68. Además de las directrices de las AES sobre externalización , según proceda, y cuando la …

Además de las directrices de las AES sobre externalización¹² , según proceda, y cuando la externalización de funciones operativas del responsable del cumplimiento de la PBC/FT esté permitida por la legislación nacional, las entidades de crédito o financieras tendrán en cuenta los siguientes principios clave:

• a. La responsabilidad última del cumplimiento de las obligaciones legales y regulatorias, independientemente de que se subcontraten o no funciones específicas, recae en la entidad de crédito o financiera.
• b. Los derechos y las obligaciones de la entidad de crédito o financiera y del proveedor de servicios deberán estar claramente asignados y establecidos en un acuerdo escrito.
• c. La entidad de crédito o financiera que recurra a un acuerdo de externalización seguirá siendo responsable del seguimiento y la supervisión de la calidad del servicio prestado.
• d. La externalización intragrupo estará sujeta al mismo marco regulador que la externalización a proveedores de servicios ajenos al grupo¹³ .
• e. La externalización de funciones no puede acarrear la delegación de responsabilidades del órgano de administración. Las decisiones estratégicas relacionadas con la PBC/FT no se externalizarán. Estas decisiones incluyen, en particular:
• i. la aprobación de la evaluación global del riesgo de BC/FT de toda la actividad de la entidad;
• ii. la decisión sobre la organización interna del marco de PBC/FT de la entidad de crédito
• o financiera;
• iii. la adopción de políticas y procedimientos internos en materia de PBC/FT;
• iv. la aprobación de la metodología empleada para determinar el riesgo de BC/FT que presenta una relación de negocios determinada y la asignación del perfil de riesgo;
• v. la aprobación de los criterios que deberá utilizar la entidad de crédito o financiera para detectar operaciones sospechosas o inusuales con fines de realizar un seguimiento continuo de las mismas o de comunicación.

Las entidades de crédito y financieras siguen siendo responsables en última instancia de la decisión de notificar las operaciones sospechosas a la UIF, incluso en los casos en los que se haya externalizado la identificación y notificación de operaciones sospechosas.

¹² Directrices de la ABE sobre externalización (EBA/GL/2019/02); Directrices de la AESPJ sobre la externalización a proveedores de servicios en la nube (EIOPA-BoS-20-002); Directrices de la AEVM sobre la externalización a proveedores de servicios en la nube (ESMA50-157-2403).

¹³ Punto 27 de las secciones de antecedentes de las Directrices de la ABE sobre externalización, de 25 de febrero de 2019 (EBA/GL/2019/02).

1. Resumen

1.1 Referencias

1.2 Requisitos identificados

1.3 Estándares relacionados

2. Requisitos identificados

3. Estándares relacionados

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/