4.5 Anlitande av tredje parter och utkontraktering

Utöver det som anges i punkt 9 bör kreditinstituts och finansiella instituts policyer och rutiner innehålla specifikationer av vilka funktioner och aktiviteter för etablering av affärsförbindelser med nya kunder på distans som ska genomföras av kreditinstitutet och det finansiella institutet självt, av tredje parter eller av andra utkontrakterade tjänsteleverantörer.

4.5.1 Anlitande av tredjepartsleverantörer i enlighet med kapitel II avsnitt 4 i direktiv (EU) 2015/849

Vid sidan av EBA:s riktlinjer om riskfaktorer⁸ , särskilt riktlinjerna 2.20–2.21, 4.32–4.37, bör de tillämpa följande kriterier:

• a) Vidta nödvändiga åtgärder för att förvissa sig om att den tredje partens processer och rutiner avseende åtgärder för kundkännedom för etablering av affärsförbindelser med nya kunder på distans samt de uppgifter som de samlar in i detta sammanhang är tillräckliga och överensstämmer med kraven i dessa riktlinjer.
• b) Tillse att de affärsförbindelser som etableras mellan kunden och kreditinstitutet och det finansiella institutet kännetecknas av kontinuitet, för att skydda sig mot händelser som kan avslöja brister i den tredje partens process för etablering av affärsförbindelser med nya kunder på distans.

4.5.2 Utkontraktering av åtgärder för kundkännedom

⁸ EBA/GL/2021/02.

Kreditinstitut och finansiella institut som helt eller delvis utkontrakterar processen för etablering av affärsförbindelser med nya kunder på distans till en tjänsteleverantör i enlighet med artikel 29 i direktiv (EU) 2015/849 bör vid sidan av riktlinjerna 2.20–2.21, 4.32–4.37 i EBA:s riktlinjer om riskfaktorer och vid sidan av EBA:s riktlinjer för utkontraktering⁹ i tillämpliga fall före och under affärsförbindelsen med den utkontrakterade tjänsteleverantören vidta följande åtgärder och anpassa deras omfattning utifrån ett riskkänslighetsperspektiv:

• a) Säkerställa att den utkontrakterade tjänsteleverantören på ett effektivt sätt genomför och följer kreditinstitutets och det finansiella institutets policyer och rutiner för etablering av affärsförbindelser med nya kunder på distans i enlighet med avtalet. Detta bör åstadkommas genom regelbunden rapportering, fortlöpande övervakning, besök på plats eller stickprov.
• b) Göra bedömningar för att säkerställa att den utkontrakterade tjänsteleverantören är tillräckligt kapabel och har den kunskap som krävs för att genomföra processen för etablering av affärsförbindelser med nya kunder på distans. Sådana bedömningar kan till exempel avse personalens utbildning och tekniska kunskaper och den utkontrakterade tjänsteleverantörens datastyrning.
• c) Säkerställa att den utkontrakterade tjänsteleverantören informerar kreditinstitutet och det finansiella institutet om föreslagna ändringar av processen för etablering av affärsförbindelser med nya kunder på distans eller ändringar som görs av den lösning som den utkontrakterade tjänsteleverantören tillhandahåller.

⁹ EBA Guidelines on outsourcing arrangements.docx (europa.eu)

När en utkontrakterad tjänsteleverantör lagrar kunddata, inbegripet men inte begränsat till foton, videor och dokument, under processen för etablering av affärsförbindelser med nya kunder på distans bör kreditinstitut och finansiella institut säkerställa att

• a) endast nödvändiga uppgifter om kunderna samlas in och lagras under en tydligt definierad lagringstid,
• b) tillgången till uppgifterna är strikt begränsad och registreras,
• c) lämpliga åtgärder vidtas för att säkerställa att lagrade data skyddas.