8 Polityka w zakresie outsourcingu

Organ zarządzający powinien zatwierdzić politykę instytucji w zakresie outsourcingu oraz poddawać ją regularnemu przeglądowi i aktualizacji, zapewniając terminowe wdrożenie odpowiednich zmian.

Polityka w zakresie outsourcingu powinna uwzględniać jego wpływ na działalność instytucji oraz na jej ryzyko (np. ryzyko operacyjne, w tym prawne i informatyczne, ryzyko utraty reputacji oraz ryzyko koncentracji). Polityka ta powinna obejmować rozwiązania w zakresie sprawozdawczości i monitorowania, które należy wdrażać od etapu rozważania umowy outsourcingowej do zakończenia jej obowiązywania (w tym podczas analizy kosztów i korzyści outsourcingu, zawierania umowy outsourcingowej, realizacji umowy do chwili jej wygaśnięcia, wdrażania planów awaryjnych i strategii wyjścia). Instytucja pozostaje w pełni odpowiedzialna za wszystkie usługi i rodzaje działalności podlegające outsourcingowi oraz wynikające z nich decyzje kierownictwa. W związku z tym, w polityce w zakresie outsourcingu należy jasno wskazać, że rozwiązanie to nie zwalnia instytucji z jej obowiązków regulacyjnych oraz obowiązków wobec klientów.

W polityce należy zawrzeć stwierdzenie, że outsourcing nie powinien utrudniać skutecznego nadzoru inspekcyjnego lub analitycznego nad instytucją oraz nie powinien naruszać żadnych ograniczeń nadzorczych dotyczących usług i działalności. Polityka powinna też obejmować outsourcing wewnątrzgrupowy (np. usługi świadczone przez odrębny podmiot prawny w ramach grupy, do której należy instytucja) i wszelkie konkretne uwarunkowania grupowe.

Wymogi dotyczące zarządzania określone w dyrektywie 2013/36/UE i postanowienia niniejszych wytycznych stosuje się do instytucji niezależnie od tego, czy są one jednostkami zależnymi jednostki dominującej z państwa trzeciego. W przypadku gdy jednostka zależna w UE jednostki dominującej w państwie trzecim jest instytucją konsolidującą, zakres konsolidacji ostrożnościowej nie obejmuje poziomu jednostki dominującej z państwa trzeciego ani innych bezpośrednich jednostek zależnych tej jednostki dominującej. Instytucja konsolidująca powinna zapewnić, aby grupowa polityka zarządzania instytucji dominującej w państwie trzecim została uwzględniona w jej własnej polityce zarządzania, o ile nie jest to sprzeczne z wymogami określonymi we właściwych przepisach prawa UE lub prawa krajowego, w tym w dyrektywie 2013/36/UE i szczegółowych wyjaśnieniach w niniejszych wytycznych.

Ustanawiając politykę i dokumentując zasady zarządzania, instytucje powinny uwzględnić aspekty wymienione w załączniku I do wytycznych. Chociaż polityka i dokumentacja mogą być zawarte w osobnych dokumentach, instytucje powinny rozważyć połączenie ich lub odniesienie się do nich we wspólnym, ramowym dokumencie dotyczącym zarządzania.

Prawidłowa, staranna i spójna kultura ryzyka powinna być kluczowym elementem skutecznego zarządzania ryzykiem przez instytucje oraz powinna umożliwiać im podejmowanie prawidłowych i świadomych decyzji.

Instytucje powinny wypracować zintegrowaną, obejmującą całość ich działalności kulturę ryzyka opartą na pełnym zrozumieniu i całościowym oglądzie ryzyka, na jakie są narażone, oraz sposobie zarządzania nim, uwzględniając swoją gotowość do podejmowania ryzyka.

Instytucje powinny rozwijać kulturę ryzyka przez wdrażanie polityki, komunikację i szkolenia dla pracowników dotyczące działalności, strategii i profilu instytucji, a także dostosować komunikację i szkolenia dla pracowników w celu uwzględnienia obowiązków tych pracowników w zakresie podejmowania ryzyka i zarządzania nim.

Pracownicy powinni mieć pełną świadomość swoich obowiązków związanych z zarządzaniem ryzykiem. Zarządzanie ryzykiem nie powinno ograniczać się do specjalistów ds. ryzyka lub komórek kontroli wewnętrznej. Główną odpowiedzialność za bieżące zarządzanie ryzykiem, przy uwzględnieniu gotowości instytucji do podejmowania ryzyka oraz jej zdolności do jego ponoszenia, w zgodzie z jej polityką, procedurami i mechanizmami kontrolnymi, powinny ponosić jednostki biznesowe przy nadzorze ze strony organu zarządzającego.