Articolul 18
Art. 18 din NORMĂ nr. 33 din 12 august 2020 privind externalizarea către furnizorii de servicii de tip cloud
Supravegherea acordurilor de externalizare în cloud de către A.S.F.
(1) A.S.F. poate efectua analiza impactului acordurilor de externalizare în cloud ale societăților în cadrul procesului de supraveghere, în special, asupra acordurilor de externalizare a funcțiilor sau activităților operaționale critice sau semnificative.
(2) A.S.F. poate lua în considerare următoarele riscuri la supravegherea acordurilor de externalizare în cloud ale societăților:
a) riscurile TIC;
b) alte riscuri operaționale, inclusiv riscul juridic, riscul de neconformitate, riscul de externalizare și riscul de management al relației cu terții;
c) riscul reputațional;
d) riscul de concentrare, inclusiv la nivel de țară/sectorial.
(3) În evaluarea realizată, A.S.F. poate include următoarele aspecte, aplicând o abordare bazată pe riscuri:
a) adecvarea și eficiența proceselor operaționale și de guvernanță ale societății legate de aprobarea, implementarea, monitorizarea, managementul și reînnoirea acordurilor de externalizare în cloud;
b) dacă societatea are sau nu resurse suficiente cu competențe și cunoștințe adecvate pentru a monitoriza serviciile externalizate în cloud;
c) dacă societatea identifică și asigură managementul tuturor riscurilor evidențiate în prezentul ghid.
(4) În cazul grupurilor, A.S.F., în calitate de supraveghetor al grupului, se asigură că impactul externalizării în cloud a funcțiilor sau activităților operaționale critice sau semnificative este reflectat în evaluarea pentru supraveghere a riscurilor la nivel de grup, ținând cont de cerințele enumerate la alin. (2) și (3) și de caracteristicile individuale operaționale și de guvernanță ale grupului.
(5) Dacă externalizarea în cloud a funcțiilor sau activităților operaționale critice sau semnificative implică mai multe societăți din diferite state membre și managementul acesteia este asigurat centralizat de societatea-mamă sau de o filială a grupului cum ar fi o societate sau o societate de servicii de grup, cum ar fi furnizorul TIC de grup, A.S.F., în calitate de supraveghetor al grupului, și/sau autoritățile de supraveghere relevante ale societăților implicate în externalizarea serviciilor de tip cloud discută în cadrul colegiului de supraveghetori cu autoritățile de supraveghere relevante ale societăților implicate în externalizarea serviciilor cloud, după caz, impactul externalizării în cloud asupra profilului de risc al grupului.
(6) În cazul în care sunt identificate aspecte care conduc la concluzia că societatea nu mai are instituite mecanisme adecvate de guvernanță sau încalcă prevederile legale, aceasta respectă măsurile impuse de A.S.F., precum:
a) îmbunătățirea sistemului de guvernanță;
b) limitarea sau restrângerea numărului funcțiilor externalizate;
c) încetarea unuia sau mai multor acorduri de externalizare;
d) alte măsuri necesare.
(7) Ținând cont de necesitatea asigurării continuității activității societății, măsura prevăzută la alin. (6) lit. c) se impune în cazul nerespectării sau aplicării deficitare a celorlalte măsuri adoptate de A.S.F.