外包规则手册， 就在您的供应商登记册旁边。
Venvera 将 EBA 第三方风险指引（EBA/GL/2026/09）和爱尔兰中央银行外包指引转化为 72 项带有负责人、证据和日期的要求，与您的团队已经在使用的供应商登记册、DORA 信息登记册、问卷和集中度分析位于同一个工作区。框架是规则手册；登记册是工作实际发生的地方。
规则手册与登记册共用一个工作区
Venvera 将 EBA/GL/2026/09 内置为按段落引用的 53 项要求，从第 23 段的比例原则到第 116 段的退出策略设计，并将爱尔兰中央银行《跨行业外包指引》内置为按 B 部分章节引用的 19 项要求，每一项都只出现在中央银行增加了指引未要求内容的地方。每项要求都有负责人、状态和专属证据，并附有专门编写的指引，说明监管审核人认可什么、驳回什么。指引所描述的登记册就是您的团队已在第三方风险模块中维护的供应商登记册，旁边是 DORA 信息登记册、问卷、再外包链条和集中度分析，因此规则手册要求的字段只需录入一次，并从要求处提供证据。包含 39 个问题的差距评估衡量框架是否切实运作，九个政策模板引用其所满足的段落，十二项周期性职责连同负责人和日期列入合规日历。
什么是 EBA 第三方风险指引，哪些机构必须遵守？
EBA/GL/2026/09 是欧洲银行管理局关于非 ICT 服务第三方风险稳健管理的指引，最终版于 2026 年 9 月 18 日发布。它取代了 2019 年外包安排指引中有关一切非 ICT 服务的内容，将对象从外包扩展到任何经常性的第三方安排，并将登记册、政策和合同条款与 DORA 对齐，使一个整体框架能够同时覆盖 ICT 和非 ICT 供应商。它适用于信贷机构、投资公司、支付机构和电子货币机构，对支持关键或重要职能的安排适用更严格的制度，并直接约束管理机构：使用供应商永远不会转移其责任。适用日期、两年过渡期的结束日期以及 2019 年指引的废止日期仍有待 EBA 确认。受爱尔兰监管的机构还须遵守爱尔兰中央银行 2021 年 12 月的《跨行业外包指引》，它增加了关键性方法论、董事会所有权、再外包条件、敏感数据策略、离岸外包国别评估、扩展尽职调查、合同补充条款、退出测试和外包登记册申报。
全部 72 项职责，按监管机构的引用方式引用。
2026 年指引中约束机构的每一项职责都按段落引用（EBATP-87 涵盖第 87 至 89 段），因为 EBA、您的内部审计职能和监管机构都是这样引用的，并分为八个领域，从适用范围与关键性到爱尔兰特有要求。19 项中央银行要求位于其旁，按 B 部分章节引用，只在中央银行增加了步骤、阈值、频率或数据项的地方出现：爱尔兰机构两者都要回答，其他机构只需一条理由即可将 CBI 行标记为不适用。每项要求都附有专门编写的指引，说明审核人要求的成果以及哪些会被驳回：从未拒绝过签字的门禁核对清单、从未核对过的分包商清单、无人演练过的退出计划。
- 53 项 EBA 要求按段落引用，19 项 CBI 要求按章节引用
- 八个领域，从适用范围与关键性到爱尔兰特有要求
- 每项均附专门编写的证据指引，包括哪些会不合格
- 每项要求都有负责人、状态和专属证据
- 爱尔兰以外的机构只需一条理由即可将 CBI 行标记为不适用
规则手册要求的登记册字段，就放在您已有的登记册中。
第 58 至 62 段列出了第三方安排登记册必须包含的每一个字段，中央银行申报又增加了自己的字段：参考编号和安排类型、附理由的关键性、供应商识别码和最终母公司、执行国家、分包商及其在链条中的层级、可替代性评估结果、附恢复目标的重新纳入评估、退出计划标记、审计日期和年度成本。Venvera 不要求您维护第二本登记册。第三方风险模块保存供应商登记册和 DORA 信息登记册，要求行则向监管机构表明每个字段都存在、关键安排的字段都已填写，并且在本年度已与应付账款和合同库核对。
- 一本供应商登记册同时用于 DORA 和非 ICT 安排
- 第 61 和 62 段的字段以及中央银行的补充字段
- 分包商及其在链条中的层级和所在地
- 关键行上的可替代性、重新纳入、退出计划标记和年度成本
- 监管机构要求时以可处理格式导出
针对供应商合同文本的条款核对清单，以及再外包时限。
十一项要求描述了合同必须包含的内容：每项安排的最低内容、关键或重要职能的附加条款、机构及其当局不受限制的访问和审计权、再外包条件、五项终止触发条件以及与退出计划匹配的过渡期。实际的成果是每份已签合同一份条款核对清单，每个要素要么存在，要么作为偏离连同理由被接受，这正是每行指引所要求的。再外包通知是一项事件时限：供应商发出通知，通知期开始计算，沉默视为不反对，因此在通知到达当天就将其转交风险负责人的程序才是真正的控制措施。
- 每份合同的最低内容，关键职能的附加条款
- 不附带任何条件的访问和审计权
- 再外包条件、通知和反对窗口
- 终止触发条件以及与退出计划匹配的过渡期
- 中央银行的补充条款，从城镇级所在地到按指示终止
关键性、五步门禁以及两种深度的尽职调查。
指引推定内部控制任务和需授权活动为关键，为其余一切设定三项损害测试，并要求每项决定连同日期记录，并在服务扩大或供应商易主时重新执行。签订任何合同之前，必须有五个步骤的证据：关键性、监管条件、风险评估、尽职调查和利益冲突。Venvera 将方法论和门禁作为要求连同其政策模板一起跟踪，在第三方风险模块中运行问卷和风险分级，差距评估则提出监管机构会问的问题：门禁上一次阻止签字是什么时候？
- 三项损害测试和两项推定，连同理由和日期记录
- 签约前的五步门禁，拒绝记录在案
- 与级别相称的尽职调查，关键职能适用加强版
- 第三方风险模块中的问卷和风险分级
- 重新评估触发条件：扩大、控制权变更、定期审查
演练过的退出计划，以及有人据以行动的集中度视图。
为每项关键或重要职能制定书面退出策略，要求现实、配备资源、触发条件接入绩效监控，并在适当时经过测试；中央银行还要求经董事会质询的演练以及申报中的测试日期。集中度必须在签约前评估，并按供应商和分包商持续监控，配有触发管理行动的指标。Venvera 的集中度分析显示哪个供应商支持最多关键职能、通过哪些分包商；退出和连续性要求保存测试日期；差距评估则询问最难替换的供应商、备选方案、迁移时间以及上次演练计划的时间。
- 每项关键职能一份退出策略，含情景、角色和成功标准
- 退出触发条件接入绩效监控
- 机构和供应商连续性计划的测试日期
- 按供应商和分包商的集中度，附行动阈值
- 介入可行性和集团退出计划在本地评估
十二项周期性职责、八项事件时限，每一项都有人负责。
指引大多只说"定期"和"周期性"，因此模块设定了频率并说明理由：年度政策审查和重新批准、向管理机构提交的第三方风险报告、登记册核对、关键安排的重新评估、退出计划和连续性测试、季度服务审查，以及爱尔兰机构截止 2027 年 2 月 28 日的中央银行登记册申报。由事件触发的职责保留在各自的要求行上：在关键安排开始前通知监管机构、报告重大变更和严重事件、在通知期内对分包商提出反对，以及在适用日期两年后关键安排审查仍未完成时的过渡期通知，而适用日期尚待 EBA 确认。
- 年度政策审查和重新批准，第 47 段
- 向管理机构提交的第三方风险报告和集中度审查
- 每年与供应商进行退出计划测试和连续性测试
- 季度服务审查，以 KPI 对照服务水平
- 中央银行登记册申报，参考日期 2026 年 12 月 31 日
电子表格还是 Venvera？
EBA 指引下的外包，一一解答。
第三方风险与外包指南
- 如何执行第三方风险评估签约前门禁背后的评估：运营、声誉、法律和集中度风险，按职能分级。
- 第三方风险管理流程指引所描述的生命周期，从范围界定到退出，作为可以运行的流程。
- 供应商安全问卷能产出审核人认可证据的尽职调查，而不是归档的问卷。
- DORA 信息登记册：模板详解指引要求与之保持一致并允许合并的 ICT 登记册。
看看您的外包证据 究竟处于什么状态。
从一份针对正在阻碍您的框架的免费差距报告开始：10 分钟，开始时无需邮箱。
✓ 所有付费套餐： 90 天审计就绪，否则退款*
10 分钟 · 开始无需邮箱 · 无需信用卡 · 可永久保留