externalisation

Chapitre II — Conditions applicables en matière d’externalisation

37.1. Les entreprises assujetties s’assurent que toute prestation qui concourt de façon substantielle à la décision
engageant l’entreprise vis-à-vis de sa clientèle à conclure une opération mentionnée aux trois premiers tirets de
l’article 4 r) n’est externalisée qu’auprès de personnes agréées ou habilitées selon les normes de leur pays à exercer
de telles activités.
37.1.1. Les entreprises assujetties :
a) s’assurent que leur système de contrôle au sens de l’article 5 inclut leurs activités externalisées ;
b) se dotent de dispositifs de contrôle, au sens de l’article 6, de leurs activités externalisées.
Lorsque l’entreprise assujettie recourt à un prestataire externe, auquel sont appliquées les dispositions de l’article 2
a), les dispositions prévues aux points a) et b) ci-dessus sont intégrées dans le dispositif de contrôle interne sur base
consolidée. « Ce dispositif peut prendre en compte la mesure dans laquelle l’entreprise assujettie contrôle le
prestataire de services ou peut exercer une influence sur ses actions. » (arrêté du 2 juillet 2007)
37.2. « Les entreprises assujetties qui externalisent des prestations de services ou d’autres tâches opérationnelles
essentielles ou importantes, au sens des q et r de l’article 4, demeurent pleinement responsables du respect de toutes
les obligations qui leur incombent et se conforment en particulier aux conditions suivantes :
1. a) L’externalisation n’entraîne aucune délégation de la responsabilité de l’organe exécutif ;
b) L es relations de l’entreprise assujettie avec ses clients et ses obligations envers ceux-ci ne doivent pas en être
modifiées ;
c) Les conditions que l’entreprise assujettie est tenue de remplir pour recevoir puis conserver son agrément ne
doivent pas être altérées ;
d) A ucune des autres conditions auxquelles l’agrément de l’entreprise assujettie a été subordonné ne doit être
supprimée ou modifiée ;
e) L ‘entreprise assujettie, qui doit conserver l’expertise nécessaire pour contrôler effectivement les prestations ou
les tâches externalisées et gérer les risques associés à l’externalisation, contrôle ces prestations ou ces
tâches et gère ces risques.
2. L’externalisation d’activité doit :
a) Donner lieu à un contrat écrit entre le prestataire externe et l’entreprise assujettie ;
b) S ‘inscrire dans le cadre d’une politique formalisée de contrôle des prestataires externes définie par l’entreprise
assujettie. Des mesures appropriées doivent être prises s’il apparaît que le prestataire de services risque de
ne pas s’acquitter de ses tâches de manière efficace ou conforme aux obligations législatives ou
réglementaires ;
c) P ouvoir, si nécessaire, être interrompue sans que cela nuise à la continuité ou à la qualité des prestations de
services aux clients.
3. Les entreprises assujetties s’assurent, dans leurs relations avec leurs prestataires externes, que ces derniers :
a) S ‘engagent sur un niveau de qualité répondant à un fonctionnement normal du service et, en cas d’incident,
conduisant à recourir aux mécanismes de secours mentionnés au point c ;
b) Assurent la protection des informations confidentielles ayant trait à l’entreprise assujettie et à ses clients ;
c) Mettent en oeuvre des mécanismes de secours en cas de difficulté grave affectant la continuité du service ou
que leur propre plan de continuité tient compte de l’impossibilité pour le prestataire externe d’assurer sa
prestation ;
d) Ne peuvent imposer une modification substantielle de la prestation qu’ils assurent sans l’accord préalable de
l’entreprise assujettie ;
e) Se conforment aux procédures définies par l’entreprise assujettie concernant l’organisation et la mise en
oeuvre du contrôle des services qu’ils fournissent ;
f) L eur permettent, chaque fois que cela est nécessaire, l’accès, le cas échéant sur place, à toute information
sur les services mis à leur disposition, dans le respect des réglementations relatives à la communication
d’informations ;
g) Leur rendent compte de façon régulière de la manière dont est exercée l’activité externalisée ainsi que leur
situation financière ;
h) Acceptent que la Commission bancaire ou toute autre autorité étrangère équivalente au sens des articles L.
632-7, L. 632-12 et L. 632-13 du code monétaire et financier susvisé ait accès aux informations sur les
activités externalisées nécessaires à l’exercice de sa mission, y compris sur place. » (arrêté du 2 juillet 2007)

Recommandations