Alle foretak under tilsyn fra Finanstilsynet må føre oppdatert oversikt over avtaler om utkontraktering. Avtaler som er kritisk eller viktig for foretaket må meldes til Finanstilsynet, men noen typer foretak er unntatt fra meldeplikten.

Ny forskrift om meldeplikt ved utkontraktering av virksomhet trådte i kraft 1. januar 2022. Flere foretakstyper skal omfattes av meldeplikten. Forskriften regulerer blant annet hvilke utkontrakteringsavtaler som skal meldes, hva meldingene skal inneholde og hvilke foretak som er unntatt fra meldeplikten. 

Som følge av forskriften har Finanstilsynet publisert rundskriv 7/2021 Veiledning om utkontraktering, 21. desember 2021, som erstatter rundskriv 3/2020. Rundskrivet gir veiledning på: 

• HVA som regnes som utkontraktering, 
• BEGRENSNINGER i adgangen til å utkontraktere, og 
• HVORDAN foretak under tilsyn må identifisere, vurdere og håndtere risikoen knyttet til utkontraktering. 

HVA: Det er utkontraktering når et foretak velger å la et annet foretak utføre oppgaver på vegne av foretaket, også om begge foretak er i samme konsern eller i en konsernlignende gruppe. Rundskrivet lister opp en rekke gode eksempler på oppgaver, og definerer hvilke av disse oppgavene som er å regne som utkontraktering, og hvilke som ikke er å regne som utkontraktering. Videre presiseres det at utkontrakteringsavtalen må gi foretaket de rettigheter som er nødvendig for at utkontrakteringen kan anses forsvarlig. Det listes også opp en rekke konkrete krav til avtaleverket. 
 
BEGRENSNINGER: Foretaket må ha fastsatte strategier og overordnede retningslinjer for risikostyring og internkontroll, og kan bare utkontraktere virksomhet dersom det anses forsvarlig. Dette forutsetter at parten det utkontrakteres til har kompetanse og kapasitet, og at foretaket selv har ressurser til å sikre nødvendig styring og kontroll med utkontraktert virksomhet. Før foretaket inngår avtale om utkontraktering, må foretaket gjøre en grundig vurdering av oppdragstaker og underleverandører der det er aktuelt. Veiledningen inneholder en sjekkliste til bruk i vurderingen. Videre må foretaket sikre at Finanstilsynet kan føre tilsyn med utkontraktert virksomhet. 

Et foretak kan ikke utkontraktere oppgaver i et slikt omfang at foretaket selv ikke har tilstrekkelige ressurser til å følge opp og eventuelt avvikle utkontrakteringsavtaler, og sikre kontinuitet dersom oppgavene skal tas tilbake. Konsesjonspliktig virksomhet kan ikke utkontrakteres i et omfang som innebærer at foretaket fremstår som et tomt skall. 

I vurdering av om det er forsvarlig å utkontraktere, må det gjøres en samlet vurdering av betydningen av oppgavene for den operasjonelle virksomheten. Finansforetak kan i utgangspunktet ikke utkontraktere kjerneoppgaver. Rundskrivet gir eksempler på hva som anses som kjerneoppgaver for bank og forsikring. Rundskrivet gir også veiledning på hvilke kontrollfunksjoner og kontrolloppgaver som kan utkontrakteres. 

HVORDAN: Styrets ansvar for å sørge for forsvarlig organisering av foretakets virksomhet omfatter også de delene av virksomheten som er utkontraktert. Strategi og overordnede retningslinjer for risikostyring og internkontroll, herunder foretakets risikoprofil og risikorammer (der det er aktuelt), må dekke utkontraktert virksomhet. Styret må fastsette prinsipper og overordnede retningslinjer for hvordan utkontraktering skal skje, følges opp og overvåkes. Det er daglig leders ansvar å iverksette tiltak som sikrer styring og kontroll i samsvar med prinsippene og retningslinjene fra styret. Kritiske eller viktige utkontrakteringsavtaler skal alltid behandles i styret. 

Foretaket må ha retningslinjer og rutiner som sikrer at foretaket har en samlet oversikt over alle avtaler om utkontraktering, det vil si at oversikten inneholder nødvendige opplysninger og vurderinger og at den oppdateres løpende. Veiledningen stiller konkrete krav til detaljeringsgrad for disse retningslinjene. 

Foretaket må sikre at det har tilstrekkelig kapasitet og kompetanse, samt vurdere hvordan det skal sikres tilgang til nødvendig kapasitet og kompetanse for å sikre kontinuitet hvis oppgavene tas tilbake. Foretakets beredskapsplaner må omfatte utkontraktert virksomhet. 

Finanstilsynsloven § 4c og den nye forskriften gjelder alle foretak under tilsyn. Forskriften inneholder: 

• Krav til samlet oversikt over utkontrakteringsavtaler 
• Hvilke avtaler som skal meldes til Finanstilsynet 
• Krav til meldingen 
• Hvilke foretak som er unntatt fra meldeplikten

Forvaltere for verdipapirfond og forvaltere av alternative investeringsfond er unntatt fra meldeplikten under forskrift til finanstilsynsloven, men er underlagt en noe mer begrenset meldeplikt etter verdipapirfondloven og AIF-loven, og har likevel meldeplikt for utkontraktering som gjelder investeringstjenester. Alle foretak under tilsyn skal ha en oppdatert oversikt over avtaler om utkontraktering, selv om foretaket er unntatt fra meldeplikten. 

Forslag til plan for implementering: 

1. Påse at strategi og overordnede retningslinjer for risikostyring og internkontroll, herunder foretakets risikoprofil dekker utkontraktert virksomhet
2. Sørge for tilfredsstillende dokumentert risikovurdering før en tjeneste utkontrakteres 
3. Gjennomgå eksisterende avtaler, og vurder om disse er utkontraktering eller ikke i henhold til veiledningen. Vurder om avtalene ivaretar formkravene i veiledningen. 
4. Vurder behov for fornyet dokumentert vurdering av oppdragstaker i samsvar med sjekklisten i veiledningen 
5. Vurder behov for fornyet dokumentert vurdering av omfang og art av utkontraktert virksomhet, og dokumenter forsvarlighetsvurderingen 
6. Utarbeid oversikt over samtlige utkontrakteringsavtaler med detaljeringsnivå i henhold til veiledningen 
7. Vurder om det foreligger avtaler som medfører meldeplikt 
8. Påse at selskapet har rutiner for (minimum) årlig gjennomgang av utkontraktert virksomhet 
    

Vi kan bistå med implementeringen. 

Ta gjerne kontakt med oss: 

Roald Albrigtsen (roald.albrigtsen@permian.no /+47 992 59 350)