Wyjaśnienia interpretacyjne i rekomendacje w zakresie Wytycznych Europejskiego Urzędu Nadzoru Bankowego(European Banking Authority) w sprawie outsourcingu

Wyjaśnienia interpretacyjne i rekomendacje w zakresie Wytycznych Europejskiego Urzędu Nadzoru Bankowego (European Banking Authority) w sprawie outsourcingu

Wyjaśnienia interpretacyjne i rekomendacje w zakresie:

("Rekomendacja").

W ramach opracowania niniejszego dokumentu, przygotowane zostały propozycje odpowiedzi na następujące pytania:

I. Jakie zasady należy przyjąć podczas identyfikacji, czy dana umowa stanowi outsourcing regulowany w ramach działalności maklerskiej i funkcji treasury banku?

W kontekście procesów outsourcingowych banków prowadzących działalność maklerską, należy w pierwszej kolejności przypomnieć, iż dokonując identyfikacji, czy dana umowa stanowi outsourcing regulowany, banki prowadzące działalność maklerską zobowiązane są do stosowania szerokiego spektrum przepisów dotyczących outsourcingu. Zgodnie z pismem KNF z dnia 9 maja 2013 r. ws. podoutsourcingu w działalności inwestycyjnej banków (DPP/WOPI/023/663/7/12/13/PR) ("Pismo KNF"), banki zobowiązane są stosować w sposób niezależny dwa reżimy outsourcingu. W zakresie działalności obejmującej wykonywanie czynności wymienionych w art. 69 ust. 2 pkt 1-7 UoOIF, banki zobowiązane są stosować zasady określone w UoOIF, a w zakresie czynności podejmowanych na podstawie Prawa Bankowego - przepisy tej ustawy. W przypadku zatem, gdy dana usługa obejmuje zarówno świadczenie z zakresu czynności wskazanych w art. 69 ust. 2 pkt 1-7 UoOIF oraz z zakresu czynności wskazanych w art. 5 oraz 6 Prawa Bankowego, banki zobowiązane są do stosowania zarówno przepisów Prawa Bankowego, jak i UoOIF 1 .

Tym samym, przyjmując założenie, iż podczas badania, czy dane zlecenie czynności na zewnątrz związane z działalnością maklerską banku stanowi outsourcing podlegający regulacji, należy wziąć pod uwagę zarówno przepisy Prawa Bankowego jak i UoOIF, to podstawową przesłanką w procesie oceny, czy dana umowa stanowi outsourcing, powinno być dokonanie analizy wskazującej, czy dana umowa stanowi outsourcing w rozumieniu Prawa Bankowego ("Powierzenie") lub UoOIF ("Outsourcing UoOIF"). Następnie należy przeprowadzić analizę, czy dane zlecenie czynności powinno być kwalifikowane jako outsourcing w rozumieniu Wytycznych EBA ("Outsourcing EBA").

W praktyce oznacza to, iż każda współpraca o charakterze outsourcingowym kwalifikowana przez bank prowadzący działalność maklerską jako Powierzenie lub Outsourcing UoOIF, powinna być jednocześnie kwalifikowana jako Outsourcing EBA. Jednocześnie nie każda współpraca zdefiniowana jako Outsourcing EBA powinna być kwalifikowana jako Powierzenie lub Outsourcing UoOIF 2 . Na taką relację w zakresie Powierzenia zwrócił również UKNF w swoim Stanowisku (szerzej na ten temat: Wyjaśnienia interpretacyjne i rekomendacje sektora bankowego z dnia 3 listopada 2020 r., rozdział I, pytanie A).

Identyfikując, czy dana umowa stanowi outsourcing regulowany, podstawową i pierwszą przesłanką analizy powinno być tym samym sprawdzenie, czy dana umowa stanowi Powierzenie lub Outsourcing UoOIF. Analiza, o której mowa, powinna polegać na sprawdzeniu, czy zlecenie wykonywania danej funkcji mieści się w zakresie przedmiotowym i podmiotowym art. 6a ust. 1 pkt 1 i 2 Prawa Bankowego oraz art. 81a UoOIF ("Przesłanka Powierzenia/Outsourcingu UoOIF"). W kontekście powyższego, należy wskazać, iż aktualna pozostaje opinia Generalnego Inspektoratu Nadzoru Bankowego z dnia 21 grudnia 2004 r. ("Pismo GINB").

W przypadku zidentyfikowania, że dana umowa mieści się w ramach Przesłanki Powierzenia /Outsourcingu UoOIF, taka umowa powinna się również, co do zasady, mieścić w kategoriach Outsourcingu EBA. W przypadku zidentyfikowania, że dane zlecenie nie stanowi Powierzenia oraz Outsourcingu UoOIF, bank powinien dokonać analizy, czy dane zlecenie mieści się w zakresie przedmiotowym Outsourcingu EBA, zgodnie z pkt 26-28 Wytycznych EBA.

W ramach przesłanki przedmiotowej należy przeanalizować, czy dana funkcja (rozumiana zgodnie z Wytycznymi EBA jako proces, usługa lub działanie), realizowana w ramach outsourcingu, mogłaby być wykonywana przez bank prowadzący działalność maklerską samodzielnie (tj. z wykorzystaniem własnych zasobów) ("Przesłanka Outsourcingu EBA").

W oderwaniu od powyższych przesłanek, należy wskazać na określone w pkt 28 Wytycznych EBA negatywne przesłanki klasyfikacji Outsourcingu EBA ("Przesłanki Negatywne"). Przesłanki Negatywne powinny mieć jednak zastosowanie wyłącznie w przypadku, gdy dana współpraca nie jest klasyfikowana jako Powierzenie lub Outsourcing UoOIF, tj. dana współpraca podlega wyłącznie rozważaniom w kategoriach klasyfikacji jako Outsourcing EBA (szerzej na ten temat: Wyjaśnienia interpretacyjne i rekomendacje sektora bankowego z dnia 3 listopada 2020 r., rozdział I, pytanie B).

W kontekście powyższych rozważań, przykładem zlecenia czynności na zewnątrz, które stanowić będzie Powierzenie, a więc również Outsourcing EBA, będzie np. outsourcing usług serwisowych oprogramowania, gdy usługa połączona jest z utrzymywaniem kluczowych dla działalności banku w zakresie działalności maklerskiej systemów informatycznych w gotowości operacyjnej wraz z dostępem do danych dotyczących klientów. O zakwalifikowaniu takiego zlecenia jako Powierzenie decyduje bowiem zarówno dostęp do danych objętych tajemnicą bankowa, jak i istotność takiego zlecenia. W takiej sytuacji, bank będzie zobowiązany do zastosowania jednocześnie wymogów wynikających z Wytycznych EBA, jak i Prawa Bankowego oraz UoOIF (jeżeli system dotyczy działalności maklerskiej banku).

Z kolei przykładem zlecenia czynności na zewnątrz, która nie powinna stanowić Powierzenia, natomiast zostanie zakwalifikowana jako Outsourcing EBA, będzie zlecenie profesjonalnemu dostawcy serwisu oprogramowania o drugorzędnym znaczeniu, niezwiązanego bezpośrednio ze świadczeniem przez bank prowadzący działalność maklerską usług swoim klientom, który był już wcześniej obsługiwany przez bank i w ramach którego nie zostaną przekazane dane objęte tajemnicą bankową. Z uwagi na brak dostępu do danych objętych tajemnicą bankową oraz niespełnienie przesłanki znacznej istotności czynności, takie zlecenie nie zostałoby zakwalifikowane jako Powierzenie. Jednocześnie, sama czynność mogłaby być wykonywana przez bank prowadzący działalność maklerską. Tym samym, zlecenie takiej czynności przez bank może stanowić Outsourcing UoOIF oraz Outsourcing EBA (jeżeli bank nie zidentyfikuje możliwości zastosowania odpowiednich wyłączeń z Wytycznych EBA).

Należy zaznaczyć, że przesłanka istotności czynności nie jest jedyną i jako taka samoistnie nie przesądza o konieczności zaklasyfikowania jako Powierzenia czy Outsourcingu UoOIF i powinna być rozpatrywana łącznie z uwzględnieniem rodzaju wykonywanych czynności. Zaznaczyć należy, że w przypadku analizy istotności należy uwzględniać regulacje właściwe dla Outsourcingu UoOIF, tym także art. 30 Rozporządzenia 2017/565. Zakwalifikowanie danej funkcji podlegającej zleceniu na zewnątrz jako funkcji istotnej w rozumieniu art. 30 Rozporządzenia 2017/565 stanowi istotną wskazówkę interpretacyjną, że dane zlecenie stanowi Outsourcing UoOIF.

Przykładem zlecenia funkcji na zewnątrz, która mogłaby zostać zakwalifikowana jednocześnie jako Outsourcing EBA i Outsourcing UoOIF, będzie zlecenie zewnętrznemu dostawcy czynności w zakresie kategoryzowania danych portfeli klientów, bez dostępu do danych objętych tajemnicą kliencką, w celu wsparcia domu maklerskiego w wykonaniu czynności zarządzania portfelem (art. 69 ust. 2 pkt 4 UoOIF). Brak dostępu do danych objętych tajemnicą bankową oraz niespełnienie przesłanki czynności istotnej co do zasady wyklucza kwalifikacje czynności jako Powierzenia. Jednocześnie, czynność ta mogłaby być wykonywana przez dom maklerski, a więc mogłaby stanowić potencjalnie Outsourcing EBA.

Podsumowując, w procesie analizy dotyczącej klasyfikacji regulacyjnej współpracy o charakterze outsourcingowym, bank w ramach działalności maklerskiej powinien:

II. Jaka jest zależność między Wytycznymi EBA a MiFID II w zakresie kwalifikacji danej umowy jako outsourcingu?

Zgodnie z pkt 19 Wytycznych EBA, definicja outsourcingu którą posługują się Wytyczne EBA stanowi odzwierciedlenie definicji outsourcingu, o której mowa w Rozporządzeniu Komisji Europejskiej (UE) 2017/5611 stanowiącym rozszerzenie Dyrektywy Parlamentu Europejskiego i Rady 2014/65/UE w sprawie rynków instrumentów finansowych ("MiFID II").

Z uwagi na fakt, że definicja outsourcingu przewidziana w art. 81a UoOIF stanowi transpozycję rozwiązań przewidzianych w MiFID II i rozporządzeniach ją uzupełniających, to dokonując oceny, czy dane zlecenie czynności na zewnątrz stanowi Outsourcing EBA, banki prowadzące działalność maklerską oraz funkcję treasury mogą sięgać po wytyczne i rekomendacje Europejskiego Urzędu Nadzoru Giełd i Papierów Wartościowych ("ESMA") w zakresie, w jakim dotyczą one outsourcingu w rozumieniu Rozporządzenia 2017/565, w tym m.in. Wytyczne ESMA w sprawie outsourcingu dla dostawców usług chmury obliczeniowej z dnia 18 grudnia 2020 r.

Ponadto, dokonując oceny, czy dana funkcja stanowi funkcję krytyczną w rozumieniu pkt 29-31 Wytycznych EBA, należy pamiętać, iż zgodnie z dokumentem Summary of responses to the consultation and of the EBA's analysis ("EBA Q&A") oraz pkt 12 Wytycznych EBA, definicja funkcji krytycznej w rozumieniu Wytycznych EBA stanowi odzwierciedlenie definicji funkcji krytycznej przewidzianej w MiFID II.

W praktyce, oznacza to, że:

III. W jaki sposób traktować należy przesłankę dostępu dostawcy do danych objętych tajemnicą bankową w ramach identyfikacji, czy dana umowa stanowi outsourcing?

W ramach wskazanych powyżej rodzajów outsourcingu (tj. zarówno Powierzenia/Outsourcingu UoOIF oraz Outsourcingu EBA), brak dostępu do tajemnicy bankowej lub innych danych objętych szczególną ochroną (np. dostęp do danych biometrycznych lub innych danych szczególnych) nie powinien automatycznie wykluczać uznania danego zlecenia jako outsourcingu.

Definicja outsourcingu zawarta w Wytycznych EBA odwołuje się jedynie do wykonywania przez zleceniobiorcę określonych funkcji, tj. usługi lub zadania, które w przeciwnym razie byłyby realizowane przez sam bank, oraz powtarzalności wykonywania tej funkcji przez zleceniobiorcę (regularnie lub na bieżąco). Dostęp do danych objętych tajemnicą przedsiębiorstwa lub tajemnicą bankową nie powinien determinować uznania danego outsourcingu jako Outsourcingu EBA.

Należy przy tym zauważyć, że nawet w wypadku zlecania czynności związanych z czynnościami bankowymi nie w każdym przypadku będzie dochodziło do ujawnienia tajemnicy bankowej. Brak dostępu do danych stanowiących tajemnicą bankową, czy też dotyczących tajemnicy przedsiębiorstwa przez osoby trzecie wykonujące zlecenie na rzecz banku, nie może stanowić przesłanki całkowicie wykluczającej kwalifikację takiego zlecenia jako Powierzenia/Outsourcingu UoOIF lub Outsourcingu EBA zarówno w myśl odpowiednio przepisów Prawa Bankowego/UoOIF, jak i Wytycznych EBA.

Mając to na uwadze należy jednocześnie zauważyć, że w przypadku, gdy zlecenie danej czynności będzie obejmowało przekazanie zleceniobiorcy danych objętych tajemnicą bankową, to takie zlecenie najczęściej będzie stanowić Powierzenie w rozumieniu Prawa Bankowego, a tym samym do takiego zlecenia zastosowanie znaleźć powinny również Wytyczne EBA. Dokonując takiej kwalifikacji, należy oczywiście pamiętać o katalogu wyłączeń przewidzianym w art. 104 Prawa Bankowego, w szczególności o wyłączeniu przewidzianym w art. 104 ust. 2 pkt 3 Prawa Bankowego (przekazanie informacji objętych tajemnicą bankową adwokatom lub radcom prawnym w związku ze świadczeniem przez nich pomocy prawnej na rzecz banku).

W sytuacji, w której zlecenie danej czynności będzie dotyczyć działalności maklerskiej prowadzonej przez bank i jednocześnie obejmować będzie przekazanie zleceniobiorcy danych objętych tajemnicą bankową, to takie zlecenie będzie stanowić najczęściej Powierzenie oraz Outsourcing UoOIF, a tym samym do takiego zlecenia zastosowanie co do zasady znaleźć powinny również Wytyczne EBA.

Podsumowując powyższe rozważania, należy uznać, że w sytuacji, w której w ramach zlecenia zleceniobiorcy zostaną przekazane dane objęte tajemnicą bankową, takie zlecenie będzie stanowić Powierzenie, a więc jednocześnie, automatycznie Outsourcing EBA. Z kolei w sytuacji, w której dane zlecenie nie będzie obejmować konieczności przekazania danych objętych tajemnicą bankową, należy przeprowadzić pełną analizę kwalifikacji takiego zlecenia, biorąc pod uwagę czynniki przewidziane w Prawie Bankowym, UoOIF oraz Wytycznych EBA.

IV. Jakie zasady należy przyjąć stosując wyłączenie przewidziane w pkt 28g Wytycznych EBA w kontekście działalności maklerskiej i funkcji treasury banku?

Zgodnie z Wytycznymi EBA, outsourcing oznacza umowę na mocy której zleceniobiorca realizuje proces, usługę lub zadanie, które w przeciwnym razie byłoby realizowane przez sam bank.

Zgodnie z pkt 26 Wytycznych EBA, wyłączone z definicji Outsourcingu EBA są usługi, których bank prowadzący działalność maklerską nie mógłby (w toku normalnych czynności) wykonywać samodzielnie. Niektórymi z przesłanek pozwalających na kwalifikację danej funkcji jako podlegającej wyłączeniu z definicji outsourcingu, są: ekspercka wiedza, poziom wymaganych kwalifikacji (np. konieczne licencje, certyfikaty, tytuły zawodowe) oraz umiejętności, których posiadanie jest niezbędne do wykonania danej funkcji.

W zakresie outsourcingu czynności przeprowadzonego przez bank prowadzący działalność maklerską, należy mieć zawsze na względzie okoliczność, czy dana funkcja mogłaby w toku jego normalnego działania być wykonywana przez ten bank. Przykładowo, wśród czynności, których wyłączenie należy rozważyć, wskazać można:

W sytuacjach opisanych powyżej, wykorzystanie wyłączenia przewidzianego w pkt 28g Wytycznych EBA mogłoby być uzasadnione.

V. Jakie zasady należy przyjąć stosując wyłączenie przewidziane w pkt 28b oraz 28d Wytycznych EBA w kontekście działalności maklerskiej i funkcji treasury banku?

W ramach działalności prowadzonej przez banki prowadzące działalność maklerską, częstą praktyką jest zlecanie na zewnątrz czynności związanych z dostarczaniem informacji rynkowych lub wykorzystywaniem systemów rozliczeniowych i rozrachunku pomiędzy izbami rozliczeniowymi.

W przypadku zleceń, które nie zostały zakwalifikowane jako Powierzenie lub Outsourcing UoOIF, a więc w stosunku do których należy przeprowadzić analizę pod kątem identyfikacji takiego zlecenia jako Outsourcingu EBA, Wytyczne EBA w pkt 28b oraz 28d przewidują wyłączenia, pozwalające w szczególnych wypadkach na nie stosowanie reżimu outsourcingu przewidzianego w Wytycznych EBA.

Zgodnie z pkt 28b Wytycznych EBA, banki nie powinny traktować jako outsourcingu usług związanych np. z udostępnianiem danych przez Bloomberg, Moody's, Standard & Poor's, Fitch. Z kolei zgodnie z pkt 28d Wytycznych EBA, od stosowania reżimu outsourcingu przewidzianego w wytycznych zwolnione będą zlecenia polegające na przygotowaniu systemów rozliczeniowych i rozrachunku pomiędzy izbami rozliczeniowymi, CCP i instytucjami rozliczeniowymi oraz ich członkami.

Stosując wyłączenia o którym mowa w pkt 28b Wytycznych EBA, wśród czynności, których wyłączenie można rozważać wskazać należy np.:

Z kolei stosując wyłączenie, o którym mowa w pkt 28d Wytycznych EBA, wśród czynności, których wyłączenie można rozważać wskazać należy np.:

W kontekście powyższego należy jednak wskazać, że katalog wyłączeń przewidziany w pkt 28b oraz 28d jest katalogiem kwalifikowanym pod kątem podmiotowym i przedmiotowym. Oznacza to, że nie każda usługa związana z przygotowywaniem systemów rozliczeniowych i rozrachunkiem pomiędzy izbami rozliczeniowymi (pkt 28d Wytycznych EBA), lub w ramach której dostawcą będzie np. podmiot wskazany w pkt 28b Wytycznych EBA, będzie objęta wyłączeniem. Tytułem przykładu, pkt 28b wskazuje, iż co do zasady usługi związane z dostarczaniem informacji rynkowych nie są kwalifikowane jako Outsourcing EBA. Jako przykładowego dostawcę usług w tym zakresie wskazano m.in. Bloomberg. Jeśli bank korzysta z usług świadczonych przez Bloomberg nie mających

związku z dostarczaniem informacji rynkowych, np. dotyczących obsługi platformy obrotu akcjami, to usługi świadczone w tym zakresie mogą w niektórych konfiguracjach zostać zakwalifikowane jako Outsourcing EBA. Tym samym, chcąc skorzystać z wyłączenia, o którym mowa w jednym z tych punktów, należy każdorazowo upewnić się, że zakres zlecenia mieści się w zakresie przedmiotowym i podmiotowym danego wyłączenia.

Nasz komentarz bazuje na obowiązujących w dacie jego przygotowania przepisach prawa, jak również na znanych nam w tej dacie: ich wykładni i praktyce stosowania przez sądy i organy administracji oraz na doktrynie prawa w zakresie zagadnień w nim omawianych. Sądy i organy administracji (w tym podatkowej) mogą dojść do odmiennych wniosków. Nie będziemy monitorować ani ponosić odpowiedzialności za skutki późniejszych zmian w prawie, jego wykładni i stosowaniu w praktyce, które mogą zmienić nasze konkluzje.

Założyliśmy, że przedstawione nam informacje i dokumenty są prawdziwe, precyzyjne, kompletne i właściwie odzwierciedlają analizowany przez nas stan faktyczny oraz prawny. Nie weryfikowaliśmy samodzielnie tych założeń.

Nasz komentarz jest adresowany wyłącznie do uczestników grupy roboczej dotyczącej outsourcingu przy ZBP i regulowany wyłącznie przez ustalenia pomiędzy ZBP a PwC Legal, chyba że pisemnie postanowiono inaczej. Nie akceptujemy ani nie przyjmujemy żadnej odpowiedzialności ani zobowiązania do starannego działania: (i) w związku z wykorzystaniem przygotowanych przez nas komentarzy lub poleganiem na nich w celu innym niż określony w umowie lub (ii) wobec osoby trzeciej, która uzyska dostęp do tego dokumentu.

Niniejszy komentarz jest objęty tajemnicą zawodową radcy prawnego / adwokata i korzysta z przywileju poufności informacji wymienianych między radcą prawnym / adwokatem a klientem.