Capitolul IV^1 — Externalizarea — REGULAMENT nr. 5 din 20 decembrie 2013

Pe această pagină

Secțiunea 1 — Dispoziții generale
- Articolul 230^1
- Articolul 230^2
Secțiunea a 4-a — Alte dispoziții

(la 14-08-2024, Titlul II a fost completat de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

Secțiunea 1 — Dispoziții generale

(la 14-08-2024, Capitolul IV^1 din Titlul II a fost completat de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

Articolul 230^1

(1) În sensul prezentului capitol, termenii și sintagmele de mai jos au următoarele semnificații:

1. funcție - orice proces, serviciu sau activitate;

2. funcție critică sau importantă - orice funcție a instituției de credit care se află în una dintre următoarele situații:

a) prezintă o asemenea importanță încât orice anomalie sau deficiență în desfășurarea acesteia ar putea avea un efect negativ semnificativ în ceea ce privește:

(i) capacitatea instituției de credit de a respecta pe bază continuă condițiile de autorizare sau celelalte obligații care îi revin în temeiul Ordonanței de urgență a Guvernului nr. 99/2006 privind instituțiile de credit și adecvarea capitalului, aprobată cu modificări și completări prin Legea nr. 227/2007, cu modificările și completările ulterioare, al Regulamentului (UE) nr. 575/2013, cu modificările și completările ulterioare, precum și în temeiul reglementărilor emise în aplicarea acestora;

(ii) performanța financiară a instituției de credit; sau

(iii) soliditatea sau continuitatea serviciilor și activităților sale;

b) privește sarcinile operaționale ale funcțiilor de control intern, cu excepția cazului în care din evaluarea instituției de credit rezultă că neexecutarea sau executarea necorespunzătoare a sarcinilor operaționale externalizate nu ar genera un impact negativ asupra eficacității funcției de control intern; sau

c) privește activitățile instituției de credit prevăzute la art. 18 alin. (1) din Ordonanța de urgență a Guvernului nr. 99/2006 privind instituțiile de credit și adecvarea capitalului, aprobată cu modificări și completări prin Legea nr. 227/2007, cu modificările și completările ulterioare, a căror desfășurare necesită autorizarea de către Banca Națională a României; sau

d) este necesară pentru a desfășura activități din cadrul liniilor de activitate de bază sau funcții critice, astfel cum acestea sunt definite la art. 2 alin. (1) pct. 23 și 24 din Legea nr. 312/2015 privind redresarea și rezoluția instituțiilor de credit și a firmelor de investiții, precum și pentru modificarea și completarea unor acte normative în domeniul financiar, cu modificările și completările ulterioare, și identificate ca atare de instituția de credit prin utilizarea criteriilor prevăzute la art. 6 și 7 din Regulamentul delegat (UE) 2016/778 al Comisiei de completare a Directivei 2014/59/UE a Parlamentului European și a Consiliului în ceea ce privește circumstanțele și condițiile în care plata contribuțiilor ex post extraordinare poate fi amânată parțial sau integral și în ceea ce privește criteriile de stabilire a activităților, serviciilor și operațiunilor pentru funcțiile critice și de stabilire a liniilor de activitate și a serviciilor asociate pentru liniile de activitate esențiale, cu excepția cazului în care din evaluarea instituției de credit rezultă că neexecutarea funcției externalizate sau executarea necorespunzătoare a funcției externalizate nu ar avea un impact negativ asupra continuității operaționale a liniei de activitate de bază sau a funcției critice;

3. externalizare în lanț - externalizare în cadrul căreia furnizorul extern subcontractează altor furnizori externi o funcție externalizată a instituției de credit sau părți ale acesteia.

(2) Atunci când aplică cerințele prevăzute în prezentul capitol, instituțiile de credit trebuie să ia în considerare complexitatea funcțiilor externalizate, riscurile care decurg din acordurile de externalizare, caracterul critic sau importanța funcțiilor externalizate și impactul potențial al externalizării asupra continuității activităților lor.

(la 14-08-2024, Sectiunea 1 , Capitolul IV^1 , Titlul II a fost completată de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

Articolul 230^2

(1) Instituțiile de credit au obligația de a evalua acordurile lor cu terțe părți pentru a determina dacă acestea se încadrează în definiția externalizării.

(2) Instituțiile de credit au obligația de a evalua pe bază continuă dacă acordurile lor de externalizare vizează funcții critice sau importante.

Secțiunea a 2-a — Dispoziții privind cadrul de administrare a activității în contextul externalizării

(la 14-08-2024, Capitolul IV^1 , Titlul II a fost completat de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

2.1. Dispoziții generale

(la 14-08-2024, Sectiunea a 2-a , Capitolul IV^1 , Titlul II a fost completată de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

Articolul 230^3

Instituțiile de credit trebuie să identifice, să evalueze, să monitorizeze și să administreze toate riscurile care decurg din acordurile cu terțe părți la care sunt sau ar putea fi expuse, în special riscul operațional și riscul de concentrare, indiferent dacă acordurile respective sunt sau nu acorduri de externalizare.

(la 14-08-2024, Punctul 2.1. , Sectiunea a 2-a , Capitolul IV^1 , Titlul II a fost completat de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

Articolul 230^4

(1) Externalizarea nu trebuie să afecteze desfășurarea activității instituției de credit cu respectarea tuturor cerințelor legale și de reglementare aplicabile, exercitarea atribuțiilor organului de conducere al instituției de credit și nici supravegherea prudențială a instituției de credit de către Banca Națională a României.

(2) Atunci când externalizează, instituțiile de credit rămân pe deplin responsabile și răspunzătoare pentru respectarea tuturor obligațiilor lor ce decurg din cadrul legal și de reglementare, inclusiv în ceea ce privește capacitatea de a monitoriza externalizarea funcțiilor critice sau importante.

(3) Instituțiile de credit trebuie să mențină în permanență un nivel suficient de activitate pentru a rămâne autorizate și nu trebuie să utilizeze externalizarea într-o asemenea măsură încât să devină entități de tip «carcasă goală». În acest sens, instituțiile de credit trebuie:

a) să îndeplinească în permanență toate condițiile de autorizare, inclusiv în ceea ce privește exercitarea efectivă de către organul de conducere a responsabilităților prevăzute la alin. (5);

b) să păstreze un cadru și o structură organizatorică clare și transparente care să permită asigurarea conformării cu cerințele cadrului legal și de reglementare;

c) atunci când sunt externalizate sarcinile operaționale ale funcțiilor de control intern, precum în cazul externalizării în cadrul grupului sau al externalizării în cadrul sistemelor instituționale de protecție, să exercite o monitorizare adecvată și să fie capabile să administreze riscurile generate de externalizarea funcțiilor critice sau importante; și

d) să dispună de suficiente resurse și capacități pentru a asigura conformarea cu cerințele de la lit. a)-c).

(4) Externalizarea nu trebuie să determine nicio delegare a responsabilităților organului de conducere al instituției de credit.

(5) Organul de conducere este în orice moment pe deplin responsabil și răspunzător cel puțin pentru:

a) asigurarea îndeplinirii în mod continuu de către instituția de credit a condițiilor de autorizare, inclusiv a oricăror alte condiții impuse de Banca Națională a României, în calitate de autoritate competentă;

b) organizarea internă a instituției de credit;

c) identificarea, evaluarea și gestionarea conflictelor de interese;

d) stabilirea strategiilor și a politicilor instituției de credit, precum modelul de afaceri, apetitul la risc sau cadrul de administrare a riscurilor;

e) supravegherea activității de conducere curentă a instituției de credit, inclusiv administrarea tuturor riscurilor asociate externalizării; și

f) îndeplinirea rolului de supraveghere al organului de conducere în funcția sa de supraveghere, inclusiv supravegherea și monitorizarea procesului decizional al conducerii.

(6) Externalizarea nu trebuie să reducă cerințele de adecvare aplicabile membrilor organului de conducere al instituției de credit și persoanelor care dețin funcții-cheie.

(7) Instituțiile de credit trebuie să dispună de competențe adecvate și de resurse suficiente și calificate în mod corespunzător pentru a asigura administrarea și monitorizarea adecvată a acordurilor de externalizare.

Articolul 230^5

(1) Instituțiile de credit trebuie:

a) să atribuie în mod clar responsabilități privind documentarea, administrarea și controlul asupra acordurilor de externalizare;

b) să aloce suficiente resurse pentru a asigura conformarea cu toate cerințele prevăzute de cadrul legal și de reglementare, precum și documentarea și monitorizarea tuturor acordurilor de externalizare;

c) să stabilească, ca parte a cadrului de control intern al instituției de credit, cu aplicarea criteriilor de proporționalitate prevăzute la art. 5 alin. (2) și (2^1), o funcție de monitorizare a externalizării sau să desemneze o persoană responsabilă pentru administrarea și supravegherea riscurilor asociate acordurilor de externalizare, precum și cu supravegherea documentării acordurilor de externalizare, care trebuie să fie o persoană care exercită o funcție de conducere de nivel mediu, în sensul art. 67^38 alin. (3), sau o persoană care deține funcții-cheie care este direct răspunzătoare față de organul de conducere.

(2) În sensul alin. (1) lit. c), instituțiile de credit mici și cu un grad redus de complexitate, astfel cum sunt definite la art. 4 alin. (1) pct. 145 din Regulamentul (UE) nr. 575/2013, trebuie să asigure, cel puțin, o repartizare clară a sarcinilor și a responsabilităților privind administrarea și controlul acordurilor de externalizare și pot atribui funcția de externalizare unui membru al organului de conducere al instituției de credit.

Articolul 230^6

Instituțiile de credit trebuie să se asigure, atunci când externalizează funcții, cel puțin că:

a) pot lua și pune în aplicare decizii referitoare la activitățile lor și la funcțiile critice sau importante, inclusiv cu privire la cele externalizate;

b) este menținută buna desfășurare a activităților proprii;

c) riscurile asociate acordurilor de externalizare existente și planificate sunt identificate, evaluate, administrate și diminuate în mod adecvat. Aceste riscuri au în vedere și riscul aferent tehnologiei informației și comunicațiilor (TIC), inclusiv cel aferent tehnologiilor financiare (fintech);

d) există mecanisme adecvate de asigurare a confidențialității datelor și altor informații;

e) este menținut un flux adecvat de informații relevante cu furnizorii externi;

f) în ceea ce privește externalizarea funcțiilor critice sau importante, au capacitatea să întreprindă cel puțin una dintre următoarele acțiuni, într-un interval de timp adecvat:

(i) să transfere funcția către alți furnizori externi;

(ii) să reintegreze funcția; sau

(iii) să întrerupă activitățile care depind de funcția respectivă;

g) în cazul în care externalizarea implică prelucrarea datelor cu caracter personal de către furnizorii externi, sunt implementate măsuri corespunzătoare, iar datele sunt prelucrate în conformitate cu prevederile Regulamentului (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE, precum și ale legislației naționale aplicabile domeniului protecției datelor.

2.2. Politica privind externalizarea

Articolul 230^7

(1) Instituțiile de credit trebuie să își stabilească, în scris, politica în domeniul externalizării, care include principalele etape ale ciclului de viață al acordurilor de externalizare încheiate sau pe care intenționează să le încheie și definește principiile, responsabilitățile și procesele legate de externalizare, și să asigure punerea sa în aplicare, după caz, pe bază individuală, subconsolidată și consolidată.

(2) Politica de externalizare trebuie să vizeze cel puțin următoarele aspecte:

a) responsabilitățile organului de conducere, inclusiv implicarea sa, după caz, în procesul decizional privind externalizarea funcțiilor critice sau importante;

b) implicarea liniilor de activitate, a funcțiilor de control intern și a altor persoane în ceea ce privește acordurile de externalizare;

c) planificarea acordurilor de externalizare, incluzând:

(i) definirea cerințelor comerciale referitoare la acordurile de externalizare;

(ii) criteriile și procesele de identificare a funcțiilor critice sau importante;

(iii) identificarea, evaluarea și administrarea riscurilor în conformitate cu art. 230^3;

(iv) evaluarea adecvării furnizorilor externi potențiali, inclusiv măsurile necesare în temeiul art. 230^15;

(v) proceduri pentru identificarea, evaluarea, gestionarea și reducerea sau prevenirea potențialelor conflicte de interese, în conformitate cu art. 29^3;

(vi) planificarea continuității activității în conformitate cu alin. (6);

(vii) procesul de aprobare a acordurilor de externalizare noi;

d) punerea în aplicare, monitorizarea și administrarea acordurilor de externalizare, incluzând:

(i) monitorizarea pe bază continuă a furnizorului extern în conformitate cu art. 230^21;

(ii) procedurile de notificare și de răspuns la modificările intervenite la nivelul unui acord de externalizare sau al unui furnizor extern, cum ar fi, de exemplu, în ceea ce privește poziția sa financiară, structurile sale organizatorice sau de acționariat, subcontractarea;

(iii) examinarea independentă și auditul conformității cu cerințele prevăzute de cadrul legal și de reglementare și cu politicile interne;

(iv) procesele de reînnoire a acordurilor de externalizare;

e) documentarea și ținerea evidențelor, luând în considerare cerințele de la art. 230^8-230^10;

f) strategiile de încetare și procedurile în caz de încetare a externalizării, inclusiv cerința privind existența unui plan de încetare documentat pentru fiecare funcție critică sau importantă care urmează să fie externalizată, în cazul în care o astfel de încetare este considerată posibilă, având în vedere eventualele întreruperi ale serviciilor sau încetarea neprevăzută a unui acord de externalizare.

(3) Politica de externalizare trebuie să facă distincție între următoarele situații:

a) externalizarea funcțiilor critice sau importante și alte acorduri de externalizare;

b) externalizarea către furnizori externi care sunt autorizați de o autoritate competentă și cei care nu sunt autorizați;

c) externalizarea în cadrul grupului, în cadrul aceluiași sistem instituțional de protecție (inclusiv entități deținute integral fie individual, fie colectiv de instituții din cadrul sistemului instituțional de protecție) și externalizarea către entități din afara grupului; și

d) externalizarea către furnizori externi situați într-un stat membru și furnizori externi situați în state terțe.

(4) Instituțiile de credit trebuie să se asigure că politica de externalizare acoperă identificarea efectelor potențiale ale acordurilor de externalizare care vizează funcții critice sau importante asupra următoarelor aspecte și că acestea sunt luate în considerare în procesul decizional:

a) profilul de risc al instituției de credit;

b) capacitatea de a monitoriza furnizorul extern și de a administra riscurile;

c) măsurile de asigurare a continuității activității; și

d) desfășurarea activității.

(5) Instituțiile de credit trebuie să identifice, să evalueze și să gestioneze conflictele de interese în ceea ce privește acordurile lor de externalizare, în conformitate cu art. 29^3.

(6) Instituțiile de credit trebuie să stabilească și să aplice planuri de asigurare a continuității activității lor care să ia în considerare eventualitatea în care prestarea serviciilor de către furnizorul extern nu se mai realizează sau se realizează într-un mod total necorespunzător ori alte modificări în situația furnizorului extern. Planurile de asigurare a continuității activității trebuie testate periodic, cel puțin anual.

(la 14-08-2024, Punctul 2.2. , Sectiunea a 2-a , Capitolul IV^1 , Titlul II a fost completat de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

2.3. Cerințe privind documentația

Articolul 230^8

(1) Ca parte a cadrului de administrare a riscurilor, instituțiile de credit trebuie să țină un registru actualizat al informațiilor privind toate acordurile de externalizare existente la nivelul instituției de credit și, după caz, la nivel subconsolidat și consolidat.

(2) Registrul de evidență include cel puțin informațiile prevăzute în anexa nr. 11.

(3) Instituțiile de credit din cadrul unui grup, organizațiile cooperatiste sau instituțiile de credit care sunt membre ale aceluiași sistem instituțional de protecție pot ține registrul de evidență la nivel central.

(4) Instituțiile de credit trebuie să păstreze înregistrările din registrul de evidență cu privire la acordurile de externalizare încetate, precum și documentele aferente, pentru perioadele specificate la nivelul legislației naționale privind arhivarea.

(la 14-08-2024, Punctul 2.3. , Sectiunea a 2-a , Capitolul IV^1 , Titlul II a fost completat de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

Notă Conform alineatului (7) al articolului II din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024, prin excepție de la prevederile alin. (6), pentru acordurile de externalizare de tip cloud, cerințele de documentare prevăzute la art. 230^8-230^10 din Regulamentul Băncii Naționale a României nr. 5/2013 privind cerințe prudențiale pentru instituțiile de credit, cu modificările și completările ulterioare, inclusiv cu cele aduse prin prezentul regulament, se aplică începând cu data intrării în vigoare a prezentului regulament.

Articolul 230^9

Instituțiile de credit trebuie să documenteze corespunzător toate acordurile de externalizare existente, făcând distincție între externalizarea funcțiilor critice sau importante și alte acorduri de externalizare, inclusiv evaluările efectuate în legătură cu acestea și rezultatele monitorizării acestora.

Articolul 230^10

(1) Instituțiile de credit trebuie să pună la dispoziția Băncii Naționale a României, în calitate de autoritate competentă, la cerere, într-un format electronic editabil, fie registrul de evidență a tuturor acordurilor de externalizare existente, fie părți specifice din acesta, ca, de exemplu, informații privind toate acordurile de externalizare care se încadrează în una dintre categoriile menționate la lit. d) de la pct. 1 din anexa nr. 11, de exemplu acordurile de externalizare pentru tehnologia informației.

(2) Instituțiile de credit trebuie să pună la dispoziția Băncii Naționale a României, în calitate de autoritate competentă, la cerere, toate informațiile necesare pentru a permite acesteia exercitarea efectivă a atribuțiilor sale de supraveghere, inclusiv, dacă este cazul, copii ale acordurilor de externalizare.

2.4. Cerințe de notificare cu privire la externalizarea funcțiilor critice sau importante

Articolul 230^11

(1) Fără a aduce atingere prevederilor art. 34^8 alin. (2), instituțiile de credit trebuie să notifice în prealabil Banca Națională a României - Direcția supraveghere cu privire la externalizarea planificată a unor funcții critice sau importante și/sau dacă o funcție externalizată a devenit critică sau importantă, astfel încât Banca Națională a României să poată evalua în ce măsură sunt respectate cerințele de natură prudențială și, dacă este cazul, să poată dispune măsurile necesare.

(2) În cazul externalizării planificate a unei funcții critice sau importante, notificarea prevăzută la alin. (1) se efectuează cu două luni anterior datei la care se preconizează încheierea acordului de externalizare.

(3) În cazul funcțiilor externalizate care devin critice sau importante, notificarea prevăzută la alin. (1) se efectuează în termen de o lună de la data evaluării caracterului critic sau a importanței funcției externalizate, conform mențiunilor de la pct. 1 lit. i) din Registrul de evidență a acordurilor de externalizare, prevăzut în anexa nr. 11. Banca Națională a României evaluează externalizarea unei funcții devenite critică sau importantă în termen de 2 luni de la data depunerii notificării și, dacă este cazul, poate dispune măsurile necesare.

(4) Notificarea prevăzută la alin. (1) trebuie însoțită de următoarele documente și informații:

a) fundamentarea oportunității externalizării funcțiilor în cauză, inclusiv din perspectiva riscurilor implicate de externalizare;

b) informațiile prevăzute în anexa nr. 11;

c) proiectul acordului de externalizare sau, după caz, acordul de externalizare.

(5) Ulterior externalizării unei funcții critice sau importante, instituțiile de credit notifică Băncii Naționale a României - Direcția supraveghere următoarele:

a) intenția de schimbare a furnizorului extern, cu motivarea acestei schimbări;

b) eventuala reintegrare în cadrul instituției de credit a funcțiilor supuse externalizării;

c) orice evoluții semnificative și/sau evenimente grave care ar putea afecta activitatea furnizorului extern și/sau capacitatea acestora de a-și îndeplini obligațiile față de clienți, eventuale măsuri care urmează a fi adoptate de instituția de credit în aceste cazuri.

(6) În cazul prevăzut la alin. (5) lit. a), notificarea se efectuează cu două luni anterior datei la care se preconizează încheierea noului acord de externalizare, astfel încât Banca Națională a României să poată efectua evaluarea noilor circumstanțe și, dacă este cazul, să poată dispune măsurile necesare. Notificarea trebuie însoțită de următoarele documente și informații:

(la 04-08-2025, Partea introductivă a alineatului (6) , Articolul 230^11 , Punctul 2.4. , Sectiunea a 2-a , Capitolul IV^1 , Titlul II a fost modificată de Punctul 13. , Articolul I din REGULAMENTUL nr. 2 din 25 iulie 2025, publicat în MONITORUL OFICIAL nr. 726 din 4 august 2025 )

a) informațiile prevăzute în anexa nr. 11;

b) proiectul acordului de externalizare.

(7) În cazurile prevăzute la alin. (5) lit. b) și c), notificarea se realizează în cel mai scurt timp.

(8) În termenele menționate la alin. (2) și (6), respectiv în termen de două luni de la data notificării prevăzute la alin. (3), Banca Națională a României poate impune instituției de credit anumite condiții în legătură cu operațiunea de externalizare sau de schimbare a furnizorului extern sau se poate opune motivat ținând seama de factori, cum ar fi: mărimea instituției de credit, natura activității care se intenționează a fi externalizată, caracteristicile și poziția de piață ale furnizorului de servicii propus, durata contractului, conflictele de interese ce ar putea fi generate de externalizare. În lipsa unui răspuns din partea Băncii Naționale a României, instituțiile de credit pot implementa externalizarea în condițiile notificate.

(la 04-08-2025, Alineatul (8) , Articolul 230^11 , Punctul 2.4. , Sectiunea a 2-a , Capitolul IV^1 , Titlul II a fost modificat de Punctul 14. , Articolul I din REGULAMENTUL nr. 2 din 25 iulie 2025, publicat în MONITORUL OFICIAL nr. 726 din 4 august 2025 )

(9) Notificarea prevăzută la alin. (1) și (5) nu exonerează instituțiile de credit de îndeplinirea obligațiilor legale, iar acestea rămân deplin responsabile și răspunzătoare pentru respectarea tuturor cerințelor ce decurg din cadrul legal și de reglementare în ceea ce privește externalizările planificate. Banca Națională a României, în cadrul verificărilor și inspecțiilor efectuate în exercitarea atribuțiilor sale de supraveghere prudențială, poate dispune măsuri de supraveghere sau măsuri sancționatoare și/sau sancțiuni în cazul în care constată că externalizarea planificată nu respectă cadrul legal și de reglementare aplicabil.

(la 14-08-2024, Punctul 2.4. , Sectiunea a 2-a , Capitolul IV^1 , Titlul II a fost completat de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

Secțiunea a 3-a — Procesul de externalizare

(la 14-08-2024, Capitolul IV^1 , Titlul II a fost completat de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

3.1. Evaluarea prealabilă externalizării

(la 14-08-2024, Sectiunea a 3-a , Capitolul IV^1 , Titlul II a fost completată de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

Articolul 230^12

Înainte de a încheia un acord de externalizare, instituțiile de credit trebuie:

a) să evalueze dacă acordul de externalizare vizează o funcție critică sau importantă;

b) să evalueze dacă sunt îndeplinite condițiile pentru externalizare prevăzute la art. 230^13;

c) să identifice și să evalueze toate riscurile relevante asociate acordului de externalizare;

d) să evalueze adecvarea furnizorului extern potențial;

e) să identifice și să evalueze conflictele de interese pe care le poate genera externalizarea.

(la 14-08-2024, Punctul 3.1. , Sectiunea a 2-a , Capitolul IV^1 , Titlul II a fost completat de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

Articolul 230^13

(1) Instituțiile de credit trebuie să se asigure că externalizarea funcțiilor privind activitățile instituției de credit prevăzute la art. 18 alin. (1) din Ordonanța de urgență a Guvernului nr. 99/2006 privind instituțiile de credit și adecvarea capitalului, aprobată cu modificări și completări prin Legea nr. 227/2007, cu modificările și completările ulterioare, în măsura în care realizarea funcției respective de către instituțiile de credit necesită autorizarea de către Banca Națională a României, către un furnizor extern situat în România sau în alt stat membru are loc numai dacă este îndeplinită una dintre următoarele condiții:

a) furnizorul extern este autorizat sau înregistrat de o autoritate competentă să desfășoare activitățile respective; sau

b) furnizorul extern are dreptul potrivit legislației naționale aplicabile să desfășoare asemenea activități.

(2) Instituțiile de credit trebuie să se asigure că externalizarea funcțiilor privind activitățile prevăzute la art. 18 alin. (1) din Ordonanța de urgență a Guvernului nr. 99/2006 privind instituțiile de credit și adecvarea capitalului, aprobată cu modificări și completări prin Legea nr. 227/2007, cu modificările și completările ulterioare, în măsura în care realizarea funcției respective necesită autorizarea Băncii Naționale a României, către un furnizor extern situat într-un stat terț are loc numai dacă sunt îndeplinite următoarele condiții:

a) furnizorul extern este autorizat sau înregistrat să desfășoare activitățile respective în statul terț și este supravegheat de o autoritate de supraveghere relevantă din statul terț respectiv; și

b) există un acord de cooperare între Banca Națională a României, în calitate de autoritate competentă, și autoritățile de supraveghere responsabile cu supravegherea furnizorului extern; și

Notă Conform alineatului (3) al articolului II din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024, prin excepție de la alin. (1) și (2), dispozițiile art. 230^13 alin. (2) lit. b) din Regulamentul Băncii Naționale a României nr. 5/2013 privind cerințe prudențiale pentru instituțiile de credit, cu modificările și completările ulterioare, inclusiv cu cele aduse prin prezentul regulament, se aplică începând cu data de 15 februarie 2025.

c) acordul de cooperare menționat la lit. b) trebuie să garanteze că Banca Națională a României poate cel puțin:

(i) să obțină, la cerere, informațiile necesare pentru îndeplinirea atribuțiilor de supraveghere care îi revin în temeiul Ordonanței de urgență a Guvernului nr. 99/2006 privind instituțiile de credit și adecvarea capitalului, aprobată cu modificări și completări prin Legea nr. 227/2007, cu modificările și completările ulterioare, și al Regulamentului (UE) nr. 575/2013, cu modificările și completările ulterioare;

(ii) să obțină acces corespunzător la orice date, documente, sedii sau membri ai personalului din statul terț care sunt relevanți pentru îndeplinirea atribuțiilor de supraveghere;

(iii) să primească, cât mai curând posibil, informații de la autoritatea de supraveghere din statul terț pentru a investiga posibilele încălcări ale cerințelor prevăzute de Ordonanța de urgență a Guvernului nr. 99/2006 privind instituțiile de credit și adecvarea capitalului, aprobată cu modificări și completări prin Legea nr. 227/2007, cu modificările și completările ulterioare, sau de Regulamentul (UE) nr. 575/2013, cu modificările și completările ulterioare, precum și de reglementările emise în aplicarea acestora; și

(iv) să coopereze cu autoritățile de supraveghere relevante din statul terț în ceea ce privește aplicarea sancțiunilor și măsurilor prevăzute de lege, în cazul unei încălcări a cerințelor prevăzute de Ordonanța de urgență a Guvernului nr. 99/2006 privind instituțiile de credit și adecvarea capitalului, aprobată cu modificări și completări prin Legea nr. 227/2007, cu modificările și completările ulterioare, sau de Regulamentul (UE) nr. 575/2013, cu modificările și completările ulterioare, precum și de reglementările emise în aplicarea acestora. Cooperarea trebuie să includă, fără a se limita la aceasta, primirea de informații de la autoritățile de supraveghere din statul terț, cât mai curând posibil, privind posibilele încălcări ale acestor cerințe.

(la 14-08-2024, Punctul 3.1. , Sectiunea a 3-a , Capitolul IV^1 , Titlul II a fost completat de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

Articolul 230^14

(1) Instituțiile de credit trebuie să evalueze impactul potențial al acordurilor de externalizare asupra riscului lor operațional, trebuie să ia în considerare rezultatele evaluării atunci când decid dacă funcția trebuie externalizată către un furnizor extern și trebuie să ia măsuri corespunzătoare pentru a evita riscuri operaționale suplimentare nejustificate înainte de încheierea unor acorduri de externalizare. Evaluarea trebuie să includă, după caz, scenarii privind posibile evenimente de risc, inclusiv evenimente de risc operațional foarte grave.

(2) În cazul în care acordul de externalizare include posibilitatea ca furnizorul extern să subcontracteze funcții critice sau funcții importante altor furnizori externi, instituțiile de credit trebuie să ia în considerare:

a) riscurile asociate externalizării în lanț, inclusiv riscurile suplimentare care pot apărea în cazul în care subcontractantul este situat într-o țară terță sau într-o altă țară decât furnizorul extern;

b) riscul ca lanțurile lungi și complexe de subcontractare să diminueze capacitatea instituțiilor de credit de a monitoriza funcția critică sau importantă externalizată și capacitatea Băncii Naționale a României, în calitate de autoritate competentă, de a le supraveghea în mod eficace.

Articolul 230^15

(1) Înainte de a încheia un acord de externalizare și de a lua în considerare riscurile operaționale aferente funcției care urmează să fie externalizată, instituțiile de credit trebuie să se asigure, în cadrul procesului de selecție și de evaluare a furnizorului extern, că acesta este adecvat.

(2) La externalizarea funcțiilor critice sau importante, instituțiile de credit trebuie să se asigure că furnizorul extern are o bună reputație de afaceri, abilități adecvate și suficiente, expertiza, capacitatea, resursele, precum resurse umane, informatice, financiare, structura organizatorică și, dacă este cazul, autorizația/autorizațiile sau înregistrarea/înregistrările necesară/necesare potrivit legii pentru furnizarea funcției critice sau importante de o manieră fiabilă și profesională cu scopul de a-și îndeplini obligațiile pe durata acordului de externalizare.

(3) În cazul funcțiilor care nu sunt critice sau importante, instituțiile de credit trebuie să stabilească în cadrul politicii de externalizare criteriile potrivit cărora se realizează evaluarea furnizorului extern.

3.2. Etapa contractuală

Articolul 230^16

(1) Orice externalizare trebuie să facă obiectul unui acord scris care să prevadă în mod clar drepturile și obligațiile care revin instituției de credit și furnizorului extern, urmărindu-se asigurarea respectării cadrului legal prudențial aplicabil instituției de credit pe durata acestuia.

(2) Acordurile de externalizare trebuie să conțină clauze cel puțin cu privire la aspectele prevăzute în anexa nr. 12.

(la 14-08-2024, Punctul 3.2. , Sectiunea a 3-a , Capitolul IV^1 , Titlul II a fost completat de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

Articolul 230^17

Instituțiile de credit trebuie să se asigure că furnizorii externi respectă, după caz, standarde adecvate de securitate informatică.

Articolul 230^18

(1) Instituțiile de credit trebuie să se asigure că prin acordul scris de externalizare se permite funcției de audit intern să evalueze funcția externalizată, utilizând o abordare bazată pe riscuri.

(2) Indiferent de caracterul critic sau de importanța funcției externalizate, acordurile scrise de externalizare încheiate între instituții și furnizorii externi trebuie să menționeze competențele Băncii Naționale a României, atât în calitate de autoritate competentă, cât și în calitate de autoritate de rezoluție, în materie de colectare de informații și de investigare, în temeiul art. 225 alin. (5)-(8) din Ordonanța de urgență a Guvernului nr. 99/2006 privind instituțiile de credit și adecvarea capitalului, aprobată cu modificări și completări prin Legea nr. 227/2007, cu modificările și completările ulterioare, și al art. 383 alin. (1) lit. a) din Legea nr. 312/2015 privind redresarea și rezoluția instituțiilor de credit și a firmelor de investiții, precum și pentru modificarea și completarea unor acte normative în domeniul financiar, cu modificările și completările ulterioare, în ceea ce privește furnizorii externi situați într-un stat membru, și trebuie, de asemenea, să asigure aceste drepturi și în ceea ce privește furnizorii externi situați în state terțe.

(3) În ceea ce privește externalizarea unor funcții critice sau importante, instituțiile de credit trebuie să se asigure, în cadrul acordului scris de externalizare, că furnizorul extern le acordă acestora și Băncii Naționale a României, atât în calitate de autoritate competentă, cât și în calitate de autoritate de rezoluție, precum și oricărei alte persoane desemnate de instituțiile de credit sau de Banca Națională a României, atât în calitate de autoritate competentă, cât și în calitate de autoritate de rezoluție, următoarele:

a) acces deplin la toate sediile operaționale relevante, precum sedii centrale și centre operaționale, inclusiv la întreaga gamă de dispozitive, sisteme, rețele, informații și date relevante utilizate pentru furnizarea funcției externalizate, inclusiv la informațiile financiare conexe, personalul și auditorii externi ai furnizorului extern; și

b) drepturi nelimitate de inspecție și de audit legate de acordul de externalizare, pentru a le permite să monitorizeze acordul de externalizare și pentru a asigura respectarea tuturor cerințelor contractuale și a celor aplicabile ce decurg din cadrul de reglementare.

(4) În ceea ce privește externalizarea funcțiilor care nu sunt critice sau importante, instituțiile de credit trebuie să își asigure drepturi proprii de acces și de audit, astfel cum acestea sunt prevăzute la lit. a) și b) ale alin. (3), pe baza unei abordări bazate pe riscuri, având în vedere natura funcției externalizate și riscurile operaționale și reputaționale conexe, scalabilitatea funcției externalizate, impactul potențial asupra desfășurării continue a activităților lor și durata contractului. Instituțiile de credit trebuie să ia în considerare faptul că funcțiile externalizate pot deveni critice sau importante în timp.

(5) Instituțiile de credit trebuie să se asigure că acordul de externalizare sau orice alt contract nu împiedică sau nu limitează exercitarea efectivă a drepturilor de acces și de audit de către acestea, de Banca Națională a României, în calitate de autoritate competentă, sau de terții desemnați de aceasta pentru exercitarea acestor drepturi.

(6) Înaintea unei inspecții la fața locului planificate, instituțiile de credit, Banca Națională a României și auditorii sau părțile terțe care acționează în numele instituției de credit sau al Băncii Naționale a României trebuie să notifice furnizorul extern într-un termen rezonabil, cu excepția cazului în care acest lucru nu este posibil din cauza unei situații de urgență sau de criză sau ar duce la o situație în care auditul nu ar mai fi eficace.

Articolul 230^19

(1) Acordul de externalizare trebuie să permită expres instituției de credit să înceteze acordul, în conformitate cu legislația aplicabilă, inclusiv în următoarele situații:

a) în cazul în care furnizorul extern încalcă legislația, reglementările sau prevederile contractuale aplicabile;

b) în cazul în care sunt identificate obstacole care pot modifica performanța funcției externalizate;

c) în cazul în care există modificări semnificative care afectează acordul de externalizare sau furnizorul extern precum subcontractarea sau modificări în situația subcontractanților;

d) în cazul în care există deficiențe în ceea ce privește gestionarea și securitatea datelor sau informațiilor confidențiale, cu caracter personal sau considerate sensibile; și

e) în cazul măsurilor dispuse de Banca Națională a României, în calitate de autoritate competentă, de exemplu, în cazul în care Banca Națională a României, în calitate de autoritate competentă, în urma acordului de externalizare, nu mai poate supraveghea în mod eficace instituția de credit.

(2) Acordul de externalizare trebuie să faciliteze transferul funcției externalizate către un alt furnizor extern sau reintegrarea acesteia în cadrul instituției de credit. În acest scop, acordul de externalizare trebuie:

a) să prevadă clar obligațiile furnizorului extern existent, în cazul unui transfer al funcției externalizate către un alt furnizor extern sau în cazul reintegrării acesteia în cadrul instituției de credit, inclusiv în ceea ce privește prelucrarea datelor;

b) să stabilească o perioadă de tranziție adecvată, pe parcursul căreia furnizorul extern, după încetarea acordului de externalizare, să furnizeze în continuare funcția externalizată pentru a reduce riscul de întreruperi; și

c) să includă o obligație a furnizorului extern de a sprijini instituția de credit în vederea transferului ordonat al funcției în cazul încetării contractului de externalizare.

3.3. Externalizarea în lanț

Articolul 230^20

(1) Instituțiile de credit trebuie să ia în considerare riscurile asociate unei externalizări în lanț.

(2) Externalizarea în lanț este permisă doar cu acordul prealabil al instituției de credit și în aceleași condiții ca și externalizarea către furnizorul extern principal.

(3) Instituțiile de credit sunt de acord cu externalizarea în lanț doar dacă subcontractantul se angajează:

a) să respecte toate legile și cerințele aplicabile ce decurg din reglementare și toate obligațiile contractuale; și

b) să acorde instituției de credit și Băncii Naționale a României, atât în calitate de autoritate competentă, cât și în calitate de autoritate de rezoluție a instituției de credit, aceleași drepturi contractuale de acces și de audit ca cele acordate de furnizorul extern.

(4) Atunci când este permisă externalizarea în lanț, instituțiile de credit trebuie să înregistreze în registrul menționat la art. 230^8 toți subcontractanții, indiferent de caracterul critic sau de importanța funcției sau a părții dintr-o funcție care urmează să fie subcontractată, și să indice dacă funcția care urmează să fie subcontractată este considerată sau nu critică sau importantă sau dacă partea funcției critice sau importante care urmează să fie subcontractată este în sine critică sau importantă.

(5) Instituțiile de credit trebuie să ia măsurile corespunzătoare cu privire la riscurile decurgând din neîndeplinirea sau îndeplinirea necorespunzătoare a activităților subcontractate, care are un impact semnificativ asupra capacității furnizorului extern principal de a-și respecta obligațiile asumate prin contract.

(la 14-08-2024, Punctul 3.3. , Sectiunea a 3-a , Capitolul IV^1 , Titlul II a fost completat de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

3.4. Monitorizarea funcțiilor externalizate

Articolul 230^21

(1) Instituțiile de credit trebuie să monitorizeze în permanență modul de îndeplinire a obligațiilor de către furnizorii externi în cadrul tuturor acordurilor de externalizare la care sunt parte, pe baza unei abordări bazate pe riscuri, acordând o importanță deosebită externalizării funcțiilor critice sau importante, inclusiv asigurării disponibilității, integrității și securității datelor și informațiilor. În cazul în care riscul, natura sau amploarea unei funcții externalizate se modifică semnificativ, instituțiile de credit trebuie să reevalueze caracterul critic sau importanța funcției respective.

(2) Instituțiile de credit trebuie să actualizeze periodic evaluarea riscurilor asociate funcțiilor externalizate și trebuie să raporteze periodic organului de conducere riscurile identificate cu privire la externalizarea funcțiilor critice sau importante.

(3) Instituțiile de credit trebuie să administreze riscurile, în special riscul operațional și riscul de concentrare, asociate acordurilor de externalizare.

(4) Instituțiile de credit trebuie să ia măsuri corespunzătoare în cazul în care identifică deficiențe în furnizarea funcției externalizate. În special, instituțiile de credit trebuie să analizeze toate indiciile potrivit cărora furnizorii externi sunt susceptibili să nu execute funcția critică sau importantă externalizată în mod eficace sau în conformitate cu legile și cu cerințele ce decurg din reglementare. Dacă sunt identificate deficiențe, instituțiile de credit trebuie să ia măsuri corective sau de remediere corespunzătoare. Astfel de măsuri pot include încetarea acordului de externalizare, cu efect imediat, dacă este necesar.

(la 14-08-2024, Punctul 3.4. , Sectiunea a 3-a , Capitolul IV^1 , Titlul II a fost completat de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

3.5. Strategii de încetare a acordurilor de externalizare

Articolul 230^22

(1) Instituțiile de credit trebuie să aibă o strategie de ieșire documentată pentru toate acordurile de externalizare, conformă cu politica lor de externalizare și cu planurile de asigurare a continuității activității, care să ia în considerare cel puțin următoarele scenarii:

a) încetarea acordurilor de externalizare;

b) incapacitatea furnizorului extern;

c) deteriorarea calității funcției furnizate și întreruperi efective sau potențiale ale activității cauzate de furnizarea inadecvată a funcției sau de nefurnizarea acesteia;

d) apariția unor riscuri semnificative pentru furnizarea corespunzătoare și continuă a funcției.

(2) Instituțiile de credit trebuie să se asigure că pot să înceteze acordurile de externalizare fără perturbarea nejustificată a desfășurării activității, fără limitarea respectării cerințelor de reglementare și fără prejudicierea continuității și calității serviciilor furnizate clienților.

(la 14-08-2024, Punctul 3.5. , Sectiunea a 3-a , Capitolul IV^1 , Titlul II a fost completat de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

Secțiunea a 4-a — Alte dispoziții

(la 14-08-2024, Capitolul IV^1 , Titlul II a fost completat de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

Articolul 230^23

(1) Instituțiile de credit notifică semestrial Băncii Naționale a României - Direcția supraveghere evoluțiile semnificative înregistrate la nivelul riscurilor asociate funcțiilor externalizate.

(2) Instituțiile de credit trebuie să informeze Banca Națională a României - Direcția supraveghere în cel mai scurt timp cu privire la orice modificări semnificative și/sau evenimente grave legate de acordurile lor de externalizare care ar putea avea un impact semnificativ asupra continuității activității proprii.

(la 14-08-2024, Sectiunea a 4-a , Capitolul IV^1 , Titlul II a fost completată de Punctul 12. , Articolul I din REGULAMENTUL nr. 8 din 24 iulie 2024, publicat în MONITORUL OFICIAL nr. 809 din 14 august 2024 )

Articolul 230^24

(1) Instituțiile de credit trebuie să întocmească și să transmită Băncii Naționale a României - Direcția supraveghere o listă a agenților bancari, în care sunt înscrise datele și informațiile privind fiecare agent bancar, în modalitatea prevăzută în anexa nr. 4.

(2) Lista agenților bancari se actualizează de către instituțiile de credit cu ocazia fiecărei modificări sau completări a datelor și informațiilor înscrise inițial. Orice modificare a datelor și informațiilor privind agentul bancar se transmite de către instituțiile de credit, de îndată, Băncii Naționale a României - Direcția supraveghere.

(3) În baza listei transmise de către instituțiile de credit potrivit alin. (1), agenții bancari sunt înscriși într-un registru ținut de Banca Națională a României și actualizat permanent.

Articolul 230^25

(1) Banca Națională a României, în calitate de autoritate competentă, atunci când constată că o instituție de credit nu mai dispune de un cadru solid de administrare a activității sau nu mai respectă cerințele ce decurg din cadrul legal și de reglementare, dispune măsuri corespunzătoare, care pot include, printre altele, limitarea sau restrângerea ariei funcțiilor externalizate sau ieșirea din unul sau mai multe acorduri de externalizare.

(2) Banca Națională a României, în calitate de autoritate competentă, atunci când identifică riscuri de concentrare, monitorizează evoluția acestora pentru a evalua impactul potențial asupra altor instituții de credit sau asupra stabilității pieței financiare și, dacă este cazul, informează Banca Națională a României, în calitate de autoritate de rezoluție, cu privire la noile funcții ale instituției de credit identificate ca potențial critice, în sensul art. 2 alin. (1) pct. 23 din Legea nr. 312/2015 privind redresarea și rezoluția instituțiilor de credit și a firmelor de investiții, precum și pentru modificarea și completarea unor acte normative în domeniul financiar, cu modificările și completările ulterioare, pe parcursul procesului de supraveghere.

Capitolul IV^1 — Externalizarea

Secțiunea 1 — Dispoziții generale

Secțiunea a 2-a — Dispoziții privind cadrul de administrare a activității în contextul externalizării

Secțiunea a 3-a — Procesul de externalizare

Secțiunea a 4-a — Alte dispoziții

Cookie-uri