4.5 Recurso a terceiros e externalização

Além dos pontos referidos no parágarfo9, as instituições de crédito e as instituições financeiras devem incluir nas suas políticas e procedimentos especificações que definam quais as funções e atividades de integração de clientes à distância que serão exercidas ou realizadas pela instituição de crédito e financeira, por terceiros ou por outro prestador de serviços externalizado.

4.5.1 Recurso a terceiros em conformidade com o capítulo II, secção 4, da Diretiva (UE) 2015/849

Além das Orientações da EBA relativas aos fatores de risco⁸ , em especial as orientações 2.20 a 2.21 e 4.32 a 4.37 dessas Orientações, devem aplicar os seguintes critérios:

• a) adotar as medidas necessárias para se certificar de que os processos e procedimentos de CDD dos sistemas de integração de clientes à distância dos terceiros, bem como as informações e os dados que estes recolhem nesse contexto, são suficientes e coerentes com os requisitos estabelecidos nas presentes orientações;
• b) assegurar a continuidade das relações de negócios estabelecidas entre o cliente e a instituição de crédito ou financeira, a fim de prevenir acontecimentos que possam revelar deficiências no processo de integração de clientes à distância realizado pelo terceiro.

4.5.2 Externalização da CDD

⁸ EBA/GL/2021/02

Caso as instituições de crédito e as instituições financeiras externalizem a totalidade ou parte do processo de integração de clientes à distância a um prestador de serviços externalizado, nos termos do artigo 29.º da Diretiva (UE) 2015/849, devem aplicar, para além das orientações 2.20 a 2.21 e 4.32 a 4.37 das Orientações da EBA relativas aos fatores de risco e, quando aplicável, das Orientações da EBA relativas à externalização,⁹ antes e durante a relação de negócio com o prestador de serviços externalizado, as seguintes medidas, cuja extensão deve ser ajustada em função do risco:

• a) assegurar que o prestador de serviços externalizado efetivamente aplica e cumpre as políticas e os procedimentos de integração de clientes à distância da instituição de crédito e financeira, em conformidade com o acordo de subcontratação. Este objetivo deve ser alcançado através de relatórios periódicos, de um acompanhamento contínuo, de visitas ao local ou de testes por amostragem;
• b) realizar avaliações para assegurar que o prestador de serviços externalizado dispõe de meios suficientes e capacidade para realizar o processo de integração de clientes à distância. As avaliações podem incluir, nomeadamente, a avaliação da formação do pessoal, da adequação dos meios tecnológicos e da gestão dos dados do prestador de serviços externalizado;
• c) assegurar que o prestador de serviços externalizado informa as instituições de crédito e as instituições financeiras de qualquer proposta de alteração do processo de integração de clientes à distância ou de qualquer alteração à solução fornecida pelo prestador de serviços externalizado.

⁹ Orientações da EBA relativas à subcontratação.docx (europa.eu)

Caso o prestador de serviços externalizado armazene dados dos clientes, incluindo, mas não exclusivamente, fotografia, vídeos e documentos, durante o processo de integração à distância, as instituições de crédito e financeiras devem assegurar que:

• a) apenas os dados necessários do cliente são recolhidos e armazenados, em conformidade com um período de conservação claramente definido;
• b) o acesso aos dados é estritamente limitado e registado;
• c) são aplicadas medidas de segurança adequadas para garantir a proteção dos dados armazenados.