Điều 41. Quản lý rủi ro hoạt động đối với hoạt động thuê ngoài
1. Quản lý rủi ro hoạt động đối với hoạt động thuê ngoài được thực hiện thông qua:
a) Quản lý hoạt động thuê ngoài theo quy định tại khoản 2 Điều này;
b) Nhận dạng, đo lường, theo dõi và kiểm soát rủi ro hoạt động phát sinh từ hoạt động thuê ngoài theo quy định tại Điều 40 Thông tư này.
2. Quản lý hoạt động thuê ngoài tối thiểu bao gồm:
a) Xác định phạm vi hoạt động thuê ngoài và mức độ phụ thuộc vào bên thứ ba;
b) Phân cấp thẩm quyền phê duyệt, quyết định đối với các hoạt động thuê ngoài;
c) Thẩm định năng lực của bên thứ ba trong việc đáp ứng các yêu cầu, mục tiêu đề ra của hoạt động thuê ngoài trước khi ký hợp đồng thuê ngoài; đánh giá khả năng thực hiện hợp đồng của doanh nghiệp thuê ngoài trong quá trình thực hiện hợp đồng;
d) Hợp đồng thuê ngoài đảm bảo chặt chẽ, đầy đủ, bảo vệ quyền sở hữu, bảo mật cơ sở dữ liệu, thông tin khách hàng, quyền chấm dứt hợp đồng thuê ngoài của tổ chức tín dụng. Hợp đồng thuê ngoài tối thiểu bao gồm: mức độ và phạm vi hoạt động thuê ngoài; quyền, nghĩa vụ cụ thể của tổ chức tín dụng và doanh nghiệp thuê ngoài và bên thứ ba; điều khoản xử lý tranh chấp theo quy định của pháp luật;
đ) Đối với hoạt động thuê ngoài là dịch vụ công nghệ thông tin phải đảm bảo an toàn, bảo mật hệ thống công nghệ thông tin trong hoạt động ngân hàng và tuân thủ các quy định của pháp luật về quản lý sử dụng dịch vụ công nghệ thông tin của bên thứ ba;
e) Lập hoặc yêu cầu bên thứ ba lập kế hoạch duy trì hoạt động liên tục cho hoạt động thuê ngoài theo Điều 44 Thông tư này;
g) Thiết lập cơ chế giám sát đối với bên thứ ba trong thời gian thực hiện thuê ngoài.
3. Tổ chức tín dụng thực hiện quản lý rủi ro bên thứ ba từ hoạt động thuê ngoài tối thiểu đảm bảo:
a) Tổ chức tín dụng theo dõi các hợp đồng thuê ngoài tối thiểu bao gồm các nội dung sau: mức độ trọng yếu của thỏa thuận, khả năng thay thế cho dịch vụ bên thứ ba đang cung cấp (substitutability), danh sách các nhà cung cấp dự phòng (contingent providers), việc có hay không chia sẻ thông tin mật hoặc thông tin độc quyền, địa điểm cung cấp dịch vụ;
b) Tổ chức tín dụng thực hiện đánh giá tổng thể các rủi ro có khả năng phát sinh từ hoạt động thuê ngoài trước khi ký kết hợp đồng;
c) Tổ chức tín dụng giám sát các rủi ro phát sinh từ hoạt động thuê ngoài, định kỳ báo cáo cấp có thẩm quyền theo quy định nội bộ của tổ chức tín dụng;
d) Tổ chức tín dụng xây dựng và định kỳ rà soát, cập nhật kế hoạch duy trì hoạt động liên tục bao gồm các biện pháp phục hồi đảm bảo không bị gián đoạn vận hành khi hoạt động thuê ngoài xảy ra sự cố.
4. Tổ chức tín dụng phải đảm bảo việc thực hiện hoạt động thuê ngoài không làm thay đổi trách nhiệm trong việc thực hiện nghĩa vụ của tổ chức tín dụng đối với bên liên quan.