Le cadre réglementaire des opérations d'externalisation

L’externalisation de certains process (back-office, compliance, …), associés aux activités commerciales, bancaires et de marchés, se démultiplie depuis plusieurs années, les institutions financières souhaitant gagner en compétitivité, bénéficier des nouvelles technologies, améliorer leur flexibilité et leur efficacité ainsi que réduire leurs coûts. Dans ce contexte, l’EBA (European Banking Authority) a établi de nouvelles lignes directrices, publiées le 25 février 2019, qui viendront harmoniser les pratiques jusque-là encadrées sur le plan national (arrêté du 3 novembre 2014).

Horaire : 9h00 – 17h30

1. Rappel des dispositions sur l’externalisation de l’arrêté du 3 novembre 2014 relatif au contrôle interne

1.1 Définitions (i) de l’externalisation, (ii) des prestations de services essentielles ou importantes

1.2 Régimes applicables à l’externalisation : arrêté du 3 novembre 2014, règlement général de l’AMF, code des assurances, MAR, etc. Articulation entre dispositions générales et spéciales.

2. Nouvelles Lignes directrices de l’EBA

2.1 Date d’entrée en vigueur & période transitoire

2.2 Périmètre

• Types d’établissements concernés
• Groupe de société -entités consolidées/sous-consolidées (entités d’assurance, entités régulées et non régulées d’un groupe bancaire)
• Les difficultés propres aux situations internationales (filiales à l’étranger, UE et hors UE)
• Mise en œuvre par les autorités nationales compétentes

2.3 Règles de gouvernance

• Maintien du principe de proportionnalité
• Maintien de la responsabilité du délégant
• Exigence d’un Registre à jour dûment documenté
• Gestion des conflits d’intérêts

2.4 Règles à prendre en compte lors de l’analyse des dossiers

• Dossiers soumis aux lignes directrices : extension du périmètre de l’analyse en risque
• Prestations ne relevant pas de l’externalisation
• Règles spécifiques pour les prestations dites « critiques ou importantes »
• Contrôles appropriés/Due diligences (contrôles en amont et en aval (suivi des KPI))

2.5 Règles spécifiques concernant le contrat signé avec le prestataire de services (auditabilité, réversibilité…)

2.6 Stratégie de sortie

2.7 Nouvelles attentes sur l’évaluation des concentrations de risques chez les prestataires de services

2.8 Le cloud : traitement particulier dans le cadre des lignes directrices

2.9 Adaptation juridique aux nouvelles exigences dans un délai contraint

3.Spécificité pour les établissements de petite taille

4. Présentation et analyse de qualifications de prestations externalisées