تعليمات إسناد المهام إلى طرف ثالث
الرقم: 41027017 التاريخ (م): 2019/12/15 | التاريخ (هـ): 1441/4/18 الحالة:نافذ أولاً: مقدمة
أ) معلومات عامة
1. تستعين البنوك بإسناد خدمات إلى طرف ثالث بشكل متزايد لتنفيذ الأنشطة والمهام والعمليات وذلك من خلال ترتيبات الإسناد إلى طرف ثالث. ومع أنه يمكن عن طريق إسناد المهام إلى طرف ثالث تقليص التكاليف وتوفير منافع أخرى للبنك، إلا أنه قد يزيد حجم المخاطر على البنك مثل المخاطر الاستراتيجية ومخاطر السمعة والالتزام والمخاطر المالية والتشغيلية الناشئة عن عجز الطرف الثالث مزود الخدمة أو طرف ذو علاقة في تقديم الخدمة عن طريق حدوث اختراقات أمنية أو عن عدم قدرة المنشأة على الالتزام بالمتطلبات النظامية والتنظيمية. ومن الممكن أن تكون البنوك عرضة لمخاطر الدولة حين يكون مقر الطرف الثالث أو الطرف ذو علاقة مزود الخدمة خارج المملكة العربية السعودية، وأيضًا للمخاطر على النظام المالي جراء ضعف الرقابة من جانب مجموعة من البنوك على الطرف الثالث مزود الخدمة المشترك بينها. وبالتالي، من المهم على البنوك تبنّي إطار لإدارة المخاطر المتعلقة بإسناد المهام إلى طرف ثالث يتسم بالسلامة وسرعة الاستجابة. تهدف هذه المتطلبات إلى ضمان خضوع جميع ترتيبات إسناد المهام إلى طرف ثالث للعناية الواجبة والرقابة المستمرة والحصول على الموافقات اللازمة. وبالإضافة إلى ذلك، يجب إدارة جميع المخاطر الناشئة عن عملية إسناد المهام إلى طرف ثالث بصورة مناسبة؛ وذلك لضمان قدرة البنوك على تلبية التزاماتهم تجاه المودعين من حيث الجانب المالي والخدمات المقدمة.
2. تحل هذه التعليمات محل تعليمات إسناد المهام إلى طرف ثالث الصادرة عن البنك المركزي والمبلغة بموجب التعميم رقم (34720/B.C.S) بتاريخ 20 يوليو 2008م وتعليمات إسناد المهام لفروع البنوك الأجنبية المبلغة بموجب تعميم االبنك المركزي رقم 391000014241 وتاريخ 1439/02/06هـ.
ب) التعريفات
3. المصطلحات الرئيسة التالية هي المستخدمة في هذه الوثيقة، ما لم يرد خلاف ذلك.
وكيل مصرفي كيان قانوني مرخص من البنك المركزي لتقديم الخدمات المالية نيابة عن البنك بموجب القواعد المنظمة لمزاولة نشاط الوكالة المصرفية (تعميم رقم 37541/67 بتاريخ 1440/06/15هـ).
المجلس أو مجلس الإدارة (أ) مجلس الإدارة في حال كان تأسيس البنك داخل المملكة العربية السعودية.
(ب) في حال فرع البنك الأجنبي المرخص للعمل في المملكة فيعني مجلس إدارة محلي. أو لجنة إدارية. أو كيان إداري أكبر من الإدارة المحلية المخولة بمسؤوليات رقابية وإشرافية لعمليات الفرع في المملكة العربية السعودية.
بيانات العميل أي معلومات أو وثائق مرتبطة بشؤون العميل أو حسابه (سواء كانت محفوظة ورقياً أو إلكترونياً وسواء تولى البنك حفظها بنفسه أو كان ذلك عن طريق الطرف الثالث مزود الخدمة نيابة عنه).
البيانات المالية جميع البيانات المالية متضمنة دفاتر الحسابات. ودفتر الأستاذ العام والفرعي. والقوائم المالية. وأي بيانات مالية من غير بيانات العملاء.
الإسناد الداخلي أي ترتيب يقوم البنك من خلاله بتوظيف خبرات أفراد بموجب عقد مبرم مع طرف ثالث مزود خدمة لكي يتولى أداء مهام محددة داخل مقر البنك أو خارجه مع خضوعهم مباشرة لإشراف البنك ورقابته وإدارته.
المهام الأساسية عملية الإسناد لأي مهام أو أنشطة يحتمل أن يؤدي انقطاعها إلى إحداث أثر جوهري على الأعمال التشغيلية للبنك أو قدرته على إدارة المخاطر بفعالية. يتم تقييم المهام أو الأنشطة الأساسية من خلال مراعاة الآتي:
(أ) التبعات على الجانب المالي والتشغيلي والضرر على السمعة المترتب على تقصير الطرف الثالث مزود الخدمة في تأدية مهامه خلال فترة زمنية محددة.
(ب) تكلفة ترتيب إسناد المهام إلى طرف ثالث كحصة من إجمالي التكاليف التشغيلية.
(ج) مدى صعوبة، أو طول المدة التي يتطلبها، إيجاد طرف ثالث مزود للخدمة بديل أو إدراج المهمة أو النشاط ضمن هيكل العمل بحيث تُجرى داخلياً.
(د) قدرة البنك على تلبية المتطلبات التنظيمية في حال حصول مشكلات مرتبطة بالطرف الثالث مزود الخدمة.
(هـ) احتمال تكبد عملاء البنك لخسائر أو تضرر أطراف أخرى في حال إخفاق الطرف الثالث مزود الخدمة.
(و) وجود انتماء أو علاقة أخرى بين البنك والطرف الثالث مزود الخدمة.
(ز) مشاركة أي بيانات للعملاء سواء كانت شخصية أو مالية أو ائتمانية.
(ح) مشاركة أي بيانات مالية غير منشورة مع الطرف الثالث مزود الخدمة.
(ط) مدى التعقيد في المهمة المراد إسنادها على سبيل المثال لا الحصر: عدد الأطراف المسند إليهم المهمة الواحدة بما في ذلك التعاقد من الباطن.
إسناد المهام إجراء البنك ترتيباً مع طرف ثالث (سواء محلي أو أجنبي) لكي يتولى باستمرار إجراء مهام أو أنشطة عمل يؤديها البنك حالياً أو باستطاعته تأديتها بنفسه. في الخارج الكيانات الواقعة خارج المملكة والخاضعة لأنظمة ولوائح الدول التي تقع فيها.
الطرف الثالث مزود الخدمة كيان مسند إليه نشاط لتأديته نيابة عن البنك. (لا تعد المكاتب الرئيسة والكيانات الأخرى المرتبطة بفروع البنوك الأجنبية العاملة في المملكة طرف ثالث مزود الخدمة).
ثانياً: تطبيق القواعد
ج) مستوى التطبيق
4- تسري القواعد على البنوك المرخص لها بموجب نظام مراقبة البنوك الصادر بالمرسوم الملكي رقم (م/5) بتاريخ 1386/2/22هـ، ويشمل ذلك جميع فروع البنوك المحلية والأجنبية والشركات التابعة (المشار إليها بلفظ «البنك») التي تقع في المملكة العربية السعودية. على البنك ضمان أن تكون جميع فروعه والشركات التابعة له في الخارج على علم بهذه القواعد.
د) النطاق
5- تجسد التعليمات المنصوص عليها في هذه الوثيقة متطلبات البنك المركزي الواجبة على البنك الذي عقد ترتيبات إسناد مهام إلى طرف ثالث أو يعتزم القيام بذلك. وتسري هذه التعليمات على جميع ترتيبات إسناد المهام التي تتم مع طرف ثالث مزود خدمة أو مزود خدمة ذو علاقة سواء كان محليًا أو أجنبيًا (في حال فروع البنوك الأجنبية).
6- يُستثنى من تعليمات الإسناد إلى طرف ثالث عقود الإسناد الداخلي التي يُستفاد بموجبها من خدمات أفراد تابعين لطرف ثالث ويخضعون لإشراف البنك ورقابته وإدارته.
7- بالإضافة إلى ما سبق، فيما يلي أمثلة على الأنشطة التي لا تعد جزءًا من ترتيبات إسناد المهام إلى طرف ثالث:
(أ) الترتيبات التعاقدية مع مقدمي بيانات السوق (مثل: تقديم البيانات من خلال بلومبرج، وموديز، وستاندرد آند بورز، وفيتش).
(ب) ترتيبات المقاصة والتسوية بين غرف المقاصة ومراكز المقاصة المركزية ومنشآت التسوية، وأعضائها.
(ج) ترتيبات علاقات البنوك المراسلة.
(د) خدمات المرافق (مثل: الكهرباء والغاز والماء والهاتف).
هـ) لوائح ذات صلة ومتطلبات "عدم الممانعة"
8- عندما تقرر البنوك إسناد أي مهمة لطرف ثالث، فعليها ضمان ألا يؤدي ذلك الإسناد إلى تقليص الحماية المقدمة للمودعين أو اللجوء للإسناد لتجنّب الالتزام بالمتطلبات التنظيمية. وتقع على عاتق البنك مسؤولية الاستمرار في تلبية جميع المتطلبات التنظيمية والقانونية حين إجرائه لأي ترتيبات لإسناد مهام إلى طرف ثالث.
9- لا يُسمح للبنوك بإسناد أي خدمات أو أنشطة تمت الإشارة إليها في المادة 19 من القواعد المنظمة لمزاولة نشاط الوكالة المصرفية الصادرة بموجب التعميم رقم37541/67 وتاريخ 15/06/1440هـ.
10- يجب على البنوك الحصول على عدم ممانعة كتابية من البنك المركزي قبل إسناد أي مهام "أساسية" إلى طرف ثالث.
ثالثاً: الحوكمة
و) مجلس الإدارة
11- يتحمل مجلس إدارة البنك المسؤولية النهائية عن سياسة إسناد المهام إلى طرف ثالث وجميع ترتيباته، والالتزام بجميع المتطلبات القانونية والتنظيمية ذات العلاقة. ويتحمل البنك ومجلس الإدارة مسؤولية الالتزام بجميع المتطلبات الاحترازية المرتبطة بنشاط العمل المسند إلى طرف ثالث.
12- يجب على مجلس إدارة البنك ضمان وضع السياسات المناسبة وتنفيذها ضمن إطار إدارة المخاطر الملائم لترتيبات إسناد المهام إلى طرف ثالث، ويتعين على المجلس أو من يفوضه اعتماد سياسة البنك الخاصة بإسناد المهام إلى طرف ثالث التي يجب أن تنص على منهجية البنك في إسناد أنشطة المهام الأساسية، ومن ذلك وضع إطار مفصل لإدارة جميع ترتيبات إسناد المهام إلى طرف ثالث.
ز) متطلبات التقارير
13. يجب على البنك إشعار البنك المركزي بأي انتهاك للمتطلبات القانونية أو التنظيمية في ترتيبات إسناد المهام إلى طرف ثالث التي عقدها البنك. وفي هذه الحالة، يجوز للبنك المركزي أن يلزم البنك بتعديل الترتيب أو إلغائه أو استعادة المهمة المسندة إلى طرف ثالث ليتم تنفيذها داخلياً.
14. يجب على البنك إعداد تقرير سنوي عن أنشطته لإسناد المهام إلى طرف ثالث باستخدام نموذج البيانات الاحترازية المدرج في الملحق 1، و يرسل التقرير خلال 30 يوم عمل من نهاية كل سنة إلى البريد الإلكتروني التالي: BankingDataSection@SAMA.GOV.SA
رابعًا: سياسة وإجراءات إسناد المهام إلى طرف ثالث
15. يجب أن تغطي السياسة والإجراءات بحد أدنى جميع المتطلبات الواردة أدناه:
ح) تقييم خيارات إسناد المهام إلى طرف ثالث
16- عند تقييم البنك لخيارات إسناد مهام أو أنشطة عمل أساسي لطرف ثالث، يجب عليه أن يكون قادر على أن يقدم للبنك المركزي ما يثبت أنه قد قام بما يلي:
(أ) إعداد دراسة وتحليل للمشروع الخاص بإسناد المهام أو الأنشطة الأساسية لطرف ثالث.
(ب) تحليل أثر إسناد المهام إلى طرف ثالث في سجل المخاطر بمجمله، وأثره في النظم والضوابط داخل البنك.
(ج) طرح مناقصة أو اتباع طريقة أخرى لاختيار الطرف الثالث مزود الخدمة.
(د) مراجعة إجراءات العناية الواجبة الخاصة بالطرف الثالث مزود الخدمة الذي وقع الاختيار عليه، ويشمل ذلك قدراته المالية والفنية ومعاييره الأخلاقية.
(هـ) النظر في المخاطر التي تنشأ عند إسناد عدة أنشطة لطرف ثالث مزود للخدمة واحد.
(و) إشراك المجلس أو من يفوضه أو لجنة المجلس في اعتماد الاتفاقية.
(ز) وضع اتفاقية شاملة لإسناد المهام إلى طرف ثالث.
(ج) وضع إجراءات لمتابعة تنفيذ اتفاقية إسناد المهام إلى طرف ثالث على أساس مستمر.
(ط) التطرق لعملية تجديد اتفاقيات إسناد المهام إلى طرف ثالث والطريقة التي يتم بها التجديد.
(ي) وضع خطط طوارئ تمكن البنك من إيجاد طرف ثالث مزود للخدمة بديل يتولى تنفيذ المهام أو أنشطة العمل المسندة أو تنفيذها داخلياً من قبل البنك إذا اقتضت الحاجة.
17- على البنك ضمان عدم حصول تضارب في المصالح في عملية ترسية عقود إسناد المهام إلى طرف ثالث، ويتعين عليه أيضًا الإفصاح للبنك المركزي عن أي انتماء أو علاقة تربط بينه وبين الطرف الثالث مزود الخدمة.
ط) الترتيبات التعاقدية
18- يتعين على البنك توثيق جميع ترتيباته لإسناد المهام إلى طرف ثالث من خلال اتفاقية كتابية ملزمة قانونيًّا. ويجب أن يتضمن العقد بحد أدنى ما يلي:
(أ) نطاق العقد.
(ب) الوضع التنظيمي (كيان قانوني مسجل) للطرف الثالث مزود الخدمة.
(ج) مستويات الخدمة ومتطلبات الأداء.
(د) إجراءات المراجعة والرقابة.
(هـ) خطط استمرارية الأعمال.
(و) ترتيبات التعثر وبند الإلغاء والحد الأدنى للفترات التي يتعين خلالها تنفيذ أحكام الإلغاء، ويجب أن يتم في البند مراعاة حالة الإعسار أو أية تغيرات أساسية.
(ز) التسعير وهيكل العمولات.
(ح) آليات تسوية النزاعات.
(ط) المسؤولية والتعويض.
(ي) السرية والخصوصية وأمن المعلومات.
(ك) ضمان إمكانية الوصول للبنك المركزي ومراجعين البنك الداخليين والخارجيين.
(ل) الالتزام بجميع المتطلبات التنظيمية والقانونية السارية.
(م) الالتزامات التعاقدية للطرف الثالث مزود الخدمة في حال تعاقده من الباطن لتنفيذ بعض أو جميع ترتيبات إسناد المهام إلى طرف ثالث.
(ن) آليات الإبلاغ والتصعيد.
(س) التزام الطرف الثالث مزود الخدمة بإبلاغ البنك عن أي نقاط ضعف في الضوابط أو أي تطورات سلبية في أدائه المالي.
(ع) التزام الطرف الثالث مزود الخدمة الأجنبي بالتأكيد على عدم وجود عوائق تنظيمية تعيق إمكانية الاطلاع على البيانات والسجلات بموجب الفقرتين 33 و34 من هذه التعليمات.
19- يجب أن يكون العقد قابلًا للتجديد وأن يسمح بإعادة التفاوض وأن يتضمن أحكامًا للإلغاء بسبب التعثر والانسحاب المبكر حتى يتسنى للبنك الاحتفاظ بسلطته على المهام أو الأنشطة المسندة إلى طرف الثالث مزود الخدمة، ويجب أن يشتمل أيضًا على أحكام تقضي بمنع التعاقد من الباطن فيما يخص إسناد المهام الأساسية بموجب العقد دون الحصول على موافقة مسبقة من البنك وعدم ممانعة من البنك المركزي.
20- يجب أن يتضمن العقد كذلك بندًا يقضي بمنح البنك المركزي حق الوصول إلى الوثائق والسجلات المحاسبية ذات العلاقة بترتيبات إسناد المهام إلى طرف ثالث، وأن يلزم العقد الطرف الثالث مزود الخدمة بالتعاون مع االبنك المركزي.
21- يفضل أن ينص العقد على أن المملكة العربية السعودية هي دولة الاختصاص.
22- يتعين على البنك اعتماد آلية داخلية محددة من أجل استقبال وتسوية أي شكاوى من العملاء بشأن خدماته المسندة إلى طرف ثالث مزود للخدمة، ويجب أن يضم عقد إسناد المهام إلى طرف ثالث بنودًا ملائمةً تضمن قيام الطرف الثالث مزود الخدمة بتيسير آلية التسوية.
ي) إسناد المهام الأساسية لطرف ثالث
23- تُرفع المقترحات المتعلقة بجميع ترتيبات إسناد المهام الأساسية -كتابيًا- إلى البنك المركزي للحصول على عدم ممانعته، ويكون الرفع قبل الموعد المقترح لبدء تنفيذ ترتيبات إسناد المهام بخمسة عشر يوم عمل للبنوك المحلية وثلاثين يوماً للبنوك الأجنبية - بحد أدنى.
ك) سرية البيانات وأمنها
24- على البنك قبل تقديم معلومات العملاء وبياناتهم المالية إلى الطرف الثالث مزود خدمة التأكد من تماشي ترتيبات إسناد المهام إلى طرف ثالث المقترحة مع المتطلبات النظامية ذات العلاقة المرتبطة بسرية معلومات العملاء، وبالتحديد أحكام المادة 19 من نظام مراقبة البنوك الصادر في 1386/2/22هـ واللوائح والتعليمات الصادرة عن البنك المركزي إضافةً إلى الأنظمة المحلية ذات العلاقة.
25- على البنك وضع ضمانات مناسبة لسلامة معلومات العملاء وبياناتهم المالية، والحفاظ على سريتها.
26- عند إلغاء رتيب وعقد إسناد المهام إلى طرف ثالث، يجب على البنك التأكد من استرداد جميع البيانات الحساسة والسرية من الطرف الثالث مزود الخدمة أو إتلافها بطريقة منظمة، مع إبلاغ البنك المركزي فورًا عن جميع الحالات المستثناة.
ل) الضوابط والرقابة على إسناد المهام إلى طرف ثالث
27- على البنك وضع هيكل داخلي لضبط جميع ترتيبات إسناد المهام إلى طرف ثالث ومراقبتها وإدارتها على نحو فعال، ولرفع تقارير للإدارة العليا في الوقت المناسب، ويكون ذلك بحسب مستوى ترتيبات إسناد المهام إلى طرف ثالث ودرجة تعقيدها.
28- في حال كان مستوى أداء الطرف الثالث مزود الخدمة متدنيًّا، يجب على البنك حساب التكاليف الإضافية المحتملة التي قد تنتج من قرار البنك الاستعاضة عن الطرف الثالث مزود الخدمة بآخر أو تنفيذ المهمة داخليًّا أو حتى التخلي عنها. وعلى البنك التفاوض بشأن تلك الاحتمالات وتوضيحها في العقد.
م) تقييم المخاطر
29- على مجلس الإدارة التأكد من وجود السياسات والإجراءات ذات العلاقة التي تخضع بموجبها جميع ترتيبات إسناد المهام إلى طرف ثالث الحالية والمقترحة لعملية شاملة لدراسة المخاطر. وينبغي أن تحدد عملية دراسة المخاطر وتقيّم التعرض للمخاطر التشغيلية، والمخاطر القانونية، والمخاطر المالية، ومخاطر السمعة، والمخاطر التنظيمية، وكذلك استراتيجيات تخفيف المخاطر. ويتم إجراء هذه العملية من خلال ما يلي:
(أ) إجراء تقييم شامل لمخاطر إسناد المهام إلى طرف ثالث ابتداءً وعند كل عملية تجديد لاحقة.
(ب) تقييم مخاطر إسناد المهام إلى طرف ثالث في بداية عملية الإسناد ثم مراجعتها عند التجديد فقط في حال تغير نطاق الإسناد أو وقوع أخطاء تشغيلية أو غير ذلك.
30- عند تحليل مشروع إسناد المهام إلى طرف ثالث ومدى ملاءمة الطرف الثالث مزود الخدمة، يجب أن يعتمد مستوى إجراءات العناية الواجبة ودرجتها على طبيعة الترتيبات لإسناد المهام إلى طرف ثالث، فعلى سبيل المثال، يستلزم إسناد المهام الأساسية إلى طرف ثالث تطبيق إجراءات شمولية أكثر. وكحدٍ أدنى، يجب على البنك:
(أ) ضمان امتلاك الطرف الثالث مزود الخدمة القدرة والصلاحيات اللازمة لأداء المهمة المسندة إليه بثقة ومهنية.
(ب) إيجاد طريقة لتقييم الطرف الثالث مزود الخدمة دوريًا.
(ج) المحافظة على الخبرات اللازمة للإشراف على المهام المسندة إلى طرف ثالث بفاعلية.
ن) إدارة استمرارية الأعمال
31- على البنك ضمان ألا يكون في ترتيبات إسناد المهام إلى طرف ثالث ما يشكل تهديدًا لاستمرارية أعماله. وفيما يتعلق بإسناد المهام الأساسية إلى طرف ثالث، يجب أن يكون لدى البنك خطة طوارئ منفصلة لكل ترتيب من ترتيبات إسناد المهام إلى طرف ثالث بحيث تحدد الخطة الإجراءات التي ينبغي اتباعها في حال إلغاء الترتيب بصورة مفاجئة أو عدم قدرة الطرف الثالث مزود الخدمة على الوفاء بالتزاماته بموجب اتفاقية إسناد المهام إلى طرف ثالث لأي سبب كان.
32- يجب على البنك أن يوثق في خطة الطوارئ الخاصة به مدى وجود بدلاء للطرف الثالث مزود الخدمة أو الإجراءات والوقت الذي يتطلبه اختيار طرف ثالث بديل، ويجب عليه أيضًا وضع إجراءاتٍ لاتباعها في حال ما إذا قرر تنفيذ المهمة المسندة إلى طرف ثالث داخليًّا وذلك لجميع عقود إسناد المهام "الأساسية" إلى طرف ثالث.
س) إمكانية الوصول إلى بيانات إسناد المهام إلى طرف ثالث.
33- يتعين على البنك ضمان أن يتيح للبنك المركزي إمكانية الوصول غير المقيد وفي الوقت المناسب إلى سجلات إسناد المهام إلى طرف ثالث الحالية والدقيقة، وذلك بموجب المادتين 17 و18 من نظام مراقبة البنوك الصادر بتاريخ 1386/2/22 هـ (1966/6/11م)
34- يتعين على البنك أيضًا، ضمان أن يتيح للبنك المركزي إمكانية الوصول غير المقيد إلى البيانات المتصلة بترتيبات إسناد المهام إلى طرف ثالث إذا كانت في مقر الطرف الثالث مزود الخدمة، ويجب أن يتمتع البنك المركزي ومراجعي البنك بحق هذا الوصل.
ع) مراقبة علاقة إسناد المهام إلى طرف ثالث
35- يتعين على البنك ضمان وجود الموارد الكافية والمناسبة لإدارة علاقة إسناد المهام إلى طرف ثالث ومراقبتها. ويعتمد نوع الموارد اللازمة ومقدارها على مدى أهمية المهام أو أنشطة الأعمال المسندة للطرف ثالث. ويجب أن تتضمن عملية المراقبة بحدٍ أدنى ما يلي:
(أ) البقاء على تواصل منتظم بصورة ملائمة مع الطرف الثالث مزود الخدمة. وقد يتراوح ذلك من التواصل اليومي على المستوى التشغيلي وصولًا إلى التواصل على مستوى الإدارة العليا.
(ب) وضع إجراء لمراقبة الأداء بانتظام بموجب الاتفاقية، ويدخل في ذلك تلبية المعايير المتعلقة بمستوى الخدمة.
36- على البنوك إبلاغ البنك المركزي فورًا عن أي مخالفة للمتطلبات القانونية و/أو التنظيمية وعن أي تطورات سلبية أو مشكلات تؤثر في إسناد المهام إلى طرف ثالث. وينبغي أن يتم إبلاغ البنك المركزي أيضًا بالتدابير المقترحة والمتخذة لاستمرار الخدمات.
37- عند إلغاء اتفاقية إسناد مهام أساسية إلى طرف ثالث، يجب على البنك إشعار البنك المركزي فورًا وتزويده ببيان يتضمن ترتيبات الانتقال والاستراتيجيات المستقبلية الخاصة بتنفيذ مهام أو أنشطة الأعمال الأساسية المسندة.
ف) ترتيبات المراجعة
38- يجب على إدارة المراجعة الداخلية في البنك مراجعة أنشطة إسناد المهام الأساسية بصورة منتظمة، وتقييم مدى الالتزام بسياسة إسناد المهام إلى طرف ثالث ورفع تقارير عن ذلك لمجلس الإدارة أو للجنة المراجعة التابعة للمجلس.
39- قد يطلب البنك المركزي من خبير خارجي مناسب تقييم إجراءات إدارة المخاطر المتبعة بشأن إسناد المهام أو الأنشطة الأساسية إلى طرف ثالث مزود للخدمة. ومن المجالات التي قد تدخل ضمن ذلك: نظم تقنية المعلومات وأمن البيانات وأطر الرقابة الداخلية وخطط استمرارية الأعمال.
ص) متطلبات التوثيق
40. على البنك الاحتفاظ بسجل محدّث بجميع ترتيباته لإسناد المهام إلى طرف ثالث. يجب أن يشمل توثيق ترتيبات إسناد المهام إلى طرف ثالث كحد أدنى المعلومات التالية:
بشأن ترتيبات إسناد المهام إلى طرف ثالث:
(أ) رقم مرجعي لكل ترتيب إسناد مهام إلى طرف ثالث.
(ب) وصف موجز عن المهمة المسندة إلى طرف ثالث.
(ج) تحديد ما إذا كانت المهام أساسية أم لا وسبب اعتبارها كذلك وتاريخ آخر تقييم لها.
(د) تحديد ما إذا كان الطرف الثالث مزود الخدمة يقوم بمعالجة بيانات شخصية أو سرية أو نقلها أو الاحتفاظ بها أم لا.
بشأن الطرف الثالث مزود الخدمة:
(أ) اسمه وعنوانه المسجل.
(ب) موقعه.
إضافةً إلى ذلك، يتعين أن يشمل سجل إسناد المهام إلى طرف ثالث المعلومات التالية على الأقل فيما يتعلق بإسناد المهام الأساسية:
(أ) تاريخ آخر تقييم للمخاطر وملخص عن النتائج الرئيسية.
(ب) المسؤول أو الجهة أو اللجنة المعنية باتخاذ القرار في البنك التي اعتمدت ترتيبات الإسناد.
(ج) تاريخ البدء، وحسب الاقتضاء، تاريخ الانتهاء و/أو فترات الإشعار.
(د) تاريخ آخر عملية مراجعة وتاريخ المراجعة التالية، حيثما ينطبق ذلك.
خامسًا: إسناد المهام إلى طرف ثالث مزود خدمة يقع في الخارج
41- إن قيام البنك بإسناد أنشطة إلى طرف ثالث مزود للخدمة يقع خارج المملكة يعرضه لعدد من المخاطر الإضافية، منها الأوضاع الاقتصادية والسياسية والتنظيمية والقانونية للدولة الأجنبية ووضع بنيتها التحتية. وعلاوة على ذلك، فإن أي عملية إسناد مهام إلى جهة خارج المملكة تتضمن نقل بيانات العملاء والبيانات المالية والاحتفاظ بها من قبل الطرف الثالث الواقع خارج المملكة قد تثير عدداً من المخاطر الأساسية وقد تصل إلى اختراق سرية العميل (حسبما نص عليه في المادة 19 من نظام مراقبة البنوك) من خلال السماح بوصول بيانات العملاء إلى جهات رقابية أو قضائية أجنبية، وحق البنك المركزي في الوصول إلى العمليات خارج المملكة الخاصة بالطرف الثالث وأي قيود و/أو تأخير في توفر البيانات في الوقت المناسب للبنك المركزي (بموجب المادتين 17 و18 من نظام مراقبة البنوك).
42- فيما يتعلق بأي ترتيبات مقترحة تخص إسناد المهام إلى طرف ثالث مزود للخدمة في الخارج، ينبغي على البنك إجراء اللازم للحصول على عدم ممانعة كتابية من البنك المركزي وإرفاق المعلومات التالية مع طلبه المقدم للبنك المركزي:
(أ) تفاصيل المهام المقرر إسنادها إلى طرف ثالث.
(ب) تصنيف المهام (أساسية / غير أساسية)
(ج) مبررات الإسناد (تشمل لماذا لا يمكن إسنادها في المملكة؟)
(د) تفاصيل الطرف الثالث مزوّد الخدمة في الخارج.
(هـ) تفاصيل عن طبيعة البيانات المقرر نقلها وكيفية إتلافها (إذا انطبق ذلك).
(و) الرأي القانوني الذي يؤكد توافق ترتيب إسناد المهام إلى طرف ثالث مع نظام مراقبة البنوك واللوائح الأخرى.
(ز) إقرار كتابي من البنك مدعوم برأي قانوني يؤكد حق البنك المركزي بالوصول إلى البيانات المتضمنة في عملية الإسناد عند الطرف الثالث مزود الخدمة.
سادسًا: إسناد المهام لفروع البنوك الأجنبية (أساسي وغير أساسي)
43- يجب على فروع البنوك الأجنبية أن توكل أعمالها الواقعة في المملكة إلى الفروع العاملة في المملكة، ما لم يوافق البنك المركزي على اتباع نهج بديل لإنجاز أنشطة أعمال محددة حين تكون الخيارات المحلية غير عملية.
44- يجب على فروع البنوك الأجنبية الحفاظ على عدد كافٍ ومناسب من الموظفين المحليين لكي تتمكن من إدارة الأعمال المرتبطة بالمملكة محليًا، والالتزام المناسب بجميع متطلبات البنك المركزي الاحترازية السارية على فروع البنوك الأجنبية. ومع ذلك سيقوم البنك المركزي ضمن المراحل الأولى من سير عمليات فروع البنوك الأجنبية داخل المملكة بالنظر لمتطلبات التوظيف المحلي بمعقولية وبصورة متناسبة آخذة في الاعتبار طبيعة أعمالها ونطاقها وحجمها ومدى تعقيدها.
45- يجب عدم إسناد المسؤوليات الرئيسة للادارة، مثل اتخاذ قرارات الأعمال ومهام الالتزام ومكافحة غسل الأموال وتمويل الإرهاب. يمكن لفروع البنوك الأجنبية اتخاذ القرار فيما يتعلق بنموذج الإسناد للمهام الأخرى (أي المراجعة الداخلية وإدارة المخاطر) بناءً على طبيعة أعمال الفرع وحجمها ومدى تعقيدها. إلا أن إسناد المهام للمكاتب الرئيسة أو أطراف ذات صلة لا يعفي فروع البنوك الأجنبية من واجباتها، ويدخل في ذلك واجبات وحداتها الإدارية في الالتزام بالأنظمة واللوائح ذات الصلة في المملكة.
46- يجب أن تخضع العمليات المسندة للمكاتب الرئيسة/ الكيانات أعضاء المجموعة التي ينتمي لها الفرع لمراجعة سنوية عن طريق فريق المراجعة الداخلية الخاص بالمجموعة أو طرف خارجي مستقل، ومشاركة نتائج المراجعة مع البنك المركزي.
47- يجب على فروع البنوك الأجنبية موافاة البنك المركزي مباشرةً بأي تقارير مرفوعة لأي جهة تنظيمية أخرى أو مستلمة منها بشأن جودة ضوابط اتفاقية الإسناد.
48- يتعين على فروع البنوك الأجنبية ضمان ألا تشتمل ترتيبات إسناد المهام للمكاتب الرئيسة/الكيانات أعضاء المجموعة التي ينتمي لها الفرع على ما يعيق قدرة البنك المركزي على الإشراف الاحترازي على العمليات المحلية بفاعلية، أو ما يتعارض مع أحكام نظام مراقبة البنوك والأنظمة واللوائح الأخرى السارية.
49- على فروع البنوك الأجنبية تبني ممارساتٍ سليمةٍ في إدارة المخاطر لتخفيف أي مخاطر محتملة قد تنشأ عن الإسناد، ويتعين على فروع البنوك الأجنبية، كحدٍ أدنى ومع مراعاة هذه القواعد، أن تأخذ ما يلي في الاعتبار عند إبرام اتفاقيات إسناد مع مراكزها الرئيسة أو الكيانات أعضاء المجموعة التي ينتمي لها الفرع:
(أ) وضع سياسات وإجراءات تحكم الملكية والوصول وحل الخلافات والتعاقد من الباطن والسرية والأمن وفصل الملكيات وإدارة استمرارية الأعمال ومتابعة الأداء والظروف المتعلقة بترتيبات الإسناد والمراجعات السنوية لقياس مستوى الالتزام بمستويات الخدمة المتفق عليها.
(ب) تطبيق إجراءات العناية الواجبة التي تتناول جميع محاور اتفاقية الإسناد، وبالتحديد ما يتعلق بأي متطلبات تشغيلية تخص الفرع.
(ج) إعداد اتفاقية إسناد تفصل نطاق الاتفاقية والخدمات المقرر توفيرها وطبيعة العلاقة بين الفرع والمكتب الرئيس/الكيان عضو المجموعة التي ينتمي لها الفرع، على سبيل المثال الأدوار والمسؤوليات والتوقعات.
(د) وضع إجراءات تحكم أي تعاقدات من الباطن لتنفيذ الخدمات.
(هـ) وضع خطة ملائمة لاستمرارية الأعمال ومدعومةً بخطة تعاف من الكوارث لتقنية المعلومات. وينبغي أن تراعي خطة استمرارية الأعمال الخاصة بالفروع الضوابط السارية الواردة ضمن الدليل التنظيمي لإدارة استمرارية الأعمال الصادر عن البنك المركزي.
(و) تنفيذ إجراءات للرقابة والإشراف.
(ز) تنفيذ إجراءات لحفظ السجلات.
50- نظرًا إلى أن فروع البنوك الأجنبية ليست كيانات مستقلة، بل هي وحدات يعتمد وجودها على البنوك وتندمج في تشكيل الكيان الأم، إما عن طريق ترتيب قانوني و/أو هياكل تنظيمية أخرى، قد تقتضي الحاجة من وقت لآخر إسناد مهام/خدمات معينة تحوي معلومات تخص العملاء لمكاتبها الرئيسة أو الكيانات الأخرى أعضاء المجموعة التي ينتمي لها الفرع. وطبقًا للقواعد، عند إسناد مهام/خدمات تتضمن معلومات العملاء إلى المكاتب الرئيسة والكيانات أعضاء المجموعة التي ينتمي لها الفرع، يجب على فروع البنوك الأجنبية وضع سياسة يتم من خلالها ضمان استيفاء الشروط الإضافية التالية بحدٍ أدنى:
(أ) إبرام اتفاقية مستوى الخدمة بحيث تبيِّن بوضوح أن للبنك المركزي الحق النظامي في إجراء التفتيش على المكتب الرئيس/الكيان عضو المجموعة التي ينتمي لها الفرع الذي لديه ترتيبات إسناد مع الفرع إذا اقتضى الأمر ذلك.
(ب) الحصول على موافقة العميل على مشاركة البيانات مع المكتب الرئيس وإرسال البيانات عبر قنوات موثوقة وآمنة ومدعومة بآلية تشفير قوية.
(ج) اقتصار حق الوصول إلى مثل تلك المعلومات الموجودة لدى المكاتب الرئيسة/الكيانات أعضاء المجموعة التي ينتمي لها الفرع على الإدارات الرقابية الرئيسة، مثل الالتزام وإدارة المخاطر والعمليات وتقنية المعلومات والمراجعة الداخلية. ويجب أن يقتصر استخدام أي معلومات تخص العملاء على البنك وحده فقط، ويجب عدم مشاركتها مع أي طرف خارج البنك دون الحصول على موافقة كتابية مسبقة من البنك المركزي. ويجب على البنك كذلك وضع سجل بأسماء أصحاب صلاحية الوصول إلى تلك المعلومات وأوقات اطلاعهم عليها.
(د) يجب، وبصورة كاملة، تسجيل ومراقبة أي تغييرات تطرأ على بيانات العملاء المخزنة أو التي يتم نقلها.
51- لفروع البنوك الأجنبية الراغبة في الحصول على خدمات من طرف خارجي (طرف ثالث مزود خدمة) متعاقد مسبقًا مع مكاتبها الرئيسة أو الكيانات أعضاء المجموعة التي ينتمي لها الفرع، فإن البنك المركزي لن يعتد بنظامية اتفاقية الإسناد حتى يتم تقديم كتاب من المكتب الرئيس يتم فيه تحديد العمليات المقرر إسنادها، متضمنًا أيضًا ما يلي:
(أ) تأكيد المكتب الرئيس تحمله المسؤولية النهائية عن ضمان وجود إجراءات رقابة مناسبة متبعة لترتيبات الإسناد.
(ب) تأكيد المكتب الرئيسي تحمله مسؤولية اتخاذ إجراءات تصحيح ملائمة، بما فيها تقديم التعويضات للعملاء المتضررين في حال تعرضهم لأي خسارة بسبب عدم كفاية ضوابط الإسناد التي يطبقها الطرف الثالث مزود الخدمة.
52- تماشيًا مع إطار البنك المركزي الإشرافي المبني على أساس المخاطر، قد يكون لدى البنك المركزي متطلبات إضافية (من جميع فروع البنوك الأجنبية أو عدد محدد منها) بناءً على المخاطر المرتبطة بترتيبات الإسناد ونتائج العمليات الإشرافية. ويحق للبنك المركزي إلغاء أي ترتيبات إسناد إذا كانت تعرِّض البنك للخطر.
53- تظل فروع البنوك الأجنبية ملزمةً بالتقيد بجميع الجوانب الأخرى لمتطلبات الإسناد فيما يخص ترتيبات الإسناد مع أطراف ليست ذات علاقة.
الملحق (1): بيانات سنوية حول خدمات إسناد المهام إلى طرف ثالث المقدمة والمستلمة
الملحق (1): بيانات سنوية حول خدمات إسناد المهام إلى طرف ثالث المقدمة والمستلمة
1- خدمات الإسناد المقدمة
يرجى ذكر تفاصيل جميع خدمات إسناد المهام الأساسية التي يقدمها البنك إلى المجموعة و/أو أطراف ثالثة.
الرقم وصف الخدمة مستلم الخدمة 2- خدمات الإسناد المستلمة
أ) يرجى ذكر تفاصيل جميع خدمات إسناد المهام الأساسية التي تقدمها المجموعة و/أو أطراف ثالثة إلى البنك بموجب خطاب عدم ممانعة البنك المركزي.
الرقم وصف الخدمة مزود الخدمة ب) يرجى ذكر تفاصيل جميع خدمات إسناد المهام غير الأساسية التي تقدمها المجموعة و/أو أطراف ثالثة إلى البنك التي لا تتطلب الحصول على خطاب عدم ممانعة البنك المركزي.
الرقم وصف الخدمة مزود الخدمة
2389