4.5 Ricorso a terzi ed esternalizzazione

Oltre ai punti di cui al paragrafo 9, gli enti creditizi e gli istituti finanziari dovrebbero specificare nelle loro politiche e procedure quali funzioni e attività di onboarding a distanza del cliente saranno svolte o eseguite dall’ente creditizio o istituto finanziario, quali da terzi o da un altro prestatore di servizi esterno.

4.5.1 Ricorso a terzi in conformità del capo II, sezione 4, della direttiva (UE) 2015/849

Oltre agli orientamenti dell’ABE in materia di fattori di rischio (⁸ ), in particolare i paragrafi 2.20, 2.21 e dal 4.32 al 4.37 di tali orientamenti, essi dovrebbero applicare i seguenti criteri:

• a) adottare le misure necessarie per accertarsi che i processi e le procedure attuati dal terzo per l’adeguata verifica della clientela ai fini dell’onboarding a distanza del cliente, nonché le informazioni e i dati raccolti in questo contesto, siano sufficienti e coerenti con i requisiti stabiliti nei presenti orientamenti;
• b) assicurare la continuità dei rapporti d’affari tra l’acquirente e l’ente creditizio o istituto finanziario per proteggersi da eventi che potrebbero rivelare carenze nel processo di onboarding a distanza del cliente svolto dal terzo.

4.5.2 Esternalizzazione dell’adeguata verifica della clientela

Se gli enti creditizi e gli istituti finanziari esternalizzano in tutto o in parte il processo di onboarding a distanza del cliente a un prestatore di servizi esterno, come menzionato nell’articolo 29 della direttiva (UE) 2015/849, essi dovrebbero applicare, oltre ai paragrafi 2.20, 2.21 e dal 4.32 al 4.37 degli orientamenti dell’ABE in materia di fattori di rischio e, se del caso, oltre agli orientamenti dell’ABE in materia di esternalizzazione (⁹ ), prima e durante il rapporto d’affari con il prestatore di servizi esterno, le seguenti misure, la cui portata dovrebbe essere adattata in funzione del rischio:

• a) assicurare che il prestatore di servizi esterno attui efficacemente e rispetti le politiche e le procedure di onboarding a distanza del cliente dell’ente creditizio o dell’istituto finanziario, in conformità dell’accordo di esternalizzazione. Tale risultato dovrebbe essere conseguito mediante segnalazioni periodiche, monitoraggio continuo, visite in loco o verifiche a campione;
• b) effettuare valutazioni per assicurare che il prestatore di servizi esterno sia sufficientemente attrezzato e capace di eseguire il processo di onboarding a distanza

(⁸ ) EBA/GL/2021/02.

(⁹ ) Orientamenti dell’ABE in materia di esternalizzazione.docx (europa.eu). del cliente. Le valutazioni possono riguardare, a titolo esemplificativo e non esaustivo, la formazione del personale, l’idoneità tecnologica e la governance dei dati presso il prestatore di servizi esterno;

• c) assicurare che il prestatore di servizi esterno informi gli enti creditizi e gli istituti finanziari di qualsiasi proposta di modifica del processo di onboarding a distanza del cliente o di qualsiasi modifica apportata alla soluzione fornita dal prestatore di servizi esterno.

Qualora il prestatore di servizi esterno conservi i dati dei clienti, compresi, ma non solo, fotografie, video e documenti, durante il processo di onboarding a distanza, gli enti creditizi e gli istituti finanziari dovrebbero assicurare che:

• a) siano raccolti e conservati solo i dati necessari del cliente, per un periodo di conservazione chiaramente definito;
• b) l’accesso ai dati sia strettamente limitato e registrato;
• c) siano attuate misure di sicurezza adeguate per assicurare la protezione dei dati conservati.