Wytyczne EBA w temacie outsourcingu. Co warto wiedzieć?

Europejski Urząd Nadzoru Bankowego to niezależny organ UE. Jego rolą jest zapewnienie regulacji ostrożnościowej i nadzoru w całym europejskim sektorze bankowym. EBA stanowi więc jedną z instytucji służących zapewnieniu stabilności finansowej, a także prawidłowego funkcjonowania sektora bankowego.

Wśród narzędzi stosowanych przez EBA można wymienić wydawane przez nią, niewiążące wytyczne. Choć wytyczne te nie stanowią tzw. twardego prawa (jak chociażby unijne rozporządzenia czy dyrektywy), to i tak mają ogromne znaczenie dla rynków finansowych. Niejednokrotnie odwołuje się do nich również w swoich własnych rekomendacjach polska Komisja Nadzoru Finansowego.

W roku 2019 EBA wydała wytyczne w sprawie outsourcingu, które wyznaczały określone standardy w kwestii powierzania pewnego zakresu swojej aktywności podmiotom z zewnątrz. Owe wytyczne są skierowane do organów nadzoru finansowego, instytucji płatniczych, instytucji kredytowych, a także instytucji pieniądza elektronicznego.

Co znajdziemy w wytycznych EBA?

Wytyczne same sygnalizują, że określają ustalenia dotyczące zasad zarządzania wewnętrznego, w tym rozsądnego zarządzania ryzykiem, które instytucje, instytucje płatnicze oraz instytucje pieniądza elektronicznego powinny wdrażać przy outsourcingu funkcji, w szczególności w przypadku outsourcingu funkcji krytycznych lub ważnych.

W celu wyjaśnienia tego skomplikowanego wyliczenia, najlepiej zacząć od definicji outsourcingu.

Outsourcing w kontekście wytycznych nie jest pojęciem skomplikowanym. Oznacza po prostu umowę zawartą w dowolnej formie pomiędzy instytucją a usługodawcą, w wyniku której usługodawca realizuje proces, zadanie lub usługę, które w innym przypadku byłoby wykonywane przez samą instytucję. Ponadto outsourcingiem nie będą:

• funkcje, których wykonanie przez dostawcę usług jest wymagane na mocy prawa (np. badanie ustawowe);
• usługi związane z dostarczaniem informacji rynkowych (np. udostępnienie danych przez Bloomberg, Moody’s, Standard & Poor’s, Fitch);
• infrastruktura globalnej sieci (np. Visa, MasterCard);
• systemy rozliczeniowe i rozrachunku pomiędzy izbami rozliczeniowymi, CCP i instytucjami rozliczeniowymi oraz ich członkami;
• infrastruktury globalnej komunikacji finansowej podlegającej nadzorowi właściwych organów;
• usługi bankowości korespondencyjnej;
• nabycie usług, które w innym przypadku nie zostałyby wykonane przez instytucję - wytyczne wprost wymieniają usługi architektów, prawników, sprzątania, pocztowe czy związane z utrzymaniem pomieszczeń danej instytucji.

W związku z tym, np. bank, który potrzebuje usług kancelarii prawnej w związku z pozwem, nie będzie dokonywać outsourcingu. Musi być to związane z przekazaniem komuś innemu realizacji zadania, które standardowo byłoby wykonane przez ten bank, jak np. sprzedaży instrumentu finansowego.

Funkcje krytyczne i istotne – co to znaczy?

Co ważne, wytyczne obejmują wyłącznie tzw. funkcje krytyczne i istotne. Znajdziemy w nich wskazanie trzech okoliczności, które sprawiają, że dana funkcja jest krytyczna lub istotna:

1. Funkcja ma charakter krytyczny lub istotny, jeśli błąd lub niepowodzenie w ich realizacji stanowiłoby istotne zagrożenie dla:
   • ciągłości wypełniania warunków zezwolenia lub innych zobowiązań wynikających z dyrektywy w sprawie rynków instrumentów finansowych,  rozporządzenia w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, dyrektywy o usługach płatniczych lub dyrektywy w sprawie pieniądza elektronicznego oraz obowiązków regulacyjnych;
   • wyników finansowych jednostki;
   • niezawodności lub ciągłości wykonywanych usług bankowych i płatniczych oraz działalności w tym zakresie.
2. Funkcja ma charakter krytyczny, gdy zleca się zadania operacyjne z zakresu kontroli wewnętrznej na zasadzie outsourcingu. Wyjątkiem jest sytuacja, w której ocena wykaże, iż niewykonanie funkcji będącej przedmiotem outsourcingu lub niewłaściwe jej wykonanie nie będzie miało złego wpływu na efektywność funkcji kontroli wewnętrznej.
3. Przedmiotem outsourcingu ma być działalność bankowa bądź usługi płatnicze w zakresie, który wymaga udzielenia zezwolenia przez odpowiedni organ.

Wszystkie te zasady uzupełnia reguła proporcjonalności. Trzeba zwrócić więc szczególną uwagę na krytyczność i wagę funkcji, gdy przedmiotem outsourcingu są funkcje mające związek z głównymi liniami biznesowymi oraz funkcjami krytycznymi, które definiuje dyrektywa ustalająca ramy na potrzeby prowadzenia działań naprawczych, a także restrukturyzacji i uporządkowanej likwidacji w odniesieniu do instytucji kredytowych, firm inwestycyjnych oraz zidentyfikowane przez instytucje na podstawie kryteriów wskazanych w artykułach 6 i 7 rozporządzenia delegowanego Komisji (UE) 2016/778 w sprawie okoliczności  i warunków, w których zapłata nadzwyczajnych składek ex post może zostać częściowo lub całkowicie odroczona, oraz w zakresie kryteriów służących określeniu działań, usług i operacji w odniesieniu do funkcji krytycznych oraz określeniu linii biznesowych wraz z powiązanymi usługami w odniesieniu do głównych linii biznesowych.

Krytyczne lub istotne będą te funkcje, który są konieczne do realizacji działań w ramach głównych linii biznesowych albo funkcji krytycznych. Wyjątek stanowią sytuacje, w których w wyniku oceny dokonanej przez instytucje okaże się, że niewykonanie funkcji sta...