4.5 Beroep op derden en uitbesteding

Naast de in punt 9 genoemde aspecten dienen kredietinstellingen en financiële instellingen in hun gedragslijnen en procedures specificaties op te nemen waarin wordt aangegeven welke functies en activiteiten voor de acceptatie van cliënten op afstand zullen worden verricht door de kredietinstelling of financiële instelling zelf, door derden of door een andere aanbieder van uitbestede diensten.

4.5.1 Beroep op derden overeenkomstig hoofdstuk II, afdeling 4, van Richtlijn (EU) 2015/849

Naast de EBA-richtsnoeren inzake ML/TF-risicofactoren⁸ , en met name de bepalingen 2.20, 2.21, 4.32 tot en met 4.37 daarvan, dienen kredietinstellingen en financiële instellingen voor het volgende te zorgen:

• a) de nodige maatregelen treffen om zich ervan te vergewissen dat de eigen processen en procedures van derden voor de acceptatie van cliënten op afstand, evenals de informatie en gegevens die zij in dit verband verzamelen, toereikend zijn en overeenstemmen met de vereisten van deze richtsnoeren;
• b) de continuïteit waarborgen van de zakelijke relaties tussen de cliënt en de kredietinstelling of financiële instelling, om zich te beschermen tegen gebeurtenissen die tekortkomingen aan het licht kunnen brengen in het proces van acceptatie van cliënten op afstand dat door de derde wordt uitgevoerd.

4.5.2 Uitbesteding van cliëntenonderzoek

⁸ EBA/GL/2021/02.

Wanneer kredietinstellingen en financiële instellingen het proces van acceptatie van cliënten op afstand geheel of gedeeltelijk uitbesteden aan een aanbieder van uitbestede diensten, zoals bedoeld in artikel 29 van Richtlijn (EU) 2015/849, dienen die kredietinstellingen en financiële instellingen – in aanvulling op de bepalingen 2.20, 2.21, 4.32 tot en met 4.37 van de EBA-richtsnoeren inzake ML/TF-risicofactoren en in voorkomend geval in aanvulling op de EBA-richtsnoeren inzake uitbesteding⁹ – voor en tijdens de zakelijke relatie met de aanbieder van uitbestede diensten de volgende maatregelen te treffen, waarvan de omvang wordt aangepast op basis van risicogevoeligheid:

• a) ervoor zorgen dat de aanbieder van uitbestede diensten de gedragslijnen en procedures van de kredietinstelling of financiële instelling inzake acceptatie van cliënten op afstand daadwerkelijk uitvoert en naleeft in overeenstemming met de uitbestedingsovereenkomst – hiertoe moet worden voorzien in regelmatige verslaglegging, permanente monitoring, bezoeken ter plaatse of steekproefsgewijze tests;
• b) beoordelingen uitvoeren om zich ervan te vergewissen dat de aanbieder van uitbestede diensten voldoende is toegerust en in staat is het proces voor de acceptatie van cliënten op afstand uit te voeren – beoordelingen kunnen, zonder daartoe te zijn beperkt, betrekking hebben op de opleiding van personeel, geschiktheid van technologie en gegevensbeheer bij de aanbieder van de uitbestede dienst;
• c) ervoor zorgen dat de aanbieder van uitbestede diensten de kredietinstelling of financiële instelling in kennis stelt van voorgestelde wijzigingen in het proces voor de acceptatie van cliënten op afstand of van wijzigingen in de door deze aanbieder geboden oplossing.

⁹ EBA-richtsnoeren inzake uitbestedingsregelingen.docx (europa.eu).

Wanneer de aanbieder van uitbestede diensten tijdens het acceptatieproces op afstand cliëntgegevens opslaat, met inbegrip van onder meer foto’s, video’s en documenten, dienen kredietinstellingen en financiële instellingen ervoor te zorgen dat:

• a) alleen noodzakelijke gegevens van de cliënt worden verzameld en opgeslagen, en dat deze niet langer worden bewaard dan een duidelijk omschreven termijn;
• b) de toegang tot de gegevens strikt beperkt is en wordt geregistreerd;
• c) er passende beveiligingsmaatregelen worden genomen om ervoor te zorgen dat de opgeslagen gegevens worden beschermd.