8 Política de externalización

El órgano de dirección debería aprobar, y revisar y actualizar periódicamente, la política de externalización de la entidad, asegurando la aplicación oportuna de los cambios apropiados.

La política de externalización debería considerar el impacto de la externalización en las actividades de la entidad y los riesgos a los que se enfrenta (como los riesgos operativos, incluidos los riesgos legales y tecnológicos, los riesgos reputacionales y de concentración). Esta política debería recoger los procedimientos de presentación de información y de seguimiento que deberán aplicarse desde el comienzo hasta la finalización de un acuerdo de externalización (incluida la elaboración de los argumentos que justifican la externalización, la celebración de un contrato de externalización, el cumplimiento del contrato hasta su extinción, los planes de contingencia y las estrategias de salida). La entidad seguirá siendo plenamente responsable de todos los servicios y actividades externalizados, así como de las decisiones de gestión que se deriven de ellos. En consecuencia, la política de externalización establecerá con claridad que la externalización no eximirá a la entidad del cumplimiento de sus obligaciones en materia de regulación ni de sus responsabilidades frente a sus clientes.

La política debería poner de manifiesto que los procedimientos de externalización no deberían impedir la supervisión eficaz in situ o a distancia de la entidad ni contravenir ninguna restricción sobre servicios y actividades impuesta por el supervisor. La política también debería abarcar la externalización intragrupo (es decir, la prestación de servicios por una entidad jurídica separada perteneciente al propio grupo) y tener en cuenta cualquier circunstancia específica del grupo.