Artykuł 22

1. Operator SIPS pozostaje przez cały czas odpowiedzialny za zgodność z niniejszym rozporządzeniem w odniesieniu do wszelkich funkcji, operacji lub usług zleconych na zasadzie outsourcingu związanych z funkcjonowaniem SIPS.

2. Operator SIPS zapewnia, aby outsourcing nie podważał jego zdolności do spełnienia wymogów określonych w niniejszym rozporządzeniu i nie prowadził w sposób wyraźny lub dorozumiany do przekazania dostawcy usług zleconych na zasadzie outsourcingu odpowiedzialności operatora SIPS za przestrzeganie wymogów niniejszego rozporządzenia.

3. Operator SIPS w przypadku outsourcingu osobie trzeciej lub podmiotowi wewnątrzgrupowemu musi posiadać pisemne ustalenia umowne między nim a podmiotem świadczącym usługi na zasadzie outsourcingu. Postanowienia takich pisemnych ustaleń umownych co najmniej:

a) zapewniają, aby operator SIPS mógł wypełniać swoje obowiązki wynikające z niniejszego rozporządzenia, innych mających zastosowanie przepisów, wymogów regulacyjnych i umów;

b) zawierają jasny i precyzyjny opis funkcji, operacji lub usług zleconych na zasadzie outsourcingu, funkcji dostawcy usług zleconych na zasadzie outsourcingu, a także podziału praw i obowiązków stron ustaleń umownych;

c) zapewniają odpowiedniemu właściwemu organowi prawa do wykonywania jego uprawnień na mocy art. 29 ust. 1 lit. a) niniejszego rozporządzenia oraz, w przypadku outsourcingu związanego z funkcjami krytycznymi, operacjami lub usługami SIPS określonymi w art. 10 ust. 4, zapewniają odpowiedniemu właściwemu organowi prawa do wykonywania jego uprawnień na mocy art. 29 ust. 1 lit. b) i c) niniejszego rozporządzenia.

d) określają, czy dozwolone jest podzlecanie na zasadzie outsourcingu funkcji krytycznych, operacji lub usług SIPS, oraz określają warunki, które miałyby zastosowanie w takich przypadkach i które zapewniają zgodność operatora SIPS z wymogami niniejszego rozporządzenia;

e) zapewniają operatorowi SIPS prawo do wypowiedzenia ustaleń umownych w przypadku istotnego naruszenia przepisów ustawowych, wykonawczych lub warunków umownych oraz jeżeli nie można zapewnić zgodności z wymogami określonymi w niniejszym artykule.

4. Operator SIPS posiada kompleksowe ramy outsourcingu, umożliwiające skuteczne identyfikowanie i monitorowanie ryzyka wynikającego z outsourcingu w całym jego cyklu działania, a także zarządzanie tym ryzykiem. Operator SIPS posiada również strategię outsourcingu uwzględniającą tolerancję ryzyka operatora SIPS.

5. Ramy outsourcingu, o których mowa w ust. 4, umożliwiają operatorowi SIPS co najmniej:

a) ocenę ryzyk, które mogą wynikać z outsourcingu, w tym ryzyka koncentracji i ryzyka związanego z podwykonawstwem, przed podpisaniem jakichkolwiek ustaleń umownych;

b) identyfikowanie ryzyka związanego z outsourcingiem funkcji, operacji lub usług krytycznych SIPS i skuteczne zarządzanie takim ryzykiem;

c) ocenę konfliktów interesów związanych z funkcjami, operacjami lub usługami będącymi przedmiotem outsourcingu;

d) wykonywanie prawa do audytu niezbędnego do oceny ryzyka związanego z outsourcingiem oraz do wypełnienia obowiązków regulacyjnych. Obejmuje to plan audytów i inspekcji usługodawcy na zasadzie outsourcingu związanych z krytycznymi funkcjami, operacjami lub usługami SIPS.

6. Operator SIPS zapewnia, aby outsourcing nie wpływał negatywnie na skuteczność i rzetelność działania SIPS oraz na solidność jego systemów, polityk, kontroli wewnętrznych i powiązanych procedur.

7. W przypadku outsourcingu związanego z funkcjami, operacjami lub usługami krytycznymi SIPS określonymi w art. 10 ust. 4 operator SIPS opracowuje i utrzymuje strategię wyjścia, która nie powoduje zakłóceń w operacjach SIPS.

8. Eurosystem opracowuje niewiążące wytyczne skierowane do operatorów SIPS dotyczące wymogów związanych z outsourcingiem. EBC udostępnia takie wytyczne na swojej stronie internetowej.