8 Ulkoistamiskäytännöt

Ylimmän hallintoelimen on vahvistettava laitoksen ulkoistamiskäytännöt ja arvioitava ja päivitettävä niitä säännöllisesti sekä varmistettava, että asianmukaiset muutokset pannaan täytäntöön oikea-aikaisesti.

Ulkoistamiskäytännöissä on otettava huomioon ulkoistamisen vaikutukset laitoksen liiketoimintaan sekä laitokseen kohdistuvat riskit (operatiiviset riskit, kuten oikeudelliset ja tietotekniikkaan liittyvät riskit, maine- ja keskittymäriskit). Käytäntöihin on sisällytettävä raportointi- ja seurantajärjestelyt, joita on noudatettava ulkoistamissopimuksen tekemisestä sen päättymiseen asti (mukaan luettuina ulkoistamisen taloudellisten edellytysten määrittely, ulkoistamissopimuksen tekeminen, sopimuksen täytäntöönpano sen päättymiseen asti, varautumissuunnitelmat ja irtautumisstrategiat). Laitoksella on täysi vastuu kaikista ulkoistamistaan palveluista ja toimista sekä niitä koskevista hallinnollisista päätöksistä. Ulkoistamiskäytännöissä on tehtävä selväksi, ettei ulkoistaminen vapauta laitosta siihen kohdistuvista sääntelyyn perustuvista velvoitteista eikä sen vastuusta asiakkaitaan kohtaan.

Käytännöissä on mainittava, etteivät ulkoistamisjärjestelyt saa haitata laitoksen tehokasta paikan päällä (on-site) tai muualla kuin paikan päällä (off-site) tapahtuvaa valvontaa eivätkä poiketa palveluja ja toimia koskevista valvonnallisista rajoituksista. Käytäntöjen tulee myös kattaa konsernin sisäinen ulkoistaminen (ts. palvelut, joiden tarjoajana on konserniin kuuluva erillinen oikeushenkilö) ja huomioida mahdolliset konsernin erityisolosuhteet.

Direktiivissä 2013/36/EU vahvistettuja hallintovaatimuksia ja näiden ohjeiden säännöksiä sovelletaan laitoksiin siitä riippumatta, ovatko ne kolmannessa maassa sijaitsevan emoyrityksen tytäryrityksiä. Kun kolmannessa maassa sijaitsevan emoyrityksen tytäryritys EU:ssa on konsolidoiva laitos, kolmannessa maassa sijaitseva emoyritys ja sen muut suorat tytäryritykset eivät kuulu varovaisuusperiaatteen mukaisen konsolidoinnin piiriin. Tällaisen konsolidoivan laitoksen tulisi varmistaa, että kolmannessa maassa sijaitsevan emoyrityksen konserninlaajuiset hallintokäytännöt otetaan huomioon sen omissa hallintokäytännöissä siltä osin kuin ne eivät ole ristiriidassa asiaa koskevassa EU-lainsäädännössä, kuten direktiivissä 2013/36/EU, vahvistettujen vaatimusten tai näiden ohjeiden kanssa.

Käytäntöjä luodessaan ja hallinto- ja ohjausjärjestelmiä dokumentoidessaan laitosten tulee ottaa huomioon näiden ohjeiden I liitteessä luetellut osatekijät. Vaikka käytännöt ja dokumentointi voivat olla erillisissä asiakirjoissa, laitosten tulee harkita niiden yhdistämistä tai niihin viittaamista yhtenä hallinnon kehysasiakirjana.

Vakaan, huolellisen ja johdonmukaisen riskikulttuurin tulisi olla keskeinen osa laitoksen tehokasta riskienhallintaa, ja sen tulisi antaa laitokselle mahdollisuus tehdä harkittuja ja tietoon perustuvia päätöksiä.

Laitosten tulee luoda integroitu ja koko laitoksen kattava riskikulttuuri, joka perustuu riskien ja riskienhallintatapojen perinpohjaiseen tuntemukseen ja niitä koskevaan kokonaisvaltaiseen näkemykseen ja jossa huomioidaan sen riskinottohalu.

Laitosten tulee kehittää riskikulttuuriaan laitoksen toimia, strategiaa ja riskiprofiilia koskevien käytäntöjen, vuorovaikutuksen ja henkilöstön koulutuksen kautta. Laitosten tulee mukauttaa vuorovaikutusta ja henkilöstön koulutusta siten, että niissä huomioidaan henkilöstön riskien ottamista ja riskienhallintaa koskeva vastuu.

Henkilöstön tulee olla täysin tietoisia riskienhallintaan liittyvästä vastuustaan. Riskienhallintaa ei tule asettaa ainoastaan riskiasiantuntijoiden tai sisäisten valvontatoimintojen vastuulle. Liiketoimintayksikköjen, jotka toimivat ylimmän hallintoelimen yleisessä valvonnassa, tulee olla ensisijaisesti vastuussa päivittäisestä riskienhallinnasta laitoksen käytäntöjen, menettelyjen ja valvonnan mukaisesti ottaen huomioon laitoksen riskinottohalun ja riskinkantokyvyn.