18 września 2026 r. Europejski Urząd Nadzoru Bankowego („EBA”) opublikował finalne Wytyczne dotyczące właściwego zarządzania ryzykiem związanym z podmiotami trzecimi w odniesieniu do usług innych niż ICT („Wytyczne”), oznaczone jako EBA/GL/2026/09.
Finalne Wytyczne zastąpią dotychczasowe Wytyczne EBA dotyczące outsourcingu z 2019 r. i wprowadzą szersze podejście do zarządzania ryzykiem relacji z dostawcami. Będą one funkcjonowały równolegle z reżimem właściwym dla usług ICT przewidzianym w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego („DORA”). Outsourcing pozostanie częścią szerszej kategorii third-party arrangements („TPA”), obejmującej przede wszystkim powtarzalne lub ciągłe wsparcie co najmniej jednej funkcji przez dostawcę, w tym dostawcę wewnątrzgrupowego.
Wytyczne obejmą zakres usług non-ICT, natomiast ryzyko związane z usługami ICT pozostanie uregulowane odrębnie przez DORA. Jednocześnie EBA oczekuje całościowego podejścia do zarządzania ryzykiem dostawców, obejmującego zarówno relacje ICT, jak i non-ICT.
Szczególne znaczenie dla praktyki będzie miało właściwe określenie granic TPA. Pojęcie to jest szersze od outsourcingu na gruncie Wytycznych EBA dotyczących outsourcingu z 2019 r., ale nie obejmuje każdej umowy z dostawcą. Przykładowo, w zakres TPA nie będą wchodzić umowy dotyczące regulowanych usług finansowych, które zgodnie z prawem muszą być świadczone przez inny podmiot finansowy podlegający regulacjom prawa Unii, w tym przez podmioty finansowe nieobjęte zakresem Wytycznych, lecz podlegające unijnym regulacjom dotyczącym usług finansowych (np. usługi przechowywania i ochrony aktywów oraz systemy obrotu, w tym rynki regulowane i wielostronne platformy obrotu), ani transakcje dotyczące usług finansowych zawierane pomiędzy instytucjami finansowymi jako kontrahentami (np. pożyczki międzybankowe) lub transakcje finansowe z bankami centralnymi (np. operacje depozytowe i kredytowe).
Finalne Wytyczne ograniczają TPA do usług non-ICT świadczonych w sposób powtarzalny lub ciągły i wprowadzają szerszy niż przewidziany w ramach projektu Wytycznych katalog wyłączeń dla usług o niematerialnym wpływie na ryzyko lub odporność operacyjną.
Jakie są najważniejsze terminy związane z nowymi Wytycznymi EBA?
Na moment publikacji tego artykułu, EBA nie wskazała jeszcze daty rozpoczęcia stosowania Wytycznych ani daty uchylenia Wytycznych EBA dotyczących outsourcingu z 2019 r. Obecna wersja dokumentu ma status "Final and awaiting translation into the EU official languages” oraz "Not yet applicable”. Pole „Application date” pozostaje jeszcze niewypełnione.
Nowe umowy TPA oraz umowy poddawane przeglądowi lub zmianie powinny spełniać wymagania Wytycznych od daty rozpoczęcia ich stosowania.
Istniejące umowy, które zostaną zakwalifikowane jako TPA wspierające funkcje krytyczne lub istotne powinny zostać zidentyfikowane i udokumentowane w ciągu dwóch lat od daty rozpoczęcia stosowania Wytycznych, przy czym pozostałe umowy mogą zostać dostosowane przy ich odnowieniu.
Jakie kroki instytucje finansowe powinny podjąć celem wdrożenia nowych Wytycznych EBA?
Dostosowanie strategii, polityk i procedur dotyczących kwalifikacji, oceny ryzyka, due diligence, monitorowania, dokumentowania oraz zakończenia umów TPA.
Inwentaryzacja i przegląd istniejących umów w celu identyfikacji TPA, funkcji krytycznych lub istotnych.
Opracowanie wzorcowych klauzul dla umów TPA, z rozszerzonym zakresem postanowień dla usług wspierających funkcje krytyczne lub istotne.
Zaprojektowanie procesu kwalifikacji umów uwzględniającego definicję TPA, rozróżnienie usług ICT i non-ICT oraz ocenę, czy usługa wspiera funkcję krytyczną lub istotną.
Jak PwC Legal może pomóc?
Od 2019 r. wspieramy banki, instytucje finansowe i inne podmioty w skutecznym i zgodnym z prawem zarzadzaniem relacji z podmiotami trzecimi. Posiadamy szerokie doświadczenie we wdrożeniach nowych Wytycznych ws. Outsourcingu, DORA, zmian wynikających z tzw. “Warzywniaka”, współpracując z licznymi organizacjami wyznaczającymi standardy rynkowe takimi jak Związek Banków Polskich.
Zapisz się na newsletter: Prawo
Skontaktuj się z nami
Aleksandra Bańkowska
Partnerka zarządzająca, Clients & Markets Leader, PwC Legal, PwC Polska
Łukasz Łyczko
Jakub Derulski
