De AFM roept beleggingsondernemingen en fondsbeheerders op om vaart te maken met het beheersen van uitbestedingsrisico’s. Hoewel uitbesteding van (kern)activiteiten vanuit een bedrijfseconomisch- of kwaliteitsperspectief zinvol kan zijn, brengt uitbesteding ook risico’s met zich mee.
Waar gaat het om? Christian Wulf Know How Manager van Hart Advocaten dat een kennispartner van Fondsnieuws is, legt dat in deze bijdrage nader uit.
1. Uitbesteden van werkzaamheden
Volgens de AFM heeft 78 procent van de beleggingsondernemingen/beheerders één of meerdere kritieke werkzaamheden uitbesteed. Uitbestedingen kunnen zowel intern (bijvoorbeeld aan een groepsentiteit) als extern plaatsvinden en zien in praktijk op compliance, interne controle en risk, administratie en IT.
De voordelen om uit te besteden zijn in het algemeen gelegen in kostenefficiëntie of het feit dat een andere partij betere technologie of infrastructuur heeft voor een specifieke activiteit.
Juridisch gezien blijven uitbestede activiteiten onderdeel uitmaken van de eigen bedrijfsvoering. Doordat uitbestede activiteiten vallen onder de Wft-regels met betrekking tot bedrijfsvoering, is de AFM bevoegd toezicht te houden op uitbestede activiteiten. De AFM heeft recent een sectorbrief gestuurd waarin zij opmerkt dat uitbesteding veel plaatsvindt. Mede om die reden reikt de AFM enkele handvatten aan ter verbetering van de bedrijfsvoering en dienstverlening.
2. Aandachtspunten voor beleggingsondernemingen
Wft-gereguleerde ondernemingen zoals beleggingsondernemingen moeten voldoen aan de toepasselijke uitbestedingsregels. Niet voldoen betekent dat de onderneming het risico loopt op toezichtsmaatregelen zoals boetes, maar ook op reputatieschade omdat de AFM in beginsel de getroffen maatregelen dient te publiceren. Hierna enkele aandachtspunten en tips.
2.1 Mag de activiteit worden uitbesteed?
Beoordeel of de voorgenomen uitbestedingsactiviteit onder de Wft valt. Niet iedere uitbesteding moet aan specifieke vereisten voldoen. Valt de uitbestedingsactiviteit onder de Wft, dan moet worden beoordeeld of deze activiteit wel uitbesteed mag worden. Bepaalde activiteiten mogen namelijk niet worden uitbesteed. Het gaat dan om uitbestedingen die als gevolg hebben dat de directie haar verantwoordelijkheid delegeert of om uitbestedingen waardoor de relatie met en verplichtingen jegens de cliënt worden gewijzigd. Vergeet niet dat als er materiële activiteiten worden uitbesteed, dit bij de AFM moet worden gemeld. Als de activiteit gereguleerd is én mag worden uitbesteed is een schriftelijke uitbestedingsovereenkomst verplicht.
2.2 Uitbestedingsovereenkomst
Een uitbestedingsovereenkomst moet voldoen aan wettelijk eisen. Zorg er daarom voor dat een uitbestedingsovereenkomst in elk geval voorziet in een duidelijke omschrijving van de werkzaamheden, hoe de kwaliteitsmonitoring plaatsvindt, op welke wijze (en aan wie) wordt gerapporteerd en hoe het zit met aansprakelijkheden en continuïteit van de bedrijfsvoering. Andere belangrijke aspecten zijn de verplichting voor de uitbestede partij om medewerking te verlenen aan onderzoeken of verzoeken van de toezichthouder en het omgaan met persoonsgegevens (AVG).
2.3 Bekwaamheid
Beleggingsondernemingen zijn verplicht om zorgvuldig en waakzaam te zijn bij het aangaan, beheren en beëindigen van de uitbestedingsovereenkomst. Een beleggingsonderneming zal moeten zorgen dat de dienstverlener de taken op betrouwbare en professionele wijze uitvoert. Voer daarom een due dilligence onderzoek uit voorafgaand aan het aangaan van de uitbestedingsovereenkomst. Volgens de AFM voert 25 procent van de beleggingsondernemingen zo’n onderzoek niet uit. Ook moet een beleggingsonderneming toereikende methoden en procedures hebben om het presentatieniveau van de dienstverlener te beoordelen en om doorlopend de verleende diensten te toetsen. Uitbesteding ontslaat een beleggingsonderneming niet om zelf voldoende bekwaam te zijn om de presentaties van de dienstverlener inhoudelijk te controleren.
2.4 Kwaliteitsmonitoring
Volgens de AFM past 46 procent van de beleggingsondernemingen geen kwaliteitsmonitoring toe. De AFM adviseert ondernemingen om periodieke monitorings- en controle werkzaamheden uit te voeren op de derde partij zolang de werkzaamheden worden uitbesteed. Let erop dat deze bevindingen moeten worden vastgelegd. Niet alle ondernemingen beschikken over kwaliteitsmonitoringsprocedures en dit is voornamelijk te zien bij interne uitbestedingen. Tot slot moeten beleggingsondernemingen ervoor zorgen dat zij voldoende toezicht houden op de uitbestede taken.
2.5 Waarborgen continuïteit
In samenhang met het vorige punt, moet de beleggingsonderneming ervoor zorgen dat de continuïteit van de eigen bedrijfsvoering geen gevaar loopt als bijvoorbeeld de dienstverlener slechte kwaliteit levert, niet kan leveren of zelfs failliet gaat. Een gevolg van uitbesteding kan zijn dat bepaalde specifieke kennis van hetgeen uitbesteed wordt, in de eigen onderneming verloren gaat. Dit heeft weer als gevolg dat het moeilijker wordt om voldoende toezicht te houden op de uitbestede taken en om de kwaliteit van de dienstverlener te monitoren. Bovendien komt de continuïteit van de bedrijfsvoering in gevaar als de uitbesteding abrupt stopt en er intern onvoldoende kennis is. Voorkom dit door te zorgen voor voldoende kennis binnen de beleggingsonderneming.
2.6 Persoonsgegevens
Zorg dat gevoelige bedrijfsinformatie en persoonsgegevens op correcte wijze worden verwerkt. Binnen de EU kennen we uitgebreide regelgeving op het gebied van verwerken van persoonsgegevens. De AVG stelt nadere voorwaarden voor het delen van gegevens met dienstverleners buiten de EU.
De beleggingsonderneming zal moeten beoordelen of het is toegestaan dat de data mogen worden gedeeld met een dienstverlener buiten de EU. Er is in toenemende mate aandacht voor veiligheid van data. Van tevoren moet met de dienstverlener zijn afgesproken welke organisatorische en technische maatregelen zijn genomen ten aanzien van dataverwerking. Als bepaalde activiteiten worden uitbesteed aan een dienstverlener buiten EU, geldt dat eerst moet worden beoordeeld of de data wel gedeeld mogen worden en of hieraan geen additionele eisen worden gesteld.
3. Tot slot
Dat uitbesteding veelvuldig voorkomt is geen verrassing en dat de bestuurders verantwoordelijk zijn om te zorgen dat de beleggingsonderneming doorlopend voldoet aan de toepasselijke wet- en regelgeving ook niet. Onderschat de risico’s vooral niet, zorg voor adequaat intern beleid alsmede beheersmaatregelen en zorg ervoor dat de uitbestedingscontracten voldoen aan de uitbestedingsregels. Laat zo nodig toetsen of u aan de gestelde regels voldoet.
Christian Wulf is verantwoordelijk voor het opleidingsinstituut Hart Academy en verricht (wetenschappelijk) onderzoek naar (Europese) regelgeving en ontwikkelingen en fungeert als vraagbaak en sparringpartner voor medewerkers bij Hart Advocaten in Amsterdam, dat zich richt zich op de financiële markt.
Hart Advocaten is één van de kennispartners van Fondsnieuws en schrijft maandelijks een bijdrage over uiteenlopende thema’s. De andere kennispartners zijn AF Advisors, Ortec Finance en Willis Towers Watson.