8 Ārpakalpojumu politika

Vadības struktūrai būtu jāapstiprina un regulāri jāpārskata un jāatjaunina iestādes ārpakalpojumu politika, nodrošinot atbilstīgu izmaiņu savlaicīgu ieviešanu.

Ārpakalpojumu politikā būtu jāņem vērā ārpakalpojumu ietekme uz iestādes darbību un riskiem, ar ko tā saskaras (piemēram, operacionālajiem riskiem, tostarp juridiskajiem un IT riskiem; riskiem reputācijai un koncentrācijas riskiem). Šajā politikā būtu jāiekļauj ziņošanas un uzraudzības mehānismi, kas jāparedz no ārpakalpojumu līguma sākuma līdz beigām (tostarp biznesa lietas sagatavošana ārpakalpojumiem, ārpakalpojumu līguma noslēgšana, līguma izpilde līdz tā beigu termiņam, ārkārtas rīcības plāni un izejas stratēģijas). Iestāde saglabā pilnu atbildību par visiem ārpakalpojumā nodotajiem pakalpojumiem un darbībām, kā arī izrietošajiem vadības lēmumiem. Līdz ar to ārpakalpojumu politikai būtu skaidri jāapliecina, ka nodošana ārpakalpojumā neatbrīvo iestādi no tās tiesību aktos paredzētajiem pienākumiem un atbildības attiecībā pret klientiem.

Šai politikai būtu jānorāda, ka ārpakalpojumu mehānismi nedrīkst kavēt iestādes efektīvu uzraudzību klātienē vai neklātienē un nedrīkst būt pretrunā ne ar vienu uzraudzības ierobežojumu attiecībā uz pakalpojumiem un darbībām. Politikai būtu jāaptver arī ārpakalpojumi grupas ietvaros (t. i., pakalpojumi, ko sniedz atsevišķa juridiska persona iestādes grupas ietvaros) un jāņem vērā visi konkrētie grupas apstākļi.

Direktīvas 2013/36/ES pārvaldības prasības un šīs pamatnostādnes piemēro iestādēm, neatkarīgi no tā, ka tās var būt trešās valsts mātesuzņēmuma meitasuzņēmumi. Ja trešās valsts mātesuzņēmuma ES meitas uzņēmums ir konsolidācijas iestāde, prudenciālās konsolidācijas joma neietver mātesuzņēmuma, kas atrodas trešā valstī, līmeni un citus minētā mātesuzņēmuma tiešos meitasuzņēmumus. Konsolidācijas iestādei būtu jānodrošina, ka tās pārvaldības politikā tiek ņemta vērā trešās valsts mātes iestādes grupas līmeņa pārvaldības politika, ciktāl tā nav pretrunā ar attiecīgajos ES tiesību aktos, tostarp Direktīvā 2013/36/ES, noteiktajām prasībām, kā arī šajās pamatnostādnēs izklāstītajām specifikācijām.

Izstrādājot politikas un dokumentējot pārvaldības mehānismus, iestādēm būtu jāņem vērā aspekti, kas minēti pamatnostādņu I pielikumā. Kaut arī šīs politikas un dokumentācija var būt iekļauta atsevišķos dokumentos, iestādēm būtu jāapsver iespēja tos apvienot vai atsaukties uz tiem vienotā pārvaldības sistēmas dokumentā.

Pareizai, pienācīgi rūpīgai un konsekventai riska kultūrai vajadzētu būt efektīvas iestādes riska pārvaldības pamatelementam un nodrošināt iestādēm iespēju pieņemt pareizus un informētus lēmumus.

Iestādēm būtu jāizstrādā integrēta iestādes līmeņa riska kultūra, pamatojoties uz pilnīgu izpratni un visaptverošu priekšstatu par riskiem, ar kuriem tās saskaras, un to, kā šos riskus pārvalda, ņemot vērā iestādes vēlmi uzņemties risku.

Iestādēm būtu jāizstrādā riska kultūra, izmantojot politikas, saziņu un personāla apmācību par iestādes darbībām, stratēģiju un riska profilu, un tām jāpielāgo šī saziņa un personāla apmācība tā, lai ņemtu vērā darbinieku pienākumus attiecībā uz riska uzņemšanos un riska pārvaldību.

Personālam vajadzētu būt pilnībā informētam par pienākumiem riska pārvaldības jomā. Riska pārvaldību nevajadzētu īstenot tikai riska speciālistiem vai iekšējās kontroles funkciju struktūrai vien. Uzņēmuma vienībām, ko pārrauga vadības struktūra, vajadzētu būt primāri atbildīgām par risku pārvaldību ikdienā saskaņā ar iestādes politikām, procedūrām un kontroles pasākumiem, ņemot vērā iestādes vēlmi uzņemties risku un riska kapacitāti.