I december 2016 offentliggjorde FINMA det fuldstændigt reviderede outsourcing-cirkulære 17/xx Outsourcing – Banks and Insurers, der vil erstatte cirkulære 2008/7 "Outsourcing - Banker". Efter en høringsperiode indtil 31. januar 2017 planlagde FINMA oprindeligt at sætte det reviderede cirkulære i kraft den 1. juli 2017. Deloitte og andre indsendte deres feedback til FINMA:Nogle af de foreslåede stramninger af kontraktkrav, outsourcing af overholdelse og risikostyring eller adgang til data fra Schweiz kan resultere i et betydeligt behov for handling og (IT-)udgifter for banker, andre finansielle tjenesteudbydere og forsikringsselskaber. I dag er den endelige version af det reviderede cirkulære ikke offentliggjort. FINMA kan have brug for mere tid til færdiggørelsen, og vi forventer offentliggørelse i tredje kvartal af 2017. Derfor vil det reviderede cirkulære ikke træde i kraft før begyndelsen af 2018.
Herefter forklarer vi nogle af de forventede ændringer, der vil blive implementeret med det nye cirkulære. Efter den internationale tendens må det forventes, at de endelige regler generelt vil være strengere.
FINMA planlægger at harmonisere reglerne for banker, værdipapirhandlere og forsikringsselskaber. Selvom FINMA forklarede, at det reviderede cirkulære ikke implementerer strengere tilsynsregler, ser vi følgende behov for handling for banker:
"Outsourcing" står for eksternalisering af tjenester til interne eller eksterne tjenesteudbydere. I dag er outsourcing meget vigtigt, og dets betydning er stadig stigende. Indholdet og tidspunktet for denne første generelle revision af cirkulæret er i overensstemmelse med vejledningen fra Rådet for Finansiel Stabilitet. 1
Efter ikrafttrædelsen gælder de reviderede FINMA-regler for nye og ændrede outsourcinger. For eksisterende outsourcing er der i cirkulæret fastsat en overgangsperiode på to år.
Cirkulæreudkastet stiller flere nye krav til systematisk vigtige pengeinstitutter. Begrebet "betydelige" tjenester udvides og dækker også systemrelevante tjenester ("kritiske" tjenester). Over for (potentiel) insolvens skal den systemisk vigtige bank fortsætte sådanne ydelser og inddrage dem i beredskabsplanlægningen. Banken skal garantere overførbarheden af kritiske tjenester, men outsourcing af kritiske tjenester til andre banker i samme koncern er forbudt. Banken vil dog stadig have lov til at outsource kritiske ydelser til ikke-regulerede koncernselskaber, for eksempel interne tjenesteudbydere. Ydermere skal tjenesteudbydere fortsætte med at levere tjenesterne, så længe banken opfylder sine kontraktlige forpligtelser.
I praksis er gruppeintern outsourcing meget almindelig. Privilegierne i henhold til det gældende cirkulære afskaffes. Udkastet til cirkulære skelner ikke længere mellem intern og ekstern outsourcing. Koncernintern outsourcing er en meget værdifuld mulighed, og dette totalt reviderede cirkulære forventes således at få stor betydning ikke kun for udenlandske banker med filialer i Schweiz, men også for schweiziske banker, der bruger deres schweiziske og internationale netværk af firmaer.
Outsourcing af vigtige kontrol- og ledelsesopgaver vedrørende risikostyring og compliance vil stadig ikke være tilladt. Delvis outsourcing af rent operationelle opgaver - for eksempel identifikation, analyse, vurdering, afbødning og overvågning af risici - er tilladt ifølge cirkulæreudkastet. Banker i tilsynskategori 4 og 5 vil være i stand til at outsource sådanne opgaver uden nogen begrænsninger.
I fremtiden skal banker og forsikringsselskaber føre opgørelser over de outsourcede ydelser. Beholdningen skal altid holdes ajour. Målet er at overvåge outsourcede tjenester uden huller. Opgørelsen dokumenterer ydelsen, navngiver serviceudbyder samt underleverandører og modtager og den internt ansvarlige kontaktperson. De outsourcede tjenester forbliver integreret i det interne kontrolsystem. Banker skal systematisk identificere, overvåge, kvantificere og afbøde mulige risici.
Banken, dens revisorer og FINMA skal til enhver tid kunne kontrollere overholdelse af outsourcingreglerne. Outsourcingkontrakten skal give en ubegrænset og uhindret inspektionsret skriftligt - også selvom tjenesteudbyderen er beliggende i udlandet.
Hvis en bank har til hensigt at outsource klientidentifikationsdata (“CID”), skal den informere FINMA på forhånd. Oplysninger om klienter om overførsel af data er ikke længere omfattet af cirkulæret.
Outsourcing i udlandet må ikke komplicere inddrivelse, afvikling eller likvidation.
Udkastet til cirkulære er teknologineutralt, især er der ingen specifikke regler vedrørende cloudbaserede løsninger. Det nuværende bilag, som viser eksempler, der er omfattet af cirkulæret eller undtaget, vil blive fjernet. Eksempler på materialeoutsourcing er angivet i selve cirkulæret.
Det nye cirkulære vil få betydelig indflydelse på banker og udbydere af finansielle tjenesteydelser.
Der er behov for handling for alle banker, der outsourcer tjenester.
Med hensyn til koncernintern outsourcing vil implementeringen af de nye regler være kompleks:bankerne skal tilpasse bl.a. kontrakter og sikkerhedsstillelsen.
Banker, der outsourcer tjenester i udlandet, skal kritisk vurdere, om outsourcingen komplicerer inddrivelse, afvikling eller likvidation, og om adgang til data til enhver tid er mulig.
Systematisk vigtige banker skal vurdere, om nogle ydelser vurderes som kritiske i fremtiden. Outsourcing af kritiske tjenester til koncernselskaber skal afsluttes inden for den toårige overgangsperiode. Hvor det er nødvendigt, skal systematisk vigtige banker tilpasse beredskabsplaner.
1 FSB-vejledning om ordninger til støtte for operationel kontinuitet i resolution af 18. august 2016.