Na początku 2019 Europejski Urząd Nadzoru Bankowego („EBA”) opublikował nowe wytyczne w sprawie outsourcingu („Wytyczne EBA”). Już wstępna analiza Wytycznych EBA przez polski sektor bankowy uwidoczniła szereg kluczowych wątpliwości interpretacyjnych dotyczących równoczesnego stosowania Wytycznych EBA i prawa bankowego, które zostały również zasygnalizowane Komisji Nadzoru Finansowego („KNF”). Po wakacjach pełnych intensywnej pracy, KNF opublikował właśnie stanowisko, które wyznaczy kształt outsourcingu bankowego w Polsce na najbliższe lata.

O co chodzi z Wytycznymi EBA?
Wytyczne EBA powinny wejść w w życie 30 września 2019 r. i dotyczą banków, firm inwestycyjnych oraz instytucji płatniczych i instytucji pieniądza elektronicznego.

Objęcie instytucji finansowych wymogami regulacyjnymi zawartymi w Wytycznych EBA wiąże się z koniecznością aktualizacji procedur związanych z prowadzeniem dokumentacji wewnętrznej oraz przebiegiem procesu outsourcingowego. Wytyczne EBA nakazują między innymi, aby przed powierzeniem czynności podmiotowi trzeciemu instytucja finansowa właściwie oceniła stopień krytyczności powierzonych czynności oraz oceniła ryzyko powierzenia a także przeanalizowała ryzyko właściwe dla danego kontrahenta. Oceny te będą musiały być odpowiednio dokumentowane.

Do obowiązków instytucji finansowych będzie należeć w szczególności wdrożenie nowych zasad zawierania umów (Wytyczne EBA zawierają obowiązkowe klauzule), opracowanie strategii wyjścia oraz utworzenie nowego rejestru umów outsourcingowych z uwzględnieniem odpowiedniego podziału na czynności krytyczne i istotne oraz pozostałe (co może wymagać zmian np. w systemach IT). Co istotne, Wytyczne EBA obowiązują w całej Europie, co w praktyce wielu banków oznacza globalne projekty wdrożeniowe.

Wytyczne EBA mogłyby zostać potraktowane przez banki i inne podmioty których dotyczą jako kolejny zestaw wymogów wymagających wdrożenia. Takiego podejścia nie można niestety zastosować w Polsce. Polski nadzór oraz sektor bankowy przez lata stosowania prawa bankowego wypracował własną interpretację wielu kluczowych pojęć związanych z outsourcingiem. Nasze ustawowe definicje i ich rozumienie często znacznie odbiegają od koncepcji proponowanych przez Wytyczne EBA. Taki stan rzeczy spowodował powstanie szeregu wątpliwości, często tak kluczowych jak np. zakres stosowania Wytycznych EBA, albowiem outsourcing w rozumieniu polskiego ustawodawcy to nie to samo co outsourcing w rozumieniu Wytycznych EBA.

Dzięki współpracy polskiego środowiska bankowego w ramach Związku Banków Polskich wątpliwości te zostały kompleksowo przedstawione przez sektor bankowy KNF. W odpowiedzi KNF opublikował nowe stanowisko („Stanowisko”). Stanowisko, które w naszej ocenie należy odczytywać jako wskazanie kierunku rozwoju outsourcingu bankowego w Polsce na najbliższe lata.

Polskie nadzorca daje więcej czasu ale…

Należy zacząć od bardzo pozytywnej informacji otrzymanej od KNF. Zgodnie ze Stanowiskiem, polski sektor otrzymał od nadzorcy czas na dostosowanie do Wytycznych EBA do 30 czerwca 2020 r. Jest to zabieg z całą pewnością niezbędny. Biorąc pod uwagę, aktualny stan prac na polskim rynku, skalę wdrożenia wymaganych przez Wytyczne EBA i doprecyzowanych przez Stanowisko, ich wdrożenie w terminie wymaganym przez EBA było po prostu niewykonalne.

Trzeba jednak pamiętać, że najprawdopodobniej inne jurysdykcje europejskie nie dokonają takiego odłożenia w czasie stosowania Wytycznych EBA. W międzynarodowych grupach w praktyce oznaczać to może proces dwóch wdrożeń: grupowego i polskiego.

Nowa interpretacja w praktyce

Kluczowe w procesie wdrożenia każdej nowej regulacji jest określenie jej zakresu. W tym wypadku banki musiały zestawić ze sobą szeroką definicję outsourcingu opisaną w Wytycznych EBA z polską definicją powierzenia wskazaną w prawie bankowym i ugruntowaną interpretacją polskiego nadzoru. Zgodnie ze Stanowiskiem, polskie banki powinny stosować Wytyczne EBA do powierzenia wykonywania czynności w rozumieniu prawa bankowego, ale także do relacji kwalifikujących się jako outsourcing w rozumieniu Wytycznych EBA.

W praktyce oznacza to, ogrom pracy. Nie ma chyba banku w Polsce, który byłby dobrze przygotowany na rewizję, w tak krótkim czasie, swoich wszystkich relacji umownych i weryfikację czy kwalifikują się one jako outsourcing w rozumieniu Wytycznych EBA.

Druga kluczowa kwestia dotyczy ogólnych relacji obowiązków określonych w Wytycznych EBA do polskich przepisów i stanowisk polskiego organy. Zgodnie ze Stanowiskiem KNF należy co do zasady stosować Wytyczne EBA, jednak korzystać ze wszystkich źródeł i w procesie ich stosowania wybierać „normy bardziej rygorystyczne”. Praktyka? Banki czeka samodzielna interpretacja każdej Wytycznej EBA przez pryzmat dotychczasowych stanowisk KNF i polskiego prawa. Jest to zadanie bardzo trudne, w szczególności mając na względzie, że wiele polskich przepisów i interpretacji zostało przygotowanych stosunkowo dawno, nie biorąc pod uwagę np. nowych technologii.

Będzie nowe otwarcie w sprawie chmury?

KNF odrzucił Wytyczne EBA dotyczące chmury, ponieważ planowane jest wydanie przez polskiego nadzorcze własnego, odrębnego, nowego stanowiska w tym zakresie. W praktyce, sektor bankowy będzie musiał jeszcze zaczekać z projektami dotyczącymi chmury w Polsce. Projekty chmurowe czeka więc potencjalnie nowe wdrożenie w zakresie nowego stanowiska KNF, którego zakres i kierunek pozostają dalej niewiadome.

A przy okazji…

Niejako przy okazji Wytycznych EBA, KNF przedstawił szereg interpretacji wynikających z dotychczasowej praktyki nadzorczej. Wskazać warto, że urząd odnosi się do wielu ważnych kwestii, między innymi do umów o tzw. współpracy w grupie i świadczeniu usług w grupie, outsourcingu przy nabywaniu wierzytelności, emisji instrumentów dłużnych i procesów finansowo-księgowych. Dotyka także kwestii outsourcingu IT i zarządzania zasobami ludzkimi.

Każdą z tych dodatkowych kwestii należy wziąć pod uwagę we procesie wdrożenia Wytycznych EBA. Wydaje się, że szczególną uwagę należy zwrócić na zasady współpracy podmiotów w grupie.

Problematyczne wdrożenie

Wdrożenie Wytycznych EBA obarczone będzie koniecznością przeglądu relacji z podmiotami trzecimi i szczegółowej rewizji relacji i umów tradycyjnie kwalifikowanych jako outsourcingowe. Banki czeka także wdrożenie szeregu nowych mechanizmów analizy ryzyka kontrahenta i usługi. Lista kwestii wymagających rozsądnych decyzji jest długa (np. identyfikacja i zgłoszenie do KNF tzw. umów krytycznych, ocena ryzyka uzależnienia banku od danej relacji, opracowanie strategii wyjścia). W niemal każdej Wytycznej EBA kryje się potrzeba odpowiedzialnej interpretacji prawnej.

Niemal każda osoba zaangażowana w banku w proces wdrażania regulacji europejskich musi czasem podczas dyskusji o charakterze międzynarodowym użyć stwierdzenia „w Polsce robimy to trochę inaczej”. Mamy właśnie kolejny powód do takiego stwierdzenia. Teraz cały sektor czeka ciężka praca nad tym, aby nasza „inność” nie miała wpływu na konkurencyjność polskiego rynku.