EBA ger utökade rekommendationer kring molntjänster

EBA belyser i sina rekommendationer att intresset för outsourcade molntjänster inom banksektorn ständigt växer och att det idag anses vara en drivande faktor för framtida innovation. Den nya vägledningen syftar till att låta finansiella institut använda sig av outsourcade molntjänster och dra nytta av fördelarna, samtidigt som man identifierar och hanterar relaterade risker. Rekommendationerna grundar sig i den tidigare vägledningen från Committee of European Banking (CEBS).

EBA betonar vikten av att i samband med outsourcing bedöma hur verksamhetskritiska de tjänster är som man väljer att lägga ut. Vidare betonas skyldigheten att informera tillsynsmyndigheten. 

Fem riskområden

I sina rekommendationer lyfter EBA fram fem riskområden som särskilt viktiga vid outsourcing av molntjänster inom den finansiella sektorn. EBA kommer i sitt uppföljningsarbete undersöka om dessa rekommendationer är tillämpbara för andra typer av reglerade entiteter. Remissperioden pågår till och med 18 augusti 2017. 

• Rättigheter gällande tillgång och granskning av data – institutioner rekommenderas att i avtal säkerställa att leverantören av molntjänsten ger tillgång till deras affärslokaler, system och relevant data. Vidare ska avtalet ge institutionen oinskränkt rätt till inspektion och granskning.  
• Säkerhet gällande data och informationssystem – institutioner rekommenderas att klassificera sin information och via outsourcingkontraktet säkerställa att leverantören av molntjänsten upprätthåller konfidentialitet i den data som överförs från den finansiella institutionen.
• Plats för sparande och hantering av data - institutioner rekommenderas att identifiera och bedöma potentiella risker när molntjänster nyttjas från länder utanför EEA. Riskbedömningen bör bland annat inkludera bredare riskfrågor såsom exempelvis politisk risk, säkerhetsrisk i landet, lokala lagar och regler.
• Outsourcingkedjan - institutioner rekommenderas att identifiera och bedöma risker associerade med ”kedjeoutsourcing”, där leverantören av molntjänsten i sin tur outsourcar delar av tjänsten till underleverantörer. Kedjeoutsourcing bör endast tillämpas i de fall outsourcinleverantören säkerställer att dess underleverantör efterlever de krav som institutet ställt i sin kravställning.
• Kontinuitetplanering och strategi för att avsluta samarbete outsourcingpartner – institutionen rekommenderas att planera för kontinuiteten i dess verksamhet vid händelse av att leverantören av molntjänsten inte kan upprätthålla drift för avtalade tjänster. Vidare rekommenderas också den finansiella institutionen att ha en tydlig plan för hur samarbetet med leverantören av molntjänsten kan avslutas.