1.   L-entitajiet finanzjarji għandhom jimmaniġġaw ir-riskju relatat mal-ICT minn partijiet terzi bħala komponent integrali tar-riskju tal-ICT fil-qafas tal-ġestjoni tar-riskju tal-ICT tagħhom kif imsemmi fl-Artikolu 6(1), u f’konformità mal-prinċipji li ġejjin:

2.   Bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT tagħhom, l-entitajiet finanzjarji, għajr dawk l-entitajiet imsemmija fl-Artikolu 16(1), l-ewwel subparagrafu u għajr il-mikrointrapriżi, għandhom jadottaw, u jirrieżaminaw b’mod regolari, strateġija dwar ir-riskju relatat mal-ICT minn partijiet terzi, waqt li jqisu l-istrateġija ta’ diversi bejjiegħa msemmija fl-Artikolu 6(9), fejn applikabbli. L-istrateġija dwar ir-riskju relatat mal-ICT minn partijiet terzi għandha tinkludi politika dwar l-użu ta’ servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti pprovduti minn fornituri terzi ta’ servizzi tal-ICT u għandha tapplika fuq bażi individwali u, fejn rilevanti, fuq bażi subkonsolidata u konsolidata. Il-korp maniġerjali għandu, abbażi ta’ valutazzjoni tal-profil tar-riskju ġenerali tal-entità finanzjarja u l-iskala u l-kumplessità tas-servizzi tan-negozju, jirrieżamina regolarment ir-riskji identifikati fir-rigward tal-arranġamenti kuntrattwali dwar l-użu tas-servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti.

3.   Bħala parti mill-qafas ta’ ġestjoni tar-riskju tal-ICT tagħhom, l-entitajiet finanzjarji għandhom iżommu u jaġġornaw fil-livell tal-entità, u fil-livelli subkonsolidati u konsolidati, reġistru ta’ informazzjoni fir-rigward tal-arranġamenti kuntrattwali kollha dwar l-użu ta’ servizzi tal-ICT ipprovduti minn fornituri terzi ta’ servizzi tal-ICT.

L-arranġamenti kuntrattwali msemmija fl-ewwel subparagrafu għandhom jiġu ddokumentati b’mod xieraq, filwaqt li ssir distinzjoni bejn dawk li jkopru s-servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti u dawk li le.

L-entitajiet finanzjarji għandhom jirrappurtaw mill-inqas darba fis-sena lill-awtoritajiet kompetenti dwar l-għadd ta’ arranġamenti ġodda dwar l-użu tas-servizzi tal-ICT, il-kategoriji tal-fornituri terzi ta’ servizzi tal-ICT, it-tip ta’ arranġamenti kuntrattwali u s-servizzi u l-funzjonijiet tal-ICT li qed jiġu pprovduti.

L-entitajiet finanzjarji għandhom jagħmlu disponibbli għall-awtorità kompetenti, fuq talba tagħha, ir-reġistru sħiħ tal-informazzjoni jew, kif mitlub, taqsimiet speċifikati tiegħu, flimkien ma’ kwalunkwe informazzjoni meqjusa bħala neċessarja biex tkun tista’ ssir is-superviżjoni effettiva tal-entità finanzjarja.

L-entitajiet finanzjarji għandhom jinformaw lill-awtorità kompetenti fil-ħin dwar kwalunkwe arranġament kuntrattwali dwar l-użu ta’ servizzi tal-ICT ippjanat li jappoġġja funzjonijiet kritiċi jew importanti kif ukoll meta funzjoni ssir kritika jew importanti.

4.   Qabel ma jidħlu f’arranġament kuntrattwali dwar l-użu tas-servizzi tal-ICT, l-entitajiet finanzjarji għandhom:

5.   L-entitajiet finanzjarji jistgħu jidħlu biss f’arranġamenti kuntrattwali ma’ fornituri terzi ta’ servizzi tal-ICT li jikkonformaw ma’ standards tas-sigurtà tal-informazzjoni xierqa. Fejn dawk l-arranġamenti kuntrattwali jikkonċernaw funzjonijiet kritiċi jew importanti, l-entitajiet finanzjarji għandhom, qabel ma jikkonkludu l-arranġamenti, iqisu kif xieraq l-użu, mill-fornituri terzi ta’ servizzi tal-ICT, tal-aktar standards għolja u aġġornati ta’ kwalità fis-sigurtà tal-informazzjoni.

6.   Fl-eżerċizzju tad-drittijiet tal-aċċess, tal-ispezzjoni u tal-awditjar fuq il-fornitur terz tas-servizzi tal-ICT, l-entitajiet finanzjarji għandhom, abbażi ta’ approċċ ibbażat fuq ir-riskju, jiddeterminaw minn qabel il-frekwenza tal-awditi u tal-ispezzjonijiet kif ukoll l-oqsma li għandhom jiġu awditjati billi jaderixxu ma’ standards tal-awditjar aċċettati b’mod komuni f’konformità ma’ kwalunkwe struzzjoni superviżorja dwar l-użu u l-inkorporazzjoni ta’ tali standards tal-awditjar.

Fejn l-arranġamenti kuntrattwali konklużi ma’ fornituri terzi ta’ servizzi tal-ICT dwar l-użu ta’ servizzi tal-ICT jinvolvu kumplessità teknika għolja, l-entità finanzjarja għandha tivverifika li l-awdituri, kemm jekk interni kif ukoll jekk esterni, jew diversi awdituri, għandhomx il-ħiliet u l-għarfien xieraq biex iwettqu l-awditi u l-valutazzjonijiet rilevanti.

7.   L-entitajiet finanzjarji għandhom jiżguraw li l-arranġamenti kuntrattwali dwar l-użu tas-servizzi tal-ICT jistgħu jiġu tterminati fi kwalunkwe waħda miċ-ċirkostanzi li ġejjin:

8.   Għas-servizzi tal-ICT li jappoġġjaw funzjonijiet kritiċi jew importanti, l-entitajiet finanzjarji għandhom jistabbilixxu strateġiji ta’ ħruġ. L-istrateġiji ta’ ħruġ għandhom iqisu r-riskji li jistgħu jfiġġu fil-livell ta’ fornituri terzi ta’ servizzi tal-ICT, b’mod partikolari l-falliment possibbli min-naħa tagħhom, deterjorament tal-kwalità tas-servizzi tal-ICT ipprovduti, kwalunkwe tfixkil fl-operat minħabba forniment mhux xieraq jew li ma sarx ta’ servizzi tal-ICT jew kwalunkwe riskju materjali li jirriżulta b’rabta mal-użu xieraq u kontinwu tas-servizz tal-ICT rispettiv, jew it-terminazzjoni tal-arranġamenti kuntrattwali ma’ fornituri terzi ta’ servizzi tal-ICT fi kwalunkwe waħda miċ-ċirkostanzi elenkati fil-paragrafu 7.

L-entitajiet finanzjarji għandhom jiżguraw li jkunu jistgħu joħorġu mill-arranġamenti kuntrattwali mingħajr:

Il-pjanijiet ta’ ħruġ għandhom ikunu komprensivi, dokumentati u, f’konformità mal-kriterji li jinsabu fl-Artikolu 4(2), għandhom jiġu ttestjati biżżejjed u rieżaminati perjodikament.

L-entitajiet finanzjarji għandhom jidentifikaw soluzzjonijiet alternattivi u jiżviluppaw pjanijiet ta’ tranżizzjoni li jippermettulhom ineħħu l-funzjonijiet u s-servizzi tal-ICT ikkuntrattati u d-data rilevanti mingħand il-fornitur terz ta’ servizzi tal-ICT u li jittrasferuhom b’mod sigur u integrali lil fornituri alternattivi jew jinkorporawhom mill-ġdid internament.

L-entitajiet finanzjarji għandu jkollhom stabbiliti miżuri ta’ kontinġenza xierqa biex iżommu l-kontinwità tal-operat fil-każ li jseħħu ċ-ċirkostanzi msemmija fl-ewwel subparagrafu.