8 Politica de externalizare

Organul de conducere trebuie să aprobe, să revizuiască și să actualizeze periodic politica de externalizare a unei instituții, asigurându - se că modificările corespunzătoare sunt aplicate cu promptitudine.

Politica de externalizare trebuie să ia în considerare impactul externalizării asupra activității instituției și riscurile cu care se confruntă aceasta (precum riscurile operaționale, inclusiv riscurile juridice și IT și riscurile de concentrare). Politica trebuie să includă mecanismele de raportare și monitorizare care trebuie puse în aplicare pe întreaga durată a contractului de externalizare (inclusiv elaborarea unui scenariu privind externalizarea, încheierea unui contract de externalizare, executarea contractului până la expirarea acestuia, planuri pentru situații neprevăzute și strategii de ieșire). O instituție rămâne pe deplin responsabilă pentru toate serviciile și activitățile externalizate, precum și pentru toate deciziile conducerii care decurg din acestea. În consecință, politica de externalizare trebuie să stabilească în mod clar că activitatea de externalizare nu exonerează instituția de obligațiile sale care decurg din reglementare și de responsabilitățile față de clienți.

Politica trebuie să specifice că acordurile de externalizare nu afectează supravegherea pe bază de raportări și la fața locului a instituției și nu trebuie să încalce nicio restricție de supraveghere a serviciilor și activităților. Politica trebuie să vizeze, de asemenea, externalizarea în interiorul grupului (și anume, servicii prestate de către o entitate juridică separată în interiorul grupului unei instituții) și să țină cont de orice circumstanțe specifice grupului.

Cerințele privind cadrul de administrare a activității prevăzute de Directiva 2013/36/UE și dispozițiile din prezentul ghid se aplică instituțiilor indiferent dacă acestea sunt filiale ale unei întreprinderi- mamă într - o țară terță. Dacă o filială UE a unei întreprinderi - mamă dintr - o țară terță este o instituție consolidantă, perimetrul de consolidare prudențială nu include nivelul întreprinderii- mamă situate într - o țară terță și al altor filiale directe ale întreprinderii - mamă respective. Instituția consolidantă trebuie să se asigure că politica privind cadrul de administrare a activității la nivelul întregului grup a instituției - mamă d intr- o țară terță este luată în considerare în propria sa politică privind cadrul de administrare a activității în măsura în care acest lucru nu contravine cerințelor prevăzute în dreptul UE în materie, inclusiv celor din Directiva 2013/36/UE și specificaț iilor suplimentare din prezentul ghid.

Atunci când instituie politici și când documentează dispoziții aferente cadrului de administrare a activității, instituțiile trebuie să ia în considerare aspectele enunțate în anexa I la ghid. Chiar dacă politicile și documentația pot fi incluse în documente separate, instituțiile trebuie să aibă în vedere combinarea acestora sau să facă trimitere la acestea într -un singur document privind cadrul de administrare a activității.

O cultură privind riscul solidă și consecventă trebuie să fie un element esențial al administrării eficace a riscurilor instituțiilor și trebuie să le permită acestora să ia decizii viabile și în cunoștință de cauză.

Instituțiile trebuie să dezvolte o cultură privind riscul integrată la nivel de instituție, întemeiată pe o deplină înțelegere și o perspectivă holistică asupra riscurilor cu care se confruntă acestea și a modului de administrare a acestora, în funcție de apetitul pentru risc al instituției.

Instituțiile trebuie să dezvolte o cultură privind riscul prin politici, comunicare și formarea personalului cu privire la activitățile, strategia și profilul de risc al instituțiilor și să adapteze comunicarea și formarea personalului ținând cont de responsabilitățile personalului cu privir e la asumarea riscurilor și administrarea acestora.

Personalul trebuie să își cunoască pe deplin responsabilitățile legate de administrarea riscurilor. Administrarea riscurilor nu trebuie să fie limitată la specialiștii în domeniul riscului sau la funcțiile de control intern. Unitățile operaționale aflate sub supravegherea organului de conducere trebuie să aibă, în primul rând, responsabilitatea pentru administrarea riscurilor în mod curent în concordanță cu politicile, procedurile și măsurile de control ale instituției, ținând cont de apetitul pentru risc și de capacitatea de risc a instituției.