8 Policy om utkontraktering

När policyer fastställs och styrformer dokumenteras bör instituten ta hänsyn till de aspekter som förtecknas i bilaga 1 till dessa riktlinjer. Det är tillåtet att ha separata dokument för policyer och dokumentation, men instituten bör överväga att kombinera dem eller hänvisa till dem i ett samlat dokument om styrformerna. EBA Regular Use

Ett instituts ledningsorgan bör godkänna och regelbundet se över och uppdatera sin policy om utkontraktering samt se till att lämpliga ändringar införs utan dröjsmål.

Policyn om utkontraktering bör ta hänsyn till utkontrakteringens inverkan på institutets verksamhet och de risker det exponeras för (såsom operativa risker, inklusive rättsliga risker och it-risker, anseenderisker och koncentrationsrisker). Policyn bör omfatta de rapporterings- och övervakningsförfaranden som bör tillämpas i alla steg vid utkontraktering (såsom att sammanställa projektbeskrivningar som motiverar utkontraktering, ingå ett avtal om utkontraktering, fullfölja avtalet under hela avtalstiden och upprätta beredskapsplaner och utträdesstrategier). Institutet har det fulla ansvaret för alla tjänster och all verksamhet som utkontrakteras samt de ledningsbeslut de ger upphov till. Följaktligen bör det i policyn om utkontraktering klargöras att utkontraktering inte innebär att institutet befrias från sina skyldigheter enligt lag eller sitt ansvar gentemot kunderna.