Zasady udostępniania informacji oraz nadzoru w ramach umów outsourcingowych

Zgodnie z art. 6a–6d oraz art. 111b ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz. U. z 2002 r. Nr 72, poz. 665 z późn. zm.), BackOffice Outsourcing Sp. z o.o. zobowiązuje się w ramach umów zawieranych z Bankami i instytucjami finansowymi do zapewnienia pełnej przejrzystości i współpracy w zakresie umożliwienia sprawowania efektywnego nadzoru nad realizacją powierzonych czynności.

W szczególności Spółka zobowiązuje się do:

1. Udostępniania Bankom, instytucjom finansowym, biegłym rewidentom Banku oraz Komisji Nadzoru Finansowego (KNF) następujących dokumentów i informacji:

• aktualnych dokumentów rejestrowych i formalno-prawnych, w tym odpisów z KRS, decyzji administracyjnych, licencji, zezwoleń, zaświadczeń oraz innych dokumentów potwierdzających legalność i status prowadzenia działalności gospodarczej BackOffice Outsourcing, jak również zgodność z zakresem wykonywanych usług outsourcingowych;
• sprawozdań finansowych za okresy obowiązywania umów oraz okresy poprzedzające ich zawarcie, wraz z opiniami i raportami biegłego rewidenta, jeżeli przeprowadzono badanie ustawowe lub dobrowolne, a także raportów zarządczych lub bilansów kwartalnych, jeśli są one dostępne;
• planów ciągłości działania (BCP) i procedur zapewniających nieprzerwane świadczenie usług outsourcingowych w przypadku zdarzeń nadzwyczajnych, kryzysów lub awarii technicznych, wraz z raportami z testów scenariuszy awaryjnych oraz dokumentacją przeglądów okresowych BCP;
• opisów i procedur dotyczących bezpieczeństwa informacji – w tym wdrożonych zasad zgodnych z normami ISO 27001, ISO 22301 oraz ISO 9001 – odnoszących się do zarządzania incydentami, kontroli dostępu, ochrony danych osobowych oraz polityki bezpieczeństwa fizycznego i logicznego;
• wyników audytów – zarówno zewnętrznych (np. przeprowadzonych przez jednostki certyfikujące lub zamawiającego), jak i wewnętrznych, obejmujących funkcjonowanie systemów kontrolnych, zgodność z wymaganiami regulacyjnymi oraz skuteczność wdrożonych mechanizmów nadzoru;
• dokumentacji operacyjnej i wykonawczej związanej z realizacją przedmiotu umowy, w tym opisów procesów operacyjnych, instrukcji, harmonogramów, rejestrów czynności oraz procedur wewnętrznych dotyczących outsourcingu;

2. Umożliwienia przeprowadzenia kontroli przez Bank, instytucję finansową, biegłego rewidenta Banku lub KNF, w zakresie:

• wizyt inspekcyjnych (on-site inspections) w lokalizacjach, w których realizowany jest przedmiot umowy outsourcingowej, w tym dostęp do pomieszczeń operacyjnych, sprzętu, dokumentacji papierowej i elektronicznej oraz systemów informatycznych;
• weryfikacji bezpieczeństwa przetwarzania informacji, zarówno pod kątem technicznym (np. zabezpieczeń sieci, kontroli dostępu, kopii zapasowych), jak i organizacyjnym (role i uprawnienia, separacja obowiązków, zgodność z polityką bezpieczeństwa);
• przesłuchań personelu realizującego czynności objęte umową, w zakresie wyjaśnień dotyczących sposobu wykonywania usług, postępowania w sytuacjach nietypowych, działania mechanizmów kontrolnych i stosowania się do procedur.

3. Niezwłocznego informowania Banków, instytucji finansowych lub KNF o:

• wszelkich okolicznościach faktycznych lub ryzykach, które mogą lub mogą potencjalnie mieć istotny negatywny wpływ na realizację przedmiotu umowy – w tym w szczególności:
  • awarii systemów informatycznych, przerw w świadczeniu usług, incydentów naruszenia bezpieczeństwa danych,
  • wykrycia naruszeń przepisów prawa, regulacji wewnętrznych lub warunków kontraktowych,
  • przypadków utraty integralności danych, utraty dostępności usług, narażenia na atak zewnętrzny,
  • niewypłacalności, restrukturyzacji lub sytuacji finansowych mających wpływ na zdolność do dalszego świadczenia usług;
• działań podwykonawców lub osób trzecich, które mają wpływ na realizację usług objętych umową, w tym zmiany statusu prawnego, rezygnacji z usług podmiotu podwykonawczego, przeniesienia danych poza granice EOG lub istotnych zmian w sposobie świadczenia usług.

4. Dodatkowe zobowiązania w zakresie nadzoru i przejrzystości współpracy z Bankami i KNF:

• zapewnienie dedykowanego punktu kontaktowego w strukturze organizacyjnej Spółki do obsługi żądań nadzorczych i inspekcyjnych (Compliance Officer, Dział Kontroli Wewnętrznej, Inspektor Ochrony Danych),
• utrzymywanie dokumentacji archiwalnej dotyczącej realizacji umów przez okres co najmniej 5 lat od ich zakończenia, dostępnej na żądanie organu nadzoru lub banku,
• podejmowanie działań naprawczych i korekcyjnych na podstawie zaleceń pokontrolnych oraz przekazywanie sprawozdań z realizacji tych zaleceń do odpowiednich podmiotów nadzorczych.

BackOffice Outsourcing Sp. z o.o. traktuje obowiązki informacyjne oraz współpracę z nadzorem jako fundament zaufania w relacjach z sektorem finansowym. Przejrzystość, terminowość i kompletność dostarczanych informacji są podstawą odpowiedzialnego outsourcingu zgodnego z ustawą Prawo bankowe oraz dobrymi praktykami regulacyjnymi KNF.