1. Forpligtede enheder kan outsource opgaver, som følger af denne forordning, til tjenesteudbydere. Den forpligtede enhed underretter tilsynsorganet om outsourcingen, inden tjenesteudbyderen påbegynder udførelsen af de outsourcede opgaver.
2. Ved udførelsen af opgaver i henhold til denne artikel betragtes tjenesteudbydere som del af den forpligtede enhed, herunder hvis de er forpligtet til at konsultere de centrale registre omhandlet i artikel 10 i direktiv (EU) 2024/1640 (»centrale registre«) med henblik på at gennemføre kundekendskabsprocedurer på vegne af den forpligtede enhed.
Den forpligtede enhed forbliver fuldt ansvarlig for enhver handling, uanset om der er tale om en bevidst handling eller en undladelse, i forbindelse med de outsourcede opgaver, der udføres af tjenesteudbydere.
For hver outsourcet opgave skal den forpligtede enhed kunne godtgøre over for tilsynsorganet, at den forstår rationalet bag de aktiviteter, der udføres af tjenesteudbyderen, og den tilgang, der følges i gennemførelsen heraf, og at sådanne aktiviteter afbøder de specifikke risici, som den forpligtede enhed er eksponeret for.
3. De i denne artikels stk. 1 omhandlede opgaver, som outsources, må ikke varetages på en sådan måde, at det i væsentlig grad forringer kvaliteten af den forpligtede enheds politikker og procedurer med henblik på at overholde kravene i denne forordning og i forordning (EU) 2023/1113 og de kontroller, der er indført for at teste disse politikker og procedurer. Følgende opgaver må under ingen omstændigheder outsources:
a) | forslaget til og godkendelsen af den forpligtede enheds risikovurdering på virksomhedsplan i henhold til artikel 10, stk. 2 |
b) | godkendelsen af den forpligtede enheds interne politikker, procedurer og kontroller i henhold til artikel 9 |
c) | beslutning om, hvilken risikoprofil kunden skal tildeles. |
d) | beslutningen om at indgå i en forretningsforbindelse eller gennemføre en lejlighedsvis transaktion med en kunde |
e) | indberetningen af mistænkelige aktiviteter til FIU’en i henhold til artikel 69 eller tærskelbaserede indberetninger i henhold til artikel 74 og 80, medmindre sådanne aktiviteter er outsourcet til en anden forpligtet enhed, der tilhører samme koncern og er etableret i samme medlemsstat |
f) | godkendelsen af kriterierne med henblik på opdagelse af mistænkelige eller usædvanlige transaktioner og aktiviteter. |
4. Før en forpligtet enhed outsourcer en opgave i henhold til stk. 1, forsikrer den sig om, at tjenesteudbyderen er tilstrækkeligt kvalificeret til at udføre de opgaver, der skal outsources.
Hvor en forpligtet enhed outsourcer en opgave i henhold til stk. 1, sikrer den, at tjenesteudbyderen samt enhver efterfølgende videreoutsourcingtjenesteudbyder, anvender de politikker og procedurer, som den forpligtede enhed har vedtaget. Betingelserne for varetagelsen af sådanne opgaver skal fastsættes i en skriftlig aftale mellem den forpligtede enhed og tjenesteudbyderen. Den forpligtede enhed skal foretage regelmæssige kontroller for at få vished for, at tjenesteudbyderen faktisk gennemfører sådanne politikker og procedurer. Hyppigheden af sådanne kontroller bestemmes på grundlag af de outsourcede opgavers kritiske art.
5. Forpligtede enheder sikrer, at outsourcing ikke foretages på en måde, der i væsentlig grad forringer tilsynsmyndighedernes mulighed for at overvåge og spore den forpligtede enheds overholdelse af denne forordning og forordning (EU) 2023/1113.
6. Uanset stk. 1 må forpligtede enheder ikke outsource opgaver, som følger af kravene i henhold til denne forordning, til tjenesteudbydere, som har bopæl eller er etableret i tredjelande, der er identificeret i henhold til kapitel III, afdeling 2, medmindre alle følgende betingelser er opfyldt:
a) | den forpligtede enhed outsourcer udelukkende opgaver til en tjenesteudbyder, der indgår i samme koncern |
b) | koncernen anvender politikker og procedurer for bekæmpelse af hvidvask af penge og finansiering af terrorisme, kundekendskabsprocedurer og regler om at føre fortegnelser, som er i fuld overensstemmelse med denne forordning eller med tilsvarende regler i tredjelande |
c) | tilsynsmyndigheden i hjemlandet fører tilsyn med den faktiske gennemførelse af de i dette stykkes litra b) omhandlede krav på koncernplan i overensstemmelse med kapitel IV i direktiv (EU) 2024/1640. |
7. Uanset stk. 3 kan et institut for kollektiv investering, hvis det ikke har status som juridisk person eller kun har en bestyrelse og har uddelegeret behandlingen af tegning og opkrævning af midler som defineret i artikel 4, nr. 25), i direktiv (EU) 2015/2366 fra investorer til en anden enhed, outsource den i stk. 3, litra c), d) og e), omhandlede opgave til en af sine tjenesteudbydere.
Den i dette stykkes første afsnit omhandlede outsourcing må først finde sted, efter at instituttet for kollektiv investering har underrettet tilsynsorganet om, at det har til hensigt at outsource opgaven i henhold til stk. 1, og tilsynsorganet har godkendt en sådan outsourcing under hensyntagen til:
a) | tjenesteudbyderens ressourcer, erfaring og viden i forbindelse med forebyggelse af hvidvask af penge og finansiering af terrorisme |
b) | tjenesteudbyderens kendskab til den type aktiviteter eller transaktioner, som instituttet for kollektiv investering udfører. |
8. Senest den 10. juli 2027 udsteder AMLA retningslinjer til forpligtede enheder vedrørende følgende:
a) | etablering af outsourcingforhold, herunder eventuelle efterfølgende outsourcingforhold, i overensstemmelse med denne artikel, styring af disse og procedurer for overvågning af, hvordan tjenesteudbyderen gennemfører funktioner og navnlig de funktioner, der skal betragtes som kritiske |
b) | den forpligtede enheds og tjenesteudbyderens roller og ansvar som led i en outsourcingaftale |
c) | tilsynsmæssige tilgange til outsourcing samt tilsynsmæssige forventninger vedrørende outsourcing af kritiske funktioner. |