Ansvar vid outsourcad verksamhet enligt Solvens II – en fråga redan i hetluften

2010-06-17

I ljuset av ett av Finansinspektionens senaste sanktionsbeslut, rörande ansvar för transaktionsrapportering som utförts av uppdragstagare, kommer bestämmelserna om outsourcad verksamhet (uppdragsavtal) i de kommande solvensreglerna, Solvens II, ytterligare i fokus.

Sanktionsbeslutet (FI Dnr 10-4311) fastslog att uppdragsgivaren, vid utläggning (outsourcing) av funktioner av väsentlig betydelse, står ansvarig för funktionens utförande och att denne har en skyldighet att se till att uppdragstagaren utför uppdraget effektivt. För att kunna genomföra den typen av kontroll av outsourcade tjänsten krävs det att uppdragsgivare innehar den kunskap och rutiner som krävs för att kunna övervaka utläggningen av funktionen eller verksamheten.

Vid en första anblick kan man tycka att de nya reglerna i Solvens II inte alls är nya och att det är riskfritt att fortsätta i samma hjulspår som Finansinspektionens allmänna råd om styrning och kontroll av finansiella företag (FFFS 2005:1) har kört upp. Så är inte fallet. Naturligtvis är en hel del regler desamma som förut, som t ex att ansvaret för utläggningen stannar kvar hos uppdragsgivaren, att det måste finnas interna riktlinjer för utläggning av verksamhet eller funktioner och vad dessa ska omfatta samt naturligtvis kraven på beställarkompetens och beredskap vid eventuell fallering. Vad som är nytt är det angreppssätt med vilket Solvens II tar sig an utläggning av verksamhet.

Solvens II kräver en fullständig utvärdering av motparten innan ett uppdrag läggs ut och denna ska säkerställa att uppdraget inte underminerar företagets möjlighet att styra verksamheten. Utvärderingen ska vidare bland annat säkerställa att uppdraget inte innebär ökade operativa risker, inte försvårar tillsynen över företaget och inte försämrar servicen till kunderna.

Så varför får ett sanktionsbeslut oss att känna osäkerhet över huruvida nuvarande praxis är tillräcklig? Helt enkelt för att det ansvar som Finansinspektionen så självklart lägger på uppdragsgivaren nu också omfattar ett ansvar för uppdragstagarens hela verksamhetsupplägg, kapacitet och risker. Det kommer inte att räcka att man i sina interna regler fastställer vad ens eget företag ska ställa för krav på motparten, det kommer dessutom att krävas en fullständig utredning av att mottagaren verkligen uppfyller dessa krav.

Ytterligare något att reflektera över är de utökade kraven på innehållet i uppdragsavtalen. Avtalen måste, precis som nu, klart och tydligt fördela uppgifter och ansvar och innehålla bestämmelser om beredskapsplaner och skydd av konfidentiell information m.m. En nyhet i det framtida regelverket är att avtalet ska precisera att uppdragstagaren är skyldig att underrätta om omständigheter som väsentligen kan påverka utförandet av uppdraget och en rätt för uppdragsgivaren att få regelbundna rapporter om uppdragets utförande och resultat m.m. En annan nyhet är att avtalet även ska precisera att uppdragsgivaren har rätt att ge generella och specifika instruktioner som behövs för utförandet. Vidare ska avtalet dessutom inte bara innehålla en rätt för FI att få tillgång till information och lokaler hos uppdragstagaren, utan samma rättigheter ges även till uppdragsgivaren och dennes revisorer.

Inför ikraftträdandet av Solvens II är det med andra ord hög tid att se över och utföra, alternativt upprepa, en utvärdering av sina uppdragstagare. Finansinspektionens sanktionsbeslut bekräftar att ansvaret finns redan i dagsläget, men kraven på den kontrollmiljö som kommer att krävas kring den outsourcade verksamheten ökar betydligt i framtiden. Finansinspektionen har därmed gjort oss uppmärksamma på vad som komma skall.