Bekendtgørelse af lov om firmapensionskasser § 40

Det følger af den gældende § 30 a i lov om tilsyn med firmapensionskasser, at økonomi- og erhvervsministeren (nu erhvervsministeren) er bemyndiget til at fastsætte nærmere regler om outsourcing, herunder om virksomhedens ansvar, kontrol og interne retningslinjer. Denne bemyndigelse er udnyttet i bekendtgørelse om outsourcing af væsentlige aktivitetsområder, der fastsætter en række krav i relation til firmapensionskassers outsourcing af aktiviteter.

Den foreslåede bestemmelse i § 40 er ny, men indeholder de samme principper, som følger af den gældende § 30 a med tilhørende bekendtgørelse. Reglerne tager afsæt i det grundlæggende princip om, at en virksomhed, som outsourcer opgaver, fortsat bærer ansvaret for de opgaver, der udføres hos leverandøren. Ved outsourcing skal virksomheden derfor sikre sig, at den har kontrol over opgaverne, og at virksomheden har mulighed for at udøve nødvendig indflydelse på opgavernes udførelse. Outsourcing må således ikke forhindre en effektiv virksomhedsstyring, og reglerne udtrykker det overordnede princip, at der så vidt muligt ikke må ske en forringelse af den ledelsesmæssige handlekraft, når opgaver varetages eksternt.

Der er foretaget en række justeringer i forhold til den gældende § 30 a med henblik på at bringe ordlyden tættere på direktivets bestemmelser om outsourcing. Justeringerne medfører tillige indholdsmæssige justeringer, da det ikke længere er et krav, at outsourcingaktiviteten skal være væsentlig for at være omfattet af reglerne om outsourcing. Outsourcing af enhver aktivitet, der er omfattet af lovens regler, dvs. forhold som Finanstilsynet påser overholdelsen af, er i udgangspunkt en aktivitet, der omfattes af reglerne i denne bestemmelse.

Bestemmelsen gennemfører artikel 31 i IORP II-direktivet.

Det foreslåede stk. 1 fastsætter, at en firmapensionskasse helt eller delvist kan outsource en hvilken som helst aktivitet til leverandører.

Bestemmelsen giver firmapensionskasserne mulighed for at outsource aktiviteter. Det er den enkelte firmapensionskasses beslutning, hvorvidt aktiviteter skal outsources, og det vil således være op til bestyrelsen eller direktionen i firmapensionskassen (outsourcingvirksomheden) at træffe beslutning herom. Hvis outsourcing af en aktivitet kan påvirke virksomhedens risikoprofil eller i øvrigt udgør en væsentlig disposition, vil det være bestyrelsen, der skal træffe beslutning om outsourcing i overensstemmelse med de almindelige principper, der gælder for arbejdsdeling mellem direktion og bestyrelse, jf. også lovforslagets § 34.

Den foreslåede stk. 2 fastsætter, at virksomheden bevarer det fulde ansvar for opgavernes udførelse, selvom de outsources. Ansvaret for opgavernes løsning kan således ikke outsources. Det er derfor virksomhedens ansvar at sikre, at de aktiviteter, der outsources, udføres behørigt. Outsourcingvirksomheden er således forpligtet til at sikre sig, at opgaverne varetages på en tilfredsstillende måde, herunder at opgaverne udføres i overensstemmelse med lovgivningsmæssige krav, og hvad der i øvrigt måtte være forudsat ved aftalen.

Det følger af det foreslåede stk. 3, at outsourcing af nøglefunktioner eller andre aktiviteter ikke må foregå på en måde, der kan føre til en række forhold.

Det foreslås i stk. 3, nr. 1, at outsourcing af nøglefunktioner eller andre aktiviteter ikke må foregå på en måde, der kan føre til forringelse af kvaliteten af ledelsessystemet i den pågældende firmapensionskasse.

Det foreslås i stk. 3, nr. 2, at outsourcing af nøglefunktioner eller andre aktiviteter ikke må foregå på en måde, der kan føre til uretmæssig forøgelse af den operationelle risici.

Det foreslås i stk. 3, nr. 3, at outsourcing af nøglefunktioner eller andre aktiviteter ikke må foregå på en måde, der kan føre til forringelse af Finanstilsynet muligheder for at kontrollere, at firmapensionskassen overholder sine forpligtelser.

Det foreslås i stk. 3, nr. 4, at outsourcing af nøglefunktioner eller andre aktiviteter ikke må foregå på en måde, der kan føre til underminering af løbende og fyldestgørende servicering ad medlemmer om pensionsmodtagere.

Det er således en afgørende forudsætning for outsourcing, at virksomheden sikrer, at outsourcingen ikke medfører forringelser i forhold til de omhandlede områder, og virksomheden skal sikre sig, at outsourcing foregår på en betryggende måde, så forringelser i forhold til de oplistede områder ikke forekommer. Det vil derudover være vigtigt, at virksomheden sikrer, at outsourcingen ikke forhindrer, at virksomhedens beredskabsplaner kan gennemføres.

Det følger af det foreslåede stk. 4, at firmapensionskassen gennem processen for udvælgelse af leverandører og den løbende overvågning af leverandørernes aktiviteter skal sikre, at de outsourcede aktiviteter håndteres behørigt.

Bestemmelsen medfører, at outsourcingvirksomheden skal have fornødne processer og kriterier til dels at sikre, at udvælgelse af leverandører foregår på en hensigtsmæssig måde, og dels at der efterfølgende sker en opfølgning i forhold til de opgaver, som varetages hos leverandøren, f.eks. via kontrol af leverancerne. Det er således et krav, at der foretages en vurdering af, om leverandøren har den nødvendige kapacitet og eventuelle tilladelser, der er foreskrevet for at kunne varetage de outsourcede opgaver på en tilfredsstillende måde, samt at virksomheden løbende overvåger de outsourcede opgaver og løbende vurderer, om de leverede ydelser løses tilfredsstillende.

Da outsourcingvirksomheden løbende skal føre kontrol med leverandøren og eventuelle underleverandører, skal outsourcingvirksomhed have metoder og processer for, hvordan det sikres, at outsourcede aktivitetsområder varetages på betryggende vis. Sådanne metoder og processer kan komme til udtryk ved, at outsourcingvirksomheden udfærdiger interne retningslinjer, der fastlægger, hvordan opfølgning på de outsourcede aktiviteter skal foregå.

Virksomheden skal sikre sig, at alle relevante aspekter relateret til outsourcing håndteres, så der er sikkerhed for, at opgaver, der varetages eksternt, håndteres på tilstrækkelig og behørig vis. De metoder og processer, som virksomheden gør brug af i forhold til den løbende overvågning, har til formål at sikre, at ansvaret for outsourcing forankres i virksomheden, og skal derfor afspejle en stillingtagen til, hvordan kontrol, opfølgning og rapportering i forhold til de outsourcede aktiviteter skal ske. Det helt overordnede formål er at sikre, at virksomhedens besluttede risikoprofil og strategier ikke tilsidesættes ved outsourcingen, og i øvrigt sikre virksomheden mulighed for løbende at have indblik i varetagelsen af opgaverne.

Der er tale om en løbende forpligtelse til at overvåge de outsourcede aktiviteter, hvilket indebærer, at virksomheden kontinuerligt skal foretage opfølgning og kontrol med de outsourcede aktiviteter. Det vil sige, at opfølgning og eventuelle kontroller skal gennemføres regelmæssigt og med et interval, der afspejler opgavens betydning, og den risiko opgavevaretagelsen medfører for virksomheden.

Det følger af det foreslåede stk. 5, at firmapensionskasser, der outsourcer nøglefunktioner, ledelse af virksomheden eller andre aktiviteter, der er omfattet af denne lov, skal indgå en skriftlig aftale med leverandøren herom. Aftalen skal have retsvirkning, og skal på en klar og tydelig måde beskrive firmapensionskassens og leverandørens rettigheder og forpligtelser.

Bestemmelsen medfører, at det er outsourcingvirksomhedens ansvar, at der udarbejdes en skriftlig kontrakt mellem outsourcingvirksomheden og leverandøren. Aftalen skal indeholde en klar afgrænsning og beskrivelse af de outsourcede aktiviteter, herunder en beskrivelse af de leverancer, som er aftalt, og hvilke rettigheder og forpligtelser kontrakten indebærer for begge parter. Formålet med aftalen er at undgå, at der opstår tvivl om, hvilke opgaver, der er outsourcet, og omfanget heraf. Afgrænsningen indebærer mere end en generel beskrivelse af de outsourcede aktiviteter. Virksomheden bør endvidere sikre sig, at relevante holdninger og krav til de pågældende opgaver afspejles i krav til opgavevaretagelsen.

Det er derudover vigtigt, at virksomheden er opmærksom på, at kontraktforholdet sikrer fleksibilitet i forhold til eventuelle senere ændringer. Såfremt der sker en udvikling, som i væsentligt omfang kan forringe leverandørens nuværende eller fremtidige evne eller mulighed for at udføre de outsourcede opgaver, skal outsourcingvirksomheden have mulighed for at foretage den eller de eventuelle nødvendige foranstaltninger på et så tidligt tidspunkt som muligt.

Leverandøren skal derudover forpligtes til at rapportere om opgavens udførelse, så hensynet til virksomhedens kontrol og opfølgning på kontraktens overholdelse kan varetages. Det kan f.eks. ske ved fastsættelse af krav til rapporteringens indhold og hyppighed. Herudover må der ikke være tvivl om, hvad leverandøren kan gøres ansvarlig for, hvis der opstår fejl eller mangler ved den leverede ydelse.

Hvis der ved outsourcing af aktiviteter benyttes en databehandler, der behandler personoplysninger på vegne af og efter instruks fra en dataansvarlig, skal der indgås en databehandleraftale mellem parterne i overensstemmelse med databeskyttelsesforordningens artikel 28.

Det foreslåede stk. 6 fastsætter, at outsourcingvirksomheden i god tid skal underrette Finanstilsynet om outsourcing af aktiviteter. Der er ikke tale om en egentlig godkendelse af kontrakterne. Hvis outsourcing vedrører firmapensionskassens nøglefunktioner eller ledelse, skal dette anmeldes til Finanstilsynet, inden aftalen vedrørende en sådan outsourcing træder i kraft. Firmapensionskassen skal underrette Finanstilsynet om eventuelle efterfølgende væsentlige ændringer i forhold til de outsourcede aktiviteter.

Den foreslåede stk. 7 bemyndiger Finanstilsynet til at fastsætte nærmere regler om outsourcing.

Bestemmelsen vil blive anvendt, hvis der på et senere tidspunkt viser sig behov for at specificere indholdet af forpligtelser og rettigheder i forbindelse med outsourcing.