellem kunden og kredit- og finansieringsinstituttet, for at beskytte sig mod hændelser, der kan afsløre mangler ved tredjepartens fjernidentificering.

4.5.2 Outsourcing af tiltag vedrørende kundekendskab

⁸ EBA/GL/2021/02.

Hvis kredit- og finansieringsinstitutterne outsourcer hele eller dele af processen vedrørende fjernidentificering af kunder til en tjenesteyder, jf. artikel 29 i direktiv (EU) 2015/849, bør kredit- og finansieringsinstitutterne ud over retningslinje 2.20-2.21 og 4.32-4.37 i EBA's retningslinjer for risikofaktorer og i tillæg til EBA's retningslinjer for outsourcing⁹ , hvor det er relevant, før og under forretningsforbindelsen med den outsourcede tjenesteyder anvende følgende foranstaltninger og tilpasse deres omfang ud fra et risikofølsomhedsperspektiv:

• a) sikre, at den outsourcede tjenesteudbyder effektivt gennemfører og overholder kredit- og finansieringsinstituttets politikker og procedurer for fjernidentificering af kunder i overensstemmelse med outsourcingaftalen. Dette bør opnås gennem regelmæssig rapportering, løbende overvågning, besøg på stedet eller stikprøvekontrol
• b) foretage vurderinger med henblik på at sikre, at den outsourcede tjenesteudbyder er tilstrækkeligt udstyret og i stand til at gennemføre fjernidentificering af kunder Vurderingerne kan omfatte, men er ikke begrænset til, vurdering af personaleuddannelse, teknologisk egnethed og datastyring hos den outsourcede tjenesteudbyder
• c) sikre, at den outsourcede tjenesteyder underretter kredit- og finansieringsinstitutterne om enhver foreslået ændring af fjernidentificeringsprocessen eller enhver ændring af den løsning, som den outsourcede tjenesteyder tilbyder.

⁹ EBA Guidelines on outsourcing arrangements.docx (europa.eu).

Hvis den outsourcede tjenesteudbyder lagrer kundedata, herunder, men ikke begrænset til, fotografier, videoer og dokumenter under fjernidentificeringsprocessen, bør kredit- og finansieringsinstitutterne sikre, at:

• a) kun nødvendige kundedata indsamles og lagres i overensstemmelse med en klart defineret opbevaringsperiode
• b) adgangen til oplysningerne er strengt begrænset og registreret
• c) der træffes passende sikkerhedsforanstaltninger for at sikre, at de lagrede data beskyttes.