Jak zapewnić zgodność z DORA: Praktyczne wskazówki dla instytucji finansowych

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011¹, zwane potocznie „DORA”, jest aktem dedykowanym instytucjom sektora finansowego, między innymi bankom, firmom inwestycyjnym, instytucjom płatniczym oraz towarzystwom funduszy inwestycyjnych. Jak wskazano w preambule do aktu, wykorzystywane – w ramach działalności przez ww. podmioty – technologie informacyjno-komunikacyjne, obarczone są szczególnie wysoki ryzykiem operacyjnym. W związku z powyższym ustawodawca unijny postanowił ustanowić jednolite przepisy związane z koniecznością zabezpieczenia procesów ICT (Information and Communication Technology) dla wszystkich instytucji finansowych działających w ramach państw członkowskich wspólnoty.

Ustawodawca oczekuje, że podmioty finansowe będą stosowały rozwiązania pozwalające na ograniczenie ryzyka związanego ze stosowaniem technologii informacyjno-komunikacyjnych. W szczególności, kładzie nacisk na konieczność zgłaszania organom wszystkich przypadków incydentów, testowania operacyjnej odporności cyfrowej, wymiany informacji i analiz w związku z cyberzagrożeniami, a także zwraca uwagę na konieczność zawarcia odpowiednich umów z dostawcami ICT.

O głównych założeniach DORA mogą Państwo przeczytać w artykule: Czym jest DORA – rozporządzenie o operacyjnej odporności cyfrowej?

Chociaż Rozporządzenie DORA weszło w życie w 2023 roku, jego przepisy zaczną obowiązywać w styczniu 2025 roku. Do tego czasu instytucje finansowe powinny wdrożyć wszystkie obowiązki, które stawia przed nimi Rozporządzenie. Z czym jednak przyjdzie im się zmierzyć w praktyce? Co konkretnie należy przygotować i na co zwrócić uwagę?

Kolejnym elementem obligatoryjnym, który wejdzie w życie w styczniu 2025 roku, będzie konieczność zgłaszania, ewidencjonowania oraz informowania organów o zarejestrowanych incydentach bezpieczeństwa.

Rejestrowanie i reagowanie na incydenty w pierwszej kolejności odbywa się wewnątrz organizacji. Dlatego należy przygotować zestaw procedur, które szczegółowo uregulują proces oraz podniosą świadomość zagrożeń wśród pracowników. Aby procedury te mogły działać, niezbędne jest dokonanie podziału ról i obowiązków wśród pracowników instytucji. Ponadto, w podmiocie powinien zostać przyjęty system identyfikowania, śledzenia, rejestrowania, kategoryzowania i klasyfikowania incydentów związanych z ICT według ich priorytetu i dotkliwości oraz krytyczności usług, na które incydenty te mają wpływ. Przygotowanie precyzyjnej matrycy nie tylko ułatwi zadanie komórkom compliance, ale także wspomoże podmiotom identyfikację incydentów, które podlegać będą zgłoszeniu organom. Jak zatem powinna ona wyglądać?

Odpowiednio skonstruowana matryca pozwala ocenić incydent, biorąc pod uwagę m.in. następujące kryteria: liczbę klientów instytucji z uwzględnieniem transakcji oraz wysokości transakcji (a co za tym idzie ewentualne straty reputacyjne), okres trwania incydentu, ilość i ważność utraconych danych, krytyczność danej usługi oraz skutki gospodarcze jaki wygenerował incydent.

Jeśli – w oparciu o przeprowadzoną ocenę – podmiot sklasyfikuje incydent jako poważny, zaktualizuje się obowiązek dokonania zgłoszenia do organu nadzorczego (w Polsce, dla większości podmiotów finansowych, organem nadzorczym jest Komisja Nadzoru Finansowego). Dobrowolnej notyfikacji mogą podlegać także inne incydenty, jeśli instytucja uzna, że niosą one znaczne, negatywne skutki dla niej lub w szczególności dla jej klientów. W takich przypadkach podmioty finansowe zobligowane są w ramach zgłoszenia do przekazania: wstępnego powiadomienia, sprawozdania z przebiegu incydentu tzw. śródokresowego oraz sprawozdania końcowego, po zakończeniu analizy całego zdarzenia.

Nie wiesz jak przygotować zgłoszenie do nadzorcy? Zgodnie z art. 19 ust. 5 DORA, podmioty finansowe mogą zlecić w drodze outsourcingu, zadania związane z obowiązkami sprawozdawczymi zewnętrznemu dostawcy usług. Warto zatem rozważyć, czy dobrym pomysłem nie byłoby skorzystanie z usług profesjonalistów, w tym kancelarii prawnych, które są wyspecjalizowane w świadczeniu pomocy prawnej dla spółek sektora finansowego.

Jednym z najbardziej kluczowych elementów DORA dla instytucji finansowych, jest kwestia związana z outsourcingiem procesów ICT do podmiotów trzecich. Chociaż sama DORA nie definiuje outsourcingu (właściwych definicji należy szukać w aktach dedykowanych m.in. w ustawie Prawo bankowe², Ustawa o obrocie³, czy Ustawie o funduszach inwestycyjnych⁴) to w sposób wyczerpujący normuje obowiązki wynikające z tego procesu dla instytucji finansowych.

W art. 6 ust. 10 DORA, wskazane zostało, że w ramach outsourcingu podmioty finansowe mogą zlecać podmiotom trzecim także wykonywanie czynności z zakresu procesów ICT, na przykład zarządzanie infrastrukturą IT, czy rozwój i utrzymanie aplikacji. Aby jednak odbywało się to zgodnie z wytycznymi rozporządzenia, podmiot finansowy musi dopełnić obowiązków, o których mowa w dalszej części DORA.

Analiza kategorii outsourcingu

Wszystkie procesy, wykonywane przez podmioty trzecie na rzecz instytucji, dzielimy zasadniczo na trzy podstawowe kategorie:

– zwykłe nabywanie dóbr lub usług (purchasing) – instytucja finansowa w ramach prowadzonej działalności korzysta ze wsparcia podmiotu trzeciego, które nie kwalifikuje się jako outsourcing tzn. nie prowadzi do wykonywania przez podmiot trzeci procesów w imieniu i na rzecz podmiotu finansowego. Takim „zwykłym” nabyciem będzie na przykład pozyskanie przez instytucję finansową danych z biura informacji gospodarczej lub kredytowej;

– outsourcing zwykły – gdy podmiot trzeci przyjmuje do wykonania funkcję, która byłyby lub mogłyby rzeczywiście być wykonywana przez instytucję finansową, na przykład prowadzenie księgowości lub obsługa IT systemów informatycznych;

– outsourcing podstawowych lub istotnych funkcji operacyjnych (tzw. outsourcing krytyczny) – funkcje powierzane do wykonywania podmiotom trzecim są z perspektywy działalności podmiotu finansowego kluczowe lub niezwykle istotne, w związku z czym wybór podmiotu oraz zawarcie z nim umowy, obarczone jest dodatkowymi wymogami i procedurami.

Aby stwierdzić, czy proces, który chcemy powierzyć, kwalifikuje się jako outsourcing (a jeśli tak, to czy jako outsourcing zwykły czy krytyczny), instytucja finansowa przed zawarciem umowy powinna przeprowadzić ocenę, która pozwoli jej na przyporządkowanie procesu do określonej kategorii. Jak widać więc, system ten powinien być przynajmniej dwuetapowy. W szczególności, należy zwrócić uwagę, czy proces, który instytucja zamierza powierzyć, nie stanowi czynności będącej corem jej działalności – wówczas mielibyśmy do czynienia z outsourcingiem niedozwolonym. Przygotowanie matrycy pozwalającej na zidentyfikowanie kategorii outsourcingu jest niezwykle ważne dla określenia związanych z tym powierzeniem ryzyk regulacyjnego, reputacyjnego, operacyjnego i finansowego.

Due dilligance dostawcy usług ICT

Podmiot finansowy zobowiązany jest przepisami do przeprowadzenia drobiazgowego due dilligance podmiotu, któremu planuje powierzyć czynności. Proces ten każdorazowo powinien poprzedzić zawarcie umowy. W jego toku, dedykowana komórka instytucji finansowej dokonuje oceny dostawcy przez pryzmat następujących kryteriów:

– możliwości wystąpienia konfliktów interesów outsourcera i insourcera, w tym identyfikacji beneficjentów rzeczywistych insourcera;

– sytuację finansową insourcera – sprawdzenie, czy kondycja finansowa podmiotu pozwala na prawidłowe i rzetelne wykonywanie powierzonych procesów;

– weryfikacja reputacji insourcera – sprawdzenie jaką opinię w ramach rynku posiada podmiot trzeci, jakie inne podmioty z rynku obsługuje;

– sprawdzenie, czy podmiot posiada odpowiednią liczbę wykwalifikowanych pracowników, środki techniczne i organizacyjne do odpowiedniego wykonania przedmiotu umowy;

– weryfikacja czy podmiot posiada zawarte polisy, których wysokość pozwoli na ewentualne pokrycie szkód.

Dobrym rozwiązaniem jest także przyjęcie w ramach organizacji dokumentu nazwanego Polityką outsourcingu. Warto zawrzeć w nim wszystkie etapy prowadzące do zawarcia umowy, od pierwszej analizy procesu do finalnego podpisania dokumentu. Pozwoli to na uporządkowanie całego postępowania, przypisanie ról do poszczególnych osób uczestniczących w procesie, a także zapewni, że każde zawarcie umowy outsourcingu będzie poprzedzone wyczerpującą weryfikacją.

Przygotowanie rejestru umów outsourcingowych

Aby komórce compliance łatwiej było zarządzać i nadzorować wszystkie procesy powierzone podmiotom trzecim, DORA nakazuje, aby w organizacji wdrożyć Rejestr umów outsourcingu. Ewidencjonowanie wszystkich zawartych umów ma wiele zasadniczych korzyści operacyjnych i strategicznych. Przede wszystkim pozwala ocenić historię współpracy, weryfikować przeprowadzone kontrole u insourcerów, a także ewidencjonować koszty, efektywność współpracy oraz zgodność z przepisami prawa.

W praktyce – z uwagi na mnogość obowiązków związanych z rejestrowaniem i przygotowywaniem procesów outsourcowanych w podmiotach – większe organizacje dążą do wyodrębnienia stanowisk lub komórek dedykowanych outsourcingowi. Takie rozwiązanie pozwala na lepsze zarządzanie ryzykiem operacyjny, usprawnienie procesów due dilligance i weryfikacji dostawców usług oraz zapewnienie ciągłości działania.

Obligatoryjne elementy umowy outsourcingu usług ICT

DORA wskazuje także, że w przypadku powierzenia wykonywania czynności o charakterze krytycznym, umowa zawierana między stronami, powinna spełniać minimalne wymogi wskazane w przepisach. Poza essentialia negotii wynikającymi z przepisów ogólnych, minimalny zakres umowy na dostawę usług ICT powinien zawierać w szczególności:

– zapisy dotyczące gwarantowanych poziomów usług – w szczególności ze wskazaniem odniesień jakościowych oraz ilościowych, a także z uwzględnieniem zmian i modyfikacji w tych poziomach na przestrzeni okresu trwania umowy;

– zasady bieżącego monitoringu powierzonych czynności oraz prowadzenia kontroli i audytów przez zlecającą instytucję finansową;

– obowiązki sprawozdawcze oraz sposoby informowania outsourcera przez insourcera w zakresie wykonywania i przedmiotu umowy;

– wskazanie wymogów jakie dostawca musi spełniać, aby podmiot finansowy podjął z nim współpracę, a także plan awaryjny na wypadek okoliczności, w których dostawca zaprzestaje spełniać ww. wymogi;

– obowiązek uczestniczenia dostawcy w testach penetracyjnych prowadzonych przez instytucję zlecającą;

– uzgodnienie strategii wyjścia – w jaki sposób i na jakich warunkach strony mogą rozwiązać umowę, a także w jaki sposób nastąpi zakończenie współpracy i świadczenia usług;

– przesłanki prowadzące do rozwiązania umowy – z uwagi na to, że outsourcing krytyczny nie może ustać „z dnia na dzień’, strony powinny wskazać w umowie zamknięty katalog okoliczności, w których dojdzie do rozwiązania umowy, m.in. poważne naruszenie przez dostawcę obowiązujących przepisów, lub zaprzestanie spełniania wymogów przez dostawcę, które były warunkiem zawarcia z nim umowy.

Zawarcie umowy outsourcingu krytycznego może być zatem wyzwaniem zarówno dla podmiotu finansowego, jak i dla dostawcy usług ICT. W takim przypadku każdorazowo warto wesprzeć się wiedzą i doświadczeniem profesjonalistów, którzy zweryfikują postanowienia umowy i zabezpieczą interesy stron.