Finansregulatorisk | Nye regler om meldeplikt ved utkontraktering av virksomhet

Finanstilsynet har vedtatt ny forskrift om meldeplikt ved utkontraktering av virksomhet mv. som erstatter gjeldende forskrift [1] med virkning fra 1. januar 2022. Finanstilsynet har opplyst at rundskriv 3/2020 Veiledning om utkontraktering vil bli oppdatert før ikrafttredelse av den nye forskriften. Flere foretakstyper omfattes av meldeplikten etter den nye forskriften, og meldeplikten begrenses til avtaler om utkontraktering av virksomhet som er kritisk eller viktig for foretaket. I dette nyhetsbrevet oppsummerer vi endringene.

Flere foretakstyper omfattet av meldeplikten

Etter ny forskrift er enkelte foretakstyper ikke lenger unntatt fra meldeplikt. Dette gjelder:

  • kredittforetak som utsteder obligasjoner med fortrinnsrett
  • verdipapirforetak
  • pensjonskasser
  • forvaltningsselskap for verdipapirfond og forvaltere av alternative investeringsfond som yter investeringstjenester
  • skadeforsikringsselskaper som kun har tillatelse til å tilby forsikring i samsvar med finansforetaksforskriften § 2-12 første ledd nr. 8 (brannkasser)
  • forsikringsselskap etablert i samsvar med finansforetaksloven § 2-12 tredje ledd (egenforsikringsselskap)

Meldeplikten begrenset til avtaler om utkontraktering av virksomhet som er «kritisk eller viktig for foretaket»

Etter gjeldende regler er det ikke meldeplikt for utkontraktering av administrative og driftsrelaterte oppgaver, herunder støttefunksjoner, og IKT-virksomhet som ikke omfattes av IKT-forskriften[2]. Etter ny forskrift er det kun avtaler om utkontraktering av virksomhet som er «kritisk eller viktig for foretaket» som skal meldes. Dette innebærer begrensninger i omfanget av meldeplikten sammenlignet med dagens regler. Hvilken virksomhet som er kritisk eller viktig for foretaket og som dermed blir meldepliktig etter ny forskrift, beror på en konkret vurdering. Finanstilsynet har gitt en pekepinn på hvilke typer oppgaver tilsynet typisk vil anse som «kritiske» eller «viktige» og andre relevante momenter ved vurderingen av om utkontrakteringen er meldepliktig.[3] Nedenfor gjengir vi enkelte slike oppgaver og momenter.

  • Utkontraktering av oppgaver som er sentrale for styringen og kontrollen med virksomheten.
  • Utkontraktering av oppgaver som tilligger de uavhengige kontrollfunksjonene i finansforetak med ansvar for internrevisjon, risikostyring og etterlevelse av krav fastsatt i lov eller i medhold av lov.
  • Oppgaver knyttet til utførelsen av (hele eller deler av) investeringstjenestevirksomheten, etterlevelsesfunksjonen (compliancefunksjonen) eller risikostyringsfunksjonen i verdipapirforetak.
  • Avtale med en tredjepart om forvaltning av foretakets kapital.
  • Avtaler om bruk av IKT-systemer som innebærer utkontraktering av foretakets produksjons-, saks-, dokumentbehandlings-, informasjons-, og sikkerhetssystemer.
  • Avtaler som innebærer utkontraktering av foretakenes selvbetjeningsløsninger og foretakenes autentiserings- og signeringsløsninger.
  • Utkontrakteringsavtaler som gjelder komponenter og funksjoner som kritiske eller viktige IKT-systemer er avhengig av.
  • Felles operasjonelle IKT-systemer, som foretak får tilgang til ved å slutte seg til avtaler som er fremforhandlet på vegne av flere foretak i fellesskap.

Omfanget av den utkontrakterte virksomheten kan vektlegges i vurderingen av hva som er meldepliktig. Gjelder utkontrakteringen kortvarige enkeltoppdrag, kan dette være et moment som trekker i retning av at utkontrakteringen ikke er meldepliktig. Oppdrag av vesentlig omfang eller som utføres på regelmessig basis, vil lettere bli ansett som meldepliktig.

Foretak kan ta kontakt med Finanstilsynet dersom det er i tvil om virksomheten er kritisk eller viktig og dermed meldepliktig.[4]

Krav til meldingens innhold

Etter gjeldende forskrift skal melding om utkontraktering inneholde opplysninger om avtalepart og avtalens art, omfang og varighet, samt hvordan foretaket vil følge opp sitt ansvar for den utkontrakterte virksomheten. Med ny forskrift presiseres hvilke opplysninger meldingen om utkontraktering skal inneholde:

a) navn og organisasjonsnummer på oppdragstaker
b) virksomheten/oppgavene som utkontrakteres
c) om oppdragstaker driver virksomhet i Norge, i norsk selskap, i filial eller som grensekryssende virksomhet. Dersom oppdragstaker er etablert i utlandet skal det også opplyses hvilket land foretakets hovedkontor er etablert i
d) navn og organisasjonsnummer på underleverandører som oppdragstaker bruker ved utførelse av oppgaver på vegne av foretaket. Dersom underleverandør er etablert i utlandet bes det opplyst hvilket land
e) avtalens oppstarts- og opphørsdato, herunder opplysninger om rullerende avtaleperiode
f) hvordan foretaket vil følge opp sitt ansvar for den utkontrakterte virksomheten, samt foretakets risikovurdering av utkontrakteringen

Melding om utkontraktering av IKT-virksomhet skal også inneholde:

a) utkontrakteringsavtalen med vedlegg
b) styremøteprotokoll hvor det fremgår at styret har behandlet utkontrakteringsavtalen og risikovurdering av utkontrakteringen

Plikt til å føre en oppdatert oversikt over alle avtaler om utkontraktering av virksomhet

Med den nye forskriften innføres en plikt til å føre en oppdatert oversikt over avtaler om utkontraktering av virksomhet. Dette gjelder alle foretak under tilsyn. Finanstilsynet begrunner plikten blant annet med at behovet for en slik samlet oversikt er større når meldeplikten begrenses til bare å gjelde avtaler som er kritiske eller viktige. En slik oversikt vurderes også å være nødvendig ved tilsyn med foretak som er unntatt fra meldeplikten.

Med hjemmel i finanstilsynsloven § 3 annet ledd, kan foretak i dag bli bedt om å sende oversikt over alle utkontrakteringsavtaler foretaket har inngått, eventuelt utkontrakteringsavtaler som gjelder nærmere angitte oppgaver. Finanstilsynet har imidlertid funnet det hensiktsmessig å synliggjøre en plikt for foretakene til å føre en slik oversikt i den nye forskriften.

Oversikten skal inneholde alle avtaler om utkontraktering av virksomhet, uavhengig av om de er meldt til Finanstilsynet. Oversikten skal være datert og oppdateres jevnlig. Oversikten skal inneholde samme informasjon som meldingene som skal sendes til Finanstilsynet.

 

[1] Forskrift av 5. juni 2015 nr. 613 om unntak fra meldeplikt ved utkontraktering
[2] Forskrift 21. mai 2003 nr. 630 om bruk av informasjons- og kommunikasjonsteknologi
[3] Høringsnotat – Forslag til endringer i forskrift om unntak fra meldeplikt ved utkontraktering av virksomhet s. 10
[4] Høringsnotat – Forslag til endringer i forskrift om unntak fra meldeplikt ved utkontraktering av virksomhet s. 10

 

Share aticle to
Loading video ...close