Circolare FINMA Outsourcing

I Scopo

La presente circolare sancisce i requisiti prudenziali relativi alle soluzioni in materia di * esternalizzazione (outsourcing) di banche, imprese di assicurazione e istituti finanziari secondo i nm. 5, 6.1 e 6.2. Essa pone loro requisiti per un’organizzazione adeguata e persegue la limitazione del loro rischio.

II Definizioni

Sono considerati imprese gli istituti che rientrano nell'ambito di applicazione della pre- * sente circolare in conformità al capitolo III. Si configura un’esternalizzazione (outsourcing) ai sensi della presente circolare, se un’impresa incarica un fornitore di servizi di adempiere integralmente o in parte una funzione essenziale per l’attività dell’impresa in modo indipendente e duraturo. Sono essenziali le funzioni da cui dipende in modo significativo l'adempimento degli obiettivi e delle prescrizioni sancite dalle leggi in materia di vigilanza sul mercato finanziario.

III Ambito di applicazione

La presente circolare si applica:

alle banche e alle società di intermediazione mobiliare con sede in Svizzera e alle * succursali svizzere di banche e società di intermediazione mobiliare estere;
alle imprese di assicurazione con sede in Svizzera e alle succursali di imprese di assicurazione estere che necessitano dell’autorizzazione all’esercizio dell’attività secondo gli artt. 3 e 6 LSA (autorizzazione iniziale) o dell’autorizzazione di singoli elementi del piano d’esercizio secondo l’art. 4 in combinato disposto con l’art. 5 LSA (autorizzazione della modifica del piano d’esercizio);

• ai gestori di patrimoni collettivi con sede in Svizzera come pure alle succursali sviz- zere di un gestore estero di patrimoni collettivi e alle direzioni dei fondi con sede e amministrazione principale in Svizzera;

• alle SICAV autogestite.

I requisiti devono essere applicati in funzione delle dimensioni, della complessità, della struttura e del profilo di rischio dell'istituto.

IV Ammissibilità

A. Disposizioni comuni Fatte salve le deroghe di seguito riportate (nm. 8-13.3), è consentita l’esternalizzazione di * tutte le funzioni essenziali. Non possono essere esternalizzati l’alta direzione, la vigilanza e il controllo da parte dell’organo preposto all’alta direzione, i compiti centrali di conduzione della direzione

come pure le funzioni a cui spettano decisioni strategiche. Questa disposizione vale anche per le decisioni relative all’avvio e all’interruzione di relazioni d’affari. Le imprese che rientrano nelle categorie di vigilanza 1-3 dispongono di un controllo dei rischi e di una funzione di compliance autonomi quali istanze di controllo indipendenti. Per quanto riguarda le imprese che rientrano nelle categorie di vigilanza 4 e 5, è sufficiente che in seno alla direzione venga designata una persona responsabile per tali funzioni. I compiti operativi afferenti alla gestione del rischio e alla compliance possono essere esternalizzati in tutte le categorie di vigilanza.

B. Imprese di assicurazione L’esternalizzazione di funzioni essenziali e l’esternalizzazione delle funzioni di controllo, quest’ultima ammessa in misura limitata, sono rilevanti per il piano d’esercizio e pertanto soggette all’obbligo di approvazione secondo l’art. 4 cpv. 2 lett. j in combinato disposto con l’art. 5 cpv. 2 LSA. Per le imprese di assicurazione captive, l’esternalizzazione delle funzioni direttive e di controllo è ammessa in misura maggiore rispetto alle altre imprese di assicurazione. Sono ammesse:

l’esternalizzazione della gestione (management) di assicurazioni dirette captive e di riassicurazioni captive con sede in Svizzera (compresi i compiti centrali di conduzione della direzione) a società specializzate nella gestione di captive;
l’esternalizzazione della gestione (management) delle succursali di assicurazioni dirette captive estere in seno al gruppo o ad apposite società specializzate nella gestione di captive. Ciò non deve comportare limitazioni per la funzione del mandatario generale secondo il diritto in materia di vigilanza (artt. 17 e 18 OS).

C Gestori di patrimoni collettivi, direzioni dei fondi e SICAV

Oltre ai compiti che non possono essere esternalizzati di cui al nm.8, anche i compiti se- guenti devono in particolare essere svolti dall’istituto finanziario stesso:

• Gestori di patrimoni collettivi: la gestione del portafoglio e la gestione dei rischi di al- meno un investimento collettivo di capitale o del patrimonio di almeno un ente previdenziale (art. 26 cpv. 1 LIsFi).

• Direzioni dei fondi: la direzione del fondo e i compiti corrispondenti, come la valuta-

zione degli investimenti o la decisione in merito all'emissione di quote (art. 35 cpv. LIsFi). Inoltre, le esternalizzazioni non devono compromettere l'amministrazione principale in Svizzera. Ciò si applica per analogia anche alle SICAV autogestite.

V Requisiti per l’impresa che commissiona l’esternalizzazione

A. Iscrizione nell’inventario delle funzioni esternalizzate Le funzioni esternalizzate devono essere iscritte in un inventario, il quale deve essere aggiornato regolarmente. L’inventario contiene la descrizione della funzione esternalizzata e indica il fornitore (compresi i subdelegati) e i beneficiari, come pure l'unità competente in seno all’impresa (cfr. nm. 20).

Le imprese di assicurazione mantengono l’inventario nel quadro del modulo J concernente il piano d’esercizio.

Gli istituti finanziari secondo i nm. 6.1 e 6.2 e le società di intermediazione mobiliare ten- gono tale inventario nel quadro delle loro basi organizzative (art. 17 cpv. 3 LIsFi).

B. Scelta, istruzione e controllo del fornitore di servizi In funzione degli obiettivi perseguiti tramite l’esternalizzazione, i requisiti posti alla fornitura di servizi devono essere definiti e documentati prima che il contratto venga stipulato. Ciò include un’analisi dei rischi che comprende le considerazioni fondamentali di natura economica e operativa nonché i rischi e le opportunità connessi. La scelta del fornitore di servizi deve avvenire dopo aver esaminato le sue capacità professionali nonché le sue risorse finanziarie e dal punto di vista del personale. Se vengono esternalizzate più funzioni presso lo stesso fornitore di servizi, occorre tenere conto del rischio di concentrazione. Inoltre, nella decisione in merito all’esternalizzazione e nella scelta del fornitore di servizi * occorre tenere conto delle possibilità e delle conseguenze di un eventuale cambio. Il fornitore deve garantire che i servizi vengono forniti in maniera duratura.

La reintegrazione ordinata della funzione esternalizzata o il trasferimento a un altro forni- tore di servizi deve essere garantita. Le competenze dell’impresa e del fornitore di servizi devono essere fissate in un contratto e delimitate, in particolare per quanto riguarda le interfacce e le responsabilità. La funzione esternalizzata deve essere integrata nel sistema di controllo interno dell’impresa. I rischi essenziali connessi all’esternalizzazione devono essere identificati, monitorati, quantificati e gestiti in modo sistematico. L’impresa designa al suo interno un'unità incaricata della sorveglianza e del controllo del fornitore di servizi. Le prestazioni di quest’ultimo devono essere sorvegliate e valutate in maniera continua, in modo tale che possano essere tempestivamente prese le eventuali misure necessarie. L’impresa deve riservarsi contrattualmente il diritto di impartire delle istruzioni e di effettuare dei controlli presso il fornitore di servizi.

C Esternalizzazioni all'interno di conglomerati / gruppi

Per quanto concerne i requisiti secondo i nm. 16-21 e 32-35 può essere tenuto in considerazione il legame all'interno del conglomerato / gruppo nella misura in cui è possibile dimostrare che i rischi in genere connessi all’esternalizzazione non sussistono oppure che determinati requisiti non sono rilevanti o sono disciplinati diversamente.

D. Responsabilità L’impresa continua ad avere nei confronti della FINMA la stessa responsabilità che avrebbe se non ricorresse all’esternalizzazione. L’impresa deve garantire in ogni momento lo svolgimento regolamentare dell’attività.

E. Sicurezza Per quanto riguarda le esternalizzazioni rilevanti dal punto di vista della sicurezza (segnatamente in ambito informatico), l’impresa e il fornitore di servizi fissano contrattualmente requisiti in materia di sicurezza. L’impresa deve sorvegliarne il rispetto. L’impresa e il fornitore di servizi mettono a punto un dispositivo di sicurezza che consente la continuità della funzione esternalizzata in casi di emergenza. Nella messa a punto e nell’applicazione del dispositivo di sicurezza, l’impresa deve osservare le stesse regole di diligenza che dovrebbe rispettare se non ricorresse all’esternalizzazione.

F. Verifica e vigilanza L’impresa e la relativa società di audit come pure la FINMA devono essere in grado di esaminare il rispetto delle disposizioni prudenziali da parte del fornitore di servizi. Nel contratto deve essere fissato che l’impresa, la società di audit e la FINMA abbiano il diritto di consultazione e di verifica in ogni momento, in modo integrale e senza impedimenti, in relazione alla funzione esternalizzata. Attività di verifica possono essere delegate all’ufficio di revisione del fornitore di servizi, nella misura in cui esso dispone delle competenze professionali necessarie. Se attività di verifica vengono delegate in questo modo, la società di audit dell’impresa può basarsi sui risultati della verifica effettuata dall’ufficio di revisione del fornitore di servizi. L’esternalizzazione di una funzione non deve rendere più difficoltosa la vigilanza da parte della FINMA, in particolare se si tratta di un’esternalizzazione all’estero. Se il fornitore di servizi non è assoggettato alla vigilanza della FINMA, per contratto deve impegnarsi nei confronti dell’impresa a fornire alla FINMA tutte le informazioni e i documenti relativi al campo di attività esternalizzato di cui essa necessita per svolgere la propria attività di vigilanza. Se attività di audit vengono delegate all’ufficio di revisione del fornitore di servizi, il suo rapporto deve, su richiesta, essere messo a disposizione della FINMA, dell’ufficio di revisione interna e della società di audit dell’impresa che ha effettuato l’esternalizzazione.

G. Esternalizzazioni all’estero Le esternalizzazioni all’estero sono consentite se l’impresa può espressamente garantire che essa stessa, la sua società di audit e la FINMA possono esercitare e imporre il diritto di consultazione e di verifica. Il risanamento come pure la liquidazione dell’impresa in Svizzera devono essere garantiti. L’accesso alle informazioni necessarie a tal fine deve essere possibile in ogni momento in Svizzera.

H. Contratto L’esternalizzazione deve basarsi su un contratto scritto o su un contratto in un’altra forma * che consente di addurre una prova per il tramite di un testo. Oltre alla denominazione delle parti e alla descrizione della funzione, il contratto ha almeno il seguente contenuto (nm. 33-34):

L'impresa si assicura di essere informata tempestivamente in merito al coinvolgimento o * al cambio di subdelegati che svolgono funzioni essenziali, e ha la possibilità di porre fine all'esternalizzazione secondo il nm. 18.1 in modo ordinato. Se viene fatto ricorso a subdelegati, a questi ultimi devono essere imposti gli obblighi e le garanzie del fornitore di servizi necessari per l’adempimento delle disposizioni sancite dalla presente circolare. Devono essere adottate misure contrattuali per l’applicazione dei requisiti secondo la presente circolare e in particolare secondo i nm. 21, 24, 26, 29, 30 e 31. L’impresa deve definire una procedura interna di autorizzazione per i progetti di esternalizzazione come pure le competenze per la conclusione di contratti in materia.

VI Condizioni e deroghe

In casi motivati, la FINMA può imporre a un’impresa il rispetto di determinate condizioni oppure esentarla integralmente o parzialmente dal rispetto della presente circolare.

Gli istituti secondo gli artt. 47a-47e OFoP come pure gli istituti secondo l'art. 1b LBCR va- lutano e decidono in merito alla rilevanza e all'applicazione delle disposizioni di cui ai nm. 17–18.1 nel quadro dell'analisi dei rischi di cui al nm. 16. Per quanto concerne la reintegrazione della funzione esternalizzata, gli istituti secondo gli 36.2*6.3* artt. 47a-47e OFoP come pure gli istituti secondo l'art. 1b LBCR sono esonerati dall'adempimento del requisito di cui al nm. 18.1.

Per gli istituti secondo gli artt. 47a-47e OFoP e gli istituti secondo l'art. 1b LBCR l'applica- zione del nm. 20 può avvenire attraverso la rendicontazione regolare da parte di un ufficio di revisione indipendente in considerazione del nm. 27. La rendicontazione deve consentire una valutazione in merito ai rischi essenziali e alle attività di controllo del fornitore legati all'esternalizzazione.

VII Disposizioni transitorie

La presente circolare viene immediatamente applicata alle relazioni in materia di esterna- * lizzazione di banche e società di intermediazione mobiliare che sono avviate o modificate in seguito alla sua entrata in vigore. Le relazioni in materia di esternalizzazione di banche e commercianti di valori mobiliari già in essere al momento dell’entrata in vigore della presente circolare devono essere adeguate entro il termine transitorio di cinque anni dall’entrata in vigore, in modo tale che i requisiti della presente circolare siano adempiuti. Per quanto concerne le imprese di assicurazione, la circolare si applica alle autorizzazioni iniziali a partire dalla sua entrata in vigore. Per quanto riguarda le approvazioni di modifiche, la circolare si applica a partire dal momento in cui una modifica del piano d’esercizio viene sottoposta per approvazione o comunicata alla FINMA.

Per gli istituti secondo i nm. 6.1 e 6.2 la circolare si applica alle autorizzazioni iniziali a partire dalla sua entrata in vigore. Per le autorizzazioni delle modifiche la circolare si applica a partire dal momento in cui la modifica è stata sottoposta o notificata alla FINMA per approvazione, tuttavia al più tardi un anno dopo la sua entrata in vigore.

Elenco delle modifiche

Questa circolare è modificata come segue:

Modifiche del 31 ottobre 2019 in vigore dal 1° gennaio 2020.

nuovi nm. 6.1, 18.1, 36.1, 36.2,

nm. modificati 18,

Modifiche del 4 novembre 2020 in vigore dal 1° gennaio 2021.

nuovi nm. 6.1, 6.2, 13.1, 13.2, 13.3, 15.1,

nm. modificati 1, 2, 5, il nm. 6.1 diventa il nm. 6.3, 32,

altre modifiche nuovo titolo primo il nm.