8 Uitbestedingsbeleid

Het leidinggevend orgaan dient het uitbestedingsbeleid van een instelling goed te keuren, regelmatig te herzien en bij te werken, waarbij het ervoor dient te zorgen dat de benodigde wijzigingen tijdig ten uitvoer worden gelegd.

In het uitbestedingsbeleid dient rekening te worden gehouden met het uitbestedingseffect op de bedrijfsactiviteiten van een instelling en de daarmee gepaard gaande risico’s (zoals operationele risico’s, waaronder juridische en IT-risico’s, reputatie- en concentratierisico’s). Het beleid dient de rapportage- en controleregelingen te bevatten die van de aanvang tot de beëindiging van een uitbestedingscontract dienen te worden uitgevoerd (waaronder de uitwerking van het zakelijk motief voor uitbesteding, het aangaan van een uitbestedingscontract, de uitvoering van het contract tot aan de vervaldatum, noodplannen en exitstrategieën). Een instelling blijft volledig verantwoordelijk voor alle uitbestede diensten en activiteiten en hieruit voortvloeiende managementbesluiten. In het beleidsdocument inzake uitbesteding dient dus duidelijk te worden vastgelegd dat uitbesteding de instelling niet ontslaat van haar wettelijke verplichtingen en verantwoordelijkheden jegens haar cliënten.

In het beleidsdocument dient te worden vastgelegd dat uitbestedingsregelingen een doelmatig toezicht ter plekke en op afstand niet mogen belemmeren en niet mogen indruisen tegen beperkingen inzake toezicht op het gebied van diensten en activiteiten. Het beleid dient ook van toepassing te zijn op uitbesteding binnen de groep (bijv. diensten die worden verstrekt door een afzonderlijke rechtspersoon binnen de groep van een instelling) en rekening te houden met eventuele specifieke omstandigheden binnen de groep.

De governancevereisten van Richtlijn 2013/36/EU en de bepalingen van deze richtsnoeren gelden voor instellingen, ook als dit dochterondernemingen van een moederonderneming in een derde land zijn. Wanneer een dochteronderneming in de EU van een moederonderneming in een derde land een consoliderende instelling is, omvat de prudentiële consolidatie niet het niveau van de in een derde land gevestigde moederonderneming en andere rechtstreekse dochterondernemingen van die moederonderneming. De consoliderende instelling dient ervoor te zorgen dat in haar eigen governancebeleid rekening wordt gehouden met het groepsbrede governancebeleid van de moederonderneming in een derde land, voor zover dat niet in strijd is met de vereisten van relevante EU-wetgeving, waaronder Richtlijn 2013/36/EU en de nadere specificaties in deze richtsnoeren.

Bij het vaststellen van beleid en het documenteren van governanceregelingen dienen instellingen rekening te houden met de aspecten die worden genoemd in bijlage I bij de richtsnoeren. Ofschoon beleid en documentatie in afzonderlijke documenten mogen worden opgenomen, dienen instellingen te overwegen deze te combineren of ze op te nemen in één enkel kaderdocument voor governance.

Een solide, zorgvuldige en consistente risicocultuur dient een belangrijk element te zijn van doeltreffend risicobeheer van instellingen en dient instellingen in staat te stellen gedegen en geïnformeerde besluiten te nemen.

Instellingen dienen een geïntegreerde en organisatiebrede risicocultuur te ontwikkelen die berust op volledig inzicht in en een holistisch perspectief op de risico’s die zij lopen en de manier waarop zij deze risico’s beheren met inachtneming van de risicobereidheid van de instelling.

Instellingen dienen een risicocultuur te ontwikkelen aan de hand van beleid, communicatie en opleiding van personeel inzake de activiteiten, de strategie en het risicoprofiel van instellingen, en hun communicatie en personeelsopleiding af te stemmen op de verantwoordelijkheden van het personeel als het gaat om het nemen en beheren van risico’s.

Personeelsleden dienen zich volledig bewust te zijn van hun verantwoordelijkheden op het gebied van risicobeheer. Risicobeheer behoort niet uitsluitend een taak van risicospecialisten of werknemers in een interne controlefunctie te zijn. De verantwoordelijkheid voor het dagelijks risicobeheer in overeenstemming met het beleid, de procedures en controles van de instelling, rekening houdend met de risicobereidheid en -draagkracht van de instelling dient in hoofdzaak bij de bedrijfseenheden te berusten, waarbij het leidinggevend orgaan toezicht uitoefent.