Obsah (6)

§ 373§ 255§ 39§ 152§ 32§ 31

BEK H#LOKDOK04 B B20200087705 CQ001271 214623 Bekendtgørelse om outsourcing for kreditinstitutter m.v. 2020 2020-06-12 2020-06-16 2022-08-05 Historic 877 Lovtidende A 2020-06-16 2022-06-22 A2021027102

§ 373, stk.

4, i lov om finansiel virksomhed, jf. lovbekendtgørelse nr. 937 af

1. september 2019, som ændret ved lov nr. 641 af
2. maj 2020, § 62, stk. 3,

§ 255, stk.

1, i lov om kapitalmarkeder, jf. lovbekendtgørelse nr. 377 af

1. april 2020, som ændret ved lov nr. 641 af
2. maj 2020,

§ 39, stk.

4,

§ 152, stk.

7, i lov om betalinger, jf. lovbekendtgørelse nr. 1024 af

1. oktober 2019, som ændret ved lov nr. 641 af
2. maj 2020, fastsættes: Kapitel 1 Anvendelsesområde m.v. §
3. Bekendtgørelsen finder anvendelse på følgende virksomheder, når virksomheden gør brug af outsourcing: 1) Pengeinstitutter. 2) Realkreditinstitutter. 3) Fondsmæglerselskaber. 4) Investeringsforvaltningsselskaber. 5) Sparevirksomheder. 6) Fælles datacentraler. 7) Operatører af regulerede markeder. 8) E-pengeinstitutter. 9) Betalingsinstitutter. 10) Danmarks Skibskredit A/S. Stk.
4. Bekendtgørelsen finder med de fornødne tilpasninger

så anvendelse på de virksomheder, der er nævnt i stk. 1, nr. 1-7

10, på delkonsolideret

konsolideret niveau. Stk. 3. Modervirksomheder, der er omfattet af stk. 1, skal sikre, at anvendelsen af outsourcing hos virksomheden

dens dattervirksomheder, der er omfattet af stk. 1, nr. 1-7

10, er konsistent, velintegreret

passende på alle niveauer i koncernen. Stk.

1. Bestemmelserne i denne bekendtgørelse finder ikke anvendelse på outsourcing, der er reguleret af andre regler på det finansielle område. §
2. Outsourcingvirksomheden skal opfylde kravene i denne bekendtgørelse under hensyn til, om kravene er proportionale i forhold til virksomhedens risikoprofil, forretningsmodel, størrelse, kompleksiteten af virksomhedens aktiviteter

virksomhedens struktur. For hver enkelt outsourcing skal outsourcingvirksomheden tage hensyn til 1) kompleksiteten af den outsourcede proces, tjenesteydelse eller aktivitet, 2) risici forbundet med den pågældende outsourcing, 3) hvor kritisk eller vigtig den outsourcede proces, tjenesteydelse eller aktivitet er,

4) den potentielle indvirkning, som den pågældende outsourcing kan have på virksomhedens drift. Kapitel 2 Afgrænsning af outsourcing § 3. Outsourcing omfatter enhver form for ordning mellem en virksomhed

en leverandør, i henhold til hvilken leverandøren udfører en proces, en tjenesteydelse eller en aktivitet, som outsourcingvirksomheden ellers selv ville udføre. Stk.

1. Ved vurderingen af, om en ordning udgør outsourcing, skal outsourcingvirksomheden overveje, hvorvidt processerne, tjenesteydelserne eller aktiviteterne eller dele heraf udføres gentagne gange eller løbende af leverandøren. Outsourcingvirksomheden skal desuden overveje om processerne, tjenesteydelserne eller aktiviteterne eller dele heraf normalt ville falde inden for rammerne af processer, tjenesteydelser eller aktiviteter, der realistisk set ville eller kunne udføres af outsourcingvirksomheden.
2. pkt. gælder

så, selvom outsourcingvirksomheden ikke har udført disse processer, tjenesteydelser eller aktiviteter selv tidligere. Stk.

1. Indeholder en ordning med en leverandør flere processer, tjenesteydelser eller aktiviteter, skal outsourcingvirksomheden inddrage alle aspekter af ordningen. Stk.
2. Følgende udgør ikke outsourcing: 1) En proces, tjenesteydelse eller aktivitet, som virksomheden i henhold til lovgivning er forpligtet til at få udført af en leverandør, herunder lovpligtig revision. 2) Brug af markedsinformationstjenester. 3) Globale betalingsnetværksinfrastrukturer. 4) Clearing

afviklingsordninger mellem clearingcentraler, centrale modparter

afviklingsinstitutter

deres medlemmer. 5) Korrespondentbankydelser. 6) Køb af tjenester, varer eller forsyning, som ikke normalt ville blive udført af outsourcingvirksomheden. Kritisk eller vigtig outsourcing §

1. Outsourcing skal anses som kritisk eller vigtig outsourcing, hvis en fejl eller mangel ved dens udførelse væsentligt vil forringe outsourcingvirksomhedens 1) mulighed for at overholde betingelserne i sin tilladelse, 2) finansielle resultater eller 3) mulighed for på et forsvarligt grundlag at udøve sine aktiviteter. Stk.
2. Outsourcing af it-opgaver, der udføres for finansielle virksomheder, skal for fælles datacentraler anses som kritisk eller vigtig outsourcing, hvis en fejl eller mangel ved dens udførelse væsentligt vil forringe de finansielle virksomheders 1) mulighed for at overholde betingelserne i deres tilladelse, 2) finansielle resultater eller 3) mulighed for på et forsvarligt grundlag at udøve deres aktiviteter. Stk.
3. Outsourcing af tilladelsespligtige aktiviteter er kritisk eller vigtig outsourcing. Stk.
4. Outsourcing af operationelle opgaver i interne kontrolfunktioner skal anses for kritisk eller vigtig outsourcing, medmindre manglende eller uhensigtsmæssig udførelse af de outsourcede processer, tjenesteydelser eller aktiviteter, ikke vil have en negativ indvirkning på effektiviteten af den interne kontrolfunktion. Stk.
5. Outsourcingvirksomheden skal løbende vurdere, om en outsourcet proces, tjenesteydelse eller aktivitet er kritisk eller vigtig, hvis risikoen ved eller omfanget af processen, tjenesteydelsen eller aktiviteten har ændret sig væsentligt. §
6. Outsourcingvirksomheden skal inddrage resultatet af risikovurderingen, jf. § 19, ved vurderingen af, om der er tale om kritisk eller vigtig outsourcing. Outsourcingvirksomheden skal herudover som minimum tage højde for følgende: 1) Om outsourcingen er direkte forbundet med levering af de aktiviteter, som outsourcingvirksomheden har tilladelse til. 2) De mulige konsekvenser af enhver afbrydelse af den outsourcede proces, tjenesteydelse eller aktivitet, eller leverandørens manglende evne til at levere de aftalte leverancer løbende på det aftalte serviceniveau i forhold til a) kort-

langsigtet økonomisk modstandskraft

levedygtighed, b) forretningskontinuitet

operationel robusthed,

1. c)operationelle risici,
2. d)omdømmemæssige risici eller
3. e)eventuel genopretnings-

afviklingsplanlægning, afviklingsmuligheder

operationel kontinuitet i forbindelse med tidlig indgriben, genopretning eller afvikling. 3) De potentielle konsekvenser ved outsourcing for outsourcingvirksomhedens evne til at a) identificere, styre

overvåge alle risici,

1. b)overholde alle lovgivningsmæssige krav eller
2. c)foretage revisioner af den outsourcede proces, tjenesteydelse eller aktivitet. 4) Den potentielle indvirkning på ydelser til outsourcingvirksomhedens kunder. 5) Al øvrig outsourcing, outsourcingvirksomhedens samlede eksponering overfor den samme leverandør,

den potentielle samlede virkning af outsourcing indenfor samme forretningsområde. 6) Størrelsen

kompleksiteten af de berørte forretningsområder. 7) Muligheden for, at outsourcing kan udvides uden at erstatte eller revidere den underliggende kontrakt. 8) Muligheden for at overføre outsourcingen til en anden leverandør. 9) Muligheden for at reintegrere den outsourcede proces, tjenesteydelse eller aktivitet i outsourcingvirksomheden. 10) Beskyttelse af data

de potentielle konsekvenser af brud på fortroligheden eller manglende sikring af datatilgængelighed

dataintegritet for outsourcingvirksomheden

dens kunder. Videreoutsourcing § 6. Outsourcingvirksomheden skal ved en leverandørs videreoutsourcing af kritisk eller vigtig outsourcing til en underleverandør sikre, at der foreligger en skriftlig kontrakt mellem leverandøren

underleverandøren, der forpligter underleverandøren til at overholde gældende lovgivning, myndighedskrav

kontraktlige forpligtelser. Stk. 2. Kontrakten, jf. stk. 1, skal give outsourcingvirksomheden, en tredjepart udpeget af outsourcingvirksomheden

Finanstilsynet de samme rettigheder til adgang

revision, som fremgår af § 21, stk. 4

1. Stk.
2. Outsourcingvirksomheden skal opsige outsourcingkontrakten eller dele heraf med leverandøren, eller udøve sin ret til at modsætte sig videreoutsourcing, i tilfælde af en sådan ret er aftalt, hvis den foreslåede videreoutsourcing eller ændring i eksisterende videreoutsourcing har væsentlige negative virkninger for den kritiske eller vigtige outsourcing, eller vil føre til en væsentlig forøgelse af risikoen, eller hvis kontraktkravene fastsat efter stk. 1

2, ikke efterleves. Kapitel 3 Ledelse

styring af outsourcing §

1. Outsourcingvirksomheden må ikke som følge af brug af outsourcing blive en juridisk enhed uden selvstændig aktivitet. Stk.
2. Outsourcingvirksomheden skal til enhver tid opfylde alle betingelserne i sin tilladelse til at drive virksomhed. Stk.
3. Outsourcingvirksomheden skal ved brug af outsourcing opretholde en god adfærd i udøvelsen af de forretningsmæssige aktiviteter

udbud af tjenesteydelser. § 8. Outsourcingvirksomheden skal som led i sin risikostyring

interne kontrol sikre, at risici forbundet med outsourcing indenfor alle forretningsområder indgår i outsourcingvirksomhedens øvrige risikostyring

interne kontrolforanstaltninger. Stk. 2. Outsourcingvirksomheden skal have tilstrækkelige kompetencer

ressourcer til at sikre en tilstrækkelig styring

overvågning af

kontrol med outsourcing. §

1. Outsourcingvirksomheden skal sikre, at den effektivt udøver sine ledelsesbeføjelser i forbindelse med outsourcing. Stk.
2. Outsourcingvirksomheden skal ved brug af outsourcing sikre relevante foranstaltninger, der sikrer tilstrækkelig varetagelse af personoplysninger

data, der behandles af leverandører. Stk. 3. Outsourcingvirksomheden skal ved kritisk eller vigtig outsourcing kunne foretage mindst én af følgende handlinger indenfor en passende tidsramme: 1) Overføre processen, tjenesteydelsen eller aktiviteten til en eller flere leverandører. 2) Reintegrere processen, tjenesteydelsen eller aktiviteten i outsourcingvirksomheden. 3) Lade de forretningsmæssige aktiviteter, der er afhængige af processen, tjenesteydelsen eller aktiviteten, ophøre. Ledelsens opgaver

ansvar §

1. Bestyrelsen i outsourcingvirksomheden har ansvaret for, at outsourcing anvendes betryggende i outsourcingvirksomheden. Stk.
2. Bestyrelsens ansvar

opgaver kan ikke outsources. Stk. 3. Bestyrelsen skal overvåge direktionens beslutninger

styring af alle risici i forbindelse med outsourcing. Stk. 4. Bestyrelsen skal godkende, regelmæssigt revidere

ajourføre en skriftlig outsourcingpolitik, der opfylder kravene i bilag

1. Bestyrelsen skal sikre, at politikken efterleves i outsourcingvirksomheden. Stk.
2. Bestyrelsen skal, som led i den løbende risikovurdering, overvågning

kontrol, sikre, at den periodisk modtager rapportering om risici

eventuelle ændringer heri, der er identificeret i forbindelse med kritisk eller vigtig outsourcing, jf. §§ 19, 20

1. §
2. Bestyrelsen skal beslutte klare rammer

betingelser før indgåelse af kritiske eller vigtige outsourcingkontrakter samt for de herved forbundne risici, som bestyrelsen kan acceptere. Stk. 2. Bestyrelsens rammer

betingelser, jf. stk. 1, skal besluttes på baggrund af en forudgående analyse, der som minimum inddrager kravene i §§ 4, 13

18-

1. Stk.
2. Indgår outsourcingvirksomheden i en koncern, der benytter en centraliseret forhåndsvurdering af outsourcing, skal outsourcingvirksomheden modtage vurderingen

sikre, at der tages hensyn til outsourcingvirksomhedens særlige struktur

risici i forhåndsvurderingen. § 12. Direktionen i outsourcingvirksomheden skal indenfor de rammer, som er fastlagt af bestyrelsen, jf. §§ 10

11 sikre, at anvendelse af outsourcing i virksomheden sker betryggende. Stk. 2. Direktionen skal sikre, at ansvaret for styring, overvågning

kontrol samt dokumentation af al outsourcing er entydigt placeret. Stk. 3. Direktionen skal udpege en outsourcingansvarlig, som er ansvarlig for styring, overvågning

kontrol af outsourcing

for sikring af dokumentationen af outsourcing. Stk. 4. Direktionen kan indenfor de rammer

betingelser, som er fastsat i medfør af § 11, stk. 1, indgå outsourcingkontrakter med leverandører. Stk. 5. Direktionen skal sikre, at bestyrelsen orienteres om ændringer af kritisk eller vigtig outsourcing

de potentielle konsekvenser af disse ændringer. Orienteringen skal

så foretages i outsourcingvirksomheder, der indgår i en koncern,

hvor overvågningen foretages centralt, jf. §

1. Kapitel 4 Interessekonflikter §
2. Outsourcingvirksomheden skal løbende identificere, vurdere, forebygge

afhjælpe de interessekonflikter, der opstår eller kan opstå ved brug af outsourcing. Beredskabsplaner § 14. Outsourcingvirksomheden skal udarbejde, vedligeholde

regelmæssigt teste beredskabsplaner med hensyn til kritisk eller vigtig outsourcing. Stk.

1. Indgår outsourcingvirksomheden i en koncern, kan outsourcingvirksomheden med de nødvendige tilpasninger i stedet anvende centralt fastlagte beredskabsplaner for outsourcing. Dokumentationskrav §
2. Outsourcingvirksomheden skal dokumentere vurderinger

beslutninger, der er nødvendige for at overholde denne bekendtgørelse. Outsourcingregister § 16. Outsourcingvirksomheden skal føre

løbende opdatere et register med oplysninger om outsourcing i overensstemmelse med kravene i bilag

1. Stk.
2. Outsourcingvirksomheden skal opbevare dokumentation for afsluttet outsourcing i registeret

øvrig dokumentation i minimum 5 år, medmindre andet følger af anden lovgivning. Stk.

1. Outsourcingvirksomheden skal på Finanstilsynets anmodning uden unødigt ophold udlevere oplysninger fra registeret i elektronisk læsbar form til Finanstilsynet. Stk.
2. Indgår outsourcingvirksomheden i en koncern, kan outsourcingvirksomheden udpege en virksomhed i koncernen, der fører registeret over outsourcingvirksomhedens outsourcing. Stk.
3. Indgår outsourcingvirksomheden i en koncern, der fører et register over eksisterende outsourcing, skal de virksomheder i koncernen, der er omfattet af denne bekendtgørelse, uden unødigt ophold kunne få udleveret sit individuelle register over outsourcing. Exitstrategier §
4. Outsourcingvirksomheden skal ved outsourcing af kritisk eller vigtig outsourcing have skiftlige exitstrategier, der opfylder kravene i bilag
5. Stk.
6. Indgår outsourcingvirksomheden i en koncern, hvor exitplanen for en kritisk eller vigtig outsourcing er blevet etableret på koncernniveau, skal outsourcingvirksomheden modtage et sammendrag af exitplanen

sikre sig, at planen kan udføres effektivt. Kapitel 5 Outsourcing af tilladelsespligtige processer, tjenesteydelser eller aktiviteter §

1. Hvor udførelse af processer, tjenesteydelser eller aktiviteter kræver tilladelser, skal outsourcingvirksomheden forud for en outsourcing sikre, at leverandøren har de fornødne tilladelser. Stk.
2. Har leverandøren hjemsted i et andet land end Danmark indenfor Den Europæiske Union eller i et land, som Unionen har indgået aftale med på det finansielle område, skal outsourcingvirksomheden sikre, at leverandøren er registreret

har tilladelse til at levere den tilladelsespligtige aktivitet af hjemlandets tilsynsmyndighed, eller på anden vis har tilladelse til at udføre de tilladelsespligtige aktiviteter i overensstemmelse med national lovgivning. Stk. 3. Har leverandøren hjemsted i et land udenfor Den Europæiske Union, som Unionen ikke har indgået aftale med på det finansielle område, skal outsourcingvirksomheden sikre, at følgende betingelser er opfyldt: 1) Leverandøren er registreret eller har tilladelse til at levere den tilladelsespligtige aktivitet

er underlagt tilsyn i hjemlandet. 2) Der foreligger en samarbejdsaftale mellem Finanstilsynet

de myndigheder, der fører tilsyn med leverandøren i hjemlandet, der sikrer, at Finanstilsynet som minimum har følgende beføjelser:

1. a)Finanstilsynet kan på anmodning indhente nødvendige oplysninger til at udføre tilsynsopgaver i henhold til den finansielle lovgivning.
2. b)Finanstilsynet kan få adgang til alle data, dokumenter, lokaler eller ansatte i leverandørens hjemland, som er relevante for udførelsen af sine tilsynsbeføjelser.
3. c)Finanstilsynet kan så hurtigt som muligt modtage oplysninger fra tilsynsmyndigheder i leverandørens hjemland om mulige brud på den finansielle lovgivning.
4. d)Finanstilsynet kan samarbejde med tilsynsmyndigheder i leverandørens hjemland om håndhævelse i tilfælde af, at leverandøren overtræder relevante danske myndighedskrav

dansk lovgivning. Kapitel 6 Risikovurdering ved anvendelse af outsourcing § 19. Outsourcingvirksomheden skal før en beslutning om outsourcing eller videreoutsourcing 1) vurdere de potentielle konsekvenser for outsourcingvirksomhedens operationelle risici

2) træffe nødvendige foranstaltninger til at begrænse operationelle risici i forbindelse med outsourcingen. Stk. 2. Vurderingen efter stk. 1, nr. 1, skal som minimum indeholde: 1) En identifikation

klassifikation af de relevante processer, tjenesteydelser eller aktiviteter

beslægtede data

systemer ud fra deres følsomhed

påkrævede beskyttelsesforanstaltninger. 2) En risikobaseret analyse af processerne, tjenesteydelserne

aktiviteterne

relaterede data

systemer i forbindelse med outsourcingen. 3) Vurderinger af konsekvenserne ved leverandørens lokalitet. 4) Vurderinger af den politiske stabilitet

sikkerhedssituationen i de relevante jurisdiktioner. 5) Definition

fastlæggelse af et passende beskyttelsesniveau for datafortroligheden, kontinuiteten af de outsourcede aktiviteter

integriteten

sporbarheden af dataene

systemerne i forbindelse med den tilsigtede outsourcing. 6) Vurderinger af relevante sikkerhedsforanstaltninger for dataoverførsel, databehandling

datalagring. 7) Vurderinger af betydningen af, at leverandøren eventuelt er en datter- eller modervirksomhed til outsourcingvirksomheden. Stk.

1. Vurderingen skal, hvor det er relevant, omfatte scenarier af mulige risikohændelser. Stk.
2. Vurderingen skal tage hensyn til de forventede konsekvenser ved outsourcing, herunder som minimum følgende: 1) Koncentrationsrisici. 2) De samlede risici som følge af outsourcing på tværs af outsourcingvirksomheden eller i den samlede koncern. 3) Risikoen for, at outsourcingvirksomheden kan blive tvunget til at yde økonomisk støtte til en nødlidende leverandør eller overtage dennes forretningsmæssige aktiviteter. 4) De foranstaltninger, som skal gennemføres af outsourcingvirksomheden

leverandøren med henblik på at styre

mindske risiciene. Stk. 5. Vurderingen skal, hvis leverandører kan videreoutsource kritisk eller vigtig outsourcing til underleverandører, tage hensyn til følgende: 1) De risici, der er forbundet med videreoutsourcing. 2) Risikoen for, at flere underleverandører ved videreoutsourcing kan mindske outsourcingvirksomhedens mulighed for at føre kontrol med kritisk eller vigtig outsourcing

tilsynsmyndigheders mulighed for effektivt at føre tilsyn med kritisk eller vigtig outsourcing. Stk.

1. Vurderingen skal tage højde for risici ved et eventuelt ophør af outsourcingen, herunder risici ved at overføre den outsourcede proces, tjenesteydelse eller aktivitet til en anden leverandør eller ved at reintegrere processen, tjenesteydelsen eller aktiviteten i outsourcingvirksomheden. Forudgående undersøgelse §
2. En outsourcingvirksomhed skal, før der træffes beslutning om valg af leverandør ved outsourcing, foretage en undersøgelse af leverandøren. Stk.
3. Undersøgelsen skal som minimum indeholde en vurdering af: 1) Leverandørens forretningsmodel, virksomhedstype, størrelse, kompleksitet, finansielle situation, ejerskab

koncernstruktur. 2) De langsigtede relationer med leverandører, som allerede er vurderet,

som udfører tjenester for outsourcingvirksomheden. 3) Om leverandøren er koncernforbundet med outsourcingvirksomheden. 4) Om leverandøren er underlagt tilsyn af Finanstilsynet eller anden relevant myndighed. 5) Om leverandøren kan træffe passende tekniske

organisatoriske foranstaltninger med henblik på at beskytte outsourcingvirksomhedens data, herunder personoplysninger. 6) Om leverandøren

eventuelle underleverandører handler i overensstemmelse med outsourcingvirksomhedens værdier

adfærdskodeks. Kapitel 7 Outsourcingkontrakt § 21. Outsourcingvirksomheden skal indgå en skriftlig outsourcingkontrakt med leverandøren, hvor parternes rettigheder

forpligtelser klart fremgår. Stk.

1. Outsourcingkontrakten skal for kritisk eller vigtig outsourcing opfylde kravene i bilag
2. Stk.
3. Outsourcingvirksomheden skal i outsourcingkontrakten for outsourcing, der ikke er kritisk eller vigtig, opfylde kravene i bilag 3, nr.
4. Stk.
5. Outsourcingvirksomheden skal i outsourcingkontrakten for outsourcing, der ikke er kritisk eller vigtig, ud fra en risikobaseret tilgang sikre ret til adgang

revision som anført i stk. 5

bilag 3, nr.

1. Stk.
2. Outsourcingvirksomheden skal ved kritisk eller vigtig outsourcing sikre, at outsourcingkontrakten eller andre kontraktordninger ikke hindrer eller begrænser den faktiske udøvelse af retten til adgang

revision for outsourcingvirksomheden, Finanstilsynet, Finansiel Stabilitet eller en tredjepart, der er udpeget af outsourcingvirksomheden til at udøve disse rettigheder. Stk. 6. Outsourcingvirksomheden skal i outsourcingkontrakten for outsourcing, der ikke er kritisk eller vigtig, tage højde for, at outsourcede processer, tjenesteydelser

aktiviteter kan blive kritiske eller vigtige. Kapitel 8 Databeskyttelse

it-relateret outsourcing § 22. Outsourcingvirksomheden skal, med forbehold for kravene i Europa-Parlamentets

Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger

om fri udveksling af sådanne oplysninger

om ophævelse af direktiv 95/46/EF

senere ændringer hertil, tage hensyn til forskelle i nationale bestemmelser om beskyttelse af data, når der sker outsourcing eller videreoutsourcing af data. Stk. 2. Outsourcingvirksomheden skal anlægge en risikobaseret tilgang til datalagrings-

databehandlingslokaliteter

informationssikkerhedshensyn, hvis outsourcing involverer behandling eller videregivelse af personoplysninger eller fortrolige data. Stk. 3. Outsourcingvirksomheden skal, hvor det er relevant, sikre, at den er i stand til at udføre test af it-sikkerheden for at vurdere effektiviteten af foranstaltninger til modvirkning af cyber-

informationsrisici samt kommunikationsteknologiske risici. Kapitel 9 Overvågning

kontrol § 23. Outsourcingvirksomheden skal ud fra en risikobaseret tilgang løbende overvåge, undersøge

kontrollere leverandørens arbejde

foretage revisionsmæssige gennemgange af leverandøren. Stk.

1. Outsourcingvirksomheden skal før et planlagt besøg hos en leverandør sikre, at outsourcingvirksomheden, revisorer eller tredjeparter, der handler på vegne af outsourcingvirksomheden, giver leverandøren et rimeligt varsel. Stk.
2. Leverandøren skal ikke modtage et rimeligt varsel, hvis det ikke er muligt på grund af en nødsituation eller krisesituation, eller hvis besøgets formål vil blive forspildt. Stk.
3. Ved gennemførelse af et besøg, jf. stk. 2, skal outsourcingvirksomheden tage behørigt hensyn til leverandørens drift

sikkerhed, hvis leverandøren betjener andre kunder. Outsourcingvirksomhedens repræsentanter skal have relevante kvalifikationer

viden til at gennemføre besøget. Stk. 5. Outsourcingvirksomheden skal løbende ajourføre sine vurderinger i overensstemmelse med §§ 5

1. Stk.
2. Outsourcingvirksomheden skal overvåge sine interne koncentrationsrisici som følge af outsourcing under hensyntagen til § 19, stk.
3. Stk.
4. Outsourcingvirksomheden skal løbende sikre, at en outsourcing opfylder hensigtsmæssige resultat-

kvalitetsstandarder i overensstemmelse med outsourcingvirksomhedens politikker ved at 1) sikre, at outsourcingvirksomheden modtager passende rapportering fra leverandøren, 2) evaluere de leverancer, der modtages fra leverandøren ved brug af værktøjer, herunder centrale præstations-

kontrolindikatorer, rapporter om udførelsen af tjenesterne, selvcertificering

uafhængige undersøgelser

3) gennemgå alle andre relevante oplysninger modtaget fra leverandøren, herunder rapporter om beredskabsplaner

test af disse. Stk. 8. Outsourcingvirksomheden skal overvåge, om leverandøren overholder de aftalte data-

systemsikkerhedskrav, hvis outsourcing vedrører it-ydelser. § 24. Outsourcingvirksomheden skal træffe passende foranstaltninger,

om nødvendigt bringe outsourcingkontrakten til ophør med øjeblikkelig virkning, hvis den finder mangler i varetagelsen af den outsourcede proces, tjenesteydelse eller aktivitet. Brug af centraliseret overvågning

kontrol § 25. Outsourcingvirksomheden skal, såfremt den operationelle overvågning

kontrol af kritisk eller vigtig outsourcing er centraliseret, sikre, at den centraliserede overvågningsfunktion 1) har mulighed for uafhængigt af outsourcingvirksomheden at foretage overvågning af leverandøren

2) foretage en passende overvågning af outsourcingvirksomheden. Stk. 2. Outsourcingvirksomheden skal som minimum, såfremt den operationelle overvågning

kontrol af outsourcing er centraliseret, fra den centraliserede overvågningsfunktion modtage 1) årlig rapportering, der indeholder et sammendrag af risikovurderingen, jf. § 19,

rapportering om relevante resultat-

kvalitetsstandarder, jf. § 23, stk. 7

8,

2) et sammendrag af de relevante revisionsrapporter for så vidt angår kritisk eller vigtig outsourcing

mulighed for at få stillet den fulde revisionsrapport til rådighed. Brug af fælles revisioner med andre af leverandørens kunder § 26. Outsourcingvirksomheden kan anvende fælles revision, der tilrettelægges

udføres i fællesskab med andre af leverandørens kunder, eller en tredjepart, udpeget af outsourcingvirksomheden

andre af leverandørens kunder i fællesskab. Brug af interne revisionsrapporter, tredjepartscertificeringer

tredjepartsrevisionsrapporter stillet til rådighed af leverandøren § 27. Outsourcingvirksomheden kan anvende tredjepartscertificeringer, tredjepartsrevisionsrapporter

interne revisionsrapporter stillet til rådighed af leverandøren, hvis betingelserne i nr. 1-7 er opfyldte: 1) Outsourcingvirksomheden vurderer, at revisionsplanen for den outsourcede proces, tjenesteydelse eller aktivitet er tilstrækkelig. 2) Outsourcingvirksomheden sikrer, at anvendelsesområdet for certificeringen eller revisionsrapporten omfatter de centrale systemer

nøglekontroller, som outsourcingvirksomheden har udpeget,

at certificeringen eller revisionsrapporten overholder relevante myndighedskrav. 3) Outsourcingvirksomheden vurderer indholdet af certificeringerne eller revisionsrapporterne løbende

verificerer, at de ikke er forældede. 4) Outsourcingvirksomheden er tilfreds med egnetheden hos den eller de parter, der udfører certificeringen eller revisionen. 5) Outsourcingvirksomheden sikrer, at certificeringerne

revisionerne udføres i henhold til anerkendte relevante branchestandarder

omfatter test af nøglekontrollernes operationelle effektivitet. 6) Outsourcingvirksomheden har kontraktuel ret til at kræve, at certificeringernes eller revisionsrapporternes anvendelsesområde udvides til andre relevante systemer

kontroller. 7) Outsourcingvirksomheden bevarer den kontraktuelle ret til at skønne, om der skal udføres egne revisionshandlinger for så vidt angår kritisk eller vigtig outsourcing. Stk.

1. Anvender outsourcingvirksomheden tredjepartscertificeringer, tredjepartsrevisionsrapporter eller interne revisionsrapporter stillet til rådighed af leverandøren, skal den sikre, at outsourcingvirksomheden kan opfylde sine regulatoriske forpligtelser. Stk.
2. Outsourcingvirksomheden må for kritisk eller vigtig outsourcing ikke over tid udelukkende forlade sig på tredjepartscertificeringer, tredjepartsrevisionsrapporter eller interne revisionsrapporter, der er stillet til rådighed af leverandøren. Kapitel 10 Meddelelse til Finanstilsynet §
3. Outsourcingvirksomheden skal i god tid meddele Finanstilsynet om den planlagte kritiske eller vigtige outsourcing. Stk.
4. Meddelelsen efter stk. 1 skal indeholde de oplysninger, der er nævnt i bilag 2, nr.
5. Stk.
6. Ændringer eller hændelser, der kan have en væsentlig indvirkning på den fortsatte levering af en allerede indgået outsourcing, skal i god tid meddeles til Finanstilsynet. Kapitel 11 Dispensation §
7. Finanstilsynet kan i særlige tilfælde dispensere fra bestemmelserne i bekendtgørelsen. Kapitel 12 Straf §
8. Overtrædelse af §§ 5-25, §§ 27

28

§ 32, stk.

3 straffes med bøde. Stk.

1. Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens
2. kapitel. Kapitel 13 Ikrafttræden

overgangsbestemmelser §

1. Bekendtgørelsen træder i kraft den
2. juli
3. Stk.
4. § 18, stk. 3, nr. 2, træder i kraft den
5. januar
6. Stk.
7. Bekendtgørelse nr. 1304 af
8. november 2010 om outsourcing af væsentlige aktivitetsområder ophæves. §
9. Bekendtgørelsen finder anvendelse på outsourcingkontrakter, der indgås, revideres eller genforhandles den
10. juli 2020 eller derefter. Stk.
11. Outsourcingkontrakter, der er indgået inden den
12. juli 2020, skal senest den
13. december 2022 være i overensstemmelse med reglerne i denne bekendtgørelse. For outsourcingkontrakter, der er indgået inden den
14. juli 2020, finder de hidtidigt gældende regler anvendelse indtil den
15. december
16. Stk.
17. Er outsourcingkontrakter om kritisk eller vigtig outsourcing ikke bragt i overensstemmelse med denne bekendtgørelse senest den
18. december 2022, skal outsourcingvirksomheden underrette Finanstilsynet herom, herunder om de foranstaltninger, der er planlagt for at bringe outsourcingkontrakten i overensstemmelse med bekendtgørelsen eller den mulige exitstrategi. Bilag 1 Outsourcingpolitik Krav til outsourcingpolitikken 1) Den skriftlige outsourcingpolitik skal angive de vigtigste faser i det forløb, som en outsourcing gennemgår,

fastlægge principper, ansvar

processer i forbindelse med outsourcing. Outsourcingpolitikken skal desuden som minimum indeholde en klar stillingtagen til: a) Bestyrelsens

direktionens ansvar

opgaver

involvering i beslutningsprocesserne om kritisk eller vigtig outsourcing. b) Inddragelse af forretningsområder, interne kontrolfunktioner

andre funktioner i forbindelse med outsourcing.

1. c)Planlægning af outsourcing, herunder
2. i)afdækning af forretningsmæssige krav for outsourcing,
3. ii)kriterier

fremgangsmåder, jf. § 4, til identifikation af kritisk eller vigtig outsourcing, iii) risikoidentifikation, -vurdering

-styring, jf. § 19,

1. iv)krav til forudgående undersøgelse af leverandører, jf. § 20,
2. v)procedurer for identifikation, vurdering, forebyggelse

afhjælpning af potentielle interessekonflikter, jf. § 13, vi) beredskabsplaner, jf. § 14,

vii) godkendelsesprocessen for nye outsourcingaftaler. d) Gennemførelse, styring

overvågning af outsourcing, herunder krav til

1. i)den løbende vurdering af leverandørens udøvelse af den outsourcede aktivitet,
2. ii)procedurer for at blive underrettet om

reagere på ændringer i outsourcingaftaler eller hos leverandører, iii) om outsourcingvirksomheden vil acceptere videreoutsourcing

eventuelle procedurer for påbegyndelse eller ændringer i videreoutsourcing, iv) uafhængig gennemgang

revision af overholdelsen af juridiske

forskriftsmæssige krav

politikker

1. v)fornyelsesprocesser.
2. e)Dokumentation

register, jf. §§ 15

16. f) Exitstrategier

opsigelsesprocesser, herunder krav til en dokumenteret exitplan for hver enkelt kritisk eller vigtig outsourcing, der tager hensyn til eventuelle driftsafbrydelser eller uventet opsigelse af en outsourcingkontrakt, hvor en sådan exit anses for mulig. g) Hvordan der skelnes mellem følgende former for outsourcing: i) Kritisk eller vigtig outsourcing

øvrig outsourcing. ii) Outsourcing til leverandører, som er godkendt af en finansiel tilsynsmyndighed,

til leverandører, der ikke har en sådan godkendelse. iii) Koncernintern outsourcing

outsourcing til leverandører udenfor koncernen. iv) Outsourcing til leverandører, der ligger udenfor

indenfor Den Europæiske Union.

1. h)Outsourcingpolitikkens eventuelle anvendelse for øvrige enheder i koncernen.
2. i)Outsourcingpolitikkens anvendelse ved eventuel outsourcing til en leverandør, der indgår i en koncern. 2) Outsourcingpolitikken skal for virksomheder omfattet af § 1, stk. 1, nr. 1-7

10,

så indeholde bestemmelser, der sikrer, at:

1. a)Outsourcingvirksomheden ikke fritages for reguleringsforpligtelser eller ansvaret overfor outsourcingvirksomhedens kunder.
2. b)Outsourcingvirksomheden tager hensyn til, om leverandøren har indført passende etiske standarder eller et adfærdskodeks.
3. c)Outsourcingvirksomhedens anvendelse af outsourcing ikke hindrer Finanstilsynets mulighed for at udøve et effektivt tilsyn med outsourcingvirksomheden.
4. d)Outsourcingvirksomhedens anvendelse af outsourcing ikke strider mod eventuelle tilsynsmæssige begrænsninger af tjenesteydelser

aktiviteter. e) Outsourcingvirksomheden anvender outsourcing i overensstemmelse med sine retningslinjer for udvikling

godkendelse af nye tjenesteydelser

produkter, hvis virksomheden har sådanne retningslinjer. 3) Outsourcingpolitikken skal indeholde krav, der sikrer, at outsourcingvirksomheden i tilfælde af outsourcing, der involverer behandling eller videregivelse af personoplysninger eller fortrolige data, anvender en risikobaseret tilgang til datalagrings-

databehandlingslokaliteter

informationssikkerhedshensyn. Særlige krav til kritisk eller vigtig outsourcing 4) Outsourcingpolitikken skal for kritisk eller vigtig outsourcing dække følgende potentielle virkninger, som der skal tages højde for ved beslutning om outsourcing: a) Outsourcingvirksomhedens risikoprofil. b) Outsourcingvirksomhedens mulighed for at overvåge

føre kontrol med leverandøren

for at styre risici som følge af outsourcingen.

1. c)Outsourcingvirksomhedens beredskabsplaner.
2. d)Betydningen for resultatet af outsourcingsvirksomhedens forretningsaktiviteter. Bilag 2 Outsourcingregister Krav til outsourcingregisteret 1) Outsourcingregisteret skal som minimum indeholde følgende oplysninger om alle outsourcingaftaler:
3. a)Et referencenummer.
4. b)Startdato, eventuelle kontraktfornyelsesdatoer, slutdatoer

eventuelle opsigelsesvarsler for leverandøren

outsourcingvirksomheden. c) En kort beskrivelse af den outsourcede proces, tjenesteydelse eller aktivitet,

en kategorisering af outsourcingaftalen, der afspejler karakteren af processen, tjenesteydelsen eller aktiviteten, så de enkelte typer af outsourcingaftaler kan identificeres i forskellige kategorier. d) En kort beskrivelse af de data, der er outsourcet,

om der er overført personoplysninger,

om behandlingen heraf er outsourcet til en leverandør.

1. e)Oplysninger om leverandøren, herunder leverandørens
2. i)navn,
3. ii)CVR-nummer eller tilsvarende identifikationsnummer, iii) registrerede adresse,
4. iv)kontaktoplysninger

1. v)navne på eventuelle moderselskaber.
2. f)Det land eller de lande, hvor processen, tjenesteydelsen eller aktiviteten skal udføres, herunder datalokalitet.
3. g)Hvorvidt der er tale om kritisk eller vigtig outsourcing.
4. h)Datoen for den seneste vurdering af, om der er tale om kritisk eller vigtig outsourcing. 2) Outsourcingregisteret skal i tilfælde af, at en outsourcingaftale indeholder brug af cloudtjenester, indeholde følgende:
5. a)Oplysninger om den pågældende cloudleverandør.
6. b)Cloudtjenestens implementeringsmodeller.
7. c)Den særlige karakter af

lokaliteterne for de data, der skal opbevares. Særlige krav til kritisk eller vigtig outsourcing 3) For kritisk eller vigtig outsourcing skal outsourcingregisteret som minimum indeholde følgende yderligere oplysninger for hver enkelt aftale:

1. a)De virksomheder indenfor koncernen, der udover outsourcingvirksomheden gør brug af outsourcingen.
2. b)Hvorvidt leverandøren eller underleverandøren er en del af koncernen eller er ejet af andre virksomheder i koncernen.
3. c)Datoen for den seneste risikovurdering af outsourcingen

en kort beskrivelse af resultatet af denne risikovurdering, jf. § 19.

1. d)Den person eller det beslutningsorgan i outsourcingvirksomheden, som godkendte outsourcingaftalen.
2. e)Den gældende lovgivning, som outsourcingkontrakten er underlagt.
3. f)Datoen for de seneste

næste planlagte revisioner, hvor det er relevant.

1. g)En vurdering af leverandørens substituerbarhed.
2. h)En vurdering af muligheden for at reintegrere processen, tjenesteydelsen eller aktiviteten i outsourcingvirksomheden.
3. i)En vurdering af virkningen af, at processen, tjenesteydelsen eller aktiviteten ophører.
4. j)Identifikation af alternative leverandører.
5. k)Hvorvidt de outsourcede processer, tjenesteydelser eller aktiviteter understøtter tidskritisk forretningsdrift.
6. l)De anslåede årlige budgetomkostninger.
7. m)Hvis det er relevant, navnene på eventuelle underleverandører, som væsentlige dele af en kritisk eller vigtig proces, tjenesteydelse eller aktivitet er videreoutsourcet til, herunder
8. i)det land, hvor underleverandørerne er registreret,
9. ii)det sted, hvor ydelsen vil blive udført af underleverandørerne,

iii) de lokaliteter, hvor eventuel dataopbevaring sker. 4) Vurderer outsourcingvirksomheden, at en leverandørs aftale om videreoutsourcing i sig selv er kritisk eller vigtig, skal denne outsourcingaftale optages i registeret i overensstemmelse med de krav, der følger af nr. 1-3. 5) Outsourcingregisteret skal indeholde oplysninger om den del af en proces, tjenesteydelse eller aktivitet, der er blevet videreoutsourcet, hvis outsourcingvirksomheden vurderer, at den videreoutsourcede del af processen, tjenesteydelsen eller aktiviteten i sig selv er kritisk eller vigtig. Bilag 3 Krav til outsourcingkontrakten 1) Outsourcingkontrakten for kritisk eller vigtig outsourcing skal som minimum indeholde: a) En beskrivelse af den outsourcede proces, tjenesteydelse eller aktivitet, der skal leveres, herunder kvantitative

kvalitative mål for leverancerne

resultaterne indeholdt i outsourcingaftalerne. b) En startdato

eventuel slutdato for outsourcingkontrakten.

1. c)Opsigelsesfrister for outsourcingvirksomheden.
2. d)Den gældende lovgivning, som outsourcingkontrakten er underlagt.
3. e)Aftaleparternes finansielle forpligtelser overfor hinanden.
4. f)Angivelse af, hvorvidt leverandøren kan videreoutsource en kritisk eller vigtig proces, tjenesteydelse eller aktivitet eller væsentlige dele deraf.
5. g)Den eller de lokaliteter, hvor outsourcingen vil blive leveret, eller hvor relevante data vil blive opbevaret

behandlet, herunder den mulige lokalitet for opbevaring.

1. h)De betingelser, som skal opfyldes, herunder kontraktkrav om at underrette outsourcingvirksomheden, hvis leverandøren ønsker at ændre lokaliteten for opbevaringen.
2. i)Adgang, tilgængelighed, integritet, databeskyttelse

sikkerhed med hensyn til data, hvis det er relevant for outsourcingaftalen. j) Outsourcingvirksomhedens ret til løbende at overvåge leverandørens leverancer

præstationer.

1. k)Outsourcingvirksomhedens krav til den løbende rapportering, som leverandøren skal give til outsourcingvirksomheden, herunder interne revisionsrapporter udarbejdet af leverandørens interne revisor, hvor det er relevant.
2. l)Leverandørens forpligtelser til at informere outsourcingvirksomheden om enhver udvikling hos leverandøren, der kan have en væsentlig indflydelse på leverandørens evne til effektivt at udføre den outsourcede kritiske eller vigtige proces, tjenesteydelse eller aktivitet i overensstemmelse med
3. i)de aftalte serviceniveauer eller
4. ii)gældende lovgivning

myndighedskrav. m) Leverandørens eventuelle pligt til at tegne en forsikring mod visse risici

et eventuelt omfang af forsikringsdækningen. n) Kravene til leverandørens gennemførsel

test af beredskabsplaner. o) Krav, der sikrer, at de data, der tilhører outsourcingvirksomheden

tilhørende relevante systemer, kan tilgås i tilfælde af insolvens, afvikling eller ophør af leverandørens forretningsaktiviteter. p) Krav, der sikrer, at leverandøren er forpligtet til at samarbejde med Finanstilsynet, Finansiel Stabilitet

andre personer udpeget af disse myndigheder. q) Outsourcingvirksomhedens eller en tredjepart udpeget af outsourcingvirksomheden

Finanstilsynets ubegrænsede ret til at undersøge

foretage revision hos leverandøren.

1. r)Opsigelsesrettigheder. Særlige krav ved videreoutsourcing 2) Tillader outsourcingkontrakten brug af videreoutsourcing af kritiske eller vigtige processer, tjenesteydelser eller aktiviteter eller væsentlige dele deraf, jf. bilag 3, nr. 1, litra f, skal outsourcingkontrakten opfylde følgende krav:
2. a)Den skal angive eventuelle typer af processer, tjenesteydelser eller aktiviteter, der ikke må videreoutsources.
3. b)Den skal angive de betingelser, der skal opfyldes i tilfælde af videreoutsourcing.
4. c)Den skal angive, at leverandøren er forpligtet til at overvåge

kontrollere de processer, tjenesteydelser eller aktiviteter, som leverandøren har videreoutsourcet, med henblik på at sikre, at alle kontraktlige forpligtelser mellem leverandøren

outsourcingvirksomheden løbende er opfyldte. d) Den skal stille krav om, at leverandøren skal indhente en forudgående specifik eller generel skriftlig tilladelse fra outsourcingvirksomheden inden videreoutsourcing af data, der er omfattet af artikel 28 i Europa-Parlamentets

Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger

om fri udveksling af sådanne oplysninger

om ophævelse af direktiv 95/46/EF. e) Den skal indeholde en forpligtelse til, at leverandøren beskytter fortrolige, personlige eller på anden måde følsomme oplysninger

overholder alle lovkrav med hensyn til beskyttelse af data, der gælder for outsourcingvirksomheden. f) Den skal omfatte en forpligtelse for leverandøren til med et aftalt varsel at underrette outsourcingvirksomheden om planlagt videreoutsourcing eller væsentlige ændringer i eksisterende videreoutsourcing. Underretningsperioden skal være tilstrækkelig lang til, at outsourcingvirksomheden som minimum kan foretage en risikovurdering, jf. § 19, af de foreslåede ændringer

gøre indvendinger mod ændringer, før den planlagte videreoutsourcing eller væsentlige ændringer heraf træder i kraft.

1. g)Den skal, hvor det er hensigtsmæssigt, omfatte en ret for outsourcingvirksomheden til at modsætte sig den planlagte videreoutsourcing eller væsentlige ændringer i eksisterende videreoutsourcingaftaler eller ret til, at outsourcingvirksomheden udtrykkeligt skal godkende den planlagte videreoutsourcing eller væsentlige ændringer i eksisterende videreoutsourcingaftaler.
2. h)Den skal sikre, at outsourcingvirksomheden har ret til at bringe kontrakten til ophør i tilfælde af uberettiget videreoutsourcing, herunder i tilfælde, hvor den uberettigede videreoutsourcing
3. i)væsentligt øger risikoen for outsourcingvirksomheden, eller
4. ii)hvor leverandøren videreoutsourcer uden på forhånd at underrette outsourcingvirksomheden, jf. bilag 3, nr. 2, litra f.
5. i)Den skal sikre, at underleverandøren forpligter sig til at overholde gældende lovgivning, myndighedskrav

kontraktlige forpligtelser, der svarer til de forpligtelser, som leverandøren har påtaget sig overfor outsourcingvirksomheden,

give outsourcingvirksomheden, herunder en tredjepart udpeget af outsourcingvirksomheden,

Finanstilsynet de samme kontraktlige rettigheder til adgang

revision, som nævnt i § 21, stk. 4

5. j) Den skal sikre, at leverandøren overvåger

fører kontrol med underleverandører i overensstemmelse med outsourcingvirksomhedens politikker. Særlige krav ved outsourcing, der indebærer it-ydelser 3) Ved outsourcing af it-ydelser skal outsourcingkontrakten definere data-

systemsikkerhedskrav

sikre, at leverandører opfylder relevante it-sikkerhedsstandarder, som sætter outsourcingvirksomheden i stand til at efterleve sin it-sikkerhedspolitik. Særlige krav om rettigheder til adgang

revision 4) Outsourcingkontrakten skal indeholde krav til leverandøren, der sikrer følgende:

1. a)At den interne revision i outsourcingvirksomheden kan foretage revision af den outsourcede proces, tjenesteydelse eller aktivitet.
2. b)At Finanstilsynet har ret til at indhente oplysninger

udøve undersøgelsesbeføjelser, jf. §§ 346

347 i lov om finansiel virksomhed. c) At Finanstilsynet

Finansiel Stabilitet har ret til at indhente oplysninger

udøve undersøgelsesbeføjelser i forbindelse med afviklingsplanlægning. d) At outsourcingvirksomheden, Finanstilsynet, Finansiel Stabilitet

enhver anden person, der er udpeget af outsourcingvirksomheden, Finanstilsynet eller Finansiel Stabilitet, har i) fuld adgang til alle relevante forretningslokaler, herunder alle relevante enheder, systemer, netværk, oplysninger

data, der anvendes til at levere den outsourcede proces, tjenesteydelse eller aktivitet, herunder relevante finansielle oplysninger, personale

leverandørens eksterne revisorer,

ii) ubegrænset ret til at foretage inspektion

revision af outsourcing med henblik på at overvåge outsourcingaftalen

sikre overholdelse af alle gældende myndighedskrav

kontraktuelle krav. Særlige krav til opsigelsesrettigheder 5) Outsourcingkontrakten skal for kritisk eller vigtig outsourcing indeholde aftaler om opsigelsesrettigheder, herunder outsourcingvirksomhedens udtrykkelige mulighed for at opsige outsourcingkontrakten i overensstemmelse med gældende ret,

i følgende situationer:

1. a)Hvor leverandøren af de outsourcede processer, tjenesteydelser eller aktiviteter overtræder gældende lovgivning, andre forskrifter eller kontraktmæssige bestemmelser.
2. b)Hvor der er hindringer, som kan ændre resultatet af den outsourcede proces, tjenesteydelse eller aktivitet.
3. c)Hvor der er væsentlige ændringer, der påvirker leverancerne eller leverandøren, herunder væsentlige ændringer som følge af videreoutsourcing eller ved ændring af underleverandører.
4. d)Hvor der konstateres svagheder i håndteringen

sikkerheden omkring fortrolige, personlige eller på anden måde følsomme data

oplysninger.

1. e)Hvor Finanstilsynet giver outsourcingvirksomheden et eller flere påbud, der relaterer sig til de outsourcede processer, tjenesteydelser eller aktiviteter. 6) Outsourcingkontrakten skal for kritisk eller vigtig outsourcing indeholde krav til leverandøren, der i tilfælde af opsigelse:
2. a)Beskriver den eksisterende leverandørs forpligtelser, hvis den outsourcede proces, tjenesteydelse eller aktivitet overføres til en anden leverandør eller til outsourcingvirksomheden.
3. b)Fastsætter en passende overgangsperiode, hvor leverandøren efter opsigelsen af outsourcingkontrakten forpligter sig til at fortsætte sine leverancer.
4. c)Indeholder en forpligtelse for leverandøren til at hjælpe outsourcingvirksomheden med at sikre en forsvarlig overførsel af processen, tjenesteydelsen eller aktiviteten. 7) For pengeinstitutter, realkreditinstitutter

fondsmæglerselskaber skal outsourcingkontrakten om kritisk eller vigtig outsourcing indeholde oplysninger om de beføjelser, som Finansiel Stabilitet er tildelt i henhold til kapitel 5 i lov om restrukturering

afvikling af visse finansielle virksomheder, herunder a) henvisninger til de forpligtelser, der følger af §§ 31

34 i lov om restrukturering

afvikling af visse finansielle virksomheder,

b) en beskrivelse af de væsentlige forpligtelser i kontrakten i overensstemmelse med § 243 d, stk. 2, i lov om finansiel virksomhed

§ 31, stk.

2, i lov om restrukturering

afvikling af visse finansielle virksomheder. Bilag 4 Exitstrategi 1) Outsourcingvirksomhedens skriftlige exitstrategier skal være i overensstemmelse med outsourcingvirksomhedens outsourcingpolitik

beredskabsplaner,

skal som minimum tage hensyn til:

1. a)Opsigelse af outsourcingaftaler.
2. b)Misligholdelse hos leverandøren.
3. c)Forringelser af kvaliteten af den leverede proces, tjenesteydelse eller aktivitet, som følge af uhensigtsmæssig eller mangelfuld varetagelse af den outsourcede proces, tjenesteydelse eller aktivitet.
4. d)Faktiske eller potentielle forretningsmæssige afbrydelser forårsaget af uhensigtsmæssig eller manglende varetagelse af den outsourcede proces, tjenesteydelse eller aktivitet.
5. e)Væsentlige risici, der kan opstå i forhold til den fortsatte anvendelse af den outsourcede proces, tjenesteydelse eller aktivitet. 2) Outsourcingvirksomhedens exitstrategier skal på passende vis sikre, at den er i stand til at afslutte en outsourcing uden
6. a)unødig afbrydelse af outsourcingvirksomhedens forretningsaktiviteter,
7. b)at begrænse outsourcingvirksomhedens overholdelse af myndighedskrav

c) at det er til skade for kontinuiteten

kvaliteten af outsourcingvirksomhedens levering af tjenester til kunder. 3) Outsourcingvirksomhedens exitstrategier skal indeholde følgende:

1. a)En afgrænsning af formålene med exitstrategien.
2. b)Fyldestgørende exitplaner, der er tilstrækkeligt testede.
3. c)En beskrivelse af, hvordan roller, ansvar

tilstrækkelige ressourcer tildeles for at sikre styring af exitplanerne

overgangsaktiviteterne.

1. d)En afgrænsning af, hvilke indikatorer i forhold til leverandørens leverance der skal indgå i overvågning af outsourcingen, herunder hvilke indikatorer i forhold til services, som skal udløse en situation, hvor exit skal iværksættes.
2. e)En konsekvensanalyse med det formål at finde frem til, hvilke menneskelige

finansielle ressourcer der vil være påkrævet for at gennemføre exitplanen,

hvor lang tid det vil tage. f) Transitionsplaner for, hvordan outsourcingvirksomheden gennemfører transitioner af outsourcede processer, tjenesteydelser, aktiviteter eller data fra leverandøren

1. i)overfører dem til alternative leverandører,
2. ii)overfører dem til outsourcingvirksomheden eller iii) træffer andre foranstaltninger, der sikrer kontinuerlig levering af processen, tjenesteydelsen eller aktiviteten på en kontrolleret

tilstrækkeligt testet måde.

1. g)Transitionsplanerne, jf. bilag 4, nr. 3, litra f, skal indeholde de nødvendige foranstaltninger for at sikre forretningskontinuiteten i overgangsfasen, herunder tage fornødent hensyn til eventuelle udfordringer som følge af datalokaliteten.
2. h)Transitionsplanerne, jf. bilag 4, nr. 3, litra f, skal indeholde succeskriterier for overførsel af outsourcede processer, tjenesteydelser, aktiviteter

data.