8 Uitbestedingsbeleid

Het leidinggevend orgaan dient het uitbestedingsbeleid van een instelling goed te keuren, regelmatig te herzien en bij te werken, waarbij het ervoor dient te zorgen dat de benodigde wijzigingen tijdig ten uitvoer worden gelegd.

In het uitbestedingsbeleid dient rekening te worden gehouden met het uitbestedingseffect op de bedrijfsactiviteiten van een instelling en de daarmee gepaard gaande risico’s (zoals operationele risico’s, waaronder juridische en IT-risico’s, reputatie- en concentratierisico’s). Het beleid dient de rapportage- en controleregelingen te bevatten die van de aanvang tot de beëindiging van een uitbestedingscontract dienen te worden uitgevoerd (waaronder de uitwerking van het zakelijk motief voor uitbesteding, het aangaan van een uitbestedingscontract, de uitvoering van het contract tot aan de vervaldatum, noodplannen en exitstrategieën). Een instelling blijft volledig verantwoordelijk voor alle uitbestede diensten en activiteiten en hieruit voortvloeiende managementbesluiten. In het beleidsdocument inzake uitbesteding dient dus duidelijk te worden vastgelegd dat uitbesteding de instelling niet ontslaat van haar wettelijke verplichtingen en verantwoordelijkheden jegens haar cliënten.

In het beleidsdocument dient te worden vastgelegd dat uitbestedingsregelingen een doelmatig toezicht ter plekke en op afstand niet mogen belemmeren en niet mogen indruisen tegen beperkingen inzake toezicht op het gebied van diensten en activiteiten. Het beleid dient ook van toepassing te zijn op uitbesteding binnen de groep (bijv. diensten die worden verstrekt door een afzonderlijke rechtspersoon binnen de groep van een instelling) en rekening te houden met eventuele specifieke omstandigheden binnen de groep.