DORA outsourcing

Finansiella företag arbetar idag med många externa leverantörer. Vissa levererar teknik, andra utför delar av verksamheten och många upplägg innehåller båda komponenterna. För att bedöma om en tjänst eller ett leverantörsupplägg är kritiskt eller viktigt enligt DORA eller outsourcingregelverket behövs därför en tydlig metod.

En bra startpunkt är att beskriva vad arrangemanget faktiskt avser. När bolaget förstår vad leverantören konkret gör blir det lättare att avgöra om bedömningen främst avser en ICT-tjänst, en utlagd funktion eller ett upplägg med båda delar.

För finansiella företag blir den här typen av klassificering en central del av arbetet med finansiell reglering, eftersom bedömningen påverkar styrning, avtal, riskhantering, uppföljning och dokumentation.

Syftet är inte att skapa en teoretisk regelverksjämförelse. Syftet är att ge ett praktiskt arbetssätt för att förstå leverantörsupplägget, bedöma dess betydelse för verksamheten och låta klassificeringen få genomslag i avtal och governance.

Börja med att beskriva leverantörens faktiska roll

Den första frågan bör vara vad leverantören konkret gör för det finansiella företaget. Tillhandahåller leverantören en teknisk tjänst? Utför leverantören en funktion eller process åt bolaget? Eller består upplägget av både teknik och operativt utförande?

Den beskrivningen behöver vara praktisk. Det räcker att utgå från avtalets rubrik, leverantörens kategori i inköpssystemet eller en intern etikett. Bedömningen blir mer träffsäker när bolaget beskriver hur tjänsten används i verksamheten och vilken del av affären, kontrollmiljön eller den regulatoriska processen som berörs.

Exempelvis kan en leverantör leverera ett system, en plattform, en molntjänst eller en säkerhetslösning. En annan leverantör kan hantera kundärenden, utföra kontroller, bistå med regelefterlevnad eller sköta delar av en operativ process. I vissa fall sker båda sakerna inom samma avtal.

Skillnaden mellan en funktion och en IT-tjänst

En central del av bedömningen är att skilja mellan en funktion och en IT- eller ICT-tjänst. Om skillnaden ska beskrivas enkelt handlar en funktion om vad verksamheten gör, och en IT–tjänst handlar om den tekniska kapacitet som verksamheten använder.

En funktion är en aktivitet, process eller tjänst som annars skulle utföras av det finansiella företaget självt. Det kan exempelvis handla om regelefterlevnad, internrevision, kundtjänst, kreditbedömning eller hantering av vissa operativa processer.

När en sådan funktion läggs ut blir outsourcingbedömningen relevant. Då behöver bolaget analysera funktionens betydelse för verksamheten, riskprofilen, kontrollmiljön och förmågan att uppfylla regulatoriska skyldigheter.

En IT- eller ICT-tjänst handlar istället om teknik, system, drift, databehandling, kommunikation, molninfrastruktur eller annan digital kapacitet. Det kan exempelvis vara ett core banking-system, en betalningsplattform, ett ärendehanteringssystem, ett system för transaktionsmonitorering eller en kommunikations- och säkerhetstjänst.

När det är fråga om en ICT-tjänst blir DORA-spåret relevant. Då behöver bolaget analysera hur tjänsten stödjer verksamheten, vilken roll den spelar i digital operativ motståndskraft och vilken betydelse den har för kritiska eller viktiga funktioner.

Bedömningen blir tydligare när funktion och teknik hålls isär

I finansiella verksamheter hänger funktion och teknik ofta nära samman. Det gör bedömningen mer praktisk än teoretisk. Ett system för transaktionsövervakning är en teknisk lösning, och det stödjer samtidigt en central regelefterlevnadsprocess. Det blir då en ICT-tjänst som kan vara kritisk eller viktig utifrån DORA-regelverket.

Därför är det värdefullt att dela upp analysen. Först beskrivs den tekniska tjänsten. Därefter beskrivs den eller de verksamhetsprocesser som tjänsten stödjer. Om leverantören också utför delar av processen dokumenteras det som en separat del av bedömningen.

På så sätt får bolaget en mer nyanserad bild av upplägget. Det blir tydligare vilka delar som rör teknik, vilka delar som rör verksamhetsutförande och hur dessa delar tillsammans påverkar risk, ansvar och styrning.

DORA-bedömningen börjar med ICT-tjänsten

När bolaget har identifierat en IT- eller ICT-tjänst behöver tjänstens betydelse för verksamheten analyseras. Frågan är inte bara vad leverantören levererar tekniskt, utan vilken funktion eller process tjänsten stödjer.

Många finansiella företag är starkt beroende av digitala tjänster. Det innebär att DORA-analysen ofta blir en naturlig del av leverantörsstyrningen. Samtidigt kräver klassificeringen en separat bedömning av tjänstens betydelse. En IT-tjänst omfattas av DORA, men behöver inte automatiskt behandlas som kritisk eller viktig.

Bedömningen bör därför fokusera på praktiska konsekvenser. Vilka processer använder tjänsten? Vilka kundflöden påverkas? Har tjänsten betydelse för transaktioner, rapportering, riskhantering, regelefterlevnad eller informationssäkerhet? Hur skulle verksamheten påverkas vid ett avbrott?

En administrativ IT-tjänst kan få stor betydelse om den används i en central process. På motsvarande sätt kan en teknisk tjänst ha mer begränsad betydelse om den används avgränsat och det finns fungerande alternativ eller manuella rutiner.

Outsourcingbedömningen börjar med funktionen

För outsourcing är den praktiska startpunkten att identifiera om leverantören utför en process, tjänst eller aktivitet som annars skulle utföras av det finansiella företaget självt.

När en funktion eller del av en funktion läggs ut behöver bolaget bedöma funktionens betydelse. Det handlar om verksamhetsansvar, kontroll och kontinuitet. Bedömningen bör ta hänsyn till hur central funktionen är för den tillståndspliktiga verksamheten, om brister kan påverka regelefterlevnaden och hur bolaget säkerställer insyn, uppföljning och styrning.

Andra relevanta frågor är hur lätt funktionen kan tas hem eller flyttas till en annan leverantör, vilken påverkan ett avbrott får för kunder och verksamhet samt hur ansvaret är fördelat mellan bolaget och leverantören.

En tydlig outsourcingbedömning hjälper bolaget att formulera rätt avtalskrav och skapa en fungerande uppföljning. Den gör också att ledning, risk, compliance, legal, IT och verksamheten kan arbeta utifrån samma bild av vad som faktiskt har lagts ut.

Samma leverantörsupplägg kan innehålla flera bedömningar

Ett leverantörsupplägg kan innehålla både en teknisk komponent och ett operativt utförande. Det är vanligt i finansiella verksamheter där digitala plattformar används för processer som samtidigt har regulatorisk betydelse.

Exempelvis kan en leverantör tillhandahålla en plattform för bokföring och samtidigt bistå med att utföra bokföringen. En annan leverantör kan leverera ett system för kreditbedömningar och samtidigt utföra moment som ingår i bolagets kreditprocess.

I sådana fall blir analysen mer användbar om bolaget delar upp arrangemanget i komponenter. Den tekniska delen analyseras som en ICT-tjänst. Det operativa utförandet analyseras utifrån om en funktion eller del av en funktion har lagts ut. Därefter bedöms hur delarna samverkar och vilken samlad påverkan upplägget har på verksamheten.

Det ger en klassificering som speglar verkligheten och som kan omsättas i avtal, styrning och löpande uppföljning.

En praktisk metod i tre steg

En enkel metod är att arbeta i tre steg. Den fungerar både vid nya leverantörsupplägg och när befintliga avtal ska ses över.

• Beskriv vad leverantören konkret gör och hur tjänsten används i verksamheten.
• Identifiera om upplägget avser en ICT-tjänst, en utlagd funktion eller ett arrangemang med flera delar.
• Bedöm vilken påverkan ett avbrott, en brist eller en felaktig prestation skulle få för verksamheten, kunderna och bolagets regulatoriska skyldigheter.

Efter dessa steg kan bolaget gå vidare till mer detaljerade frågor om klassificering, avtalskrav, rapportering, incidenthantering, exitplanering och dokumentation.

Metoden gör också arbetet mer konsekvent. Den kan användas i inköpsprocesser, vid avtalsförhandlingar, i register över leverantörer och vid återkommande uppföljning av befintliga arrangemang.

Kvalitetsfrågor som stärker klassificeringen

När den första bedömningen är gjord kan bolaget kvalitetssäkra analysen genom ett antal kontrollfrågor. De hjälper till att säkerställa att klassificeringen är praktiskt användbar.

• Är det tydligt vilken verksamhetsprocess tjänsten stödjer?
• Är det tydligt om leverantören enbart tillhandahåller IT eller även utför delar av processen?
• Är beroendet av tjänsten beskrivet på ett konkret sätt?
• Är konsekvenserna av avbrott, brister eller felaktig prestation dokumenterade?
• Speglas klassificeringen i avtalet och i den interna uppföljningen?
• Finns en rutin för att uppdatera bedömningen när användningen av tjänsten förändras?

Frågorna gör klassificeringen mer robust. De bidrar också till att avtalet, riskbedömningen och den interna styrningen hålls samman.

Klassificeringen ska synas i avtal och styrning

En välgjord klassificering får praktisk betydelse först när den omsätts i avtal och styrning. Den påverkar exempelvis vilka krav som ställs på leverantören, hur tjänsten följs upp och vilka interna funktioner som behöver vara involverade.

Klassificeringen kan påverka avtalskrav, rapportering, incidenthantering, revisions- och åtkomsträttigheter, exitplanering, kontinuitetskrav, informationssäkerhet, underleverantörer, ansvarsfördelning och dokumentation.

Den kan också påverka hur bolaget organiserar sitt interna ansvar. Vissa frågor ligger nära IT och informationssäkerhet. Andra ligger nära risk, compliance, legal eller verksamheten. En tydlig klassificering gör det lättare att fördela ansvar och skapa en uppföljning som fungerar över tid.

Det är också värdefullt att se klassificeringen som en levande bedömning. När tjänstens användning, omfattning eller betydelse förändras bör bedömningen ses över. På så sätt kan avtal och styrning utvecklas i takt med verksamheten.

Börja enkelt och bygg bedömningen steg för steg

En effektiv analys av DORA outsourcing börjar med en praktisk fråga: vad är det som faktiskt läggs ut eller köps in? När svaret är tydligt blir det enklare att skilja mellan funktion och IT-tjänst, bedöma betydelsen för verksamheten och välja rätt krav på avtal, uppföljning och dokumentation.

Den viktigaste frågan är alltså vad bolaget faktiskt har lagt ut, vilken roll tjänsten spelar i verksamheten och vilka konsekvenser ett avbrott eller en brist skulle få. Med den strukturen blir klassificeringen mer användbar för både juridik, risk, compliance, IT och verksamheten.

Hos Morling Consulting hjälper våra jurister inom finansiell reglering finansiella företag att strukturera leverantörsupplägg, klassificeringar och avtal på ett sätt som fungerar både regulatoriskt och operativt.