Nye outsourcingregler for finansielle virksomheder

Bekendtgørelse om outsourcing for kreditinstitutter mv. indeholder en overgangsperiode, da outsourcingkontrakter indgået inden den 1. juli 2020, senest den 31. december 2022 skal være i overensstemmelse med bekendtgørelsen.

De nye danske outsourcingregler erstatter outsourcingbekendtgørelsen og bringer de danske regler i overensstemmelse med nye retningslinjer udstedt af Den Europæiske Banktilsynsmyndighed (også kaldet European Banking Authority eller EBA) i 2019.

De nye bekendtgørelser omfatter ikke gruppe 1-forsikringsselskaber.

Bekendtgørelse om outsourcing for kreditinstitutter

Bekendtgørelse om outsourcing for kreditinstitutter mv. omfatter enhver outsourcing og oplister som noget nyt eksempler på ydelser, der ikke udgør outsourcing.

Som noget nyt er desuden E-pengeinstitutter og betalingsinstitutter omfattet af bekendtgørelsen.

Der gælder herudover særlige regler for outsourcing, der anses som ”kritisk eller vigtig”, hvilket eksempelvis er tilfældet, hvis en fejl eller mangel væsentligt vil forringe outsourcingvirksomhedens mulighed for at overholde betingelserne i sin tilladelse eller mulighed for på et forsvarligt grundlag at udøve sine aktiviteter.

Bekendtgørelsen indeholder blandt andet krav til:

• Risikovurdering før beslutning om outsourcing
• Underretning til Finanstilsynet i god tid før den planlagte kritiske eller vigtige outsourcing
• Ledelse og styring af outsourcing
• Ledelsens opgaver og ansvar, herunder godkendelse af skriftlig outsourcingpolitik
• Beredskabsplaner
• Outsourcingregister med oplysninger om outsourcing
• Exitstrategier for kritisk eller vigtig outsourcing
• Krav til outsourcingpolitik og outsourcingkontrakten.

Bekendtgørelsen er tilgængelig her.

Bekendtgørelse om outsourcing for gruppe 2-forsikringsselskaber, Arbejdsmarkedets Tillægspension og Lønmodtagernes Dyrtidsfond

Der er udstedt en særskilt bekendtgørelse om outsourcing for gruppe 2-forsikringsselskaber, Arbejdsmarkedets Tillægspension og Lønmodtagernes Dyrtidsfond.

Gruppe 2-forsikringsselskaberne underlægges nu tilsvarende regler, som der gælder for gruppe 1-forsikringsselskaberne efter Solvens II-forordningen (Kommissionens delegerede forordning (EU) 2015/35 af 10. oktober 2014 om supplerende regler til Europa-Parlamentets og Rådets direktiv 2009/138/EF om adgang til og udøvelse af forsikrings- og genforsikringsvirksomhed).

Bekendtgørelsen indeholder tilsvarende krav om, at outsourcingvirksomheden skal udarbejde en skriftlig outsourcingpolitik samt særlige krav til kritisk eller vigtig outsourcing, herunder en pligt for outsourcingvirksomheden til at sikre, at leverandørens risikostyrings- og interne kontrolsystemer er tilstrækkelige.

Bekendtgørelsen er tilgængelig her.

EIOPA Guidelines for Cloud-outsourcing

Tilsynsmyndigheden for forsikringsselskaber og arbejdsmarkedspensionsordninger The European Insurance and Occupational Pensions Authority (EIOPA) udsendte i februar 2020 nye retningslinjer for forsikringsselskabers Cloud-outsourcing. Disse retningslinjer indeholder tilsvarende krav som EBA-retningslinjerne blot rettet mod forsikringsselskaber. EIOPA-retningslinjerne omfatter i udgangspunktet gruppe 1-forsikringsselskaber, men Finanstilsynet har anført, at gruppe 2-forsikringsselskaber, Arbejdsmarkedets Tillægspension og Lønmodtagernes Dyrtidsfond, også bør følge retningslinjerne ved brug af cloud services. EIOPA-retningslinjerne omfatter blandt andet:

• Generelle principper for styring af cloudoutsourcing
• Ajourføring af outsourcingpolitik
• Skriftlig underretning af tilsynsmyndighed
• Dokumentationskrav
• Due diligence vedrørende cloududbyder
• Kontraktvilkår
• Audit.

Retningslinjerne er tilgængelige her.

Bech-Bruuns kommentar

De nye regler om outsourcing har blandt andet til formål at sikre, at de danske regler på området er i overensstemmelse med retningslinjer fra EU.

Retningslinjerne og de nye regler sikrer større klarhed og ensartethed i reguleringen af finansielle virksomheder, herunder ved at gruppe 2-forsikringsselskaber underlægges tilsvarende regler, som der gælder for gruppe 1-forsikringsselskaberne efter Solvens II-forordningen.

Finansielle virksomheder bør grundigt efterse overholdelsen af de nye regler og vurdere, hvorvidt der er tale om en outsourcing, og om outsourcingen er ”kritisk eller vigtig”, i hvilket tilfælde der gælder særlige regler.

Bech-Bruun står klar med besvarelse af lovgivningsmæssige spørgsmål og vejledning til overholdelse af lovgivningen på outsourcingområdet, herunder for finansielle virksomheder.