Articolul 6
Evaluarea funcțiilor și activităților operaționale critice sau semnificative
Art. 6 din NORMĂ nr. 33 din 12 august 2020 privind externalizarea către furnizorii de servicii de tip cloud
(1) La efectuarea evaluării menționate la art. 8 alin. (1) societatea analizează dacă acordul are potențialul de a deveni critic sau semnificativ în viitor; de asemenea societatea reevaluează și caracterul critic sau semnificativitatea funcției sau a activității operaționale externalizate anterior către furnizorii de servicii de tip cloud, în cazul în care natura, amploarea și complexitatea riscurilor inerente acordului se modifică semnificativ.
(2) În cadrul evaluării societatea ține cont, în paralel cu rezultatul evaluării riscurilor, cel puțin de următorii factori:
a) impactul potențial al perturbărilor semnificative ale funcției sau activității operaționale externalizate sau al nefurnizării serviciilor de către furnizorul de servicii de tip cloud la nivelurile de calitate a serviciilor convenite, asupra:
(i) respectării permanente a prevederilor legale;
(ii) rezilienței și viabilității din punct de vedere financiar și al solvabilității, pe termen scurt și lung;
(iii) continuității activității și a rezilienței operaționale;
(iv) riscului operațional, riscului juridic, riscului TIC, riscului de conduită și riscului reputațional;
b) impactul potențial al acordului de externalizare în cloud asupra capacității societății de a:
(i) identifica, monitoriza și gestiona toate riscurile relevante;
(ii) respecta toate cerințele juridice și prevederile legale;
(iii) efectua audituri adecvate asupra funcției sau activității operaționale externalizate;
c) expunerea agregată a societății și/sau a grupului, după caz, față de același furnizor de servicii de tip cloud și potențialul impact cumulativ al acordurilor de externalizare pentru același domeniu de activitate;
d) dimensiunea și complexitatea fiecărui tip de activitate al societății, afectate de acordul de externalizare în cloud;
e) capacitatea de substituire având în vedere posibilitatea, dacă este necesar, de a transfera acordul de externalizare propus către alt furnizor de servicii de tip cloud sau de a reintegra serviciile;
f) protecția datelor comerciale care sunt secrete și/sau sensibile, protecția datelor cu caracter personal și nepersonal și impactul potențial asupra societății, contractanților sau altor subiecți relevanți al unei încălcări a obligației de confidențialitate sau al incapacității de a asigura disponibilitatea și integritatea datelor în conformitate cu prevederile al Parlamentului European și a Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor).