Zaudējis spēku - Normatīvie noteikumi par ārpakalpojumu izmantošanu

66. Personas datu vai konfidenciālu datu apstrādes vai pārsūtīšanas gadījumā iestāde nodrošina, ka ārpakalpojumu līgumā ir norādīta personas datu glabāšanas un datu apstrādes vieta vai vietas (valsts vai reģions).

67. Iestāde ārpakalpojumu līgumā nosaka pienākumu ārpakalpojumu sniedzējam aizsargāt konfidenciālu informāciju, personas datus vai citādi sensitīvu informāciju atbilstoši iestādei noteiktajām normatīvo aktu prasībām par datu un informācijas aizsardzību.

68. Ja iestāde deleģē funkciju izpildi mākoņdatošanas ārpakalpojumu sniedzējiem un gadījumos, kad tiek veikta personas datu vai konfidenciālu datu apstrāde vai pārsūtīšana, iestāde izmanto uz risku izvērtējumu balstītu pieeju attiecībā uz datu glabāšanas un datu apstrādes vietu vai vietām (valsti vai reģionu) un informācijas drošības apsvērumiem.

XVI. Piekļuves, informācijas pieejamības un revīzijas tiesības

69. Iestāde ārpakalpojumu līgumā nosaka prasību, ka iekšējā audita funkcija, izmantojot uz risku izvērtējumu balstītu pieeju, veic ārpakalpojumu sniedzējam deleģēto funkciju pārbaudes.

70. Neatkarīgi no tā, vai ārpakalpojumu sniedzējam deleģētā funkcija ir kritiski svarīga vai nozīmīga, ārpakalpojumu līgumā nosaka tiesības Komisijai piekļūt informācijai un veikt pārbaudi saskaņā ar Kredītiestāžu un ieguldījumu brokeru sabiedrību darbības atjaunošanas un noregulējuma likuma 12. pantu un Kredītiestāžu likuma 8. un 106. pantu attiecībā uz ārpakalpojumu sniedzējiem, kuri atrodas dalībvalstīs, kā arī šīs prasības attiecina uz ārpakalpojumu sniedzējiem, kuri atrodas ārvalstīs.

71. Attiecībā uz ārpakalpojumu sniedzējam deleģētajām kritiski svarīgām vai nozīmīgām funkcijām ārpakalpojumu līgumā paredz, ka pakalpojumu sniedzējs iestādei un Komisijai, tai skaitā kā noregulējuma iestādei, un jebkurai citai iestādes vai Komisijas pilnvarotai personai nodrošina:

71.1. piekļuvi visām attiecīgajām uzņēmējdarbības telpām (piemēram, galvenajiem birojiem un darbības centriem), tostarp visām ierīcēm, sistēmām, tīkliem, informācijai un datiem, ko izmanto ārpakalpojumu sniedzējam deleģētajai funkcijai, tai skaitā ar to saistītajai finanšu informācijai, personālam un pakalpojumu sniedzēja ārējiem revidentiem ("piekļuves un informācijas tiesības");

71.2. ārpakalpojumu izmantošanas pārbaudes un revīzijas tiesības ("revīzijas tiesības") ārpakalpojumu izmantošanas uzraudzībai un atbilstības visām saistošajām regulējošajām un līgumiskajām prasībām nodrošināšanai.

72. Lai ārpakalpojumu sniedzējam deleģētu funkcijas, kas nav kritiski svarīgas vai nozīmīgas, iestāde nodrošina piekļuves un revīzijas tiesības atbilstoši šo noteikumu 71. punktā noteiktajam, izmantojot uz risku izvērtējumu balstītu pieeju, ņemot vērā ārpakalpojumu sniedzējam deleģētās funkcijas būtību un ar to saistītos operacionālos un reputācijas riskus, tās apjomu un iespējamo ietekmi uz darbības nepārtrauktību un līgumā noteikto termiņu. Iestāde ņem vērā, ka funkcija var kļūt kritiski svarīga vai nozīmīga.

73. Iestāde nodrošina, ka ārpakalpojumu līgums vai jebkura cita līgumiska vienošanās nekavē vai neierobežo piekļuves un revīzijas tiesību efektīvu īstenošanu iestādei, Komisijai vai trešajām personām, ko tās pilnvarojušas savu tiesību īstenošanai.

74. Iestāde, izmantojot savas piekļuves un revīzijas tiesības, atbilstoši uz risku izvērtējumu balstītai pieejai nosaka revīzijas biežumu un jomu, kurā jāveic revīzija, kā arī ievēro attiecīgos vispārpieņemtos valstu un starptautiskos revīzijas standartus.

75. Neierobežojot atbildību par ārpakalpojumu izmantošanu, iestāde var izmantot:

75.1. apvienotas revīzijas, ko organizē kopā ar citiem tā paša pakalpojumu sniedzēja klientiem un ko veic pati iestāde un klienti vai arī kāda to norīkota trešā persona, lai tādējādi efektīvāk izmantotu revīzijas resursus un samazinātu administratīvo slogu gan klientiem, gan arī pakalpojumu sniedzējam;

75.2. trešo personu izdotus sertifikātus un trešo personu sagatavotus revīzijas ziņojumus vai iekšējo revīziju ziņojumus, kurus pakalpojumu sniedzējs tai iesniedz.

76. Lai deleģētu ārpakalpojumu sniedzējam kritiski svarīgas vai nozīmīgas funkcijas, iestāde novērtē, vai šo noteikumu 75.2. punktā minētie trešo personu sertifikāti un ziņojumi ir atbilstoši un pietiekami, lai nodrošinātu regulējošo prasību izpildi, bet nepaļaujas tikai uz šiem ziņojumiem.

77. Iestāde izmanto šo noteikumu 75.2. punktā minētos sertifikātus un trešo personu sagatavotos revīzijas ziņojumus tikai tad, ja:

77.1. ir sagatavots atbilstošs revīzijas plāns attiecībā uz ārpakalpojumu sniedzējam deleģēto funkciju;

77.2. sertifikācijas vai revīzijas ziņojumi attiecas uz sistēmām (piemēram, procesiem, lietotnēm, infrastruktūru, datu centriem u.tml.) un kontroles pasākumiem, ko iestāde ir identificējusi, kā arī tie atbilst attiecīgajām regulējošajām prasībām;

77.3. pastāvīgi tiek rūpīgi izvērtēts sertifikācijas vai revīzijas ziņojumu saturs un tiek pārbaudīts, vai ziņojumi un sertifikāti nav novecojuši;

77.4. galvenās sistēmas un kontroles ir ietvertas sertifikācijas vai revīzijas ziņojuma turpmākajās redakcijās;

77.5. personai, kura izdod sertifikātus vai sagatavo revīzijas ziņojumus, ir atbilstoša kompetence un atļaujas (piemēram, attiecībā uz sertifikācijas vai revīzijas uzņēmumu rotāciju, kvalifikāciju, zināšanām, attiecīgajā revīzijas lietā esošo pierādījumu pārbaudi vai atkārtotu pārbaudi);

77.6. sertifikāti tiek izdoti un revīzija tiek veikta saskaņā ar vispāratzītiem profesionālajiem standartiem un ietver būtisko kontroles pasākumu operatīvās efektivitātes pārbaudi;

77.7. tai ir līgumiskas tiesības pieprasīt, lai sertifikācijas vai revīzijas ziņojumu darbības jomas tiktu attiecinātas uz citām saistītajām sistēmām un kontrolēm. Šādu pieprasījumu par grozījumiem darbības jomā skaitam un biežumam ir jābūt samērīgam un leģitīmam no riska pārvaldības viedokļa;

77.8. tā saglabā tiesības pēc saviem ieskatiem veikt individuālas revīzijas, ja ārpakalpojumu sniedzējam ir deleģēta kritiski svarīga vai nozīmīga funkcija.

78. Ja nepieciešams, iestāde veic drošības pārbaudes un testus, lai novērtētu pakalpojumu sniedzēja īstenoto kiberdrošības un informācijas un komunikācijas tehnoloģiju drošības pasākumu efektivitāti.

79. Iestāde nodrošina, ka ārpakalpojumu sniedzējs pirms plānotā iestādes, Komisijas vai to pilnvaroto personu apmeklējuma klātienē tiek pienācīgi informēts par plānoto vizīti, izņemot gadījumus, kad tas nav iespējams ārkārtas vai krīzes situācijas dēļ.

80. Veicot tāda ārpakalpojumu sniedzēja revīziju, kurš sniedz ārpakalpojumus vairākiem klientiem, nodrošina, lai tiktu novērsti vai mazināti riski, kas apdraud citu klientu darbības vidi (piemēram, ietekme uz pakalpojumu līmeni, datu pieejamība un konfidencialitāte).

81. Ja ārpakalpojumu izmantošanai ir augsta līmeņa tehniskā sarežģītība kā, piemēram, mākoņpakalpojumu gadījumā, iestāde pārbauda, vai persona, kura veic revīziju, neatkarīgi no tā, vai šī persona ir iestādes iekšējais revidents, revidentu vai ārēju revidentu grupa, kas rīkojas tās vārdā, ir piemērota un tai ir atbilstoša kvalifikācija un zināšanas, lai efektīvi veiktu attiecīgo revīziju vai novērtējumu. Tas pats attiecas uz jebkuru iestādes personāla pārstāvi, kas pārskata trešo personu sertifikācijas vai revīzijas, ko veic pakalpojumu sniedzēji.

XVII. Ārpakalpojumu sniedzējiem deleģēto funkciju pārraudzība

82. Iestāde, izmantojot uz risku izvērtējumu balstītu pieeju, pastāvīgi uzrauga pakalpojumu sniedzēju darbību attiecībā uz jebkuru līgumu par ārpakalpojumu izmantošanu, īpašu uzmanību pievēršot ārpakalpojumu sniedzējiem deleģētajām kritiski svarīgām vai nozīmīgām funkcijām, un nodrošina datu un informācijas pieejamību, integritāti un drošību. Ja ārpakalpojumu sniedzējam deleģētās funkcijas risks, veids vai apjoms ir būtiski mainījies, iestāde atkārtoti izvērtē šīs funkcijas kritisko svarīgumu vai nozīmīgumu atbilstoši šo noteikumu V nodaļā noteiktajam.

83. Iestāde ārpakalpojumu izmantošanas uzraudzību un pārvaldību veic ar pienācīgu gādību, rūpību un kvalifikāciju.

84. Iestāde regulāri, bet ne retāk kā reizi gadā atbilstoši šo noteikumu X nodaļā noteiktajām prasībām atjaunina veikto riska novērtējumu un periodiski ziņo vadības struktūrai par riskiem, kas konstatēti attiecībā uz kritiski svarīgu vai nozīmīgu funkciju deleģēšanu ārpakalpojumu sniedzējiem.

85. Iestāde uzrauga un pārvalda iekšējo koncentrācijas risku, ko rada ārpakalpojumu izmantošana, ņemot vērā šo noteikumu X nodaļā noteikto.

86. Iestāde pastāvīgi uzrauga ārpakalpojumu izmantošanas atbilstību tās politikā noteiktajām prasībām un kvalitātes standartiem, īpaši attiecībā uz ārpakalpojumu sniedzējiem deleģētajām kritiski svarīgām vai nozīmīgām funkcijām, un nodrošina:

86.1. ziņojumu saņemšanu no pakalpojumu sniedzējiem;

86.2. pakalpojumu sniedzēju darbības rezultātu un saņemto ziņojumu novērtēšanu;

86.3. no pakalpojumu sniedzējiem saņemtās visas būtiskās informācijas, tostarp ziņojumu par darbības nepārtrauktības pasākumiem un pārbaudēm, izskatīšanu.

87. Ja iestāde saskaņā ar piemērojamajiem tiesību aktiem konstatē nepilnības ārpakalpojumu sniedzējam deleģētās funkcijas īstenošanā, īpaši gadījumos, kad pakalpojumu sniedzējs neizpilda tam deleģēto kritiski svarīgo vai nozīmīgo funkciju pietiekami efektīvi, tā veic atbilstošus korektīvos pasākumus un nepieciešamības gadījumā var nekavējoties pārtraukt ārpakalpojumu līgumu.

XVIII. Ārpakalpojuma izbeigšanas stratēģija (exit strategy)

88. Ja ārpakalpojumu sniedzējam atbilstoši iestādes politikai, procedūrām un darbības nepārtrauktības plāniem tiek deleģētas kritiski svarīgas vai nozīmīgas funkcijas, iestāde sagatavo un dokumentē ārpakalpojuma izbeigšanas stratēģiju, tajā paredzot vismaz:

88.1. ārpakalpojumu līguma pārtraukšanas nosacījumus, iemeslus un iespējamās situācijas;

88.2. rīcību ārpakalpojumu sniedzēja pienākumu neizpildes gadījumā;

88.3. rīcību nodrošināto funkciju kvalitātes pasliktināšanās un faktisko vai potenciālo darbības traucējumu gadījumā, ko izraisa nepareiza vai neveiksmīga funkcijas nodrošināšana;

88.4. būtiskus riskus, kas saistīti ar funkcijas atbilstošu un pastāvīgu īstenošanu;

88.5. veicamās analīzes tvērumu un resursus, kas būtu nepieciešami ārpakalpojumu līguma pārtraukšanas īstenošanai, un nosakot, cik ilgā laikā to būtu iespējams veikt;

88.6. pilnvarotos darbiniekus un to pienākumus, resursus ārpakalpojuma izbeigšanas stratēģijas īstenošanas pārvaldībai un nepieciešamo darbību veikšanai;

88.7. kritērijus ārpakalpojumu sniedzējam deleģēto funkciju un nodoto datu pārņemšanai;

88.8. rādītājus, kurus izmanto ārpakalpojumu izmantošanas uzraudzībai, tostarp rādītāju vērtības, kas liecina par nepieņemamu ārpakalpojuma kvalitātes līmeni un norāda uz nepieciešamību izmantot ārpakalpojuma izbeigšanas stratēģiju.

89. Iestāde nodrošina, ka, pārtraucot ārpakalpojumu līgumu, netiek radīti nepamatoti tās darbības traucējumi, ietekmēta tās atbilstība regulējošajām prasībām un tas nerada kaitējumu iestādes pakalpojumu sniegšanas nepārtrauktībai un kvalitātei. Lai to nodrošinātu, iestāde:

89.1. izstrādā un īsteno visaptverošu, dokumentētu un attiecīgajā gadījumā pietiekami pārbaudītu ārpakalpojuma izbeigšanas stratēģiju (piemēram, veic analīzi par iespējamajām izmaksām, ietekmi, nepieciešamajiem resursiem un laiku saistībā ar ārpakalpojumu sniedzēja nodrošinātās funkcijas nodošanu alternatīvam pakalpojumu sniedzējam);

89.2. nosaka alternatīvus risinājumus un izstrādā pārejas plānu, lai iestāde ārpakalpojumu sniedzējam deleģētās funkcijas un datus no pakalpojumu sniedzēja varētu nodot tālāk citam pakalpojumu sniedzējam vai pārņemt atpakaļ iestādē, vai veikt citus pasākumus, kas nodrošina kritiski svarīgu vai nozīmīgu funkciju vai darbību nepārtrauktu īstenošanu kontrolētā un pietiekami pārbaudītā veidā, ņemot vērā problēmas, kas var rasties datu atrašanās vietas dēļ, un veicot nepieciešamos pasākumus, lai nodrošinātu darbības nepārtrauktību pārejas posmā.

XIX. Komisijā iesniedzamie dokumenti un informācija nozīmīga ārpakalpojuma saņemšanai

90. Iestāde vismaz 30 darbdienas pirms līguma noslēgšanas par kritiski svarīgu vai nozīmīgu funkciju deleģēšanu ārpakalpojumu sniedzējam iesniedz Komisijai atbilstoši šo noteikumu 1. pielikumam sagatavotu rakstveida paziņojumu un tam pievieno:

90.1. ārpakalpojumu līguma projektu vai līguma kopiju;

90.2. ārpakalpojumu politiku un procedūras (ja tās jau iepriekš nav iesniegtas Komisijā);

90.3. citu informāciju, ko iestāde uzskata par nepieciešamu, lai pamatotu iestādes lēmumu deleģēt kritiski svarīgu vai nozīmīgu funkciju ārpakalpojumu sniedzējam.

91. Iestāde vismaz 30 darbdienas pirms būtiskiem grozījumiem, ko plānots izdarīt noslēgtajā nozīmīgu ārpakalpojumu līgumā, iesniedz Komisijai atbilstoši šo noteikumu 2. pielikumam sagatavotu rakstveida paziņojumu un tam pievieno:

91.1. grozījumus ārpakalpojumu līgumā;

91.2. grozījumus ārpakalpojumu politikā un procedūrās (ja tie jau iepriekš nav iesniegti Komisijā);

91.3. citu informāciju, ko iestāde uzskata par nepieciešamu, lai pamatotu iestādes lēmumu veikt būtiskus grozījumus noslēgtajā nozīmīgu ārpakalpojumu līgumā.

92. Ja iestādes sniegtā informācija atbilstoši šo noteikumu 90. un 91. punktam nav pietiekama, lai novērtētu riskus, ko iestāde uzņemas, deleģējot kritiski svarīgu vai nozīmīgu funkciju ārpakalpojumu sniedzējam, Komisija var pieprasīt papildu informāciju, piemēram, par:

92.1. veiktās riska analīzes rezultātiem;

92.2. ārpakalpojumu sniedzēja darbības nepārtrauktības plānu un tā piemērotību iestādes funkciju, kuras deleģētas ārpakalpojumu sniedzējam, veikšanai;

92.3. ārpakalpojuma izbeigšanas stratēģiju (exit strategy);

92.4. resursiem un pasākumiem, kas ieviesti, lai nodrošinātu ārpakalpojumu sniedzējam deleģēto funkciju uzraudzību;

92.5. citiem aspektiem, ja tas nepieciešams Komisijas novērtējuma veikšanai.

93. Par būtiskiem uzskatāmi šādi grozījumi noslēgtajā nozīmīgu ārpakalpojumu līgumā:

93.1. ārpakalpojuma darbības jomas nozīmīga paplašināšana vai sašaurināšana;

93.2. ārpakalpojumu sniedzēja maiņa;

93.3. ārpakalpojuma sniegšanas tālāka deleģēšana.

94. Pamatojoties uz iestādes sniegto informāciju un ņemot vērā iestādes kritiski svarīgo vai nozīmīgo funkciju raksturu un sarežģītību, ārpakalpojumu sniedzēja kompetenci un tā stāvokli tirgū, Komisija novērtē plānotā nozīmīgā ārpakalpojuma atbilstību Kredītiestāžu likuma 10.1 pantā un šajos noteikumos noteiktajām prasībām, kā arī Komisijas spēju veikt iestādes uzraudzību attiecībā uz ārpakalpojumu sniedzējam deleģēto funkciju.

XX. Noslēguma jautājumi

95. Iestāde izveido ārpakalpojumu reģistru atbilstoši šo noteikumu IX nodaļā noteiktajām prasībām un šo informāciju līdz 2022. gada 15. martam iesniedz Komisijai.

96. Lai noteiktu, vai funkcijas, kuras deleģētas ārpakalpojumu sniedzējiem līdz šo noteikumu spēkā stāšanās dienai, ir kritiski svarīgas vai nozīmīgas, iestāde līdz 2022. gada 1. martam veic šo funkciju novērtējumu atbilstoši šo noteikumu V nodaļā noteiktajām prasībām.

97. Iestāde līdz 2022. gada 1. martam nodrošina nozīmīgu ārpakalpojumu līgumu atbilstību šo noteikumu XII nodaļā noteiktajām prasībām.

Informatīva atsauce uz Eiropas Banku iestādes pamatnostādnēm

Noteikumos iekļautas tiesību normas, kas izriet no Eiropas Banku iestādes 2019. gada 25. februāra pamatnostādnēm EBA/GL/2019/02 "Pamatnostādnes par ārpakalpojumu izmantošanu" (Guidelines on outsourcing).

1 Komisijas Deleģētā regula (ES) 2016/778 (2016. gada 2. februāris), ar ko papildina Eiropas Parlamenta un Padomes Direktīvu 2014/59/ES attiecībā uz apstākļiem un nosacījumiem, saskaņā ar kuriem pilnībā vai daļēji var atlikt ārkārtas ex post maksājumus, un par kritērijiem darbību, pakalpojumu un operāciju noteikšanai attiecībā uz kritiski svarīgajām funkcijām un darbības jomu un saistīto pakalpojumu noteikšanu attiecībā uz galvenajām darbības jomām.2 Eiropas Parlamenta un Padomes Regula (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula).3 Skatīt arī Eiropas Banku iestādes pamatnostādnes par informācijas un komunikācijas tehnoloģiju un drošības riska pārvaldību (https://eba.europa.eu/-/eba-consults-onguidelines-on-ict-and-security-risk-management) un G7 pamatelementus trešo personu kiberdrošības riska pārvaldībai finanšu nozarē (https://ec.europa.eu/info/publications/g7-fundamental-elements-cybersecurity-financial-sector_en), kā arī Komisijas 08.11.2020. normatīvos noteikumus Nr. 150 "Informācijas tehnoloģiju un drošības risku pārvaldības normatīvie noteikumi".

Finanšu un kapitāla tirgus komisijas priekšsēdētāja S. Purgaile

1. pielikumsFinanšu un kapitāla tirgus komisijas06.07.2021. normatīvajiem noteikumiem Nr. 84

PAZIŅOJUMS PAR NOZĪMĪGU ĀRPAKALPOJUMU

2. pielikumsFinanšu un kapitāla tirgus komisijas06.07.2021. normatīvajiem noteikumiem Nr. 84

PAZIŅOJUMS PAR BŪTISKIEM GROZĪJUMIEM NOSLĒGTAJĀ NOZĪMĪGU ĀRPAKALPOJUMU LĪGUMĀ