4.5 Recours à des tiers et externalisation

En complément des points énoncés au paragraphe 9, les établissements de crédit et les établissements financiers devraient inclure dans leurs politiques et procédures des spécifications précisant les fonctions et activités d’entrée en relation d’affaires à distance qui seront exécutées ou réalisées par l’établissement de crédit et l’établissement financier, par des tiers ou par un autre prestataire de services externe.

4.5.1 Recours à des prestataires de services de paiement tiers conformément au chapitre II, section 4, de la directive (UE) 2015/849

En complément des orientations de l’ABE relatives aux facteurs de risque, en particulier les paragraphes 2.20 à 2.21 et 4.32 et 4.37 de ces orientations, ils devraient appliquer les critères suivants:

• a) prendre les mesures nécessaires pour s’assurer que les processus et procédures d’entrée en relation d’affaires à distance mis en œuvre par le tiers dans le cadre des obligations de vigilance à l’égard de la clientèle et que les informations et données qu’ils permettent de recueillir dans ce contexte sont suffisantes et conformes aux exigences énoncées dans les présentes orientations;
• b) s'assurer de la continuité des relations d’affaires établies entre le client et l’établissement de crédit et l’établissement financier pour se prémunir contre des événements pouvant mettre en lumière des défaillances concernant le processus d’entrée en relation d’affaires à distance entrepris par le tiers.

4.5.2 Externalisation de la vigilance à l’égard de la clientèle

Lorsque les établissements de crédit et les établissements financiers externalisent tout ou partie du processus d’entrée en relation d’affaires à distance à un prestataire de services externe, tel que visé à l’article 29 de la directive (UE) 2015/849, les établissements de crédit et les établissements financiers devraient appliquer en plus des orientations 2.20 à 2.21 et 4.32 et 4.37 des orientations de l’ABE sur les facteurs de risque et en plus des orientations de l'ABE relatives à l’externalisation³ le cas échéant, avant et pendant la relation d’affaires avec le prestataire de services externe, les mesures suivantes, dont l’étendue devrait être adaptée en fonction de la sensibilité au risque:

• a) s’assurer que le prestataire de services externe met en œuvre et respecte de manière effective les politiques et procédures d’entrée en relation d’affaires à distance de l’établissement de crédit et de l’établissement financier, conformément au contrat d’externalisation. Cet objectif devrait être atteint au moyen de reportings réguliers, d’un suivi continu, de visites sur place ou d’analyse d’échantillons;
• b) réaliser des évaluations pour s’assurer que le prestataire de services externe est suffisamment équipé et capable d’effectuer le processus d’entrée en relation d’affaires à distance. Les évaluations peuvent comprendre, entre autres, l’évaluation de la formation du personnel, du caractère approprié de la technologie et de la gouvernance des données au niveau du prestataire de services externe;
• c) s’assurer que le prestataire de services externe informe les établissements de crédit et les établissements financiers de toutes les propositions de changements du processus d’entrée en relation d’affaires à distance ou de toute modification apportée à la solution fournie par le prestataire de services externe.

³ EBA Guidelines on outsourcing arrangements.docx (europa.eu)

Lorsque le prestataire de services externe stocke des données relatives au client, notamment des photographies, vidéos et documents, pendant le processus d’entrée en relation d’affaires à distance, les établissements de crédit et les établissements financiers devraient s’assurer que:

• a) seules les données nécessaires sur le client sont recueillies et stockées, dans le respect d’une période de conservation clairement définie;
• b) l’accès aux données est strictement limité et enregistré;
• c) des mesures de sécurité appropriées sont mises en œuvre pour garantir que les données stockées sont protégées.