8 Policy om utkontraktering

När policyer fastställs och styrformer dokumenteras bör instituten ta hänsyn till de aspekter som förtecknas i bilaga 1 till dessa riktlinjer. Det är tillåtet att ha separata dokument för policyer och dokumentation, men instituten bör överväga att kombinera dem eller hänvisa till dem i ett samlat dokument om styrformerna. EBA Regular Use

Ett instituts ledningsorgan bör godkänna och regelbundet se över och uppdatera sin policy om utkontraktering samt se till att lämpliga ändringar införs utan dröjsmål.

Policyn om utkontraktering bör ta hänsyn till utkontrakteringens inverkan på institutets verksamhet och de risker det exponeras för (såsom operativa risker, inklusive rättsliga risker och it-risker, anseenderisker och koncentrationsrisker). Policyn bör omfatta de rapporterings- och övervakningsförfaranden som bör tillämpas i alla steg vid utkontraktering (såsom att sammanställa projektbeskrivningar som motiverar utkontraktering, ingå ett avtal om utkontraktering, fullfölja avtalet under hela avtalstiden och upprätta beredskapsplaner och utträdesstrategier). Institutet har det fulla ansvaret för alla tjänster och all verksamhet som utkontrakteras samt de ledningsbeslut de ger upphov till. Följaktligen bör det i policyn om utkontraktering klargöras att utkontraktering inte innebär att institutet befrias från sina skyldigheter enligt lag eller sitt ansvar gentemot kunderna.

Det konsoliderande institutet bör se till att dotterföretag som inrättats i tredjeländer och som omfattas av konsolidering under tillsyn har styrformer, processer och rutiner som överensstämmer med koncerngemensamma policyer för styrning och lever upp till kraven i artiklarna 74–96 i direktiv 2013/36/EU och i dessa riktlinjer, så länge det inte bryter mot lagstiftningen i det aktuella tredjelandet.

De krav angående styrning som anges i direktiv 2013/36/EU och dessa riktlinjer gäller för institut även om de är dotterföretag till ett moderföretag i ett tredjeland. Om ett EU-dotterföretag till ett moderföretag i ett tredjeland är ett konsoliderande institut omfattar konsolideringen under tillsyn inte nivån för det moderföretag som ligger i ett tredjeland eller andra direkta dotterföretag till det moderföretaget. Det konsoliderande institutet bör se till att den koncerngemensamma policyn för styrning för moderföretaget i ett tredjeland beaktas i det konsoliderande institutets egen styrpolicy, så länge detta inte strider mot de krav som anges i gällande EU-lagstiftning, inbegripet direktiv 2013/36/EU och vidare i dessa riktlinjer.

Det bör framå av policyn att utkontraktering inte får hindra en ändamålsenlig tillsyn på plats eller utanför institutet och inte heller strida mot några begränsningar av tjänster eller verksamhet som följer av tillsynsreglerna. Policyn bör även omfatta utkontraktering inom en och samma koncern (dvs. tjänster som tillhandahålls av en separat juridisk person inom den koncern som institutet tillhör) och ta hänsyn till alla eventuella omständigheter som är specifika för den aktuella koncernen.

Som en avgörande del i en effektiv riskhantering bör instituten ha en sund och konsekvent riskkultur som hjälper dem att fatta sunda och välgrundade beslut.

Varje institut bör utforma en integrerad riskkultur som omfattar hela institutet och som bygger på full kunskap om och en helhetssyn på de risker det exponeras för och hur de hanteras, med hänsyn tagen till riskaptiten.

Instituten bör utveckla en riskkultur med hjälp av policyer, kommunikation och personalutbildning om institutets verksamhet, strategi och riskprofil, där kommunikation och personalutbildning bör anpassas till personalens ansvar när det gäller risktagande och riskhantering.