Правилникът за аутсорсинга, до регистъра на доставчиците ви.

EBA/GL/2026/09 са насоките на ЕБО за доброто управление на риска от трети страни при услуги, различни от ИКТ, публикувани в окончателен вид на 18 септември 2026 г. Те заменят насоките за възлагане на дейности на външни изпълнители от 2019 г. за всяка услуга, която не е ИКТ услуга, и разширяват предмета от аутсорсинг към всяко повтарящо се или текущо споразумение с трета страна, така че доставчик, който прави нещо, което вие никога не бихте правили сами, пак попада в обхвата. Прилагат се за кредитни институции, инвестиционни посредници, платежни институции и институции за електронни пари, с допълнителни адресати като емитенти на токени, обезпечени с активи, и предвиждат по-строг режим за споразуменията, които поддържат критични или важни функции. Управителният орган остава изцяло отговорен: използването на доставчик не делегира нищо.

В окончателния доклад датата на прилагане, краят на двугодишния преходен период и датата на отмяна на EBA/GL/2019/02 са оставени като заместители, така че датата на прилагане предстои да бъде потвърдена от ЕБО. Механизмът обаче е ясен: насоките се прилагат за споразумения, сключени, прегледани или изменени на или след датата на прилагане; съществуващите споразумения трябва да бъдат прегледани и изменени в рамките на две години; когато прегледът и документирането на споразуменията, поддържащи критични или важни функции, не могат да приключат навреме, дружеството уведомява компетентния си орган за планираните мерки или за възможната стратегия за изход; некритичните споразумения могат да бъдат прегледани при следващото подновяване. Насоките от 2019 г. се отменят, считано от датата на прилагане. Venvera води преходното уведомление като събитиен срок към изискването за регистъра, изразен спрямо датата на прилагане, и изписва „датата на прилагане предстои да бъде потвърдена от ЕБО“ навсякъде, където иначе би стояла дата.

DORA урежда ИКТ услугите, предоставяни от трети страни, в глава V, членове 28 до 30, за всяко финансово образувание. Насоките от 2026 г. уреждат всичко останало и са написани така, че да се подреждат по DORA: регистърът може да се комбинира с регистъра на информацията по DORA, политиката може да се обедини с политиката по член 28, параграф 10 от DORA, стига да разграничава ИКТ от не-ИКТ услугите, а наборът от договорни клаузи отразява член 30. Когато едно споразумение покрива и двете или не-ИКТ услуга зависи съществено от ИКТ услуга, дружеството решава и записва кой режим се прилага за всяка функция. Във Venvera модулът DORA проследява ИКТ задълженията, а този модул следи не-ИКТ задълженията, и двата четат един и същ регистър на доставчиците.

Функция, чийто дефект или отказ би нарушил съществено продължаващото спазване от дружеството на условията на лиценза му или на другите му задължения по правото в областта на финансовите услуги, финансовите му резултати или стабилността или непрекъснатостта на услугите и дейностите му. Отгоре стоят две презумпции: оперативните задачи на функциите за вътрешен контрол са критични или важни, освен ако оценката не покаже, че отказ не би навредил на контролната функция, а функциите на банкова дейност, платежни услуги или емитиране на токени, които сами по себе си биха изисквали лиценз, са винаги критични или важни. Класификацията се записва с мотиви и дата, преоценява се преди подписване, при планови прегледи, при разрастване на услугата и при смяна на собствеността на доставчика, а функция, която стане критична или важна, задейства уведомление до надзорния орган.

Параграфи 58 до 62 изброяват полетата. За всяко споразумение: референтен номер и вид на споразумението, начална дата, дата на подновяване и крайна дата с причината за прекратяване, образуванията, които ползват доставчика, дали доставчикът е вътрешногрупов, описание на функцията, флаг „критична или важна“ с мотиви, категория на функцията, наименование, идентификатор, регистрационен номер, адрес, контакти и крайно предприятие майка на доставчика, както и държавите, в които се изпълнява критична функция. За критичните или важни споразумения допълнително: приложимото право, датите на последните одити, подизпълнителите с ранга им във веригата и местоположението, резултатът от оценката на заменимостта по четиристепенна скала с дата, оценката на реинтеграцията или прекратяването с целите за време и точка на възстановяване, дали съществува план за изход, алтернативните доставчици и прогнозните годишни разходи. Централната банка на Ирландия добавя срокове за предизвестие, местоположение на данните, регулатора на доставчика, облачни модели, датите на тестване на непрекъснатостта и на изхода, времева критичност и блок на ниво дружество за своя отчет. Venvera пази всичко това в регистъра на доставчиците и го доказва от изискването.

Междусекторните насоки за аутсорсинг от декември 2021 г. се прилагат пропорционално за всяко регулирано от Централната банка дружество, което възлага дейности на външни изпълнители, като изложение на надзорните очаквания. Над задълженията по ЕБО те очакват документирана методология за критичност с тригери за преоценка, вътрешногруповия аутсорсинг да се оценява със същата строгост, собственост на борда върху стратегията и политиката за аутсорсинг с надзорна роля, пряко отговорна пред борда, риска от аутсорсинг в общия регистър на рисковете, апетит за под-аутсорсинг с предварителни условия, стратегия за управление на чувствителните данни, концентрация, включително секторна и по веригата, решения за офшоринг на ниво борд с оценка на риска по държави, разширени критерии за надлежна проверка и годишен преглед на финансовото здраве, договорни допълнения като местоположения на ниво град и прекратяване по указание на Централната банка, три линии на защита с документирана честота, програма за вътрешен одит, тестване на непрекъснатостта от доставчика поне веднъж годишно, преминаване през стратегиите за изход, оспорено от борда, предварително уведомяване за критичен аутсорсинг, докладване на неблагоприятни събития и подаване на регистъра на аутсорсинга. Venvera води всяко от тях като изискване CBIOUT; дружество, което не е регулирано в Ирландия, ги отбелязва като неприложими с една обосновка.

Всеки договор се нуждае от ясно описание на услугите с позицията по под-аутсорсинга, местоположенията и задължение за уведомяване при смяна на местоположение, приложимото право, местоположението на данните, разпоредби за наличност, цялост и поверителност на данните, достъп до данните на дружеството и връщането им при несъстоятелност или прекратяване, нива на обслужване, пълно съдействие на компетентните органи и органите за преструктуриране, права на прекратяване и срокове за предизвестие, а за институциите по ДКИ и позоваване на правомощията на органа за преструктуриране. Договорите за критични или важни функции добавят количествени цели за изпълнение, докладване от доставчика и уведомяване за съществени развития, решението за застраховане, тестване на плановете за извънредни ситуации, неограничени права на достъп и одит за дружеството и органите му и преходен период за изход. По под-аутсорсинга договорът трябва да посочва какво не може да се възлага нататък, да задължава доставчика да управлява риска по местоположение и да наблюдава подизпълнителите си, да прехвърля правата на одит надолу по веригата, да уведомява дружеството достатъчно рано за всеки нов или променен подизпълнител с разумен срок, в който дружеството може да одобри или да възрази, и да позволява прекратяване, когато доставчикът възлага нататък без разрешение. Мълчанието в края на срока се счита за липса на възражение, поради което процедурата по приемане е толкова важна, колкото и клаузата.

Документирана стратегия за изход за всяка услуга, поддържаща критична или важна функция, покриваща прекратяването, отказа на доставчика, концентрацията и трудния изход, влошаването на функцията, съществените рискове за изпълнението ѝ и значително нарушение от доставчика. Плановете трябва да са реалистични, осъществими, основани на правдоподобни сценарии, всеобхватни, документирани и, където е уместно, достатъчно тествани, с алтернативни решения и планове за преход, роли и ресурси, критерии за успех за услугите и за данните и индикатори за наблюдение, които задействат изхода. Централната банка отива по-далеч за ирландските дружества: най-малко подробно преминаване през плана, оспорено от борда и висшето ръководство и официално одобрено, преглед при нови доставчици или инструменти за преносимост, оценка на възможността за поемане и датата на последния тест на стратегията за изход в отчета за регистъра. Venvera пази изискванията за изход с датите на тестовете, а оценката на пропуските задава въпроса, който разкрива нетестван план: за най-трудния за замяна доставчик кой е алтернативата и колко време би отнела миграцията?

Не, и това е нарочно. ИКТ услугите се уреждат от глава V на DORA и се проследяват в модула DORA, с регистъра на информацията и политиката за ИКТ трети страни. Този модул носи не-ИКТ задълженията по насоките от 2026 г. и по насоките на Централната банка. Двата модула споделят регистъра на доставчиците, въпросниците, веригата на под-аутсорсинга и анализа на концентрацията в модула за риск от трети страни, така че доставчик, който предоставя и ИКТ, и не-ИКТ услуга, се въвежда веднъж, а решението за обхвата записва кой режим важи за всяка функция.

Рамката е правилникът, а модулът е регистърът. Venvera доставя 53-те изисквания на ЕБО, цитирани по параграф, и 19-те изисквания на Централната банка, цитирани по раздел от част B, всяко с отговорник, статус, собствени доказателства и авторски насоки за това какво приема проверителят на надзорния орган. Полетата на регистъра, въпросниците, степенуването на риска, регистърът на информацията по DORA, веригата на под-аутсорсинга и анализът на концентрацията живеят в модула за риск от трети страни, който екипът ви вече използва, така че нищо не се въвежда два пъти. Оценка на пропуските с 39 въпроса измерва дали рамката работи, а не дали съществува документ, девет шаблона за политики цитират параграфите, които изпълняват, дванадесетте повтарящи се задължения попадат в календара за съответствие с отговорници и дати, осемте събитийни срока остават към своите изисквания, а отчет за борда обобщава положението за управителния орган, който насоките държат отговорен. Насоките на ЕБО обхващат не-ИКТ споразуменията, а DORA обхваща ИКТ, и едно споразумение може да попада и под двата режима; документ, който реално отговаря на изискване и в двата, може да бъде прикачен към всяко от изискванията.