8 Política de externalización

El órgano de dirección debería aprobar, y revisar y actualizar periódicamente, la política de externalización de la entidad, asegurando la aplicación oportuna de los cambios apropiados.

La política de externalización debería considerar el impacto de la externalización en las actividades de la entidad y los riesgos a los que se enfrenta (como los riesgos operativos, incluidos los riesgos legales y tecnológicos, los riesgos reputacionales y de concentración). Esta política debería recoger los procedimientos de presentación de información y de seguimiento que deberán aplicarse desde el comienzo hasta la finalización de un acuerdo de externalización (incluida la elaboración de los argumentos que justifican la externalización, la celebración de un contrato de externalización, el cumplimiento del contrato hasta su extinción, los planes de contingencia y las estrategias de salida). La entidad seguirá siendo plenamente responsable de todos los servicios y actividades externalizados, así como de las decisiones de gestión que se deriven de ellos. En consecuencia, la política de externalización establecerá con claridad que la externalización no eximirá a la entidad del cumplimiento de sus obligaciones en materia de regulación ni de sus responsabilidades frente a sus clientes.

La política debería poner de manifiesto que los procedimientos de externalización no deberían impedir la supervisión eficaz in situ o a distancia de la entidad ni contravenir ninguna restricción sobre servicios y actividades impuesta por el supervisor. La política también debería abarcar la externalización intragrupo (es decir, la prestación de servicios por una entidad jurídica separada perteneciente al propio grupo) y tener en cuenta cualquier circunstancia específica del grupo.

Los requerimientos sobre gobernanza de la Directiva 2013/36/UE y las disposiciones de estas directrices se aplican a las entidades con independencia de que sean filiales de una entidad matriz en un tercer país. Cuando una filial en la UE de una entidad matriz situada en un tercer país sea una entidad en base consolidada, el perímetro de consolidación prudencial no incluirá el nivel de la entidad matriz situada en un tercer país ni otras filiales directas de dicha entidad matriz. La entidad en base consolidada debería asegurarse de que la política de gobernanza del grupo de la entidad matriz situada en un tercer país se tenga en cuenta en su propia política de gobernanza, siempre que no sea contraria a los requisitos establecidos en la legislación de la UE aplicable, incluidas la Directiva 2013/36/UE y las especificaciones adicionales de estas directrices.

Al establecer políticas y documentar los sistemas de gobierno, las entidades deberían tener en cuenta los aspectos enumerados en el anexo I de estas directrices. Aunque las políticas y la documentación se pueden incluir en documentos separados, las entidades deberían considerar su combinación en un único documento o que este documento haga referencia a ambas.

Una cultura de riesgos sólida, diligente y coherente debería ser un elemento clave de la gestión eficaz de los riesgos de las entidades y debería permitir que estas tomen decisiones adecuadas y bien fundamentadas.

Las entidades deberían desarrollar una cultura de riesgos integrada y para el conjunto de la organización, basada en un conocimiento exhaustivo y en una visión global de los riesgos a los que se enfrentan y la forma en que se gestionan, teniendo en cuenta su apetito de riesgo.

Las entidades, teniendo en cuenta sus actividades, estrategia y perfil de riesgo, deberían desarrollar su cultura de riesgos a través de políticas, de la comunicación y la formación del personal, y deberían adaptar la comunicación y la formación del personal teniendo en cuenta las responsabilidades del personal en la asunción de riesgos y su gestión.

El personal debería ser plenamente consciente de sus responsabilidades en la gestión de riesgos. Esta gestión no corresponderá únicamente a los expertos en riesgos o a las funciones de control interno. Las unidades de negocio, bajo la supervisión del órgano de dirección, deberían ser responsables, principalmente, de la gestión diaria de los riesgos, en línea con las políticas, procedimientos y controles de la entidad, y teniendo en cuenta el apetito de riesgo de la entidad y su capacidad de riesgo.