Circulaire 2008/7 Outsurcing banques Externalisatin d activités dans le secteur bancaire Référence : Circ.-FINMA 08/7 «Outsurcing banques» Date : 20 nvembre 2008 Entrée en vigueur : 1 er janvier 2009 Dernière mdificatin : 6 décembre 2012 [les mdificatins snt signalées par * et figurent à la fin du dcument] Cncrdance : remplace la Circ.-FINMA 99/2 «Outsurcing» du 26 aût 1999 Bases légales : LFINMA art. 7 al. 1 let. b LB art. 3 al. 2 let. a OB art. 9 LBVM art. 10 al. 2 let. a OBVM art. 19, 26 LPD art. 6 7, 12 13 OLPD art. 8 ss Annexe : Exemples d utsurcing Destinataires LB LSA LBVM LPCC LBA Autres Banques Grupes et cngl. financiers Autres intermédiaires Assureurs Grupes. et cngl. d assur. Intermédiaires d assur. Burses et participants Négciants en valeurs mb. Directins de fnds SICAV Sciétés en cmm. de PCC SICAF Banques dépsitaires Gestinnaires de PCC Distributeurs Représentants de PCC étr. Autres intermédiaires OAR IFDS Entités surveillées par OAR Sciétés d audit Agences de ntatin X X X Einsteinstrasse 2, 3003 Berne Tél. +41 (0)31 327 9100, Fax +41 (0)31 327 9101 www.finma.ch
Table des matières I. But Cm 1 II. Définitin Cm 2 3 III. Champ d'applicatin Cm 4 12 A. Champ d'applicatin matériel Cm 4 B. Champ d'applicatin territrial Cm 5 C. Applicatin partielle de la circulaire Cm 6 12 IV. Admissibilité Cm 13 18 V. Cnditins Cm 19 53 A. Principe 1 : Déterminatin du dmaine d'activités sujet à la délégatin Cm 19 20 B. Principe 2 : Chix, instructin et cntrôle du délégataire Cm 21 25 C. Principe 3 : Respnsabilité Cm 26 27 D. Principe 4 : Sécurité Cm 28 33 E. Principe 5 : Secret des affaires et secret prfessinnel, prtectin des dnnées Cm 34 36 F. Principe 6 : Infrmatin des clients Cm 37 39 G. Principe 7 : Audit et surveillance Cm 40 47 H. Principe 8 : Transfert à l'étranger Cm 48 50 I. Principe 9 : Cntrat Cm 51 53 VI. Cmpte rendu des sciétés d audit Cm 54 VII. Exceptins Cm 55 2/11
I. But La présente circulaire définit les cnditins à remplir pur que les slutins d'utsurcing satisfassent aux exigences déculant d'une rganisatin apprpriée, du secret bancaire et de la prtectin des dnnées. 1 II. Définitin Une entreprise pratique un utsurcing (externalisatin d'activités) au sens de la présente circulaire lrsqu'elle charge une autre entreprise (délégataire) d assurer, de manière indépendante et durable, une prestatin de services essentielle à l'activité de l'entreprise. Au sens de cette circulaire snt «essentielles» les prestatins de services qui peuvent en particulier avir un effet sur la déterminatin, la limitatin et le cntrôle des risques de crédit et de pertes, des risques liés au marché, à l'exécutin des transactins et au manque de liquidités, des risques pératinnels et juridiques, ainsi que des risques susceptibles de ternir sa réputatin. Des exemples d externalisatins d activités sumises à la présente circulaire, ainsi que d autres qui ne le snt pas, figurent dans l annexe. L'utsurcing cmprend d'une part la délégatin de prestatins de services jusqu'alrs assumées par l'entreprise elle-même. Cette définitin inclut également, d'autre part, des activités que le délégataire accmplit pur l'entreprise, et que celle-ci n'avait pas encre dévelppées. 2 3 III. Champ d'applicatin A. Champ d'applicatin matériel La circulaire est applicable aux banques et aux négciants en valeurs mbilières rganisés seln le drit suisse, ainsi qu'aux succursales suisses de banques et négciants étrangers. Les banques et les négciants en valeurs mbilières snt désignés ci-après en tant qu'«entreprises». La circulaire est également applicable aux sciétés de grupe qui, seln les exigences en matière de fnds prpres, nt une bligatin de cnslidatin. Les sciétés immbilières fnt exceptin. 4 4a B. Champ d'applicatin territrial Une entreprise, lrsqu'elle est rganisée seln le drit suisse, dit s'assurer que ses succursales ainsi que les sciétés étrangères du même grupe, sumises à l'bligatin de cnslidatin, se cnfrment aux principes énncés dans la présente circulaire, 5 dans la mesure ù la taille et l imprtance de l externalisatin ne snt pas si insignifiantes que celle-ci n a aucune influence sur les risques cnfrmément au Cm 2, pur autant qu il n existe pas de réglementatin étrangère. C. Applicatin partielle de la circulaire Les principes 1 4, ainsi que 7 et 9, énncés sus chapitre V, ne snt pas applicables aux ex- 6 3/11
ternalisatins pratiquées par des succursales d'entreprises étrangères auprès du siège principal (u inversement) u auprès d'autres succursales, 7 au sein d un grupe u une rganisatin centrale d'entreprises, u 8 auprès de délégataires rganisés seln le drit suisse, créés en cmmun par des entreprises et dnt le but scial cnsiste exclusivement à furnir des prestatins de services à ces entreprises. 9 Dans les cas mentinnés aux Cm 7 9 ci-dessus, la dispense ne s'applique cependant que si les délégataires fnt examiner par une sciété d audit agréée par la FINMA les activités que des entreprises leur transfèrent et s'engagent à rendre accessibles à leur rgane de révisin, aux entreprises qui leur transfèrent des activités de même qu'aux rganes de révisin internes et sciétés d audit externes de ces dernières, et à la FINMA tutes les infrmatins requises, ainsi qu'à mettre, sur demande, le rapprt d audit à dispsitin de la FINMA et des rganes de révisin internes et des sciétés d audit externes de ces entreprises. La FINMA peut interdire à une entreprise de transférer des activités à un délégataire qui n'bserve pas les prescriptins des Cm 10 et 11 de la circulaire. 10 11 12 IV. Admissibilité En principe, le transfert de n'imprte quel dmaine d'activités est pssible sans que l'autrisatin de la FINMA sit nécessaire. Cela suppse cependant que la li fédérale du 19 juin 1992 sur la prtectin des dnnées (LPD; RS 235.1), cnfrmément aux Cm 30 ss, et les cnditins régissant la pratique de l'utsurcing, énncées ci-dessus, sient respectées, et, dans l'hypthèse d'un transfert à l'étranger, que les dcuments exigés sient prduits. Si l'entreprise ne parvient pas à remplir ces exigences, elle dit adresser à la FINMA, avant l'externalisatin, une requête mtivée de dispense. Si l'apprbatin de la FINMA relative au transfert d'un dmaine déterminé est exigée par une autre circulaire, ses prescriptins l'emprtent sur celles de la présente circulaire. La haute directin, la surveillance et le cntrôle exercés par le cnseil d'administratin, ainsi que les tâches centrales de cnduite de la directin ne peuvent être délégués. Snt réservées les directives générales et les décisins relatives à la surveillance du grupe, lrsque l'entreprise fait partie d'un grupe exerçant une activité dans le dmaine financier et sumis à une surveillance sur une base cnslidée apprpriée (art. 7 al. 4 OB). De même, les décisins relatives à l'acceptatin et à la rupture de relatins d'affaires ne peuvent être déléguées. Des activités peuvent être déléguées sit à une sciété du même grupe sit à une entité indépendante sur les plans juridique et écnmique. Dans les deux hypthèses, le délégataire peut aussi bien être une banque u un négciant en valeurs mbilières qu'une sciété active dans un dmaine nn financier. 13 14 15 16 17 4/11
Les cnditins régissant la pratique de l'utsurcing, énncées ci-dessus, s'appliquent quels que sient l'rigine du délégataire et sn statut juridique et écnmique. 18 V. Cnditins A. Principe 1 : Déterminatin du dmaine d'activités sujet à la délégatin Le dmaine d'activités sujet à la délégatin dit être défini. 19 Les exigences à remplir par le délégataire snt fixées et dcumentées en référence aux buts pursuivis dans le cadre du transfert d'activités. Il dit être pssible de mesurer u d'évaluer la prestatin du délégataire à l'aide de critères qualitatifs et quantitatifs prédéfinis. 20 B. Principe 2 : Chix, instructin et cntrôle du délégataire L'entreprise dit chisir, instruire et cntrôler le délégataire avec diligence. 21 Avec l accrd écrit de l entreprise, le délégataire peut engager des sus-traitants, à cnditin que les principes de la présente circulaire sient respectés. Les critères et les facteurs guidant le chix du délégataire et la cllabratin avec celui-ci divent être déterminés avant qu'une relatin cntractuelle sit nuée. Le chix du délégataire se fera après examen de ses capacités prfessinnelles ainsi que de ses ressurces humaines et financières. Le délégataire dit présenter tutes garanties d'une activité d'utsurcing sûre et durable Les cmpétences respectives de l'entreprise et de sn délégataire divent être déterminées et délimitées avec précisin. Les interfaces, les cmpétences et les questins relatives aux respnsabilités fnt l'bjet d'une réglementatin cntractuelle. Le système de cntrôle interne de l'entreprise dit s'étendre au dmaine d'activités transféré. L'entreprise désigne en sn sein une persnne chargée de la surveillance et du cntrôle du délégataire. Les activités de celui-ci snt à surveiller et évaluer de façn suivie, de srte que les éventuelles mesures nécessaires puissent être prises immédiatement. L'entreprise se réserve par cntrat le drit d'pérer les inspectins, de dnner les instructins et d'effectuer les cntrôles que nécessite l'utsurcing. 21a 22 23 24 25 C. Principe 3 : Respnsabilité L'entreprise cntinue d'assumer, à l'égard de la FINMA, la respnsabilité relative au dmaine d'activités externalisé. L'entreprise demeure respnsable, à l'égard de la FINMA, également pur les dmaines d'activités transférés, cmme si elle les explitait elle-même. 26 27 5/11
D. Principe 4 : Sécurité L'entreprise et le délégataire déterminent les exigences à respecter en matière de sécurité et élabrent un dispsitif de sécurité. L'entreprise et le délégataire définissent les exigences que le délégataire dit remplir en matière de sécurité. Ces exigences divent figurer dans le cntrat et leur bservatin est à surveiller. L'entreprise et le délégataire élabrent un dispsitif de sécurité prévyant la suppléance du délégataire en cas d'empêchement de sa part pur un quelcnque mtif. La cnduite régulière des activités dit être assurée en permanence. Lrs de l élabratin et de l applicatin du dispsitif de sécurité, l entreprise dit bserver les mêmes règles de diligence que celles qu elle devrait respecter à défaut d externalisatin. Le dispsitif de sécurité dit tenir cmpte de tus les cas d urgence prévisibles. Les dnnées cncernant les clients divent être prtégées cntre tut traitement nn autrisé par des mesures rganisatinnelles et techniques apprpriées. L'entreprise et le délégataire assurent la cnfidentialité, la dispnibilité et l'exactitude des dnnées, afin de garantir de manière apprpriée la prtectin des dnnées. Ils prtègent en particulier les systèmes cntre la destructin accidentelle u nn autrisée, la perte accidentelle, les erreurs techniques, la falsificatin, le vl u l'utilisatin illicite, ainsi que la mdificatin, la cpie, l'accès u tut autre traitement nn autrisé. Les mesures techniques et rganisatinnelles tiennent cmpte des critères suivants : 28 29 29a 30 31 32 but du traitement de dnnées, nature et étendue du traitement de dnnées, évaluatin des risques ptentiels pur les clients cncernés et dévelppement technique. Ces mesures fnt l'bjet d'un réexamen péridique. Lrs de traitements autmatisés de dnnées cncernant des clients, le délégataire prend les mesures techniques et rganisatinnelles prpres à assurer ntamment le cntrôle de l'accès aux lcaux utilisés, des supprts de dnnées, de leur transprt, de leur cmmunicatin, de leur enregistrement, de leur utilisatin, de leur intrductin dans le système et de l'accès direct à ces dnnées (cf. art. 7 LPD et art. 8 9 de l'rdnnance du 14 juin 1993 relative à la li fédérale sur la prtectin des dnnées, OLPD ; RS 235.11). 33 E. Principe 5 : Secret des affaires et secret prfessinnel, prtectin des dnnées Un délégataire suisse dit être assujetti au secret des affaires de l'entreprise et, dans la mesure ù des dnnées cncernant des clients lui snt cnnues, au secret prfessinnel u au secret bancaire de l'entreprise qui lui a délégué des activités. Le délégataire dit s bliger expressément à garantir la cnfidentialité requise. En cas d externalisatin à l étranger, il dit être garanti par des myens techniques et rganisatinnels apprpriés que le secret bancaire et la prtectin des dnnées sernt respectés cn- 34 35 6/11
frmément au drit suisse. Dans l'hypthèse ù le délégataire ffre ses services à plusieurs entreprises, il s'assure, à l'égard de sn persnnel, ainsi que par des mesures techniques et rganisatinnelles, que la cnfidentialité des dnnées est garantie nn seulement à l'égard des tiers, mais également à l'endrit des différentes entreprises qui lui nt transféré des activités. 36 F. Principe 6 : Infrmatin des clients Les clients divent être infrmés du transfert de dnnées les cncernant. 37 Les clients divent être infrmés de l externalisatin avant que les dnnées les cncernant ne sient transmises à un délégataire. L infrmatin peut être effectuée sus une frme générale, p. ex. en figurant dans des cnditins générales, des règlements de dépôt, des extraits de cmptes, des brchures d infrmatin, u sus la frme d un currier. L infrmatin dit cntenir des indicatins détaillées au sujet des activités faisant l bjet de l externalisatin. Les clients divent recevir, par currier spécial, une infrmatin détaillée et être mis au fait des mesures de sécurité prises, avant le transfert à l'étranger de dnnées les cncernant (cf. principe 8). Dans cette hypthèse, la faculté de mettre un terme sans préjudice aux relatins cntractuelles dans un délai apprprié dit leur être fferte. Le devir particulier d infrmatin tmbe lrsque les dnnées devant être transmises à l étranger en raisn d une externalisatin ne permettent pas de déduire l identité du client. 38 39 G. Principe 7 : Audit et surveillance L'entreprise mandante, ses rganes de révisin interne et sa sciété d audit externe, de même que la FINMA, divent avir, en tut temps et sans qu'il leur sit ppsé d'bstacles, accès au dmaine d'activités transféré. Ils divent être en mesure d'examiner intégralement ce dmaine. Des cmpétences en matière d'examen peuvent être déléguées à l'rgane de révisin externe du délégataire pur autant que celui-ci dispse des cmpétences matérielles nécessaires. La délégatin de l examen à l rgane de révisin externe peut être effectuée sans autrisatin de la FINMA. Les rganes de révisin interne et la sciété d audit externe de l'entreprise divent être en psitin d'examiner si le délégataire bserve les dispsitins de la li sur les banques et de la li sur les burses et le cmmerce des valeurs mbilières. Le cntrat dit réserver à ces rganes un drit de regard et d'examen intégral et permanent, de srte qu'ils puissent accmplir leurs tâches sans entraves. Les drits de regard et d'examen divent être exercés dans le respect du Cm 36. Les rganes de révisin interne et la sciété d audit externe de l'entreprise divent dispser d'un accès à tus les dcuments, bases de dnnées et systèmes utilisés par le délégataire, pur autant qu'ils cncernent le dmaine d'activités transféré Ils peuvent ntamment s'en référer à l'activité des rganes de révisin du délégataire, lrsque celui-ci est rganisé seln le drit suisse et qu'il remplit les cnditins des Cm 10 et 11 de la circulaire. Ces rganes crdnnent leurs activités d audit avec celles de la sciété de révisin du délégataire. 40 41 42 43 44 45 7/11
L'utsurcing ne dit pas prter atteinte à l'activité de régulatin et de surveillance exercée par la FINMA, en particulier lrsque le délégataire se situe à l'étranger u qu'une sciété du grupe, dmiciliée à l'étranger, transfère également des activités. Un délégataire qui ne serait pas assujetti à la surveillance de la FINMA dit s'engager par cntrat envers l'entreprise à furnir à la FINMA tus les renseignements et dcuments relatifs au dmaine d'activités transféré dnt la FINMA a besin pur remplir ses tâches de surveillance. Lrsque les tâches d'examen snt déléguées à l'rgane de révisin du délégataire, sn rapprt dit, sur demande, être mis à dispsitin de la FINMA et des rganes de révisin internes et de la sciété d audit externe de l'entreprise qui externalise des activités. 46 47 H. Principe 8 : Transfert à l'étranger Un transfert à l'étranger n'est admis qu'à la cnditin supplémentaire de l'apprt d'une preuve que les pssibilités d'examen snt garanties par l'etat vers lequel s'effectue le transfert. En vue d'un transfert à l'étranger, l'entreprise dit être en mesure de démntrer qu'elle-même, tut cmme sa sciété d audit externe et la FINMA, sernt en mesure d'exercer leurs prérgatives d'examen sans que des bstacles juridiques s'y ppsent. Ces preuves peuvent ntamment être apprtées par le biais d'avis de drit u d'attestatins établies par les autrités de surveillance cmpétentes. La sciété d audit externe examine ces preuves avant le transfert. 48 49 50 I. Principe 9 : Cntrat Un cntrat en la frme écrite dit être cnclu entre l'entreprise et le délégataire. 51 Tut utsurcing dit repser sur un cntrat prenant au mins en cmpte l'ensemble des cnditins énncées dans la présente circulaire. L'entreprise dit définir une prcédure interne d'autrisatin pur les prjets d'utsurcing, ainsi que les cmpétences pur la cnclusin de cntrats en la matière. 52 53 VI. Cmpte rendu des sciétés d audit Les sciétés d'audit vérifient le respect des cnditins de la circulaire seln les dispsitins de la circ.-finma 13/3 «Activités d audit» et cnsignent le résultat de leurs mesures d'audit dans le rapprt d'audit. 54* VII. Exceptins Dans des cas particuliers, la FINMA peut impser d'autres bligatins à une entreprise et/u la dispenser ttalement u partiellement d'bserver les dispsitins de cette circulaire. 55 8/11
Annexe Exemples d utsurcing La table suivante cntient des exemples pratiques d'externalisatins sumises à la circulaire et d'autres qui ne le snt pas. L'énumératin n'est pas exhaustive. 1 Explicatin des symbles utilisés dans la table ci-dessus: 2 Outsurcing au sens de la présente rdnnance : ui Outsurcing au sens de la présente rdnnance : nn I. Cmmerce et administratin de papiers-valeurs Ttalité de l administratin des papiers-valeurs à un seul délégataire Participatin à des systèmes de livraisn des titres 3 II. Trafic des paiements et des billets Exécutin de l'ensemble du trafic des paiements par un seul délégataire u une seule banque crrespndante Participatin à des systèmes de paiement Relatins avec les banques crrespndantes Livraisns physiques de la mnnaie et transprts des valeurs Entretien des distributeurs de billets 4 III. Systèmes de technlgie de l'infrmatin et entretien Stckage de dnnées Explitatin et entretien de banques de dnnées Explitatin de systèmes de technlgie de l infrmatin Elabratin d'un prjet de technlgie de l infrmatin, afin de l intégrer une fis terminé au fnctinnement de la banque Mandat pur le dévelppement de lgiciels Acquisitin de licences de lgiciels Supprt de lgiciels Maintenance des appareils techniques, des systèmes (technlgies de l infrmatin, etc.) et des lgiciels 5 IV. Gestin des risques Fnctins de cmpliance Service interne de lutte cntre le blanchiment d argent Fnctins particulières dans le dmaine de la surveillance des risques de crédits, ainsi que de l analyse des crédits Surveillance des limites cmmerciales et de crédits 6 9/11
Annexe Exemples d utsurcing V. Administratin des dnnées de base et cmptabilité Reprting financier Etablissement et mise à jur des adresses de clients u de prfils clients (exceptin faite des activités ccasinnelles) 7 VI. Fnctins back-/mid-ffice Impressin et envi de dcuments bancaires (exceptin faite des activités ccasinnelles) 8 VII. Ressurces humaines Décmpte des salaires, de la rémunératin et des bnus des cllabrateurs Occupatin de frces de travail tempraires Prestatins de services pur les cllabrateurs envyés à l'étranger (expatriés) 9 VIII. Lgistique Services de cantine et de restauratin Prestatins générales de service et de sutien, cmme par exemple le service de nettyage, la préventin des accidents, la prtectin cntre l incendie, etc. Mesures cncernant la sécurité technique et physique des immeubles de la banque Administratin, entretien et vente des immeubles de la banque 10 IX. Divers Opératins de cartes de crédit Encaissements Cnseil juridique et fiscal 11 10/11
Liste des mdificatins La présente circulaire est mdifiée cmme suit : Mdificatin du 6 décembre 2012 entrant en vigueur le 1 er janvier 2013 Cm mdifié 54 11/11