El proceso de notificación de la externalización de funciones de las entidades de crédito y pago

Introducción

Las entidades de crédito y pago, tienen la capacidad de poder delegar determinadas funciones que forman parte de su actividad. La delegación es posible siembre que no se vacíe de contenido la actividad de la entidad que delega. No obstante, es necesario puntualizar que la externalización no disminuye la responsabilidad de la entidad en el cumplimiento de sus obligaciones.

La delegación o subcontratación, es conocida en el sector como externalización de funciones. En términos generales la externalización es aquel proceso realizado por un tercero, pero que podría ejecutar la propia entidad. Se considera que una actividad está externalizada si cumple con las siguientes condiciones:

• Actividad realizada de forma recurrente
• Actividad que se engloba dentro de una función que pudiera ser desempeñada por la entidad de crédito o pago.

Dentro de las actividades externalizables, es necesario distinguir aquellas que se consideran criticas o importantes. A este respecto, son criticas o importantes, aquellas actividades en las que:

• Un fallo en la función perjudica materialmente el cumplimiento de las obligaciones de su autorización, o desempeño financiero. Incluida la solidez de los servicios bancarios o de pago.
• la delegación versa sobre tareas operativas de funciones de control interno, y en caso de fallo, no habría un efecto negativo en la propia función de control interno.
• la delegación verse sobre funciones de actividad bancaria o de pago que requieran autorización de una autoridad.

El proceso de notificación de la externalización de funciones

Las autoridades de supervisión deben identificar si los acuerdos de subcontratación suponen un cambio en la autorización de las entidades. En este caso, para las entidades de crédito y pago, la autoridad supervisora es Banco de España. Es por ello que las entidades bancarias y de pago vienen obligadas a comunicar formalmente sus planes de delegación de funciones.

En este sentido es la Circular 2/2016, la que establece esta obligación para las entidades bancarias. Así, las entidades bancarias deben comunicar formalmente al Banco de España sus planes de delegación de funciones. Concretamente deben hacerlo con una antelación mínima de un mes.

Por su parte, las entidades de pago tienen regulada esta obligación en el articulo 15 del Real Decreto 736/2019. El plazo es el mismo que para las entidades de crédito: un mes previo a la efectividad de la externalización.

Documentación que debe aportarse al Banco de España

Las entidades bancarias deberán informar y enviar al Banco de España la siguiente documentación, relativa a la externalización de funciones:

• Política de delegación de funciones esenciales o criticas. Esta política deberá estar previamente aprobada por el Consejo de Administración. Debiendo aportar copia de la certificación del acuerdo.
• Análisis de riesgos y medidas mitigadores, en caso de que la delegación implique el uso de nuevas tecnologías.
• Identificación de la Unidad del Control del responsable del seguimiento de las funciones que se vayan a delegar.
• Valoración del proveedor de servicios contratados. Se deben incluir en esta valoración aspectos como la calidad, la experiencia, la estabilidad. Igualmente, el cumplimiento de la normativa de prevención de blanqueo y protección a la clientela.
• Documentación contractual suscrita con el proveedor de servicios externalizables.
• Información sobre el plan de contingencias del proveedor de servicios. Incluyendo las medidas que permitan mantener su actividad y limitar pérdidas de la entidad en caso de incidencias.
• Plan de contingencias de la entidad que incluya los servicios o funciones objeto de delegación. Principalmente las que tengan carácter critico, y se deberán establecer alternativas a la delegación contratada.

Por su parte, las entidades de pago, deberán comunicar la externalización de funciones, y aportar la siguiente documentación:

• Información sobre las características de la externalización. En este sentido deben incluirse los contratos, así como la evaluación del impacto de cualquier riesgo en el que se pueda incurrir.
• Identidad de la empresa con la que se pretende contratar
• Cualquier información oportuna que se considere relevante.

No obstante, lo anterior, el Banco de España podrá requerir la información adicional que considere para evaluar la solicitud presentada.

Si te ha interesado este artículo no dudes en leer:

Externalizar funciones financieras. ¿Qué significa?

La función de externalizar se refiere a subcontratar tareas empresariales internas a través de terceras empresas. El objetivo de esta función es reducir costes, mejorar la eficiencia y flexibilidad, y lograr economías de escala.

La externalización de funciones de las ESIs y su proceso de notificación

En la información contenida en esta colaboración no habíamos incluido a las ESIs. Este tipo de compañías vienen reguladas por la CNMV. Con respecto a la externalización de funciones de las ESIs la ESMA publicó en el año 2020 sus directrices. Estando estas vinculadas a la externalización de funciones relacionadas con los servicios en la nube.

Sin profundizar en estas directrices, si ponemos de manifiesto la obligación de las ESI de notificar a la autoridad supervisora.  En este sentido estas entidades deben notificar por escrito a la autoridad competente la externalización en la nube de funciones criticas.

La notificación por escrito deberá incluir:

• Fecha del inicio del acuerdo de externalización en la nube, renovación y finalización, en su caso.
• Descripción de la función externalizada.
• Motivos por los que la función externalizada se considera esencial.
• Identificación del prestador de servicios.
• Legislación aplicable al acuerdo.
• Modelos de despliegue y naturaleza de los datos que el proveedor debe conservar, y lugar de almacenaje de los mismos.
• Fecha de la última evaluación del carácter critico o importante de a función externalizada.
• Fecha de la auditoria de riesgos del prestador de servicios, con resumen de resultados.
• Persona u órgano encargado de la adopción de decisiones que aprobó el acuerdo de externalización.

Conclusiones

En el año 2017 la EBA emitió sus directrices sobre la externalización de funciones. Estas directrices entraron en vigor el 30 de septiembre de 2019. Entre ellas se encuentra la obligación de notificación la externalización de funciones a la autoridad supervisora competente. Concretamente la obligación de notificar la externalización de funciones que se consideran críticas o importantes. Está obligación debe cumplirse con carácter previo a poner en marcha la delegación de funciones. Esto es, un mes antes de su entrada en vigor.

Si le ha gustado este artículo, también puede resultarle interesante la lectura del siguiente:

Gobierno adecuado para la externalización de funciones