Europeiska bankmyndigheten (EBA) har publicerat nya riktlinjer för hantering av tredjepartsrisker avseende icke-IKT-tjänster. Riktlinjerna ersätter EBA:s outsourcingriktlinjer från 2019 och innebär att regelverket breddas från traditionell outsourcing till ett vidare begrepp om tredjepartsarrangemang.
De nya riktlinjerna (EBA/GL/2026/09) publicerades den 18 september 2026. De omfattar arrangemang mellan ett finansiellt företag och en tredjepartsleverantör, inklusive koncerninterna leverantörer, där tjänster tillhandahålls på återkommande eller löpande basis för att stödja en eller flera funktioner. Riktlinjerna utvidgar därmed det traditionella outsourcingbegreppet till det bredare begreppet tredjepartsarrangemang.
Riktlinjernas krav följer arrangemangets hela livscykel, från den inledande bedömningen av om ett arrangemang omfattas av reglerna till avtal, intern policy och strategi, avtalsvillkor, registerhållning, löpande övervakning och exit. Strängare krav gäller för tredjepartsarrangemang som stödjer kritiska eller viktiga funktioner.
Ledningsorganet behåller samtidigt det yttersta ansvaret för verksamheten. Ansvaret kan inte delegeras till en tredjepartsleverantör, och ett företag måste behålla tillräcklig substans för att uppfylla de krav som följer av dess tillstånd.
Utöver kreditinstitut, betalningsinstitut och institut för elektroniska pengar omfattar EBA:s riktlinjer även:
Koncerninterna arrangemang omfattas av samma regelverk som externa arrangemang och anses inte mindre riskfyllda. Ledningsorganets ansvar kan aldrig delegeras till en tredjepartsleverantör, och företaget får inte bli ett så kallat empty shell utan substans för att behålla sitt tillstånd.
IKT-tjänster omfattas inte av de nya riktlinjerna eftersom de regleras genom DORA. För finansiella företag, som omfattas av EBA:s nya riktlinjer, uppstår därmed två parallella spår för hantering av tredjepartsarrangemang: ett för IKT-tjänster enligt DORA och ett för andra typer av tjänster enligt EBA:s nya riktlinjer.
Regelverken är samtidigt utformade för att i möjligaste mån harmonisera hanteringen av tredjepartsrisk. Definitionen av kritisk eller viktig funktion överensstämmer med DORA, och det register som ska föras enligt riktlinjerna ska så långt möjligt vara förenligt med DORA:s informationsregister. Registren får också kombineras.
Även koncerninterna arrangemang omfattas av riktlinjerna och ska inte per automatik betraktas som mindre riskfyllda än arrangemang med externa leverantörer.
EBA har ännu inte fastställt när riktlinjerna ska börja tillämpas. Finansinspektionen förväntas meddela om myndigheten avser att följa dem.
Även befintliga tredjepartsarrangemang kommer att behöva ses över. För arrangemang som stödjer kritiska eller viktiga funktioner gäller att företaget ska informera Finansinspektionen om översyn och dokumentation inte har slutförts inom två år från tillämpningsdagen samt redogöra för planerade åtgärder eller en möjlig exitstrategi. För övriga arrangemang kan översynen ske i samband med att avtalen förnyas.
Inför att riktlinjerna börjar tillämpas finns det skäl för berörda företag att se över hur tredjepartsrisker hanteras i dag. Det kan bland annat innebära att:
Riktlinjerna medför att hanteringen av tredjepartsrisk blir relevant för en bredare krets av leverantörsrelationer än den som omfattas av EBA:s nuvarande outsourcingregelverk. För berörda finansiella företag blir nästa steg att identifiera vilka befintliga arrangemang som träffas och hur de förhåller sig till de nya kraven.
Har du frågor är du välkommen att höra av dig till oss.
