Bekendtgørelse om outsourcing for gruppe 2-forsikringsselskaber, Arbejdsmarkedets Tillægspension og Lønmodtagernes Dyrtidsfond

Erhvervsministeriets bekendtgørelse nr. 723 af 28/5 2020.

§ 1. Bekendtgørelsen finder anvendelse når følgende virksomheder gør brug af outsourcing:

1) Gruppe 2-forsikringsselskaber.

2) Lønmodtagernes Dyrtidsfond.

3) Arbejdsmarkedets Tillægspension.

§ 2. Outsourcingvirksomheden skal udarbejde en skriftlig outsourcingpolitik, hvis virksomheden outsourcer eller påtænker at outsource en funktion eller aktivitet, som er underlagt Finanstilsynets tilsyn, til en tjenesteyder. Politikken skal tage hensyn til indvirkningen af outsourcing på virksomheden og fastlægge de rapporterings- og overvågningssystemer, der skal indføres i forbindelse med outsourcing.

Stk. 2. Outsourcingpolitikken skal godkendes af outsourcingvirksomhedens bestyrelse. Bestyrelsen skal løbende og mindst én gang årligt vurdere, om politikken er betryggende i forhold til virksomhedens forretningsmæssige aktiviteter, organisation og ressourcer.

Stk. 3. Bestyrelsen skal løbende vurdere, om outsourcingpolitikken overholdes og opgavevaretagelsen foregår betryggende. Vurderingerne skal foretages på baggrund af den rapportering og overvågning af de outsourcede aktiviteter, der indføres i forbindelse med outsourcing.

Stk. 4. Bestyrelsens ansvar og opgaver efter stk. 2 og 3 og § 4 kan ikke outsources.

§ 3. Outsourcingvirksomheden skal opfylde følgende krav ved outsourcing af kritiske eller vigtige operationelle funktioner eller aktiviteter:

1) Outsourcingvirksomheden skal sikre, at de relevante aspekter af tjenesteyderens risikostyrings- og interne kontrolsystemer er tilstrækkelige til at sikre, at outsourcingen ikke medfører en væsentlig forringelse af kvaliteten af ledelsessystemet eller en unødig forøgelse af den operationelle risiko i outsourcingvirksomheden.

2) Outsourcingvirksomheden skal tage behørigt hensyn til de outsourcede funktioner eller aktiviteter i sin virksomhedsstyring for at sikre, at outsourcingen ikke medfører en væsentlig forringelse af effektiviteten af de interne kontrolsystemer eller en unødig forøgelse af den operationelle risiko i outsourcingvirksomheden.

3) Outsourcingvirksomheden skal sikre, at tjenesteyderen har de nødvendige ressourcer til at udføre de outsourcede funktioner eller aktiviteter korrekt og pålideligt, og at alle tjenesteyderens medarbejdere, som skal beskæftige sig med de outsourcede funktioner eller aktiviteter, er kvalificerede og pålidelige.

4) Outsourcingvirksomheden skal sikre, at tjenesteyderen har fyldestgørende beredskabsplaner til at håndtere nødsituationer eller forretningsforstyrrelser, og regelmæssigt teste backupfunktioner, hvor det er nødvendigt, under hensyntagen til de outsourcede funktioner og aktiviteter.

§ 4. Outsourcingvirksomhedens bestyrelse træffer beslutning om outsourcing af kritiske eller vigtige operationelle funktioner eller aktiviteter.

Stk. 2. Ved valg af tjenesteyder til at varetage en kritisk eller vigtig operationel funktion eller aktivitet skal bestyrelsen sikre følgende:

1) Der er gennemført en detaljeret undersøgelse af tjenesteyderen for at sikre, at tjenesteyderen har evne, kapacitet og eventuel lovpligtig tilladelse til at levere de nødvendige funktioner eller aktiviteter tilfredsstillende under hensyntagen til outsourcingvirksomhedens mål og behov.

2) Tjenesteyderen har truffet alle foranstaltninger til at sikre, at ingen udtrykkelige eller potentielle interessekonflikter vil stå i vejen for at opfylde outsourcingvirksomhedens behov.

3) Der foreligger en skriftlig aftale mellem outsourcingvirksomheden og tjenesteyderen, som klart definerer outsourcingvirksomhedens og tjenesteyderens rettigheder og forpligtelser.

4) De generelle vilkår og betingelser for outsourcingaftalen er forklaret til og godkendt af bestyrelsen.

5) Outsourcingen ikke medfører risiko for overtrædelse af relevant lovgivning navnlig med hensyn til regler om databeskyttelse.

6) Tjenesteyderen er underlagt de samme bestemmelser om sikkerhed og fortrolighed i forhold til oplysninger om outsourcingvirksomheden og dens forsikringstagere, medlemmer, kunder, begunstigede m.v., som gælder for outsourcingvirksomheden.

Stk. 3. Er outsourcingvirksomheden og tjenesteyderen del af samme koncern, skal outsourcingvirksomheden ved beslutning om outsourcing af kritiske eller vigtige operationelle funktioner eller aktiviteter tage hensyn til, i hvilken grad outsourcingvirksomheden kontrollerer tjenesteyderen eller har mulighed for at få indflydelse på dens handlinger.

§ 5. Outsourcingvirksomheden og tjenesteyderen skal indgå en skriftlig aftale, der som minimum fastsætter følgende:

1) Parternes pligter og ansvarsområder.

2) Tjenesteyderens forpligtelse til at overholde:

a) alle gældende love, myndighedskrav og retningslinjer og

b) outsourcingvirksomhedens relevante og gældende politikker.

3) Tjenesteyderens forpligtelse til at samarbejde med Finanstilsynet med hensyn til den outsourcede funktion eller aktivitet.

4) Tjenesteyderens forpligtelse til at oplyse outsourcingvirksomheden om enhver hændelse, der kan have en væsentlig indvirkning på tjenesteyderens mulighed for at udføre de outsourcede funktioner eller aktiviteter effektivt og i overensstemmelse med de gældende love og myndighedskrav.

5) Et opsigelsesvarsel for tjenesteyderen, som er langt nok til, at outsourcingvirksomheden kan finde en anden måde at varetage den pågældende opgave på.

6) At outsourcingvirksomheden om nødvendigt kan bringe outsourcingaftalen til ophør, og at tjenesteyderen i den forbindelse er forpligtet til at opfylde aftalen loyalt, så ophævelsen ikke afbryder eller forringer kvaliteten af leveringen af den outsourcede funktion eller aktivitet.

7) At outsourcingvirksomheden har ret til at indhente og blive underrettet om de outsourcede funktioner eller aktiviteter og tjenesteyderens udførelse deraf og ret til at udstede generelle retningslinjer og individuelle instrukser hos tjenesteyderen vedrørende det, der skal tages højde for under udførelsen af de outsourcede funktioner eller aktiviteter, i det omfang det ikke fremgår af kontrakten.

8) At tjenesteyderen skal beskytte eventuelle fortrolige oplysninger og personoplysninger om outsourcingvirksomheden og dens forsikringstagere, medlemmer, kunder, begunstigede m.v.

9) At outsourcingvirksomheden, dens eksterne revisor og Finanstilsynet har effektiv adgang til alle oplysninger om de outsourcede funktioner og aktiviteter, f.eks. til at gennemføre kontrol i tjenesteyderens lokaler.

10) At Finanstilsynet, hvor det er relevant og nødvendigt, kan stille spørgsmål direkte til tjenesteyderen, som tjenesteyderen skal svare på.

11) Vilkår og betingelser, hvor det er relevant, for tjenesteyderens videreoutsourcing af de outsourcede funktioner eller aktiviteter.

12) At tjenesteyderens pligter og ansvarsområder i henhold til aftalen med outsourcingvirksomheden ikke berøres af videreoutsourcing af de outsourcede funktioner eller aktiviteter.

§ 6. Finanstilsynet kan i særlige tilfælde dispensere fra bestemmelserne i bekendtgørelsen.

§ 7. Overtrædelse af §§ 2-5 straffes med bøde.

Stk. 2. Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel.

§ 8. Bekendtgørelsen træder i kraft den 1. juli 2020.