8 Polityka w zakresie outsourcingu

Organ zarządzający powinien zatwierdzić politykę instytucji w zakresie outsourcingu oraz poddawać ją regularnemu przeglądowi i aktualizacji, zapewniając terminowe wdrożenie odpowiednich zmian.

Polityka w zakresie outsourcingu powinna uwzględniać jego wpływ na działalność instytucji oraz na jej ryzyko (np. ryzyko operacyjne, w tym prawne i informatyczne, ryzyko utraty reputacji oraz ryzyko koncentracji). Polityka ta powinna obejmować rozwiązania w zakresie sprawozdawczości i monitorowania, które należy wdrażać od etapu rozważania umowy outsourcingowej do zakończenia jej obowiązywania (w tym podczas analizy kosztów i korzyści outsourcingu, zawierania umowy outsourcingowej, realizacji umowy do chwili jej wygaśnięcia, wdrażania planów awaryjnych i strategii wyjścia). Instytucja pozostaje w pełni odpowiedzialna za wszystkie usługi i rodzaje działalności podlegające outsourcingowi oraz wynikające z nich decyzje kierownictwa. W związku z tym, w polityce w zakresie outsourcingu należy jasno wskazać, że rozwiązanie to nie zwalnia instytucji z jej obowiązków regulacyjnych oraz obowiązków wobec klientów.

W polityce należy zawrzeć stwierdzenie, że outsourcing nie powinien utrudniać skutecznego nadzoru inspekcyjnego lub analitycznego nad instytucją oraz nie powinien naruszać żadnych ograniczeń nadzorczych dotyczących usług i działalności. Polityka powinna też obejmować outsourcing wewnątrzgrupowy (np. usługi świadczone przez odrębny podmiot prawny w ramach grupy, do której należy instytucja) i wszelkie konkretne uwarunkowania grupowe.