text: När det gäller avtal om outsourcing av molntjänster omfattas finansiella entiteter enligt definitionen i artikel

text: och

text: i Europaparlamentets och rådets förordning (EU) 2022/2554 om digital operativ motståndskraft för den finansiella sektorn och om ändring av förordningarna

text: (EG) nr 1060/2009

text: (EU) nr 648/2012

text: (EU) nr 600/2014

text: (EU) nr 909/2014

text: och

text: (EU) 2016/1011

text: (DORA-förordningen) av de särskilda regler som fastställs i DORA-förordningen och i de delegerade akter och genomförandeakter som antagits av kommissionen.

text: EUT L 331, 15.12.2010, s. 84. 3 EUT L 174, 1.7.2011, s. 1. EUT L 83, 22.3.2013, s. 1. 5 EUT L 302, 17.11.2009, s. 32. 6 EUT L 176, 10.7.2010, s. 42.

text: EUT L 333, 27.12.2022, s. 1. 8 EUT L 119, 4.5.2016, s. 1. 9 Datormoln förkortas ofta ”moln”. Termen ”moln” används genomgående i resten av dokumentet för att underlätta hänvisningar.

text: En modell för molnanvändning där molntjänster uteslutande är till för och delas av en viss grupp molntjänstkunder som har gemensamma krav och ett förhållande till varandra, och där resurserna kontrolleras av minst en medlem i denna grupp. 11 En modell för molnanvändning som bygger på en kombination av minst två olika modeller för molnanvändning. 12 En modell för molnanvändning där molntjänsterna uteslutande används av en enda molntjänstkund och där resurserna kontrolleras av den molntjänstkunden. 13 En modell för molnanvändning där molntjänster kan vara tillgängliga för alla molntjänstkunder och där resurserna kontrolleras av molntjänstleverantören.

amnesord:
Digital Finance and Innovation
Guidelines and Technical standards

title: Guidelines on outsourcing to cloud service providers (2025)

text: Riktlinjer

text: för utkontraktering till molntjänstleverantörer

text: 1 Tillämpningsområde

text: Mottagare

text: 1. Dessa riktlinjer är tillämpliga för behöriga myndigheter och på i) förvaringsinstitut för alternativa investeringsfonder (AIF-fonder) som avses i artikel 21.3 c och i artikel 21.3 tredje stycket i AIFM-direktivet, om de inte är finansiella entiteter som omfattas av DORA, och ii) förvaringsinstitut för fondföretag som avses i artikel 23.2 c i UCITS-direktivet, om de inte är finansiella entiteter som omfattas av DORA. Tillämpningsområde

text: 2. Dessa riktlinjer gäller för följande bestämmelser: a) När det gäller förvaringsinstitut för AIF-fonder: Artikel 21 i direktivet om AIF-förvaltare; artikel 98 i kommissionens delegerade förordning

text: (EU) 2013/231

text: . b) När det gäller förvaringsinstitut för fondföretag: Artiklarna

text: a och 23.2 i fondföretagsdirektivet;

text: artikel 32 i kommissionens direktiv 2010/43/EU

text: ; artiklarna 2.2 j, 3.1, 13.2, 15, 16 och 22 i kommissionens delegerade förordning

text: (EU) 2016/438

text: . Tillämpningsdatum

text: 3. Dessa riktlinjer ska tillämpas från och med den dag då de offentliggörs på Esmas webbplats på alla officiella EU-språk och på alla avtal om uppdragsavtal om molntjänster som ingås, förnyas eller ändras från och med den dagen.

text: 4. Mot bakgrund av tillämpningen av DORA upphör Esmas tidigare riktlinjer om utkontraktering till molntjänstleverantörer att gälla för de finansiella entiteter som omfattas av DORA och som avses i artikel 2 i samma förordning. För förvaringsinstitut för AIFfonder och för förvaringsinstitut för fondföretag som avses i punkt 1 ovan kommer Esmas tidigare riktlinjer om utkontraktering till molntjänstleverantörer att fortsätta att gälla fram till den dag då dessa riktlinjer offentliggörs på Esmas webbplats på alla officiella EU-språk.

text: 2 Hänvisningar till lagstiftning, förkortningar och definitioner

text: 2.1 Hänvisningar till lagstiftning

text: Esmaförordningen

text: Europaparlamentets och rådets förordning (EU) nr 1095/2010 av den 24 november 2010

text: om inrättande av en europeisk tillsynsmyndighet (Europeiska värdepappers- och marknadsmyndigheten), om ändring av beslut nr

text: och om upphävande av

text: kommissionens beslut 2009/77/EG

text: Direktivet om AIF-förvaltare

text: Europaparlamentets och rådets direktiv 2011/61/EU av den 8 juni 2011

text: om förvaltare av alternativa investeringsfonder samt om ändring av direktiv

text: och

text: och förordningarna

text: (EG) nr 1060/2009

text: och

text: (EU) nr 1095/2010

text: Kommissionens Kommissionens delegerade förordning

text: (EU) nr 231/2013

text: av delegerade förordning den 19 december 2012 om komplettering av

text: (EU) nr 231/2013

text: Europaparlamentets och rådets direktiv 2011/61/EU

text: vad gäller undantag, allmänna verksamhetsvillkor, förvaringsinstitut, finansiell hävstång, öppenhet och tillsyn

text: Fondföretagsdirektivet

text: Europaparlamentets och rådets direktiv 2009/65/EG av den 13 juli 2009

text: om samordning av lagar och andra författningar som avser företag för kollektiva investeringar i överlåtbara värdepapper (fondföretag)

text: Kommissionens direktiv Kommissionens direktiv

text: av den 1 juli 2010 om

text: genomförande av

text: Europaparlamentets och rådets direktiv 2009/65/EG

text: när det gäller organisatoriska krav, intressekonflikter, uppföranderegler, riskhantering och innehållet i avtalet mellan ett förvaringsinstitut och ett förvaltningsbolag

text: DORA

text: Europaparlamentets och rådets förordning (EU) 2022/2554 av den 14 december 2022

text: om digital operativ motståndskraft

text: för finanssektorn och om ändring av förordningarna

text: (EG) nr 1060/2009

text: (EU) nr 648/2012

text: (EU) nr 600/2014

text: (EU) nr 909/2014

text: och

text: (EU) 2016/1011

text: Dataskyddsförordningen

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning)

text: 2.2 Förkortningar

text: Esma Europeiska värdepappers- och marknadsmyndigheten

text: EU Europeiska unionen

text: 2.3 Definitioner

text: funktion Alla processer, tjänster eller aktiviteter.

text: kritisk eller viktig funktion När ett fel eller en brist i funktionens utförande allvarligt skulle försämra

text: a) ett företags uppfyllande av sina skyldigheter enligt tillämplig lagstiftning, b) ett företags finansiella resultat, eller c) sundheten eller kontinuiteten i ett företags huvudsakliga tjänster och verksamheter.

text: molntjänster Tjänster som tillhandahålls med hjälp av molnbaserade datortjänster.

text: molnbaserade datortjänster En modell som möjliggör nätverkstillgång till ett antal

text: eller moln delade datorresurser (t.ex. servrar, operativsystem, nätverk, programvara, applikationer och lagring) som snabbt kan tillhandahållas och levereras med självbetjäning och administration.

text: molntjänstleverantör En tredje part som tillhandahåller molntjänster inom ramen för ett uppdragsavtal om molntjänster.

text: uppdragsavtal om Alla former av avtal, inbegripet delegeringsavtal, mellan

text: molntjänster

text: (i) ett företag och en molntjänstleverantör genom vilka denna leverantör utför en funktion som annars skulle kunna utföras av företaget självt, eller (ii) ett företag och en tredje part som inte är en molntjänstleverantör, men som har starkt beroende av att en sådan leverantör utför en funktion som annars skulle kunna utföras av företaget självt. I detta fall bör en hänvisning till en ”molntjänstleverantör” i dessa riktlinjer tolkas som en hänvisning till en sådan tredje part.

text: underentreprenad En situation där en molntjänstleverantör överför en utkontrakterad funktion (eller en del av den funktionen) vidare till en annan tjänsteleverantör inom ramen för ett uppdragsavtal.

text: modell för molnanvändning Det sätt på vilket molninfrastruktur kan organiseras för kontroll och användning av dataresurser. Modellerna för 10 11 molnanvändning omfattar gruppmoln , hybridmoln , 12 13 privat moln och offentligt moln .

text: företag a) förvaringsinstitut som avses i

text: artikel 21.3 c

text: och i

text: artikel 21.3 tredje stycket i direktivet

text: om AIF-förvaltare (”förvaringsinstitut för alternativa investeringsfonder (AIF-fonder)”),

text: b) förvaringsinstitut som avses i artikel 23.2 c i fondföretagsdirektivet (fondföretags förvaringsinstitut).

text: 3 Syfte

text: 5. Dessa riktlinjer utgår från bestämmelserna i artikel 16.1 i Esmaförordningen. Syftet med dessa riktlinjer är att etablera konsekventa, effektiva och ändamålsenliga tillsynsmetoder inom det europeiska systemet för finansiell tillsyn och säkra en gemensam, enhetlig och konsekvent tillämpning av de krav som avses i avsnitt 1.1, för utkontraktering till molntjänstleverantörer. Dessa riktlinjer syftar särskilt till att hjälpa företag och behöriga myndigheter att identifiera, hantera och övervaka de risker och utmaningar som uppstår i samband med uppdragsavtal om molntjänster, från beslut om att lägga ut molntjänster på en leverantör, val av molntjänstleverantör och övervakning av utkontrakterad funktion till utträde ur utkontrakteringen.

text: 4 Efterlevnads- och rapporteringsskyldigheter

text: 4.1 Riktlinjernas status

text: 6. I enlighet med artikel 16.3 i Esmaförordningen bör de behöriga myndigheterna och företag med alla tillgängliga medel söka följa riktlinjerna.

text: 7. Behöriga myndigheter som berörs av riktlinjerna bör efterleva dem genom att på lämpligt sätt införliva dem i sin praxis (till exempel genom att ändra sitt nationella rättsliga ramverk och/eller sina tillsynsrutiner), även när riktlinjer i första hand riktas till företag. I det fallet bör de behöriga myndigheterna genom sin tillsyn se till att företagen följer riktlinjerna.

text: 4.2 Rapporteringskrav

text: 8. Inom två månader efter det att riktlinjerna har offentliggjorts på Esmas webbplats på alla officiella EU-språk bör de behöriga myndigheterna meddela Esma om de i) följer dessa riktlinjer, eller ii) inte följer men avser att följa dessa riktlinjer, eller iii) inte följer och inte avser att följa dessa riktlinjerna.

text: 9. Om riktlinjerna inte följs bör behöriga myndigheter inom två månader efter det att riktlinjerna har offentliggjorts på Esmas webbplats på alla officiella EU-språk meddela Esma om skälen till att de inte följer riktlinjerna. Anmälningar ska lämnas på det formulär som tillhandahålls på Esmas webbplats. Så snart anmälningen har fyllts i ska den översändas till Esma.

text: 10. Företag är inte skyldiga att rapportera huruvida de följer dessa riktlinjer.

text: 5 Riktlinjer om utkontraktering till molntjänstleverantörer

text: Riktlinje 1. Styrning, tillsyn och dokumentation

text: 11. Ett företag bör ha en fastställd, godkänd och aktuell strategi för uppdragsavtal om molntjänster. Strategin för uppdragsavtal om molntjänster ska stämma överens med företagets relevanta affärsstrategier och strategier för informations- och kommunikationsteknik (IKT), interna riktlinjer och riskhanteringsprocesser, inklusive hantering av IKT, informationssäkerhet och operativa risker.

text: 12. Ett företag bör a) fastställa tydliga ansvarsområden för dokumentation, förvaltning och kontroll av utkontrakteringslösningarna till molntjänstleverantörer inom sin organisation, b) tillse att företagets personal är tillräckligt stor och kompetent för att säkerställa efterlevnaden av dessa riktlinjer och alla rättsliga krav som är tillämpliga på dess utkontrakteringslösningar till molntjänstleverantörer, c) upprätta en funktion för övervakning av utkontrakteringen till molntjänstleverantörer eller utse en medarbetare i högre ställning som är direkt ansvarig inför ledningsorganet och har ansvar för att förvalta och kontrollera riskerna med utkontrakteringslösningar till molntjänstleverantörer. När företagen följer dessa riktlinjer bör de ta hänsyn till verksamhetens art, omfattning och komplexitet, inbegripet i fråga om risker för det finansiella systemet, samt de inneboende riskerna med de utkontrakterade funktionerna, och se till att deras ledningsorgan har relevant teknisk kompetens för att förstå riskerna med utkontrakteringslösningarna till molntjänstleverantöre. Små och mindre komplexa företag bör som minst säkerställa en tydlig uppdelning av uppgifter och ansvar för förvaltningen och kontrollen av utkontrakteringslösningarna till molntjänstleverantörer.

text: 13. Ett företag bör övervaka molntjänstleverantörernas verksamhet, säkerhetsåtgärder och efterlevnad av överenskomna servicenivåer. Denna övervakning bör vara riskbaserad, med huvudfokus på utkontrakteringen av kritiska eller viktiga funktioner.

text: 14. Ett företag bör regelbundet ompröva huruvida dess uppdragsavtal om molntjänster avser en kritisk eller viktig funktion, eller om risken, arten eller omfattningen av en utkontrakterad funktion har ändrats väsentligt.

text: 15. Ett företag bör föra ett uppdaterat register med information om alla sina uppdragsavtal om molntjänster, och skilja mellan utkontraktering av kritiska eller viktiga funktioner och andra uppdragsavtal. När företaget skiljer mellan utkontraktering av kritiska eller viktiga funktioner och andra uppdragsavtal bör det ge en kort sammanfattning av skälen till att den utkontrakterade funktionen är eller inte anses vara kritisk eller viktig. Med hänsyn till nationell lagstiftning bör företaget också föra register över avslutade uppdragsavtal om molntjänster under en lämplig tid.

text: 16. Vid uppdragsavtal om molntjänster för kritiska eller viktiga funktioner bör registret innehålla åtminstone följande information om varje uppdragsavtal: a) Ett referensnummer. b) Startdatum och, efter vad som är tillämpligt, datum för nästa kontraktsförnyelse, slutdatum och/eller uppsägningstider för molntjänstleverantören och för företaget. c) En kort beskrivning av den utkontrakterade funktionen, inklusive de uppgifter som utkontrakteras och huruvida dessa uppgifter inbegriper personuppgifter (t.ex. genom att ange ja eller nej i ett separat datafält). d) Företagets klassificering av typen av utkontrakterad funktion (t.ex. informationsteknisk (it) funktion, kontrollfunktion), i syfte att göra det lättare att identifiera olika typer av uppdragsavtal om molntjänster. e) Huruvida den utkontrakterade funktionen stöder affärsverksamheter som är tidsmässigt kritiska. f) Molntjänstleverantörens namn och eventuella varumärkesnamn, registreringslandet, organisationsnumret, identifieringskoden för juridisk person (när sådan finns), den registrerade adressen och andra relevanta kontaktuppgifter, samt namnet på leverantörens moderföretag (om sådant finns). g) Den lagstiftning som gäller för uppdragsavtalet om molntjänster och, i förekommande fall, valet av jurisdiktion. h) Typ av molntjänster och modeller för molnanvändning, och den särskilda karaktären på uppgifterna som ska lagras och platserna (dvs. länder eller regioner) där sådana uppgifter kommer att lagras. i) Datumet för den senaste bedömningen av om den utkontrakterade funktionen är kritisk eller viktig samt datumet för nästa planerade bedömning. j) Datumet för den senaste riskbedömningen/revisionen av molntjänstleverantören, tillsammans med en kort sammanfattning av de viktigaste resultaten och datum för nästa planerade riskbedömning/revision. k) Det enskilda eller beslutsfattande organ i företaget som godkände uppdragsavtalet om molntjänster. l) I tillämpliga fall namnen på eventuella underentreprenörer som en kritisk eller viktig funktion (eller väsentliga delar av den) vidareutkontrakteras till, däribland de länder där underentreprenörerna är registrerade, var tjänsten kommer att utföras och de platser (dvs. regioner eller länder) där uppgifterna kommer att lagras. m) Den uppskattade årliga budgeterade kostnaden för uppdragsavtalet om molntjänster.

text: 17. När det gäller uppdragsavtal om molntjänster för icke-kritiska eller icke-viktiga funktioner bör företaget fastställa vilken information som bör ingå i registret, beroende på de inneboende riskernas art, omfattning och komplexitet.

text: Riktlinje 2. Analys före utkontraktering och företagsutvärdering

text: 18. Innan ett företag ingår ett uppdragsavtal om molntjänster bör det a) bedöma om avtalet avser en kritisk eller viktig funktion, b) identifiera och bedöma alla relevanta risker med utkontrakteringslösningen, c) genomföra lämplig företagsutvärdering av den berörda molntjänstleverantören, d) identifiera och bedöma eventuella intressekonflikter som utkontrakteringen kan medföra.

text: 19. Analysen före utkontraktering och företagsutvärderingen av den berörda molntjänstleverantören bör stå i proportion till den berörda funktionens art, omfattning och komplexitet samt de inneboende riskerna med denna funktion. Den bör åtminstone omfatta en bedömning av utkontrakteringslösningens potentiella effekter på de operativa och juridiska riskerna samt efterlevnads- och ryktesriskerna för företaget.

text: 20. Om utkontrakteringslösningen gäller kritiska eller viktiga funktioner bör företaget också a) bedöma alla relevanta risker som kan uppstå till följd av uppdragsavtalet om molntjänster, inbegripet risker som är förknippade med informations- och kommunikationsteknik, informationssäkerhet, driftskontinuitet, rättsliga krav och regelefterlevnad, ryktesrisker, operativa risker och eventuella tillsynsbegränsningar för företaget som uppstår från: i. den valda molntjänsten och de föreslagna modellerna för molnanvändning, ii. migreringen och/eller genomförandet, iii. känsligheten hos den funktion och de relaterade uppgifter som ska utkontrakteras samt de säkerhetsåtgärder som skulle behöva vidtas, iv. driftskompatibiliteten mellan företagets och molntjänstleverantörens system och applikationer, dvs. deras förmåga att utbyta information och ömsesidigt använda denna information, v. dataportabiliteten för företagets uppgifter, vilket avser förmågan att enkelt överföra företagets uppgifter till en annan molntjänstleverantör eller tillbaka till företaget, vi. den politiska stabiliteten, säkerhetssituationen och rättssystemet (inbegripet de befintliga brottsbekämpningsbestämmelserna, de insolvensrättsliga bestämmelser som skulle gälla om molntjänstleverantören skulle gå i konkurs, gällande lagar om uppgiftsskydd och huruvida villkoren för överföring av personuppgifter till ett tredjeland enligt dataskyddsförordningen är uppfyllda) i de länder (inom eller utanför EU) där de utkontrakterade funktionerna skulle tillhandahållas och där de utkontrakterade uppgifterna skulle lagras, samt, vid underentreprenad, de ytterligare risker som kan uppstå om underleverantören är baserad i ett tredjeland eller ett annat land än molntjänstleverantören och, i händelse av en underentreprenörskedja, eventuella ytterligare risker som kan uppstå, inbegripet i samband med avsaknaden av ett direkt avtal mellan företaget och den underleverantör som utför den utkontrakterade funktionen, vii. företagets övergripande koncentrationsrisk (i tillämpliga fall även på koncernnivå) på grund av att flera uppdragsavtal om molntjänster har ingåtts med samma molntjänstleverantör samt eventuell koncentration inom EU:s finansiella sektor, på grund av att flera företag använder samma molntjänstleverantör eller en liten grupp molntjänstleverantörer. Vid bedömningen av koncentrationsrisken bör företaget beakta alla uppdragsavtal om molntjänster (och, i tillämpliga fall, uppdragsavtal om molntjänster på koncernnivå) med den molntjänstleverantören, b) beakta uppdragsavtalets förväntade fördelar och kostnader, och samtidigt väga större risker som kan begränsas eller hanteras bättre mot de ökade risker som kan uppstå till följd av uppdragsavtalet.

text: 21. Vid utkontraktering av kritiska eller viktiga funktioner bör företagsutvärderingen omfatta en utvärdering av molntjänstleverantörens lämplighet. När företaget bedömer molntjänstleverantörens lämplighet bör det se till att molntjänstleverantören har affärsmässigt rykte, lämpliga och tillräckliga förmågor, expertis, resurser (bl.a. mänskliga, informationstekniska och ekonomiska resurser), organisationsstruktur och, i tillämpliga fall, de lagstadgade auktorisationer eller registreringar som krävs för att utföra den kritiska eller viktiga funktionen på ett tillförlitligt och professionellt sätt så den kan uppfylla sina skyldigheter under den tid uppdragsavtalet om molntjänster gäller. Ytterligare faktorer att ta hänsyn till vid företagsutvärdering av molntjänstleverantören är bland annat a) hanteringen av informationssäkerhet, särskilt skyddet av personuppgifter, konfidentiella uppgifter eller andra känsliga uppgifter, b) servicestödet, däribland stödplaner och kontakter, och rutiner för incidenthantering, och c) kontinuitets- och katastrofplanerna.

text: 22. Om så är lämpligt, och för att underlätta företagsutvärderingen, kan företaget också använda certifieringar baserade på internationella standarder och externa eller interna revisionsrapporter.

text: 23. Om företaget får kännedom om stora brister och/eller betydande förändringar i de tjänster som tillhandahålls eller i molntjänstleverantörens situation bör analysen före utkontrakteringen och företagsutvärderingen av molntjänstleverantören snarast ses över eller göras om.

text: 24. Om företaget ingår ett nytt avtal eller förnyar ett befintligt avtal med en molntjänstleverantör som redan har utvärderats, bör företaget genom en riskbaserad metod fastställa om det krävs en ny företagsutvärdering.

text: Riktlinje 3. Viktiga delar av avtalet

text: 25. Ett företags och dess molntjänstleverantörs rättigheter och skyldigheter bör klart och tydligt anges i ett skriftligt avtal.

text: 26. Det skriftliga avtalet bör uttryckligen ge företaget möjlighet att säga upp det.

text: 27. Vid utkontraktering av kritiska eller viktiga funktioner bör det skriftliga avtalet åtminstone innehålla följande: a) En tydlig beskrivning av den utkontrakterade funktionen. b) Startdatum och slutdatum, i tillämpliga fall, för avtalet samt uppsägningstiderna för molntjänstleverantören och företaget. c) Tillämplig lag för avtalet och, i förekommande fall, valet av jurisdiktion. d) Företagets och molntjänstleverantörens finansiella skyldigheter. e) Huruvida underentreprenad är tillåten och, om så är fallet, på vilka villkor, med beaktande av riktlinje 7. f) Platsen/platserna (dvs. regioner eller länder) där den utkontrakterade funktionen kommer att tillhandahållas och där data kommer att behandlas och lagras, samt de villkor som ska vara uppfyllda, inbegripet kravet att företaget ska meddelas om molntjänstleverantören vill ändra platsen eller platserna. g) Bestämmelser om informationssäkerhet och skydd av personuppgifter, med beaktande av riktlinje 4. h) Företagets rätt att regelbundet övervaka molntjänstleverantörens fullgörande av uppdragsavtalet om molntjänster, med beaktande av riktlinje 6. i) De överenskomna servicenivåerna, som bör inkludera exakta kvantitativa och kvalitativa resultatmål för att möjliggöra läglig övervakning så att lämpliga korrigerande åtgärder kan vidtas utan onödigt dröjsmål om de överenskomna servicenivåerna inte nås. j) Molntjänstleverantörens rapporteringsskyldigheter till företaget och, om så är lämpligt, skyldigheterna att lämna in rapporter som är relevanta för företagets säkerhetsfunktion och viktiga funktioner, såsom rapporter från molntjänstleverantörens internrevisionsfunktion. k) Bestämmelser om molntjänstleverantörens hantering av incidenter, inbegripet skyldigheten att utan onödigt dröjsmål rapportera incidenter som har påverkat företagets avtalade tjänster. l) Huruvida molntjänstleverantören bör teckna en obligatorisk försäkring mot vissa risker och, i tillämpliga fall, nivån på det begärda försäkringsskyddet. m) Kraven att molntjänstleverantören ska införa och testa kontinuitets- och katastrofplaner. n) Kravet att molntjänstleverantören ska ge företaget, behöriga myndigheter och andra personer som utsetts av företaget eller de behöriga myndigheterna rätt att få tillgång till (nedan kallad rätt till tillträde) och granska (nedan kallad rätt till revision) molntjänstleverantörens relevanta information, lokaler, system och utrustning i den utsträckning det är nödvändigt för att övervaka molntjänstleverantörens resultat enligt överenskommelsen om uppdragsavtal om molntjänster samt säkerställa molntjänstleverantörens efterlevnad av tillämpliga lagstadgade och avtalsenliga krav, med beaktande av riktlinje 6. o) Bestämmelser som säkerställer att de uppgifter som molntjänstleverantören behandlar eller lagrar för företagets räkning vid behov kan nås, hämtas och återlämnas till företaget, med beaktande av riktlinje 5.

text: Riktlinje 4. Informationssäkerhet

text: 28. Ett företag bör fastställa informationssäkerhetskrav i sina interna policyer och rutiner och inom ramen för det skriftliga uppdragsavtalet om molntjänster samt fortlöpande övervaka efterlevnaden av dessa krav, bland annat för att skydda konfidentiella, personliga eller på annat sätt känsliga uppgifter. Dessa krav bör stå i proportion till den berörda funktionens art, omfattning och komplexitet samt de inneboende riskerna med denna funktion.

text: 29. Vid utkontraktering av kritiska eller viktiga funktioner, och utan att det påverkar tillämpningen av dataskyddsförordningens krav, bör ett företag som tillämpar en riskbaserad metod i detta syfte åtminstone a) informationssäkerhetens organisation: se till att uppgifter och ansvarsområden som rör informationssäkerhet tydligt delas upp mellan företaget och molntjänstleverantören, bl.a. när det gäller identifiering av hot, sårbarheter, incidenthantering och säkerhetsuppdateringar, och se till att molntjänstleverantören kan fullgöra sina roller och skyldigheter, b) identitets- och åtkomsthantering: se till att det finns starka autentiseringsmekanismer (t.ex. flerfaktorsautentisering) och åtkomstkontroller för att förhindra obehörig åtkomst till företagets data och grundsystem, c) kryptering och nyckelhantering: se till att relevant krypteringsteknik vid behov används för data som överförs, data i minne, data i vila och säkerhetskopierade data, i kombination med lämpliga nyckelhanteringslösningar för att begränsa risken för obehörig åtkomst till krypteringsnycklar, och företaget bör särskilt överväga att använda den senaste tekniken och metoderna för sin nyckelhanteringslösning, d) drift- och nätsäkerhet: överväga lämpliga nivåer av nättillgänglighet, nätverkssegmentering (t.ex. isolering av användare i molnets gemensamma miljö, operativ separering av webben, applikationslogik, operativsystem, nätverk, databashanterare (DBMS) och lagringsskikt) och olika IKT-miljöer (t.ex. test, utveckling, produktion), e) applikationsprogrammeringsgränssnitt (API): överväga mekanismer för integrering av molntjänsterna med företagets system så att API:er blir säkra (t.ex. genom att införa och följa policyer och rutiner för informationssäkerhet i API:er som omfattar flera systemgränssnitt, jurisdiktioner och affärsfunktioner, för att förhindra att uppgifter röjs, ändras eller förstörs utan tillstånd), f) driftskontinuitet och katastrofberedskap: se till att det finns effektiva kontroller av driftskontinuiteten och katastrofberedskapen (t.ex. genom att fastställa minimikrav på kapacitet, välja geografiskt spridda värdtjänster (hosting), så att man kan växla mellan dem, eller begära och granska dokumentation som visar hur företagets uppgifter överförs i molntjänstleverantörens system, samt överväga möjligheten att kopiera avbilder från virtuella datorer (VMI) till en oberoende lagringsplats som är tillräckligt isolerad från nätverket eller ligger utanför nätverket), g) uppgifternas lokalisering: införa en riskbaserad metod för platser för lagring och hantering av uppgifter (dvs. regioner eller länder), h) efterlevnad och övervakning: kontrollera att molntjänstleverantören uppfyller internationellt erkända standarder för informationssäkerhet och har infört lämpliga kontroller av informationssäkerheten (t.ex. genom att begära att molntjänstleverantören styrker att den utför relevanta kontroller av informationssäkerheten och genom att regelbundet bedöma och testa molntjänstleverantörens informationssäkerhet).

text: Riktlinje 5. Utträdesstrategier

text: 30. Vid utkontraktering av kritiska eller viktiga funktioner bör ett företag se till att det kan säga upp uppdragsavtalet om molntjänster utan onödiga störningar av verksamheten och tjänsterna, och utan att det inverkar ofördelaktigt på dess efterlevnad av tillämplig lagstiftning eller på uppgifternas konfidentialitet, integritet och tillgänglighet. För att uppnå detta bör företaget a) ta fram utträdesplaner som är övergripande, dokumenterade och tillräckligt testade. Dessa planer bör uppdateras vid behov, även vid ändringar av den utkontrakterade funktionen, b) identifiera alternativa lösningar och ta fram övergångsplaner för att flytta den utkontrakterade funktionen och uppgifterna från molntjänstleverantören och, i tillämpliga fall, eventuella underleverantörer, till alternativa molntjänstleverantörer eller återta den utkontrakterade funktionen tillbaka till företaget. Dessa lösningar bör fastställas med hänsyn till de utmaningar som kan uppstå på grund av uppgifternas lokalisering, och nödvändiga åtgärder bör vidtas för att säkerställa driftskontinuitet under övergångsfasen, c) se till att det skriftliga uppdragsavtalet om molntjänster omfattar en skyldighet för molntjänstleverantören att underlätta en ordnad överföring av den utkontrakterade funktionen och den tillhörande databehandlingen från molntjänstleverantören och eventuella underleverantörer till en annan molntjänstleverantör som företaget angett eller direkt till företaget, om företaget aktiverar utträdesstrategin. Skyldigheten att underlätta en ordnad överföring av den utkontrakterade funktionen och den tillhörande databehandlingen bör i förekommande fall inbegripa säker radering av uppgifter från molntjänstleverantörens och eventuella underleverantörers system.

text: 31. När företaget utarbetar utträdesplaner och lösningar som avses i punkter a och b ovan (utträdesstrategin) bör företaget tänka på följande: a) Definiera målsättningarna i utträdesstrategin. b) Definiera de triggerhändelser som kan aktivera utträdesstrategin. Dessa bör åtminstone omfatta företagets eller molntjänstleverantörens uppsägning av uppdragsavtalet om molntjänster samt konkurs eller annat allvarligt upphörande av molntjänstleverantörens affärsverksamhet. c) Utföra en verksamhetsanalys som står i proportion till den utkontrakterade funktionen, för att utröna vilka mänskliga och övriga resurser som krävs för att genomföra utträdesstrategin. d) Tilldela roller och ansvarsområden för hantering av utträdesstrategin. e) Testa utträdesstrategins lämplighet med hjälp av en riskbaserad metod (t.ex. genom att göra en analys av de potentiella kostnaderna, konsekvenserna, resurserna och tidseffekterna av att överföra en utkontrakterad tjänst till en annan leverantör). f) Definiera framgångskriterier för övergången.

text: 32. Företagets fortlöpande övervakning och tillsyn av de tjänster som molntjänstleverantören tillhandahåller inom ramen för uppdragsavtalet om molntjänster bör omfatta indikatorer för triggerhändelser som utlöser utträdesstrategin.

text: Riktlinje 6. Åtkomst- och revisionsrättigheter

text: 33. Ett företag bör se till att det skriftliga uppdragsavtalet om molntjänster inte begränsar företagets och den behöriga myndighetens rätt till inspektion och revision av molntjänstleverantören samt begränsar effektiv tillsyn.

text: 34. När företaget fastställer hur ofta och i vilken omfattning det ska utöva sina åtkomst- eller revisionsrättigheter bör företaget beakta huruvida utkontrakteringen avser en kritisk eller viktig operativ funktion, riskernas art och omfattning samt påverkan på företaget genom utkontrakteringslösningar till molntjänster.

text: 35. Om utövande av åtkomst- eller revisionsrättigheter, eller användningen av vissa revisionsmetoder, skapar en risk för molntjänstleverantörens miljö och/eller en annan molntjänstleverantörs kund (t.ex. genom att påverka servicenivåer, uppgifters konfidentialitet, integritets- och tillgångsaspekter), bör molntjänstleverantören ge företaget en tydlig motivering till varför detta skulle skapa en risk och komma överens med företaget om alternativa sätt att uppnå ett liknande resultat (t.ex. genom att särskilda kontroller testas i molntjänstleverantörens rapporter/certifieringar).

text: 36. Utan att det påverkar företagets slutliga ansvar för de verksamheter som utförs av molntjänstleverantörerna kan företaget, i syfte att använda revisionsresurserna på ett effektivare sätt och minska den organisatoriska bördan för molntjänstleverantören och dess kunder, använda a) tredjepartscertifieringar och externa eller interna revisionsrapporter som har gjorts tillgängliga av molntjänstleverantören, b) gemensamma revisioner som utförs tillsammans med andra av molntjänsteleverantörens kunder eller gemensamma revisioner som utförs av en tredje part revisor som utsetts av flera kunder till samma molntjänstleverantör.

text: 37. Vid utkontraktering av kritiska eller viktiga funktioner bör företaget bedöma huruvida de tredjepartscertifieringar och externa eller interna revisionsrapporter som avses i punkt 37(a) är adekvata och tillräckliga för att uppfylla deras lagstadgade skyldigheter, och bör med tiden sträva efter att inte enbart förlita sig på dessa certifieringar och rapporter.

text: 38. Vid utkontraktering av kritiska eller viktiga funktioner bör företaget använda sig av de tredjepartscertifieringar och externa eller interna revisionsrapporter som avses i punkt 37(a) endast om företaget a) är helt säkert på att certifieringarna eller revisionsrapporterna avser molntjänstleverantörens viktiga system (t.ex. processer, applikationer, infrastruktur, datacenter), de viktiga kontroller som identifierats av företaget samt efterlevnad av relevanta regleringskrav, b) noggrant och regelbundet bedömer innehållet i certifieringarna eller revisionsrapporterna och kontrollerar att certifieringarna eller rapporterna inte är inaktuella, c) säkerställer att molntjänstleverantörens centrala system och kontroller omfattas av framtida versioner av certifieringar eller revisionsrapporter, d) är tillfreds med den certifierande eller granskande partens lämplighet (t.ex. när det gäller kvalifikationer, sakkunskap, upprepning/verifiering av bevisen i den underliggande revisionsdokumentationen samt rotation av certifierings- eller revisionsföretag), e) är tillfreds med att certifieringarna och revisionerna utförs på grundval av lämpliga standarder och omfattar ett test av den operativa effektiviteten hos de centrala kontroller som har införts, f) har den avtalsmässiga rätten att begära att certifieringarnas eller revisionsrapporternas omfattning utökas till molntjänstleverantörens andra relevanta system och kontroller, antalet sådana begäranden om ändrad omfattning och hur ofta de görs bör vara rimligt och motiverat ur ett riskhanteringsperspektiv, g) behåller den avtalsmässiga rätten att efter eget godtycke utföra enskilda revisioner på plats med avseende på den utkontrakterade funktionen.

text: 39. Innan ett planerat besök på plats äger rum, inbegripet av en tredje part som utsetts av företaget (t.ex. en revisor), bör företaget skäligen meddela detta till molntjänstleverantören, tillräckligt långt i förväg, såvida inte detta är omöjligt på grund av en nöd- eller krissituation eller skulle leda till att revisionen inte längre är ändamålsenlig. Ett sådant meddelande bör omfatta uppgifter om platsen för besöket, syfte samt den personal som kommer att närvara vid besöket.

text: 40. Med tanke på att molntjänster är tekniskt komplexa och medför särskilda jurisdiktionsmässiga utmaningar bör den personal som utför revisionen – dvs. företagets internrevisorer eller revisorer som agerar för dess räkning – ha rätt kompetens och kunskap för att korrekt kunna bedöma de relevanta molntjänsterna och utföra en ändamålsenlig och relevant revision. Detta bör också gälla företagets personal som granskar molntjänstleverantörens certifieringar eller revisionsrapporter.

text: Riktlinje 7. Underentreprenad

text: 41. Om underentreprenad tillåts för kritiska eller viktiga funktioner (eller väsentliga delar av dem) bör man i det skriftliga uppdragsavtalet om molntjänster mellan företaget och molntjänstleverantören a) ange vilka delar eller aspekter av den utkontrakterade funktionen som är undantagna från potentiell underentreprenad, b) specificera de villkor som ska efterlevas vid underentreprenad, c) specificera att molntjänstleverantören behåller fullt ansvar och är skyldig att kontrollera de tjänster som den har utkontrakterat, för att säkerställa att alla avtalsförpliktelser mellan molntjänstleverantören och företaget kontinuerligt uppfylls, d) innehålla en skyldighet för molntjänstleverantören att informera företaget om all planerad underentreprenad eller väsentliga ändringar av en sådan, särskilt om detta kan påverka molntjänstleverantörens förmåga att fullgöra sina skyldigheter enligt uppdragsavtalet om molntjänster med företaget. Anmälningsperioden som anges i det skriftliga avtalet bör ge företaget tillräckligt med tid för att åtminstone göra en riskbedömning av den föreslagna underentreprenaden eller väsentliga förändringar av denna samt invända mot förändringarna eller uttryckligen godkänna dem, i enlighet med punkt (e) nedan, e) säkerställa att företaget har rätt att invända mot den planerade underentreprenaden eller väsentliga förändringar av denna, eller att ett uttryckligt godkännande krävs innan den föreslagna underentreprenaden eller de väsentliga ändringarna träder i kraft, f) säkerställa att företaget har avtalsenlig rätt att säga upp uppdragsavtalet om molntjänster med molntjänstleverantören om det invänder mot den föreslagna underentreprenaden eller väsentliga förändringar av denna samt vid otillbörlig underentreprenad (t.ex. om molntjänstleverantören inte informerar företaget om underentreprenaden eller inte respekterar de villkor för underentreprenad som anges i uppdragsavtalet).

text: 42. Företaget bör se till att molntjänstleverantören övervakar underentreprenören på lämpligt sätt.

text: Riktlinje 8. Skriftlig anmälan till behöriga myndigheter

text: 43. Företaget bör i god tid skriftligen informera sin behöriga myndighet om planerade utkontrakteringslösningar om molntjänster som rör en kritisk eller viktig funktion. Företaget bör också i god tid och skriftligen informera sin behöriga myndighet om de utkontrakteringslösningar om molntjänster som avser en funktion som tidigare klassificerades som icke-kritisk eller icke-viktig och som därefter blev kritisk eller viktig.

text: 44. Företagets skriftliga information bör i enlighet med proportionalitetsprincipen åtminstone innefatta följande: a) Startdatum för uppdragsavtalet om molntjänster och, i tillämpliga fall, datum för nästa kontraktsförnyelse, slutdatum och/eller uppsägningstider för molntjänstleverantören och för företaget. b) En kortfattad beskrivning av den utkontrakterade funktionen. c) En kort sammanfattning av anledningarna till att den utkontrakterade funktionen anses vara kritisk eller viktig. d) Molntjänstleverantörens namn och eventuella varumärkesnamn, registreringslandet, organisationsnumret, identifieringskoden för juridisk person (när sådan finns), den registrerade adressen och andra relevanta kontaktuppgifter, samt namnet på leverantörens moderföretag (om sådant finns). e) Tillämplig lag för uppdragsavtalet om molntjänster och, i förekommande fall, valet av jurisdiktion. f) Modellerna för molnanvändning, och den särskilda karaktären på uppgifterna som ska lagras och platserna (dvs. länder eller regioner) där sådana uppgifter kommer att lagras. g) Datumet för den senaste bedömningen av om den utkontrakterade funktionen är kritisk eller viktig. h) Datumet för den senaste riskbedömningen eller revisionen av molntjänstleverantören, tillsammans med en kort sammanfattning av de viktigaste resultaten och datum för nästa planerade riskbedömning eller revision. i) Det enskilda eller beslutsfattande organ i företaget som godkände uppdragsavtalet om molntjänster. j) I tillämpliga fall namnen på eventuella underentreprenörer som väsentliga delar av en kritisk eller viktig funktion vidareutkontrakteras till, däribland det land eller den region där underentreprenörerna är registrerade, var tjänsten kommer att utföras och där uppgifterna kommer att lagras.

text: Riktlinje 9. Tillsyn över utkontrakteringslösningar till molntjänster

text: 45. Behöriga myndigheter bör som ett led i sin tillsyn analysera riskerna med företagens utkontrakteringslösningar till molntjänster. Denna bedömning bör särskilt inriktas på överenskommelser som avser utkontraktering av kritiska eller viktiga funktioner.

text: 46. De behöriga myndigheterna bör vara helt säkra på att de kan utföra en ändamålsenlig tillsyn, särskilt när företagen utkontrakterar kritiska eller viktiga funktioner som utförs utanför EU.

text: 47. De behöriga myndigheterna bör genom en riskbaserad metod bedöma om företagen a) har infört relevanta styrnings-, resurs- och driftsprocesser för att på lämpligt och effektivt sätt ingå, genomföra och övervaka uppdragsavtal om molntjänster, b) identifierar och bedömer alla relevanta risker med utkontrakteringen.

text: 48. Om koncentrationsrisker identifieras bör de behöriga myndigheterna övervaka utvecklingen av sådana risker och utvärdera både deras potentiella inverkan på andra företag som de utövar tillsyn över och finansmarknadens stabilitet.

type: vagledning

utgivare: esma


text: EUT L 331, 15.12.2010, s. 84.

amnesord:
Benchmarks
Guidelines and Technical standards

publisher: Europeiska värdepappers- och marknadsmyndigheten

sprak: sv

title: Guidelines on non-significant benchmarks under the Benchmarks Regulation

serie: riktlinjer

text: Riktlinjer

type: rubrik

text: om icke-signifikanta referensvärden inom ramen för förordningen om referensvärden

text: 19/06/2019 |

text: SV

type: stycke

text: Innehållsförteckning I. Tillämpningsområde

text: Vem?

text: 1. Dessa riktlinjer gäller för behöriga myndigheter som utsetts enligt artikel 40 i förordningen om referensvärden, administratörer enligt definitionen i artikel 3.1.6 i förordningen om referensvärden och rapportörer under tillsyn enligt definitionen i artikel 3.1.10 i förordningen om referensvärden. Vad?

text: 2. Dessa riktlinjer tillämpas på tillhandahållandet av och rapporteringen till ickesignifikanta referensvärden (artiklarna 5, 11, 13 och 16 i förordningen om referensvärden). När?

text: 3. Dessa riktlinjer börjar gälla två månader efter dagen för deras offentliggörande på Esmas webbplats på alla officiella EU-språk.

text: II. Hänvisningar till lagstiftning, förkortningar och definitioner

text: Hänvisningar till lagstiftning

text: Esma-förordningen

text: Europaparlamentets och rådets förordning (EU) nr 1095/2010 av den 24 november 2010

text: om inrättande av en europeisk tillsynsmyndighet (Europeiska värdepappers- och marknadsmyndigheten), om ändring av beslut nr

text: och om upphävande av

text: kommissionens beslut 2009/77/EG

text: Förordningen om

text: Europaparlamentets och rådets förordning (EU) 2016/1011

text: referensvärden av den 8 juni 2016 om index som används som referensvärden för finansiella instrument och finansiella avtal eller för att mäta investeringsfonders resultat, och om ändring av direktiven

text: och

text: och förordning

text: (EU) nr 596/2014

text: Definitioner

text: 4. Om inte annat anges har de termer som används i förordningen om referensvärden samma innebörd i dessa riktlinjer. Dessutom gäller följande definitioner: behörig myndighet: En myndighet som utsetts enligt

text: artikel 40 i förordningen

text: om referensvärden.

text: III. Syfte

text: 5. Syftet med dessa riktlinjer är att säkerställa en gemensam, enhetlig och konsekvent tillämpning vad gäller icke-signifikanta referensvärden, av kraven på övervakningsfunktionen i

text: artikel 5 i förordningen

text: om referensvärden, av bestämmelserna om dataunderlag i

text: artikel 11

text: , av bestämmelserna om metodens transparens i

text: artikel 13

text: och av kraven på rapportörer under tillsyn vad gäller styrning och kontroll i artikel 16 i samma förordning.

text: IV. Efterlevnads- och rapporteringsskyldigheter

text: Riktlinjernas status

text: 6. Detta dokument innehåller riktlinjer som antagits enligt artikel 16 i Esma-förordningen. Enligt artikel 16.3 i Esma-förordningen ska behöriga myndigheter och finansmarknadsaktörer med alla tillgängliga medel söka följa dessa riktlinjer.

text: 7. Behöriga myndigheter som berörs av riktlinjerna bör följa dem genom att införliva dem i sin tillsynspraxis, även när särskilda riktlinjer i dokumentet i första hand riktas till finansmarknadsaktörer. Rapporteringskrav

text: 8. Inom två månader från offentliggörandet av riktlinjerna på Esmas webbplats på alla officiella EU-språk måste de behöriga myndigheter som berörs av riktlinjerna meddela Esma om de i) följer riktlinjerna, ii) inte följer riktlinjerna men avser att följa dem, eller iii) inte följer riktlinjerna och inte avser att följa dem. Om de behöriga myndigheterna inte följer riktlinjerna måste de även, inom två månader från offentliggörandet av riktlinjerna på Esmas webbplats på alla officiella EU-språk, meddela Esma skälen till detta.

text: 9. Om de behöriga myndigheterna inte svarar inom denna tidsgräns kommer Esma att anse att myndigheterna i fråga inte följer riktlinjerna. En mall för meddelanden är tillgänglig på Esmas webbplats. När meddelandeblanketten fyllts i ska den skickas till Esma via e-postadressen bmr@esma.europa.eu.

text: 10. Administratörer av icke-signifikanta referensvärden och rapportörer under tillsyn som rapporterar till icke-signifikanta referensvärden behöver inte meddela huruvida de följer riktlinjerna.

text: V. Riktlinjer om icke-signifikanta referensvärden

text: V.I. Riktlinjer om förfarandena och särdragen för övervakningsfunktionen (

text: artikel 5 i förordningen

text: om referensvärden)

text: Tillämpningsområde

text: 11. Utan hinder av kravet i

text: artikel 26.4 i förordningen

text: om referensvärden är punkterna 20 och 21 inte tillämpliga på administratörer av icke-signifikanta referensvärden som väljer att inte tillämpa

text: artikel 5.2 i förordningen

text: om referensvärden. Övervakningsfunktionens sammansättning

text: 12. Övervakningsfunktionen bör bestå av en eller flera medlemmar som tillsammans har den kompetens och sakkunskap som är lämplig för att övervaka tillhandahållandet av ett visst referensvärde och för det uppdrag som övervakningsfunktionen ska fullgöra. Medlemmarna i övervakningsfunktionen bör ha lämplig kunskap om den underliggande marknad eller ekonomiska verklighet som referensvärdet är avsett att mäta.

text: 13. Administratörer av referensvärden baserade på reglerade uppgifter bör i sin övervakningsfunktion överväga att inkludera representanter från de enheter som förtecknas i definitionen av ett referensvärde baserat på reglerade uppgifter i

text: artikel 3.1

text: .24 i förordningen om referensvärden.

text: 14. Om ett referensvärde baseras på dataunderlag från rapportörer och representanter för rapportörerna eller för enheter under tillsyn som använder referensvärdet är medlemmar i övervakningsfunktionen, bör administratören säkerställa att antalet medlemmar med intressekonflikter inte utgör eller är större än enkel majoritet. Innan medlemmarna utses bör administratörerna också fastställa och ta hänsyn till konflikter som uppstår på grund av förhållanden mellan potentiella medlemmar och andra externa berörda parter, i synnerhet konflikter som beror på potentiella intressen i de berörda referensvärdena.

text: 15. Personer som är direkt involverade i tillhandahållandet av referensvärdet och kan vara medlemmar i övervakningsfunktionen bör inte ha rösträtt. Representanter för ledningsorganet bör inte vara medlemmar eller observatörer, men får bjudas in att delta i övervakningsfunktionens möten utan rösträtt.

text: 16. Medlemmar i övervakningsfunktionen bör inte inkludera personer som varit föremål för sanktioner av administrativ eller straffrättslig karaktär med avseende på finansiella tjänster, i synnerhet manipulation eller försök till manipulation enligt förordning

text: (EU) nr 596/2014

text: . Övervakningsfunktionens särdrag och ställning

text: 17. Övervakningsfunktionen bör ingå i administratörens organisationsstruktur eller i organisationsstrukturen hos moderbolaget i den koncern som administratören tillhör, men vara åtskild från ledningsorganet och andra styrningsfunktioner hos administratören av referensvärdet.

text: 18. Övervakningsfunktionen bör bedöma, och i förekommande fall invända mot, beslut som fattas av administratörers ledningsorgan avseende efterlevandet av kraven i förordningen om referensvärden. Utan att det påverkar tillämpningen av

text: artikel 5.3

text: i, i förordningen om referensvärden bör övervakningsfunktionen rikta alla rekommendationer om övervakningen av referensvärdet till ledningsorganet.

text: 19. Om övervakningsfunktionen får kännedom om att ledningsorganet har agerat eller avser att agera i strid med övervakningsfunktionens rekommendationer eller beslut bör detta noteras i protokollet vid nästa möte eller i registret över beslut. Förfaranden som styr övervakningsfunktionen

text: 20. En övervakningsfunktion hos en administratör av icke-signifikanta referensvärden bör ha förfaranden som åtminstone rör följande områden: a. Kriterier för val av medlemmar. b. Tillsättning, nominering och entledigande eller ersättning av dess medlemmar. c. Tillfälligt upphävande av externa medlemmars rösträtt när det gäller beslut som kan ha en direkt inverkan på deras organisationers affärsverksamhet. d. Krav på att medlemmar redovisar väsentliga intressekonflikter innan en punkt på dagordningen diskuteras under övervakningsfunktionens möten. e. Utestängning av medlemmar från vissa diskussioner om det föreligger en intressekonflikt. f. Övervakningsfunktionens tillgång till den dokumentation som den behöver för att fullgöra sina uppgifter. g. Åtgärder som ska vidtas om uppförandekoden överträds. h. Anmälan till den behöriga myndigheten vid misstanke om marknadsmissbruk av rapportörer eller av administratören. i. Förhindrade av otillbörligt yppande av konfidentiell eller känslig information som övervakningsfunktionen har tagit emot, tagit fram eller diskuterat. j. Offentliggörande av medlemmars väsentliga intressekonflikter.

text: 21. Om övervakningsfunktionen utförs av en fysisk person är leden c och e i den tidigare punkten inte tillämpliga. Administratören bör då utse ett lämpligt organ eller en lämplig fysisk person som kan träda in för att säkerställa att övervakningsfunktionens uppgifter kan utföras utan avbrott om den person som ansvarar för övervakningsfunktionen är frånvarande. Icke uttömmande förteckning över övervakningsfunktionens styrningsarrangemang

text: 22. Övervakningsfunktionens struktur och sammansättning bör i förekommande fall bestämmas i enlighet med en eller flera av punkterna i följande icke uttömmande förteckning: a. Såvida inte de icke-signifikanta referensvärdenas komplexitet eller sårbarhet tyder på annat: en eller flera fysiska personer som är personal hos administratören eller andra fysiska personer vars tjänster står till administratörens förfogande eller under administratörens kontroll, som inte är direkt involverade i tillhandahållandet av något relevant referensvärde och som är fria från intressekonflikt, i synnerhet sådana som följer av ett potentiellt intresse med avseende på referensvärdet. b. En oberoende övervakningskommitté med en balanserad representation av berörda parter, inklusive enheter under tillsyn som använder referensvärdet, rapportörer till referensvärdet och andra externa berörda parter såsom marknadsinfrastrukturoperatörer och andra källor av dataunderlag, liksom oberoende medlemmar och personal hos administratören som inte är direkt involverade i tillhandahållandet av de relevanta referensvärdena eller några relaterade verksamheter. c. Om administratören inte är helägt eller kontrolleras av rapportörerna till referensvärdet eller de enheter under tillsyn som använder det, och inga andra intressekonflikter föreligger kring övervakningsfunktionen: en övervakningskommitté med personalmedlemmar som representerar delar av administratörens organisation och som inte är direkt involverade i tillhandahållandet av de relevanta referensvärdena eller några relaterade verksamheter eller, om sådana lämpliga personalmedlemmar inte finns tillgängliga, oberoende medlemmar. d. En övervakningsfunktion som består av flera olika kommittéer, som var och en ansvarar för i. övervakningen av ett icke-signifikant referensvärde, en typ av ickesignifikant referensvärde eller en familj av icke-signifikanta referensvärden, eller ii. en uppsättning övervakningsskyldigheter och övervakningsuppgifter. Förutsättningen är att en enda person eller kommitté utses till ansvarig för den övergripande ledningen och samordningen av övervakningsfunktionen och för kontakterna med ledningsorganet hos administratören av referensvärdet och den behöriga myndigheten. V.II. Riktlinjer om dataunderlag (

text: artikel 11 i förordningen

text: om referensvärden) Tillämpningsområde

text: 23. Utan hinder av kravet i

text: artikel 26.4 i förordningen

text: om referensvärden är punkt 25 a och b inte tillämplig på administratörer av icke-signifikanta referensvärden som väljer att inte tillämpa

text: artikel 11.1 b i förordningen

text: om referensvärden.

text: 24. Utan hinder av kravet i

text: artikel 26.4 i förordningen

text: om referensvärden är punkt 26 inte tillämplig på administratörer av icke-signifikanta referensvärden baserade på reglerade uppgifter samt administratörer av icke-signifikanta referensvärden som väljer att inte tillämpa

text: artikel 11.3 i förordningen

text: om referensvärden. Säkerställande av lämpliga och verifierbara dataunderlag

text: 25. Vid tillämpningen av artikel 11.3

text: a

text: och

text: b

text: i förordningen om referensvärden bör administratören av ett icke-signifikant referensvärde säkerställa att denne har tillgång till all information som är nödvändig för att kontrollera följande med avseende på dataunderlag som används för referensvärdet, i tillämpliga fall: a. Om uppgiftslämnaren får rapportera dataunderlaget på rapportörens vägnar i enlighet med eventuella krav på auktorisation enligt

text: artikel 15.2 b i förordningen

text: om referensvärden. b. Om dataunderlaget tillhandahålls av rapportören eller väljs från en källa som administratören anger, inom den av administratören fastställda tidsfristen. c. Om dataunderlaget uppfyller kraven i referensvärdesmetoden. Interna övervaknings- och verifieringsförfaranden för en rapportör till icke-signifikanta referensvärden

text: 26. De interna övervaknings- och verifieringsförfaranden som administratören av ett ickesignifikant referensvärde bör säkerställa att rapportören har inrättat i enlighet med

text: artikel 11.3 b i förordningen

text: om referensvärden, bör åtminstone omfatta följande: a. Förfaranden för i. att kommunicera information till administratören som denne begär, ii. regelbunden rapportering till rapportörens företagsledning om de uppgifter som utförs av de tre kontrollfunktionerna, iii. samarbetet och flödet av information mellan de tre kontrollfunktionerna. b. Inrättande och upprätthållande av en intern funktion som ska fungera som en första kontrollnivå för rapporteringen av dataunderlag och ansvara för utförandet av följande uppgifter: i. En effektiv kontroll av dataunderlaget innan det rapporteras. ii. Kontroll av att uppgiftslämnare får rapportera dataunderlaget på rapportörens vägnar i enlighet med eventuella krav enligt

text: artikel 15.2 b i förordningen

text: om referensvärden. iii. Säkerställande av att tillgången till rapporteringen av dataunderlag är begränsad till personer som deltar i rapporteringsprocessen, med undantag för om tillgången är nödvändig för revisionsändamål, utredningsändamål eller ändamål som krävs enligt lag. c. Inrättande och upprätthållande av en intern funktion som ska fungera som en andra kontrollnivå för rapporteringen av dataunderlag och ansvara för utförandet av följande uppgifter: i. Inrättande och upprätthållande av ett visselblåsarförfarande som omfattar lämpliga skyddsbestämmelser för visselblåsare. ii. Inrättande och upprätthållande av förfaranden för intern rapportering av eventuella försök till eller faktisk manipulation av dataunderlaget, för underlåtenhet att följa rapportörens egna referensvärdesrelaterade policyer och för utredning av sådana incidenter så snart som de uppdagas. iii. Övervakning av relevant kommunikation mellan personal på front officefunktionen som deltar direkt i rapporteringen av dataunderlag och även av relevant kommunikation mellan denna personal och andra interna funktioner eller externa organ när de kontroller som utförs av denna andra funktionsnivå ger upphov till farhågor. iv. Inrättande, upprätthållande och efterlevnad av en intressekonfliktspolicy vad gäller faktiska eller potentiella väsentliga intressekonflikter som säkerställer

text: 1. att faktiska eller potentiella väsentliga intressekonflikter som rör medlemmar av personalen vid rapportörens front office-funktion som deltar i rapporteringsprocessen upptäcks och rapporteras till administratören, 2. att det inte finns några direkta eller indirekta kopplingar mellan en uppgiftslämnares ersättning och referensvärdets värde, värdet på specifik information som lämnas eller resultatet av någon verksamhet som utförs av rapportören som kan ge upphov till en intressekonflikt gällande rapporteringen av dataunderlag till referensvärdet,

text: 3. att det finns en tydlig uppdelning av uppgifterna mellan personal vid front office-funktionen som deltar i rapporteringen av dataunderlaget och annan personal vid front office-funktionen, i tillämpliga fall, med hänsyn till omfattningen av skönsmässiga bedömningar i rapporteringsprocessen, arten, omfattningen och komplexiteten i rapportörens verksamhet samt om intressekonflikter kan uppstå mellan rapportering av dataunderlag till referensvärdet och handel eller annan verksamhet som rapportören utför. d. Inrättande och upprätthållande av en intern funktion, som är fristående från kontrollfunktionerna på den första och andra nivån, som ska fungera som den tredje kontrollnivån för rapporteringen av dataunderlag och ansvara för utförandet av regelbundna kontroller av de kontroller som utförs av de två andra kontrollfunktionerna. V.III. Riktlinjer om metodens transparens (

text: artikel 13 i förordningen

text: om referensvärden) Nyckelelementen i den metod som används för att fastställa ett icke-signifikant referensvärde

text: 27. Den information som ska tillhandahållas av en administratör av ett icke-signifikant referensvärde eller en familj av icke-signifikanta referensvärden i enlighet med kraven i

text: artikel 13.1 a i förordningen

text: om referensvärden bör åtminstone innefatta följande, i tillämpliga fall: a. En definition och beskrivning av referensvärdet eller familjen av ickesignifikanta referensvärden och av den marknad eller ekonomiska verklighet som det är avsett att mäta. b. Valuta eller en annan måttenhet för referensvärdet eller familjen av ickesignifikanta referensvärden. c. De typer av dataunderlag som används för att fastställa referensvärdet eller familjen av icke-signifikanta referensvärden och hur varje typ prioriteras. d. En beskrivning av beståndsdelarna i referensvärdet eller familjen av ickesignifikanta referensvärden och de kriterier som används för att välja ut och vikta dem. e. Eventuella minimikrav gällande dataunderlagets kvantitet och eventuella minimistandarder för dataunderlagets kvalitet. f. Tydliga regler för hur och när skönsmässiga bedömningar får användas vid fastställandet av referensvärdet eller familjen av icke-signifikanta referensvärden. g. Sammansättningen av eventuella paneler av rapportörer och de kriterier som används för att avgöra om rapportörer är lämpliga för medlemskap i panelen. h. Om referensvärdet eller familjen av icke-signifikanta referensvärden tar hänsyn till eventuell återinvestering av utdelningar eller kuponger som betalas ut av referensvärdets beståndsdelar. i. Metodens potentiella begränsningar och närmare uppgifter om eventuella metoder som ska användas under exceptionella omständigheter, bland annat vid illikvida marknader eller perioder av stress eller om källorna till transaktionsuppgifter kan vara otillräckliga, inkorrekta eller otillförlitliga. j. Om metoden återkommande kan komma att ändras för att säkerställa att referensvärdet eller familjen av icke-signifikanta referensvärden fortsätter att vara representativa för den relevanta marknaden eller ekonomiska verkligheten: alla kriterier som ska användas för att fastställa när en sådan ändring är nödvändig. Närmare uppgifter om den interna granskningen och godkännandet av metoden

text: 28. Den information som ska tillhandahållas av en administratör av ett icke-signifikant referensvärde eller en familj av icke-signifikanta referensvärden i enlighet med kraven i

text: artikel 13.1 b i förordningen

text: om referensvärden bör åtminstone innefatta en beskrivning av de policyer och förfaranden som rör den interna granskningen och godkännandet av metoden. Väsentliga ändringar av metoden

text: 29. Den information som ska tillhandahållas av en administratör av ett icke-signifikant referensvärde eller en familj av icke-signifikanta referensvärden i enlighet med kraven i

text: artikel 13.1 c i förordningen

text: om referensvärden bör åtminstone innefatta en beskrivning av den information som administratören ska offentliggöra i början av varje samrådsprocess, inklusive ett krav på offentliggörande av de nyckelelement i metoden som, enligt administratören, skulle påverkas av den föreslagna väsentliga ändringen. V.IV. Riktlinjer om krav på rapportörer under tillsyn vad gäller styrning och kontroll (

text: artikel 16 i förordningen

text: om referensvärden) Tillämpningsområde

text: 30. Utan hinder av kravet i

text: artikel 26.4 i förordningen

text: om referensvärden är punkterna 33– 36 inte tillämpliga på den rapportering till icke-signifikanta referensvärden för vilka administratörerna väljer att inte tillämpa

text: artikel 16.2 i förordningen

text: om referensvärden.

text: 31. Utan hinder av kravet i

text: artikel 26.4 i förordningen

text: om referensvärden är punkt 37 inte tillämplig på den rapportering till icke-signifikanta referensvärden för vilka administratörerna väljer att inte tillämpa

text: artikel 16.3 i förordningen

text: om referensvärden. Kontrollramverk för rapportörer under tillsyn som rapporterar till icke-signifikanta referensvärden

text: 32. Det kontrollramverk som rapportörer under tillsyn som rapporterar till icke-signifikanta referensvärden är skyldiga att ha i enlighet med

text: artikel 16.1 i förordningen

text: om referensvärden bör inbegripa införande och upprätthållande av minst följande kontroller: a. En effektiv översynsmekanism för översyn av datarapporteringsprocessen som inbegriper ett riskhanteringssystem, identifiering av personal i ledande ställning som är ansvarig för datarapporteringsprocessen och medverkan av alla regelefterlevnadsfunktioner och interna revisionsfunktioner inom rapportörens organisation. b. Riktlinjer för visselblåsning, inbegripet lämpliga skyddsåtgärder för visselblåsare. c. Ett förfarande för att upptäcka och hantera överträdelser av förordningen om referensvärden. Detta förfarande bör bland annat omfatta att undersöka upptäckta överträdelser eller felaktigheter och registrera de åtgärder som vidtagits med anledning av dem. Kontroll av uppgiftslämnare hos rapportörer under tillsyn som rapporterar till icke-signifikanta referensvärden

text: 33. De system och kontroller som rapportörer under tillsyn som rapporterar till ickesignifikanta referensvärden är skyldiga att ha i enlighet med

text: artikel 16.2 a i förordningen

text: om referensvärden bör inbegripa en dokumenterad och effektiv process för datarapportering samt åtminstone följande: a. En rutin för att utse uppgiftslämnare och ersättare. b. Förfaranden och system för övervakning av de data som används vid rapportering, och själva dataunderlaget, som har förmåga att utfärda varningar i enlighet med parametrar som fastställts på förhand av rapportörerna. Hantering av intressekonflikter hos rapportörer under tillsyn som rapporterar till icke- signifikanta referensvärden

text: 34. De åtgärder för hantering av intressekonflikter som rapportörer under tillsyn som rapporterar till icke-signifikanta referensvärden är skyldiga att ha i enlighet med

text: artikel 16.2 c i förordningen

text: om referensvärden bör åtminstone inbegripa följande åtgärder: a. Ett register över väsentliga intressekonflikter som bör hållas uppdaterat och användas för att registrera alla väsentliga intressekonflikter som identifierats och åtgärder som vidtagits för att hantera dem. Registret bör vara tillgängligt för interna eller externa revisorer. b. Fysisk separation av uppgiftslämnare från andra av rapportörens anställda, om sådan separation är lämplig med hänsyn till omfattningen av skönsmässiga bedömningar i rapporteringsprocessen, arten, omfattningen och komplexiteten i rapportörens verksamhet samt huruvida intressekonflikter kan uppstå mellan rapportering av dataunderlag till referensvärdet och handel eller annan verksamhet som rapportören utför, alternativt regler som styr interaktionen mellan uppgiftslämnare och front office-personal.

text: 35. Åtgärderna för hantering av intressekonflikter bör även inbegripa riktlinjer för ersättning till uppgiftslämnare som säkerställer att ersättningen till en uppgiftslämnare hos en rapportör under tillsyn som rapporterar till icke-signifikanta referensvärden inte är kopplad till något av följande: a. Referensvärdets värde. b. De specifika värden som inrapporterats. c. Resultaten av någon specifik verksamhet för rapportören under tillsyn där rapportering av dataunderlag till ett icke-signifikant referensvärde kan ge upphov till en intressekonflikt. Dokumentationskrav för rapportörer under tillsyn som rapporterar till icke-signifikanta referensvärden

text: 36. Dokumentationen av kommunikation i samband med lämnandet av dataunderlag enligt

text: artikel 16.2 d i förordningen

text: om referensvärden bör innefatta dokumentation av det dataunderlag som lämnats (dvs. den beräkning som lämnats till administratörerna) samt namnen på uppgiftslämnarna. Riktlinjer för expertbedömningar av rapportörer under tillsyn som rapporterar till icke- signifikanta referensvärden

text: 37. De riktlinjer som en rapportör under tillsyn som rapporterar till icke-signifikanta referensvärden är skyldig att fastställa enligt

text: artikel 16.3 i förordningen

text: om referensvärden där dataunderlaget baseras på expertbedömningar, bör innehålla minst följande delar: a. En ram för säkerställande av konsekvens mellan olika uppgiftslämnare, och konsekvens över tid, med avseende på tillämpningen av expertbedömningar eller skönsmässiga bedömningar. b. Förfaranden för regelbunden granskning av all tillämpning av expertbedömningar eller skönsmässiga bedömningar.


text: KOMMISSIONENS DELEGERADE FÖRORDNING

text: (EU) nr 148/2013

text: av den 19 december 2012 om komplettering av

text: Europaparlamentets och rådets förordning (EU) nr 648/2012

text: om OTC-derivat, centrala motparter och transaktionsregister med avseende på tekniska genomförandestandarder för minimikrav på de uppgifter som ska rapporteras till transaktionsregister (EUT L 52, 23.2.2013, s. 1) KOMMISSIONENS GENOMFÖRANDEFÖRORDNING

text: (EU) nr 1247/2012

text: av den 19 december 2012 om fastställande av tekniska genomförandestandarder för form och frekvens för rapportering om handel till transaktionsregister enligt

text: om OTC-derivat, centrala motparter och transaktionsregister (EUT L 352, 21.12.2012, s. 20) 2 KOMMISSIONENS DELEGERADE FÖRORDNING

text: (EU) 2017/104

text: av den 19 oktober 2016 om ändring av delegerade förordning

text: (EU) nr 148/2013

text: om komplettering av

text: om OTC-derivat, centrala motparter och transaktionsregister med avseende på tekniska genomförandestandarder för minimikrav på de uppgifter som ska rapporteras till transaktionsregister (EUT L 17, 21.1.2017, s. 1) KOMMISSIONENS GENOMFÖRANDEFÖRORDNING

text: (EU) 2017/105

text: av den 19 oktober 2016 om ändring av genomförandeförordning

text: (EU) nr 1247/2012

text: om OTCderivat, centrala motparter och transaktionsregister (EUT L 17, 21.1.2017, s. 17) 3 https://www.esma.europa.eu/system/files_force/library/2015/11/2015-esma-1645_-_final_report_emir_article_9_rts_its.pdf För vissa transaktionsregister kan typerna av aktörer i transaktionsregistret anges närmare som rapporterande, allmänt rapporterande, icke-rapporterande aktörer etc. Dessa underkategorier är transparenta med utgångspunkt i dessa riktlinjer.

text: Enligt

text: artikel 9.2 i förordningen

text: om Europas marknadsinfrastrukturer ska ”[m]otparter [...] föra ett register över alla derivatkontrakt som de har ingått och varje ändring under minst fem år efter avslutande av kontraktet”. Om det rör sig om en rapporterande aktör i transaktionsregistret som rapporterar för andras räkning bör även dessas register användas.

text: Enligt

text: artikel 9.2 i förordningen

amnesord:
Guidelines and Technical standards
Post Trading

title: Guidelines on transfer of data between TRs

text: Riktlinjer

text: för överföring av uppgifter mellan transaktionsregister

text: 27/04/2018 |

text: SV

text: 1 Tillämpningsområde

text: Vem?

text: A. Dessa riktlinjer gäller för transaktionsregister som registrerats eller godkänts i enlighet med förordningen om Europas marknadsinfrastrukturer (

text: Europaparlamentets och rådets förordning (EU) nr 648/2012 av den 4 juli 2012

text: om OTC-derivat, centrala motparter och transaktionsregister).

text: Vad?

text: B. Dessa riktlinjer gäller a. motparters och centrala motparters rapportering utan dubblering av uppgifter om derivat enligt

text: artikel 9.1 i förordningen

text: om Europas marknadsinfrastrukturer, b. överföring av uppgifter om derivat mellan transaktionsregister på begäran av motparter till ett derivat, eller av en enhet som rapporterar för deras räkning, eller i den situation som avses i

text: artikel 79.3 i förordningen

text: om Europas marknadsinfrastrukturer och c. registerhållning av uppgifter om derivat i enlighet med

text: artikel 80.3 i förordningen

text: om Europas marknadsinfrastrukturer.

text: När?

text: C. Dessa riktlinjer tillämpas från och med den 16 oktober 2017.

text: 2 Ordlista med begrepp och termer

text: D. Alla definitioner, begrepp och termer som används i förordningen om Europas marknadsinfrastrukturer, i de befintliga tekniska standarderna för tillsyn respektive 1 2 genomförande , i de ändrade tekniska standarderna för tillsyn respektive genomförande , i frågorna och svaren samt i dessa riktlinjer har samma innebörd. E. För tillämpning av dessa riktlinjer definierar Esma dessutom följande begrepp som kan användas för att bättre belysa de olika situationer som kan uppstå. F. Den rapporterande enheten, vilket utgör ett av motpartens fält i de ändrade tekniska standarderna för rapportering , bör förstås som den enhet som har ingått en avtalsrelation med ett registrerat eller godkänt transaktionsregister och som a. rapporterar enbart sin sida av derivatkontraktet, varvid den sammanfaller med kontraktets rapporterande motpart, b. rapporterar enbart derivat där den är en av motparterna, varvid den sammanfaller med antingen kontraktets rapporterande motpart eller den andra motparten, samt c. rapporterar derivat där den kan eller inte kan vara en av motparterna. G. En aktör i ett transaktionsregister är en enhet som har ett kontraktsarrangemang som syftar till rapportering av derivatkontrakt enligt

text: artikel 9 i förordningen

text: om Europas marknadsinfrastrukturer med minst ett registrerat eller godkänt transaktionsregister. Aktören i transaktionsregistret kan vara en rapporterande enhet, eller en rapporterande motpart eller en central motpart, som har tillträde till ett transaktionsregister enbart för läsning.

text: 3 Förkortningar

text: Esma Europeiska värdepappers- och marknadsmyndigheten

text: EU Europeiska unionen

text: EUT Europeiska unionens officiella tidning

text: ISO Internationella standardiseringsorganisationen

text: Mifir

text: Europaparlamentets och rådets förordning (EU) nr 600/2014 av den 15 maj 2014

text: om marknader för finansiella instrument och om ändring av förordning

text: (EU) nr 648/2012

text: OTC OTC (Over-the-counter)

text: XML XML (Extensible Mark-up Language)

text: XSD XSD (XML-schemadefinition)

text: 4 Syfte

text: H. Dessa riktlinjer har följande tre syften: a. Undanröja hinder för överförbarhet i den konkurrensutsatta miljö för transaktionsregister som bildar underlag för förordningen om Europas marknadsinfrastrukturer och säkerställa att aktörer i transaktionsregister kan dra nytta av en miljö med flera transaktionsregister. b. Säkerställa kvaliteten på de uppgifter som finns tillgängliga för myndigheter, inklusive de aggregeringar som genomförts av transaktionsregister, även när en aktör i ett transaktionsregister övergår från att rapportera till ett transaktionsregister till att rapportera till ett annat oberoende av skälet till denna övergång. c. Se till att det finns ett konsekvent och harmoniserat sätt på vilket register överförs från ett transaktionsregister till ett annat och stödja kontinuerlig rapportering och avstämning i alla ärenden inklusive återkallande av ett transaktionsregisters registrering. I. Behovet av att överföra uppgifter till ett annat transaktionsregister kan uppstå av olika skäl. I riktlinjerna behandlas därför de situationer där i) överföringen sker på grund av att transaktionsregistrets registrering har återkallats separat från de fall där ii) överföringen görs på frivillig grund och enligt normala marknadsvillkor. Incitamenten och drivkrafterna för de berörda parterna i vart och ett av de två fallen skulle skilja sig åt och det behövs därför ett specifikt tillvägagångssätt för vardera specifika situation. J. I riktlinjerna fastställs överordnade principer som kommer att behöva följas av aktörerna i transaktionsregistren, t.ex. den rapporterande enheten, motparterna och de centrala motparterna å ena sidan och transaktionsregistren å den andra. Dessa principer kompletteras av särskilda förfaranden, som ingår i avsnitten 10 och 11 i denna slutrapport

text: och som anges i syfte att säkerställa att överföringen av uppgifter om derivat sker i tid och på ett stabilt sätt. K. Dessa riktlinjer omfattar dock inte situationer som inte kräver överföring av uppgifter, såsom rapporterande motparter som har beslutat sig för att rapportera till två eller flera transaktionsregister samtidigt.

text: 5 Efterlevnad

text: L. Detta dokument innehåller riktlinjer som antagits enligt artikel 16 i Esma-förordningen. I enlighet med artikel 16.3 i Esma-förordningen ska de behöriga myndigheterna och finansmarknadsaktörerna med alla tillgängliga medel söka följa riktlinjer och rekommendationer.

text: 6 Riktlinjer

text: M. Endast det gamla transaktionsregistret och det nya transaktionsregistret bör överföra uppgifter om derivat. Det nya transaktionsregistret bör inte godta dubbla rapporter av aktörer i transaktionsregister när det gäller de derivat som ska överföras. Det gamla transaktionsregistret bör inte godta rapporter med åtgärdstyperna ”Cancellation” (annullering) och ”Error” (fel) som gjorts av aktörer i transaktionsregister när det gäller de derivat som ska överföras. N. Överföringen av uppgifter bör genomföras av transaktionsregistren i enlighet med en ömsesidigt överenskommen migreringsplan. Migreringsplanen bör innehålla en detaljerad planering (tidslinje) och en beskrivning av de erforderliga kontroller som införts för att säkerställa att överföringen av uppgifter sker i tid och är fullständig och korrekt. O. Alla transaktionsregister bör använda en standardmall för migreringsplanen som man kommit överens om ömsesidigt mellan alla transaktionsregister och som är förenlig med vad som anges i riktlinje 4. P. Migreringsplanen bör innehålla följande uppgifter: i. Tillämpningsområdet för överföringen av uppgifter (t.ex. aktör[er] i transaktionsregister, berörda derivat etc.).

text: ii. De berörda enheternas detaljerade roller och ansvarsområden.

text: iii. Tidslinje och relevanta milstolpar för överföringen.

text: iv. De kontroller som krävs för att säkerställa att de överförda uppgifterna är konfidentiella (t.ex. typ av kryptering som används).

text: v. De kontroller som krävs för att säkerställa att de överförda uppgifterna är säkra och korrekta (t.ex. kryptografiska checksummor och hashningsalgoritmer).

text: vi. De kontroller som krävs för att säkerställa kontinuiteten i verksamheten och avstämningsstatusen mellan transaktionsregister för derivat som håller på att överföras.

text: vii. Bryttidpunkt och tillgång till uppgifter

text: viii. Eventuell annan information genom vilken en smidig överföring av uppgifter kan underlättas och säkras.

text: Q. Transaktionsregistren bör överföra uppgifter till varandra genom att använda det XMLformat och den XML-mall som fastställts i enlighet med artikel 4 i den ändrade tekniska standarden för tillsyn 151/2013. Trots detta kan transaktionsregistren använda filer av typen kommaseparerade värden (csv) om det rör sig om i) derivat som inte är utestående vid tidpunkten för överföringen, ii) utestående derivat som inte har ändrats efter den dag då kommissionens delegerade förordning 148/2013 i dess ändrade lydelse börjar tillämpas eller iii) avvisade derivat. I de filer som kommer att överföras bör det gamla transaktionsregistret inkludera alla relevanta uppgifter om de derivat som ska överföras. R. Transaktionsregistren bör använda säkra maskin-till-maskin-protokoll, inklusive SSH File Transfer Protocol, för att överföra uppgifter sinsemellan. S. Transaktionsregistren bör använda avancerade krypteringsprotokoll och ha ett utbyte avseende de berörda offentliga krypteringsnycklarna med andra transaktionsregister. För att se till att krypteringen av uppgifter fungerar smidigt bör transaktionsregistren i förväg testa att de kan kryptera och dekryptera varandras datafiler. T. Det gamla transaktionsregistret bör beräkna antalet derivat och antalet motsvarande livscykelhändelser som kommer att överföras till det nya transaktionsregistret. Det gamla transaktionsregistret bör begära att aktörerna i transaktionsregistren godkänner det antal som avser utestående derivat och åtgärda alla avvikelser så snart som möjligt och senast inom fem arbetsdagar. U. För varje fil som skapas och överförs bör det gamla transaktionsregistret skapa och i överföringen av uppgifter inkludera en kryptografisk checksumma i enlighet med en ömsesidigt överenskommen hashningsalgoritm. V. Den överföring av uppgifter som begärs av en aktör i ett transaktionsregister bör som en allmän princip genomföras på en dag som inte är en arbetsdag. Det gamla och det nya transaktionsregistret kan dock komma överens om att genomföra överföringen på en arbetsdag beroende på överföringens förväntade volym. W. Så snart överföringen av utestående derivat bekräftats av det nya transaktionsregistret bör det gamla transaktionsregistret inte godta rapporter om livscykelhändelser och positionsuppgifter som har anknytning till de derivat som ska överföras till det nya transaktionsregistret. X. Fram till dess att överföringen av alla de berörda filer som ska överföras har slutförts bör det nya transaktionsregistret inte godta livscykelhändelser och positionsuppgifter som har anknytning till de derivat som ska överföras. Det gamla transaktionsregistret bör göra uppgifterna om utestående derivat tillgängliga för de berörda myndigheterna. Y. När överföringen av uppgifter har slutförts bör det nya transaktionsregistret i. göra uppgifterna tillgängliga för myndigheterna,

text: ii. inkludera de uppgifter som ska överföras i de berörda aggregeringarna för både allmänheten och myndigheter,

text: iii. inkludera uppgifterna i processen för avstämning mellan transaktionsregister, där så är tillämpligt.

text: Z. Efter det att register har överförts från en aktör i ett transaktionsregister till ett annat transaktionsregister bör det gamla transaktionsregistret inte ta ut några specifika avgifter för registerhållningen av derivat som inte är utestående. Å. Om inte alla uppgifter inom ramen för migreringsplanen kan överföras vid ett enda tillfälle bör transaktionsregistren överföra uppgifterna i följande ordning: i. Det senaste tillståndet avseende de utestående derivat som tagits emot, dvs. ”handelstillståndet”.

text: ii. De rapporter med anknytning till livscykelhändelser som är tillämpliga på de utestående derivaten.

text: iii. Alla avslutade, komprimerade och förfallna derivat som fortfarande omfattas av kravet i

text: artikel 80.3 i förordningen

text: om Europas marknadsinfrastrukturer, tillsammans med de relevanta livscykelhändelserna.

text: iv. Alla felaktiga derivat som fortfarande omfattas av kravet i

text: artikel 80.3 i förordningen

text: v. Alla avvisade derivat som rapporterats av aktören i transaktionsregistret och som inte har godkänts under datavalideringen (endast vid återkallande av registrering).

text: vi. Den rapporteringsjournal i vilken skälet eller skälen till en ändring registreras, liksom datumet och tidpunkten och en klar beskrivning av ändringarna (inklusive de relevanta uppgifternas gamla och nya innehåll) avseende de derivat som överförs.

text: Ä. Vid överföring av uppgifter som begärs av en aktör i ett transaktionsregister bör det gamla transaktionsregistret bedöma huruvida alla eller vissa av de derivat som avser motparter som är icke-rapporterande aktörer i transaktionsregister och som rapporterades av aktören bör överföras till det nya transaktionsregistret. Ö. Om uppgifter som begärs av en aktör i ett transaktionsregister överförs och en ickerapporterande aktör beslutar sig för att stanna hos det gamla transaktionsregistret trots att dess rapporterande aktör har begärt en överföring till ett annat transaktionsregister bör det gamla transaktionsregistret avlägsna de derivat som överförs från de derivat som lämnats in för den icke-rapporterande aktörens räkning. AA. Vid överföring av uppgifter som begärs av en aktör i ett transaktionsregister och då det gamla transaktionsregistrets registrering inte återkallas eller håller på att återkallas bör uppgifternas omfattning bestå av åtminstone följande: i. Alla utestående derivat hos aktören i transaktionsregistret eller, om aktören är en rapporterande enhet, derivaten hos de av aktörens kunder som har bekräftat

text: för aktören i transaktionsregistret att de godtar överföringen av derivat till ett annat transaktionsregister.

text: ii. Alla livscykelhändelser såsom ändringar, värderingar etc. som avser de utestående derivaten.

text: iii. Rapporteringsjournalen avseende de derivat som överförs.

text: Uppgifterna i leden i och ii bör i den mån det är möjligt överföras vid ett enda tillfälle.

text: BB. Vid överföring av uppgifter som begärs av en aktör i ett transaktionsregister bör den process som beskrivs i bilaga I, förfarande för överföring på begäran av en aktör i ett transaktionsregister, följas av det gamla och det nya transaktionsregistret. Transaktionsregistren bör komma överens om en migreringsplan för överföringen av en given aktörs uppgifter så snart som möjligt och senast inom fem arbetsdagar efter att begäran tagits emot. CC. Vid överföring av uppgifter som begärs av en aktör i ett transaktionsregister bör det nya transaktionsregistret, så snart aktörens utestående derivat har överförts till det nya transaktionsregistret, bekräfta detta för aktören, det gamla transaktionsregistret, övriga transaktionsregister och de berörda myndigheter som har tillgång till derivat som rapporteras av aktören. DD. Vid överföring av uppgifter som begärs av en aktör i ett transaktionsregister bör det gamla transaktionsregistret isolera de överförda uppgifterna och hålla dem i säkert förvar genom att tillämpa samma riktlinjer, förfaranden och skyddsåtgärder vad gäller registerhållning för de överförda uppgifterna som för resten av de uppgifter om derivat som rapporterats till det transaktionsregistret under minst tre månader samt säkerställa att det inte tar längre än sju kalenderdagar att hämta uppgifterna. EE. Vid överföring som begärs av en aktör i ett transaktionsregister bör eventuella avgifter som tas ut av det gamla eller det nya transaktionsregistret vara kostnadsrelaterade och icke-diskriminerande samt ingå i det berörda transaktionsregistrets avgiftstabell, vilket offentliggörs. FF. Vid återkallande av ett transaktionsregisters registrering bör överföringen av uppgifter omfatta alla de uppgifter om derivat som rapporterats till transaktionsregistret, inklusive avvisade sådana, tillsammans med den relevanta rapporteringsjournalen. Den ordning för överföring av uppgifter som fastställts i riktlinje 15 bör följas. GG. Vid återkallande av ett transaktionsregisters registrering bör migreringsplanen/migreringsplanerna för överföringen av uppgifter ingå som en del av den avvecklingsplan som presenteras av transaktionsregistret. HH. I de fall överföringen av uppgifter har anknytning till ett återkallande av ett transaktionsregisters registrering bör det gamla och det nya transaktionsregistret följa förfarandet i bilaga II, förfarande för migrering vid återkallande av registrering. Den ordning för överföring av uppgifter som anges i riktlinje 15 bör följas på vederbörligt sätt. Det gamla transaktionsregistret, dvs. det vars registrering ska återkallas, bör tillhandahålla Esma tillräckliga bevis för att alla överföringar varit framgångsrika. II. Vid återkallande av registrering på ett transaktionsregisters begäran bör transaktionsregistret underrätta Esma i förväg om det planerade datumet för upphörande

text: av verksamheten och därefter omedelbart underrätta aktörerna i transaktionsregistret och relevanta nationella behöriga myndigheter. För transaktionsregister med fler än 500 aktörer bör underrättandet ske minst nio månader i förväg, medan det för transaktionsregister med färre än 500 aktörer bör ske minst sex månader i förväg. JJ. Vid återkallande av registrering bör det nya transaktionsregistret, när överföringen/överföringarna har slutförts, bekräfta detta för aktörerna i transaktionsregistret, alla återstående transaktionsregister och respektive nationella behöriga myndigheter. KK. Vid återkallande av registrering bör det gamla transaktionsregistret isolera de överförda uppgifterna och hålla dem i säkert förvar genom att tillämpa samma riktlinjer, förfaranden och skyddsåtgärder vad gäller registerhållning för de överförda uppgifterna som för resten av uppgifterna fram till datumet för det faktiska upphörandet av verksamheten samt säkerställa att hämtningen av uppgifter sker i tid och inte tar längre än sju kalenderdagar. Vid datumet för det faktiska upphörandet av verksamheten bör det gamla transaktionsregistret förstöra/utplåna uppgifterna på ett säkert sätt enligt ledande praxis och de mest tillförlitliga tekniker som finns att tillgå för att säkerställa att uppgifterna inte skulle kunna återställas eller återfås efter detta datum. LL. Vid återkallande av registrering bör inget av transaktionsregistren ta ut avgifter för överföringen av uppgifter.

text: 7 Bilaga I – Förfarande för överföring av uppgifter på begäran av en aktör i ett transaktionsregister

text: A. Planering och förberedelse Efter att det relevanta avtalet med aktören i transaktionsregistret har undertecknats meddelar det nya transaktionsregistret det gamla transaktionsregistret och kommer överens med detta om den migreringsplan som tagits fram i enlighet med riktlinje 3.

text: Det nya transaktionsregistret underrättar de berörda myndigheterna via e-post om överföringen. Det gamla transaktionsregistret fastställer och kommer överens med aktören i transaktionsregistret om följande aggregerade uppgifter som avser de av aktörens derivat som ska överföras:

text: o Det totala antalet utestående derivat. o Det totala antalet rapporter som har anknytning till dessa derivats livscykelhändelser. o Det totala antalet register som har anknytning till avslutade, komprimerade och förfallna derivat (om dessa överförs). o Det totala antalet register som har anknytning till felaktiga derivat (om dessa överförs).

text: Det gamla transaktionsregistret bör begära att aktören i transaktionsregistret bekräftar att uppgifterna ovan är korrekta i förhållande till aktörens egna register . Om dessa inte skulle överensstämma bör det gamla transaktionsregistret stämma av de relevanta siffrorna med aktören och enas om en slutlig förteckning över derivatrapporter som kommer att migreras. Det gamla transaktionsregistret bör åtgärda alla avvikelser så snart som möjligt och senast inom fem arbetsdagar.

text: B. Genomförande av överföringar

text: När antalet derivat och register har bekräftats bör det gamla transaktionsregistret gå vidare med att skapa den relevanta filen/de relevanta filerna i enlighet med riktlinje 5 och de relevanta allmänna principerna. Det gamla och det nya transaktionsregistret genomför migreringsplanen. Det gamla transaktionsregistret bör överföra de filer som skapats till det nya transaktionsregistret, som bekräftar filöverföringen.

text: Om filernas volym är hanterbar bör det gamla transaktionsregistret samtidigt överföra den utestående derivatfilen/de utestående derivatfilerna samt den motsvarande fil/ de motsvarande filer som avser livscykelverksamhet.

text: Om filernas volym gör att de inte kan överföras samtidigt bör den ordning som anges i riktlinje 15 följas.

text: I detta hänseende bör de utestående derivaten överföras under en helg som bestämts i förväg medan livscykelhändelserna överförs snarast möjligt inom nästkommande kalendervecka. C. Kontroll av de överförda uppgifterna Det nya transaktionsregistret bör fastställa följande siffror och uppgifter för de mottagna registren och kontrollera överföringens fullständighet:

text: o Det senaste tillståndet avseende de utestående derivat som tagits emot, dvs. ”handelstillståndet”. o Det totala antalet utestående derivat. o Det totala antalet register med anknytning till livscykelhändelser som motsvarar de utestående derivaten. o Det totala antalet register som har anknytning till avslutade, komprimerade och förfallna derivat (om dessa överförs). o Det totala antalet register som har anknytning till felaktiga derivat (om dessa överförs).

text: Det nya transaktionsregistret bör begära att aktören i transaktionsregistret bekräftar att uppgifterna ovan är korrekta i förhållande till aktörens egna register . Om dessa inte skulle överensstämma bör de två transaktionsregistren försöka stämma av de relevanta siffrorna med aktören till dess att en överenskommelse uppnåtts. D. Slutliga underrättelser Det nya transaktionsregistret bör underrätta samtliga transaktionsregister om att den rapporterande aktören har bytt till det transaktionsregistret. Denna information bör användas för att underlätta avstämningsprocessen för de relevanta derivat som har migrerats till det nya transaktionsregistret. Det nya transaktionsregistret bör underrätta den relevanta nationella behöriga myndigheten/de relevanta behöriga myndigheterna och Esma om att överföringen av aktörens uppgifter har slutförts och identifiera den typ av derivat det gäller. E. Registerhållning och säker utplåning av uppgifter Det gamla transaktionsregistret bör ta bort de migrerade utestående derivaten från eventuella aggregeringar av uppgifter. Det gamla transaktionsregistret bör bevara de överförda uppgifterna så länge som föreskrivs enligt de allmänna principerna och i enlighet med kraven i förordningen om Europas marknadsinfrastrukturer, på samma sätt och lika länge som före överföringen. Det gamla transaktionsregistret bör bevara rapporteringsjournalen i minst 10 år efter det att de relevanta kontrakten avslutats. Det gamla transaktionsregistret kommer att förstöra/utplåna de överförda uppgifterna när detta är tillåtet genom att följa de relevanta allmänna principerna för säker utplåning/förstöring.

text: 8 Bilaga II – Förfarande för migrering vid återkallande av registrering

text: MM. Inledande underrättelser (Frivilligt återkallande) Transaktionsregistret underrättar Esma, aktörerna i transaktionsregistret, andra berörda transaktionsregister och nationella behöriga myndigheter om dess begäran att återkalla registreringen åtminstone före (enligt riktlinje 25) det planerade datumet för verksamhetens upphörande (om återkallandet begärs av transaktionsregistret)

text: eller

text: (Icke-frivilligt återkallande) Esma underrättar det nya transaktionsregistret/de nya transaktionsregistren och de nationella behöriga myndigheterna om att det nya transaktionsregistret/de nya transaktionsregistren bör ta emot uppgifter som ursprungligen rapporterades till det gamla transaktionsregistret (om återkallandet inte begärs av transaktionsregistret)

text: NN. Planering och förberedelse Det gamla transaktionsregistret underrättar aktörerna i transaktionsregistret om dess avsikt att upphöra med verksamheten. Transaktionsregistret/transaktionsregistren utarbetar migreringsplanen, såsom anges i riktlinje 3, och lämnar in den till Esma och det nya transaktionsregistret/de nya transaktionsregistren. Esma och de andra berörda transaktionsregistren framför potentiella invändningar eller ger uttryck för sin oro, och efter att ha utrett dessa enas alla parter om detaljerna kring migreringsplanen. Det gamla transaktionsregistret identifierar de derivat som ska överföras och tillhandahåller Esma och de andra berörda transaktionsregistren (som en del av migreringsplanen eller separat) följande uppgifter om de derivat som ska överföras per transaktionsregister:

text: OO. Genomförande av överföringar När antalet derivat och register har bekräftats bör det gamla transaktionsregistret gå vidare med att skapa den relevanta filen/de relevanta filerna i enlighet med riktlinje 5.

text: Det gamla transaktionsregistret och det nya transaktionsregistret/de nya transaktionsregistren genomför migreringsplanen. De skapade filerna överförs från det gamla transaktionsregistret till det nya transaktionsregistret/de nya transaktionsregistren, som bekräftar varje överföring.

text: Den prioriteringsordning för derivat och register som anges i riktlinje 15 följs.

text: Utestående derivat bör om möjligt överföras under och inom en helg, medan motsvarande livscykelhändelser och värderingar/säkerheter bör överföras snarast möjligt och senast veckan efter.

text: Om detta inte är möjligt bör utestående derivat delas upp, per aktör i transaktionsregistret, i två eller flera partier som ska överföras under på varandra följande helger. Motsvarande livscykelhändelser per parti bör överföras snarast möjligt och senast i slutet av den vecka som följer på överföringen av det relevanta partiet utestående derivat. De återstående derivaten bör överföras så snart som möjligt och inom en månad efter att överföringen av utestående derivat har slutförts.

text: Eventuella problem som identifierats och framsteg som gjorts rapporteras regelbundet till Esma i god tid.

text: PP. Kontroll av överföringar av uppgifter Det nya transaktionsregistret/de nya transaktionsregistren bör fastställa följande siffror och uppgifter för de mottagna registren och kontrollera överföringens fullständighet:

text: o Det senaste tillståndet avseende de utestående derivat som tagits emot, dvs. ”handelstillståndet”. o Det totala antalet utestående derivat. o Det totala antalet register med anknytning till livscykelhändelser som motsvarar de utestående derivaten. o Det totala antalet register som har anknytning till avslutade, komprimerade och förfallna derivat. o Det totala antalet register som har anknytning till felaktiga derivat. o Antalet poster i rapporteringsjournalen.

text: De nya transaktionsregistren bör underrätta Esma och det gamla transaktionsregistret om resultatet av kontrollen. Om kontrollen skulle misslyckas undersöks grundorsaken av båda parter (gamla och nya transaktionsregister) och överföringsprocessen upprepas fram till dess att överföringen av uppgifter har lyckats. QQ. Slutliga underrättelser De nya transaktionsregistren bör underrätta de berörda aktörerna i transaktionsregistren, alla återstående transaktionsregister och respektive nationella behöriga myndigheter (via e-post) om att överföringen slutförts på ett framgångsrikt sätt. RR. Registerhållning och säker utplåning av uppgifter Det gamla transaktionsregistret bör bevara de överförda uppgifterna så länge som anges i riktlinje 28 och i enlighet med kraven i förordningen om Europas marknadsinfrastrukturer, på samma sätt och lika länge som före överföringen. Det gamla transaktionsregistret bör förstöra/utplåna de överförda uppgifterna när detta är tillåtet och följa de relevanta principer för säker utplåning/förstöring som anges i riktlinje 28.