Udkastet til bekendtgørelse overimplementerer European Banking Authoritys ”Retningslinjer for outsourcing”

 Generelt set er FInans Danmark tilfreds med at der kommer nye og forhåbentlig klarere regler for sektorens brug af outsourcing. Anvendelse af outsourcing og Cloud er af stor betydning for vores medlemmer, ikke mindst i forhold til at have mulighed for at kunne bruge innovative løsninger. Finans Danmark er imidlertid bekymret over det foreliggende udkast der på flere punkter indebærer en overimplementering. De væsentligste udfordringer er:

• Implementeringen af begrebet kritisk eller vigtig outsourcing medfører, at for mange outsourcing-aftaler bliver kritiske eller vigtige og dermed omfattet af bestemmelserne.

• Proportionalitetsprincippet fra EBA GL er efter vores opfattelse ikke klart afspejlet i det foreliggende udkast.

• Der er i henhold til EBA GLmulighed for at foretage ”pooled audits” sammen med andre kunder. Denne mulighed er ikke medtaget i udkastet til BKG.

• Det fremgår af udkastet, at leverandøren skal overholde outsourcingvirksomhedens sikkerhedspolitik. Det vil stort set umuliggøre bl.a. cloud outsourcing, idet leverandørernes forretningsmodel bygger på standardisering, der ikke levner mulighed for at imødekomme hver enkelt kundes specifikke krav. Det ikke et krav i EBA GL.

• Finans Danmark har forstået, at det er Finanstilsynets holdning, at leverandørens notifikationsperiode for anvendelse af kritisk eller væsentlig outsourcing til underleverandører skal være så lang, at den sætter outsourcingvirksomheden i stand til at foretage både risikovurdering og exit af aftalen. Det vil de facto vil medføre en betydelig begrænsning i muligheden for at anvende outsourcing.

• Det er forventningen, at nye regler indebærer flere outsourcingaftaler, vil være omfattet af reguleringen. Det er derfor afgørende, at EBA GL’s muligheder for at træffe beslutning på direktionsniveau udnyttes, således ikke alle operationelle risikovurderinger og beslutninger skal behandles i bestyrelsen. Det står ikke udkastet og derfor bør det præciseres i BKG, at direktionen jævnfør EBA GL kan træffe beslutning inden for rammer besluttet af bestyrelsen.

• I lyset af de danske regler er 9 mdr forsinket og det omfattende arbejde, der er forbundet med at implementere de nye regler for outsourcing, opfordres Finanstilsynet til at udskyde fristen. Der foreligger heller ikke et udkast til vejledning.