8 Stratégia externalizácie

Riadiaci orgán by mal schvaľovať a pravidelne revidovať a aktualizovať stratégiu externalizácie inštitúcie a zabezpečiť, aby sa príslušné zmeny vykonávali včas.

V stratégii externalizácie je potrebné zvážiť vplyv externalizácie na činnosť inštitúcie a riziká, ktorým čelí (napr. operačné riziká vrátane právneho rizika a rizika v oblasti IT; riziká poškodenia dobrej povesti; a riziká koncentrácie). Stratégia má zahŕňať podávanie správ a mechanizmy monitorovania, ktoré je potrebné uplatňovať od začatia až do skončenia dohody o externalizácii (vrátane vypracovania obchodného prípadu pre externalizáciu, uzatvorenia zmluvy o externalizácii, realizácie tejto zmluvy do skončenia jej platnosti, pohotovostných plánov a stratégií ukončenia angažovanosti). Inštitúcia zostáva plne zodpovedná za všetky služby a činnosti zadávané externým poskytovateľom a za rozhodnutia týkajúce sa riadenia, ktoré z nich vyplývajú. V stratégii externalizácie sa preto má jasne uvádzať, že externalizácia nezbavuje inštitúciu jej regulačných povinností ani zodpovednosti voči klientom.

V stratégii sa má uvádzať, že dohody o externalizácii nemajú brániť účinnému dohľadu inštitúcie na mieste ani dohľadu na diaľku a nemajú byť v rozpore s obmedzeniami stanovenými dohľadom na služby a činnosti. Stratégia má zahŕňať externalizáciu aj v rámci skupiny (t. j. služby poskytované samostatnou právnickou osobou v rámci skupiny inštitúcie) a zohľadniť všetky osobitné okolnosti skupiny.

Požiadavky smernice 2013/36/EÚ a týchto usmernení týkajúce sa riadenia sa vzťahujú na inštitúcie bez ohľadu na skutočnosť, že môže ísť o dcérske spoločnosti materskej spoločnosti v tretej krajine. Ak dcérska spoločnosť z EÚ, ktorá patrí materskej spoločnosti z tretej krajiny, je konsolidujúcou inštitúciou, rozsah prudenciálnej konsolidácie nezahŕňa úroveň materskej inštitúcie so sídlom v tretej krajine a iné priame dcérske spoločnosti tejto materskej inštitúcie. Konsolidujúca inštitúcia by mala zabezpečiť, že politika riadenia materskej inštitúcie v tretej krajine pre celú skupinu sa zohľadní v jej vlastných politikách riadenia, pokiaľ to nie je v rozpore s požiadavkami stanovenými v príslušnom práve EÚ vrátane smernice 2013/36/EÚ a s ďalšími špecifikáciami v týchto usmerneniach.

Pri zavádzaní politík a dokumentovaní opatrení riadenia by inštitúcie mali vziať do úvahy aspekty uvedené v prílohe I k usmerneniam. Zatiaľ čo politiky a dokumentácia sa môžu zahrnúť do samostatných dokumentov, inštitúcie majú zvážiť ich zlúčenie alebo odkaz na tieto dokumenty v jednom dokumente rámca riadenia.

Správna, náležitá a konzistentná kultúra riadenia rizík má byť kľúčovým prvkom účinného riadenia rizík zo strany inštitúcií a má umožňovať inštitúciám prijímať správne a informované rozhodnutia.

Inštitúcie majú rozvíjať integrovanú celopodnikovú kultúru riadenia rizík založenú na plnom pochopení a celostnom vnímaní rizík, ktorým čelia, a postupov ich riadenia, s prihliadnutím na vlastnú ochotu podstupovať riziká.

Inštitúcie majú rozvíjať kultúru riadenia rizík prostredníctvom politík, komunikácie a odbornej prípravy zamestnancov týkajúcej sa činností, stratégie a rizikového profilu inštitúcií, pričom majú prispôsobiť komunikáciu a odbornú prípravu zamestnancov tak, aby zohľadňovali zodpovednosť pracovníkov v oblasti prijímania a riadenia rizík.

Zamestnanci si majú byť plne vedomí svojich povinností, pokiaľ ide o riadenie rizík. Riadenie rizík sa nemá obmedzovať na špecialistov na riziká, resp. na funkcie vnútornej kontroly. Obchodné útvary majú pod dohľadom riadiaceho orgánu byť v prvom rade zodpovedné za každodenné riadenie rizík v súlade s politikami, postupmi a kontrolami inštitúcie, pri zohľadnení ochoty inštitúcie podstupovať riziká a jej schopnosti znášať riziko.