Articolul 9
Documentarea
Art. 9 din NORMĂ nr. 33 din 12 august 2020 privind externalizarea către furnizorii de servicii de tip cloud
(1) În cadrul sistemului de guvernanță și al managementului riscului, societatea ține evidența acordurilor de externalizare în cloud, sub forma unui registru dedicat și actualizat; societatea menține, pentru o perioadă de doi ani, o evidență a acordurilor de externalizare în cloud încetate.
(2) În cazul externalizării funcțiilor sau activităților operaționale critice sau semnificative, societatea înregistrează următoarele:
a) informațiile notificate A.S.F. prevăzute la art. 10 alin. (2) ;
b) în cazul grupurilor, societățile și alte entități care intră în sfera de aplicare a consolidării prudențiale și care utilizează servicii de tip cloud;
c) data celor mai recente evaluări a riscurilor și un rezumat succint al principalelor rezultate;
d) persoana sau organul din conducerea societății care a aprobat acordul de externalizare în cloud;
e) data celui mai recent audit și data următoarelor audituri programate;
f) denumirea subcontractanților cărora le sunt externalizate părți semnificative ale unei funcții sau activități operaționale critice sau semnificative, inclusiv statul în care sunt înregistrați subcontractanții, în care se prestează serviciul și locațiile, respectiv statele și regiunile în care sunt stocate datele;
g) rezultatul evaluării capacității de substituire a furnizorului de servicii de tip cloud care să indice ușurința, dificultatea sau imposibilitatea substituirii;
h) dacă în cadrul funcției sau activității operaționale critice sau semnificative externalizate există operațiuni care sunt necesare în momente critice;
i) cheltuieli bugetare anuale estimate;
j) dacă societatea dispune de o strategie de încetare a acordului în caz de denunțare de către oricare dintre părți sau de întrerupere a serviciilor de către furnizorul de servicii de tip cloud.
(3) În cazul externalizării funcțiilor sau activităților operaționale necritice sau nesemnificative, societatea definește informațiile ce se înregistrează în funcție de natura, amploarea și complexitatea riscurilor inerente serviciilor oferite de furnizorul de servicii de tip cloud.
(4) La cerere, societatea pune la dispoziția A.S.F. toate informațiile necesare derulării procesului de supraveghere, inclusiv o copie a acordului de externalizare.