8 Politique d’externalisation

L’organe de direction devrait approuver puis réexaminer et actualiser régulièrement la politique d’externalisation d’un établissement, en veillant à ce que les modifications appropriées soient rapidement mises en œuvre.

La politique d’externalisation devrait tenir compte de l’incidence de cette pratique sur les activités de l’établissement et sur les risques auxquels il est exposé (notamment les risques opérationnels, y compris les risques juridiques et informatiques, les risques de réputation et les risques de concentration). Cette politique devrait inclure les dispositifs de notification et de contrôle qui doivent être mis en œuvre depuis l’entrée en vigueur d’un accord d’externalisation jusqu’à son terme (y compris l’élaboration du dossier d’externalisation, la signature du contrat, l’exécution de ce dernier jusqu’à son expiration, les plans d’urgence et les stratégies de sortie). L’établissement demeure pleinement responsable de l’ensemble des services et activités qu’il externalise, ainsi que des décisions de gestion qui en résultent. Par conséquent, la politique d’externalisation devrait expressément indiquer que cette pratique ne soustrait pas l’établissement à ses obligations réglementaires et à ses responsabilités envers ses clients.

La politique devrait préciser que les dispositifs d’externalisation ne peuvent pas entraver les contrôles sur place ou sur pièces de l’établissement et ne peuvent en aucune manière contrevenir aux restrictions émises par le superviseur sur les services et les activités. La politique devrait également couvrir l’externalisation intragroupe (à savoir les services fournis par une entité juridique séparée au sein du groupe d’un établissement) et tenir compte de toute circonstance particulière du groupe.

Les exigences en matière de gouvernance énoncées dans la directive 2013/36/UE et les dispositions des présentes orientations s’appliquent aux établissements indépendamment du fait qu’ils soient ou non les filiales d’une entreprise mère dans un pays tiers. Lorsqu’une filiale établie dans l’Union européenne d’une entreprise mère implantée dans un pays tiers est un établissement consolidant, le périmètre de consolidation prudentielle n’inclut pas le niveau de l’entreprise mère située dans un pays tiers ni d’aucune autre filiale directe de cette entreprise mère. L’établissement consolidant devrait veiller à ce que la politique de gouvernance à l’échelle du groupe de l’établissement mère dans un pays tiers soit prise en compte dans sa propre politique de gouvernance, dans la mesure où cela n’est pas contraire aux exigences énoncées dans la réglementation de l’UE, y compris la directive 2013/36/UE, ni aux précisions supplémentaires des présentes orientations.

Lorsqu’ils mettent en place des politiques et documentent les dispositifs de gouvernance, les établissements devraient tenir compte des aspects énumérés à l’annexe I des orientations. Bien que les politiques et la documentation puissent figurer dans des documents séparés, les établissements devraient envisager de les combiner ou de faire référence à ceux-ci dans un document unique sur le cadre de gouvernance.

Une culture du risque solide, diligente et cohérente devrait être un élément clé de la gestion efficace des risques des établissements et devrait permettre aux établissements de prendre des décisions judicieuses et éclairées.

Les établissements devraient mettre en place une culture du risque intégrée et globale, sur la base d’une entière compréhension et d’une vision holistique des risques auxquels il sont exposés et de la manière dont ils sont gérés, en tenant compte de leur appétit pour le risque.

Les établissements devraient élaborer une culture du risque au moyen des politiques, de la communication et de la formation du personnel en ce qui concerne les activités, la stratégie et le profil du risque de l’établissement et ils devraient adapter la communication et la formation du personnel afin de tenir compte des responsabilités du personnel concernant la prise de risque et la gestion des risques.

Le personnel devrait être pleinement conscient de ses responsabilités concernant la gestion des risques. La gestion des risques ne devrait pas être la prérogative exclusive des spécialistes du risque ou des fonctions de contrôle interne. Les différentes unités opérationnelles, sous la supervision de l’organe de direction, devraient essentiellement assumer la responsabilité de la gestion quotidienne des risques conformément aux politiques, aux procédures et aux contrôles de l’établissement et en tenant compte de l’appétit pour le risque et de la capacité de l’établissement à prendre des risques.