text: EIOPA – Westhafen Tower, Westhafenplatz 1 - 60327 Frankfurt – Germany - Tel. + 49 69-951119-20; Fax. + 49 69-951119-19; email: info@eiopa.europa.eu site: https://eiopa.europa.eu/

text: Europaparlamentets och rådets förordning (EU) nr 1094/2010 av den 24 november 2010

text: om inrättande av en europeisk tillsynsmyndighet (Europeiska försäkrings- och tjänstepensionsmyndigheten), om ändring av beslut nr

text: och om upphävande av

text: kommissionens beslut 2009/79/EG

text: (EUT L 331, 15.12.2010, s. 48)

text: Europaparlamentets och rådets direktiv 2009/138/EG av den 25 november 2009

text: om upptagande och utövande av försäkrings- och återförsäkringsverksamhet (Solvens II) (EUT L 335, 17.12.2009, s. 1)

text: Kommissionens delegerade förordning

text: (EU) nr 2015/35

text: av den 10 oktober 2014 om komplettering av

text: om upptagande och utövande av försäkrings- och återförsäkringsverksamhet (Solvens II), (EUT L 12, 17.1.2015, s. 1.)

title: Guidelines on the implementation of the long-term guarantee measures

text: EIOPA-BoS-15/111 SV

text: Riktlinjer för genomförande av de långsiktiga garantiåtgärderna

text: 1. Inledning

text: 1.1. Enligt

text: artikel 16 i Europaparlamentets och rådets förordning (EU) nr 1094/2010

text: (nedan kallad Eiopaförordningen) har Eiopa utarbetat riktlinjer om genomförandet av de åtgärder som krävs enligt

text: artiklarna 77

text: b, 77d, 308c och 308d i

text: (nedan kallat Solvens II-direktivet) . 1.2. Dessa riktlinjer syftar till att garantera enhetliga metoder inom medlemsstaterna och stödja företagens tillämpning av volatilitetsjusteringen, matchningsjusteringen, övergångsreglerna för de riskfria räntesatserna och övergångsreglerna för försäkringstekniska avsättningar (så kallade ”justeringar av långsiktiga garantier och övergångsregler"). 1.3. Dessa riktlinjer är uppdelade i två delar: Avsnitt 1 behandlar värderingen av de försäkringstekniska avsättningarna med de långsiktiga garantiåtgärderna. Dessa åtgärder är relevanta för alla försäkrings- och återförsäkringsföretag. Avsnitt 2 behandlar fastställandet av solvenskapitalkravet för användare av standardformeln och minimikapitalkravet. Riktlinjer för samverkan mellan de långsiktiga garantiåtgärderna med solvenskapitalkravet och minimikapitalkravet förutsätter att dessa beräknas på grundval av att försäkringstekniska avsättningar värderas med långsiktiga garantiåtgärder. 1.4. Dessa riktlinjer riktar sig till tillsynsmyndigheter inom ramen för Solvens IIdirektivet. 1.5. Med långsiktiga garantiåtgärder avses i dessa riktlinjer anpassnings- och övergångsregler i enlighet med

text: artiklarna 77

text: b, 77d, 308c och 308d i Solvens IIdirektivet. 1.6. De termer i dessa riktlinjer som inte har definierats har samma betydelse som i definitionerna i rättsakterna som nämns i inledningen. 1.7. Riktlinjerna gäller från den 1 januari 2016.

text: Avsnitt 1 Värderingen av de försäkringstekniska avsättningarna med de långsiktiga garantiåtgärderna

text: Riktlinje 1 – Effekter av volatilitetsjusteringen, matchningsjusteringen och övergångsreglerna för riskfria räntesatser på försäkringstagarnas beteende

text: 1.8. Försäkrings- och återförsäkringsföretag bör undvika att skapa en orealistisk eller snedvridande koppling mellan antaganden om försäkringstagarens beteende som avses i artikel 26 i kommissionens delegerade förordning

text: (EU) 2015/35

text: (nedan kallad den delegerade förordningen) och användningen av matchningsjusteringen, volatilitetsjusteringen eller övergångsreglerna för riskfria räntesatser. 1.9. I synnerhet när sannolikheten för att försäkringstagarna kommer att utnyttja avtalade rättigheter är dynamiskt utformad med hjälp av referensvärden (exempelvis marknadskurser) bör försäkrings- och återförsäkringsföretag se till att man konsekvent fastställer referensvärdena med relevant durationsberoende riskfri räntesats som tillämpats för beräkning av försäkringstekniska avsättningar.

text: Riktlinje 2 – Samverkan mellan de långsiktiga garantiåtgärderna och beräkningen av riskmarginalen

text: 1.10. Vid beräkning av riskmarginalen i enlighet med artikel 38 i den delegerade förordningen bör försäkrings- och återförsäkringsföretag som tillämpar matchningsjusteringen, volatilitetsjusteringen, övergångsregler för riskfria räntesatser eller övergångsregler på försäkringstekniska avsättningar anta att referensföretaget inte tillämpar någon av dessa regler.

text: Riktlinje 3 – Kombination av matchningsjustering och övergångsregler på försäkringstekniska avsättningar

text: 1.11. När försäkrings- och återförsäkringsföretag tillämpar både matchningsjusteringen och övergångsreglerna på försäkringstekniska avsättningar för samma försäkrings- eller återförsäkringsförpliktelser, i enlighet med

text: artikel 77

text: b och

text: artikel 308

text: d i Solvens II-direktivet, bör det belopp som avses i

text: artikel 308

text: d.2.a i Solvens II-direktivet beräknas med matchningsjusteringen.

text: Riktlinje 4 – Omfattning av övergångsreglerna för riskfria räntesatser

text: 1.12. Försäkrings- och återförsäkringsföretag bör tillämpa övergångsreglerna för riskfria räntesatser för alla godtagbara skyldigheter.

text: Avsnitt 2 Fastställande av standardformeln för minimikapitalkravet och solvenskapitalkravet då långsiktiga garantiåtgärder används

text: Riktlinje 5 – Samverkan mellan volatilitetsjusteringen, matchningsjusteringen och övergångsreglerna för riskfria räntesatser och undergruppen för ränterisk av standardformeln för solvenskapitalkravet

text: 1.13. Försäkrings- och återförsäkringsföretag som använder volatilitetsjusteringen, matchningsjusteringen eller övergångsreglerna för riskfria räntesatser bör se till att värdet på dessa justeringar och på övergångsjusteringen som avses i

text: artikel 308

text: c i Solvens II-direktivet förblir oförändrat efter tillämpning av chocker på de grundläggande durationsberoende räntesatser som anges i artiklarna 166 och 167 i den delegerade förordningen.

text: Riktlinje 6 – Samverkan mellan volatilitetsjusteringen och/eller övergångsreglerna för riskfria räntesatser med undergruppen för spreadrisk av solvenskapitalkravets standardformel

text: 1.14. Vid beräkning av undergruppen för spreadrisk bör försäkrings- och återförsäkringsföretag som tillämpar volatilitetsjusteringen och/eller övergångsreglerna för riskfria räntesatser se till att värdet av volatilitetsjusteringen och/eller övergångsjusteringen som avses i

text: artikel 308

text: c i Solvens II-direktivet förblir oförändrat efter den stress som tillämpas inom ramen för undergruppen för spreadrisk i enlighet med artiklarna 176.1, 178.1 och 179.1 i den delegerade förordningen.

text: Riktlinje 7 – Samverkan mellan övergångsreglerna för försäkringstekniska avsättningar och beräkning av standardformeln för solvenskapitalkravet

text: 1.15. Försäkrings- och återförsäkringsföretag som tillämpar övergångsreglerna på försäkringstekniska avsättningar bör se till att värdet av övergångsavdraget som avses i

text: artikel 308

text: d.1 i Solvens II-direktivet förblir oförändrat i scenariobaserade beräkningar av standardformeln för solvenskapitalkravet.

text: Riktlinje 8 – Samverkan mellan övergångsreglerna på försäkringstekniska avsättningar och kapitalkravet för operativ risk av solvenskapitalkravets standardformel

text: 1.16. Försäkrings- och återförsäkringsföretag som tillämpar övergångsreglerna på försäkringstekniska avsättningar ska för volymmåtten TPlife, TPlife-ul och TPnon-life enligt artikel 204.4 i den delegerade förordningen använda summan av försäkringstekniska avsättningar före tillämpningen av övergångsreglerna minus det högsta av riskmarginalen och värdet av övergångsavdraget. 1.17. Om summan av övergångsavdraget är högre än riskmarginalen, bör värdet av övergångsavdraget som överstiger riskmarginalen fördelas över TPlife, TPlife-ul och TPnon-life enligt varje komponents bidrag till det totala värdet av övergångsavdraget.

text: Riktlinje 9 – Samverkan mellan övergångsreglerna för försäkringstekniska avsättningar och beräkningen av minimikapitalkravet

text: 1.18. Försäkrings- och återförsäkringsföretag som tillämpar övergångsreglerna på försäkringstekniska avsättningar ska för volymmåtten TP(nl,s), TP(life,1), TP(life,2), TP(life,3) och TP(life,4) enligt artiklarna 250.1 och 251.1 i den delegerade förordningen, använda värdet av försäkringstekniska avsättningar före tillämpningen av övergångsreglerna minus det högsta av riskmarginalen och värdet av övergångsavdraget. 1.19. Om värdet av övergångsavdraget är högre än riskmarginalen, bör värdet av övergångsavdraget som överstiger riskmarginalen fördelas över TP(nl,s), TP(life,1), TP(life,2), TP(life,3) och TP(life,4) enligt varje komponents bidrag till det totala värdet av övergångsavdraget.

text: Efterlevnads- och rapporteringsregler

text: 1.20. Det här dokumentet innehåller riktlinjer som utfärdats enligt artikel 16 i Eiopaförordningen. I enlighet med artikel 16.3 i Eiopa-förordningen ska behöriga myndigheter och finansinstitut med alla tillgängliga medel söka följa riktlinjerna och rekommendationerna. 1.21. Behöriga myndigheter som följer eller avser att följa dessa riktlinjer bör införliva dem i sitt rättsliga ramverk eller sin tillsynsram på ett lämpligt sätt. 1.22. De behöriga myndigheterna ska bekräfta för Eiopa huruvida de följer eller avser att följa dessa riktlinjer och ange orsaker till bristande efterlevnad inom två månader efter utfärdandet av de översatta versionerna. 1.23. Om inget svar ges inom denna tidsfrist kommer de behöriga myndigheterna inte att anses uppfylla kraven på rapportering och kommer att rapporteras I enlighet med detta.

text: Slutlig bestämmelse om granskning

text: 1.24. Dessa riktlinjer granskas av Eiopa.

type: vagledning

utgivare: eiopa


text: EIOPA – Westhafen Tower, Westhafenplatz 1 - 60327 Frankfurt – Germany - Tel. + 49 69-951119-20; Fax. + 49 69-951119-19; email: info@eiopa.europa.eu site: https://eiopa.europa.eu/

text: Europaparlamentets och rådets förordning (EU) nr 1094/2010 av den 24 november 2010

text: om inrättande av en europeisk tillsynsmyndighet (Europeiska försäkrings- och tjänstepensionsmyndigheten), om ändring av beslut nr

text: och om upphävande av

text: kommissionens beslut 2009/79/EG

text: (EUT L 331, 15.12.2010, s. 48)

text: Europaparlamentets och rådets direktiv 2009/138/EG av den 25 november 2009

text: om upptagande och utövande av försäkrings- och återförsäkringsverksamhet (Solvens II) (EUT L 335, 17.12.2009, s. 1) 3 Kommissionens delegerade förordning

text: (EU) nr 2015/35

text: av den 10 oktober 2014 om komplettering av

text: om upptagande och utövande av försäkrings- och återförsäkringsverksamhet (Solvens II) (EUT L 12, 17.1.2015, s. 1)

sprak: sv

title: Guidelines on the exchange of information within colleges

serie: riktlinjer

text: EIOPA-BoS-15/112 SV

type: stycke

text: Riktlinjer om systematiskt informationsutbyte mellan kollegier

type: rubrik

text: 1. Inledning

text: 1.1. Enligt artiklarna

text: och

text: i Europaparlamentets och rådets förordning (EU) nr 1094/2010 (nedan kallat Eiopa-förordningen) och med hänsyn till

text: artikel 249 i Europaparlamentets och rådets direktiv 2009/138/EG

text: (hädanefter Solvens II-direktivet) samt i artikel 357 i kommissionens delegerade förordning

text: (EU) nr 2015/35

text: har Eiopa utarbetat riktlinjer för systematiskt utbyte av information inom tillsynskollegierna (nedan kallade kollegierna). Dessa riktlinjer hanterar kollegiers praktiska behov av regelbundet utbyte av information som identifierats av Eiopa i omfattande översyner av deras arbete genom handlingsplaner för kollegier, Eiopas kollegierapporter och expertgranskningar. På grundval av dessa bedömde Eiopa vilken konvergensnivå som behövs och identifierade områden och innehåll som ska omfattas av dessa riktlinjer. 1.2. Dessa riktlinjer syftar till att förenkla kollegiernas verksamhet för systematiskt informationsutbyte. Genom att ta fram en gemensam praxis skapas riktlinjer som säkerställer en konsekvent strategi vid valet av omfattningen av den information som regelbundet bör utbytas inom kollegierna. Dessa riktlinjer syftar även till att förbättra de lika villkoren på den inre marknaden genom en proportionerlig strategi för deras praktiska tillämpning. 1.3. Genom att komplettera riktlinjerna för kollegiernas operativa funktion behandlar dessa riktlinjer en särskild aspekt av tillsynssamarbetet inom dessa. 1.4. Dessa riktlinjer riktar sig till tillsynsmyndigheter i kollegierna i EES-grupper. 1.5. Termer som inte definieras i dessa riktlinjer har den betydelse som definieras i de rättsakter som anges i inledningen. 1.6. Riktlinjerna ska tillämpas från och med den 1 januari 2016.

text: Riktlinje 1 – Bedömning av omfattningen av det regelbundna informationsutbytet

text: 1.7. När man bedömer om en del av det regelbundna informationsutbytet är nödvändigt för kollegiets verksamhet enligt artikel 357 i kommissionens delegerade förordning

text: (EU) nr 2015/35

text: bör tillsynsmyndigheterna i kollegiet överväga åtminstone följande delar:  Betydelsen av informationen med hänsyn till riskernas art, omfattning och komplexitet för gruppen och enskilt anknutna företag som ingår i gruppen;  Betydelsen av de anknutna företagen inom gruppen och deras väsentlighet på den lokala marknaden;

text:  Tillsynsmyndigheternas specifika behov när det gäller tillsynsprocessen, både individuellt och på gruppnivå;  Grupptillsynsmyndighetens uppgifter som gäller planering och samordning av tillsynsverksamheten;  Undvikande av dubbelarbete och dubbel rapportering;  Tillsynsmyndigheternas begränsningar för ett snabbt utbyte av kompletterande information;  Förekomsten av och relevansen för gränsöverskridande transaktioner inom gruppen vilka skulle kunna öka spridningsrisken inom gruppen.

text: Riktlinje 2 – Information från de övriga tillsynsmyndigheterna till grupptillsynsmyndigheten.

text: 1.8. Då beslut fattas om omfattningen av informationsutbytet mellan kollegier vid samordningsarrangemang i enlighet med artikel 357.2 i den delegerade förordningen

text: (EU) 2015/35

text: bör grupptillsynsmyndigheten och de andra tillsynsmyndigheterna inom kollegiet ta hänsyn till de uppgifter som anges i teknisk bilaga 1 mot bakgrund av de uppgifter som föreskrivs i riktlinje 1.

text: Riktlinje 3 – Information från grupptillsynsmyndigheten till tillsynsmyndigheterna.

text: 1.9. Då beslut fattas om omfattningen av informationsutbytet mellan kollegier vid samordningsarrangemang i enlighet med artikel 357.3 a i den delegerade förordningem

text: (EU) 2015/35

text: bör grupptillsynsmyndigheten och de andra tillsynsmyndigheterna inom kollegiet ta hänsyn till de uppgifter som anges i teknisk bilaga 2 mot bakgrund av de uppgifter som föreskrivs i riktlinje 1.

text: Riktlinje 4 – Utbyte av utvalda data

text: 1.10. Grupptillsynsmyndigheten och de övriga tillsynsmyndigheterna inom kollegiet bör komma överens om en lista med utvalda data som bör utbytas som en del av det systematiska informationsutbytet. Då beslut fattas om samordningsmetoderna enligt denna lista bör grupptillsynsmyndigheten och de andra tillsynsmyndigheterna ta hänsyn till de uppgifter som anges i teknisk bilaga 3 mot bakgrund av de uppgifter som föreskrivs i riktlinje 1.

text: Efterlevnads- och rapporteringsregler

text: 1.11. Det här dokumentet innehåller riktlinjer som utfärdats enligt artikel 16 i Eiopaförordningen. I enlighet med artikel 16.3 i Eiopa-förordningen ska behöriga myndigheter och finansinstitut med alla tillgängliga medel söka följa riktlinjerna och rekommendationerna. 1.12. Behöriga myndigheter som följer eller avser att följa dessa riktlinjer bör införliva dem i sitt rättsliga ramverk eller sin tillsynsram på ett lämpligt sätt. 1.13. De behöriga myndigheterna ska bekräfta för Eiopa huruvida de följer eller avser att följa dessa riktlinjer och ange orsaker till bristande efterlevnad inom två månader efter utfärdandet av de översatta versionerna. 1.14. Om inget svar ges inom denna tidsfrist kommer de behöriga myndigheterna inte att anses uppfylla kraven på rapportering och kommer att rapporteras i enlighet med detta.

text: Slutlig bestämmelse om granskning

text: 1.15. Dessa riktlinjer granskas av Eiopa.


text: EIOPA – Westhafen Tower, Westhafenplatz 1 - 60327 Frankfurt – Germany - Tel. + 49 69-951119-20; Fax. + 49 69-951119-19; email: info@eiopa.europa.eu site: https://eiopa.europa.eu/

text: Europaparlamentets och rådets förordning (EU) nr 1094/2010 av den 24 november 2010

text: om inrättande av en europeisk tillsynsmyndighet (Europeiska försäkrings- och tjänstepensionsmyndigheten), om ändring av beslut nr

text: och om upphävande av

text: kommissionens beslut 2009/79/EG

text: (EUT L 331, 15.12.2010, s. 48)

text: Europaparlamentets och rådets direktiv 2009/138/EG av den 25 november 2009

text: om upptagande och utövande av försäkrings- och återförsäkringsverksamhet (Solvens II) (EUT L 335, 17.12.2009, s. 1) 3 Kommissionens delegerade förordning

text: (EU) nr 2015/35

text: av den 10 oktober 2014 om komplettering av

text: om upptagande och utövande av försäkrings- och återförsäkringsverksamhet (Solvens II) (EUT L 12, 17.1.2015, s. 1) 4

text: Europaparlamentets och rådets förordning (EG) nr 1606/2002 av den 19 juli 2002

text: om tillämpning av internationella redovisningsstandarder (EGT L 243, 11.9.2002, s. 1)

title: Guidelines on recognition and valuation of assets and liabilities other than technical provisions

text: EIOPA-BoS-15/113 SV

text: Riktlinjer för redovisning och värdering av tillgångar och skulder som inte är försäkringstekniska avsättningar

text: 1. Inledning

text: 1.1. Dessa riktlinjer har utarbetats enligt

text: artikel 16 i Europaparlamentets och rådets förordning (EU) nr 1094/2010

text: (nedan kallad Eiopaförordningen) . 1.2. Dessa riktlinjer hör samman med

text: artikel 75 i Europaparlamentets och rådets direktiv 2009/138/EG

text: (nedan kallat Solvens II-direktivet) och med artiklarna 7–6 i kommissionens delegerade förordning

text: (EU) 2015/35

text: . 1.3. Dessa riktlinjer riktar sig till tillsynsmyndigheter inom ramen för Solvens IIdirektivet. 1.4. Riktlinjerna är avsedda att underlätta enhetligheten i yrkespraxis mellan medlemsstater och stödja företag vad gäller redovisning och värdering av tillgångar och skulder som inte är försäkringstekniska avsättningar. 1.5. Solvens II-direktivet och den delegerade förordningen

text: (EU) 2015/35

text: ger i allmänhet företagen möjlighet att redovisa och värdera tillgångar och skulder som inte är försäkringstekniska avsättningar i enlighet med International Financial Reporting Standards (nedan kallade IFRS) som Europeiska kommissionen antagit i enlighet med

text: , förutom då detta inte är förenligt med artikel 75 i Solvens II-direktivet. 1.6. I den delegerade förordningen

text: (EU) 2015/35

text: anges tydligt i vilka fall värderingsmetoderna inte överensstämmer med den värderingsmetod som anges i artikel 75 i Solvens II-direktivet och därför bör andra värderingsprinciper eller justeringar än IFRS tillämpas. 1.7. I artikel 9.4 i den delegerade förordningen

text: (EU) 2015/35

text: anges de kriterier som måste vara uppfyllda om ett företag önskar redovisa och värdera en tillgång eller skuld baserat på den värderingsmetod den använder för att upprätta sina årsredovisningar eller konsoliderade räkenskaper. Eiopa har avsiktligen inte bedömt vilka lokala redovisningsprinciper, som används i årsredovisningar eller konsoliderade räkenskaper, som skulle vara förenliga med artikel 75 i Solvens II-direktivet. Däremot har Eiopa tillhandahållit information om de principer som fastställs i redovisningsdirektiven. 1.8. Dessa riktlinjer avser den delegerade förordningen

text: (EU) 2015/35

text: , som anger redovisnings- och värderingsprinciper för värdering av tillgångar och skulder som inte är försäkringstekniska avsättningar. När riktlinjerna hänvisar till

text: ”värdering” definieras den som en värdering enligt artikel 75 i Solvens IIdirektivet. 1.9. De termer i dessa riktlinjer som inte har definierats har samma betydelse som i definitionerna i rättsakterna som nämns i inledningen. 1.10. Riktlinjerna gäller från den 1 januari 2016.

text: Riktlinje 1 – Väsentlighet

text: 1.11. Företagen bör ta hänsyn till väsentlighetsprincipen enligt skäl 1 i den delegerade förordningen

text: (EU) 2015/35

text: vid värdering av tillgångar och skulder. Vid väsentlighetsbedömningar bör man vara medveten om att kvartalsvisa mätningar i större utsträckning bygger mer på uppskattningar och uppskattningsmetoder än på mätningar av årliga ekonomiska uppgifter.

text: Riktlinje 2 – Konsekvens vid tillämpning av värderingsmetoder

text: 1.12. Företagen bör vara konsekventa i tillämpningen av värderingstekniker. Företagen bör också överväga om det krävs förändrade värderingstekniker eller tillämpningar av dessa som en följd av ändrade förhållanden, inklusive dem som följer nedan, på grund av att en sådan förändring skulle leda till effektivare mätningar i enlighet med artikel 75 i Solvens II-direktivet. Dessa ändringar kan innefatta följande: a) ny marknadsutveckling som förändrar marknadsförhållandena; b) ny information blir tillgänglig; c) tidigare använd information finns inte längre tillgänglig; d) värderingstekniker förbättras.

text: Riktlinje 3 – Förvaltningsfastigheter och andra fastigheter: alternativa värderingsmetoder

text: 1.13. Vid tillämpning av artikel 10.7 i den mening som avses i artikel 10 i den delegerade förordningen

text: (EU) 2015/35

text: vid värdering av förvaltningsfastigheter och andra fastigheter bör företag välja den metod som ger den mest representativa uppskattningen av beloppet för vilket tillgångar skulle kunna överlåtas mellan kunniga parter som är oberoende av varandra och har ett intresse av att transaktionen genomförs. I enlighet med artikel 10.6 i nämnda förordning bör dessa metoder grundas på följande: a) aktuella priser på en aktiv marknad för fastigheter av annat slag, i annat tillstånd eller läge, eller som omfattas av avvikande hyresavtal eller andra avtalsvillkor, som justerats med hänsyn till dessa skillnader; b) aktuella priser för liknande fastigheter på mindre aktiva marknader efter det att justeringar gjorts för att spegla eventuella förändringar i ekonomiska förutsättningar som skett sedan de senaste transaktionerna som gjordes till dessa priser;

text: c) diskontering av kassaflödet baserat på tillförlitliga skattningar av framtida kassaflöden som stöds av villkoren i befintliga hyresavtal och andra avtal och, när så är möjligt, genom externa faktorer såsom aktuella marknadshyror för liknande fastigheter i samma skick och läge och med hjälp av en diskonteringsränta som speglar marknadens osäkerhetsbedömningar vad beträffar storleken på och tidpunkten för kassaflöden. 1.14. I vissa fall kan de olika insatserna som anges ovan leda till skilda bedömningar av det verkliga värdet för en fastighet. Ett företag bör undersöka orsakerna till dessa skillnader i syfte att fastställa den mest representativa värdeuppskattningen inom uppskattningsintervallet. 1.15. När företagen bestämmer värdet av fastigheten bör de ta hänsyn till marknadsaktörens förmåga att generera ekonomiska fördelar genom att använda fastigheten på bästa sätt eller genom att sälja den till en annan marknadsaktör som skulle använda tillgången på bästa sätt.

text: Riktlinje 4 – Förvaltningsfastigheter och andra fastigheter: belägg som stöder värderingen

text: 1.16. Om värderingen av balansräkningen baseras på en formell bedömning, eller annan information före balansdagen, bör företagen kunna visa tillsynsmyndigheten att alla nödvändiga justeringar har gjorts för att spegla värdeförändringar mellan datumet för en formell bedömning eller annan information och balansdagen.

text: Riktlinje 5 – Finansiella skulder och egen kreditvärdighet

text: 1.17. Vid värdering av finansiella skulder bör företagen använda tekniker för att bestämma ett värde för vilket skulderna skulle kunna överlåtas eller regleras mellan kunniga parter som är oberoende av varandra och har ett intresse av att transaktionen genomförs, exklusive eventuella justeringar för att ta hänsyn till förändringar i företagets egen kreditvärdighet efter första redovisningstillfället. Dessa tekniker kan antingen baseras på a) ett nedifrån och upp-orienterat förhållningssätt; eller b) ett uppifrån och ned-orienterat förhållningssätt. 1.18. Vid ett nedifrån och upp-orienterat förhållningssätt bestämmer företagen sin egen kreditvärdighet vid redovisning av den särskilda finansiella skulden. Den del av spridningen av avdragskurvan som avser den egna kreditvärdigheten bör hållas konstant efter första redovisningstillfället. I efterföljande värderingar beräknas värdet genom att man bestämmer de värdeförändringar som uppstår till följd av förändringar i marknadsförhållanden och som påverkar värdet av den finansiella skulden med undantag för förändringar i marknadsförhållanden som påverkar egen kreditrisk. 1.19. När företagen bedömer förändringar i marknadsförhållanden som medför marknadsrisk bör de åtminstone bedöma förändringar i den riskfria räntesatsen, ett råvarupris, en valutakurs eller ett pris- eller ränteindex.

text: 1.20. Vid ett uppifrån och ned-orienterat förhållningssätt bör företagen bestämma den förändring i verkligt värde av en finansiell skuld som härrör från förändringarna i företagets egen kreditrisk och utesluta den från värderingen.

text: Riktlinje 6 – Innehav i anknutna företag: IFRS-kapitalandelsmetod

text: 1.21. När företag värderar ett anknutet företags tillgångar och skulder med hjälp av IFRS-kapitalandelsmetod i enlighet med artikel 13.5 i den delegerade förordningen

text: (EU) 2015/35

text: och om dessa anknutna företag använder en annan redovisningsstandard än IFRS, bör företagen göra nödvändiga justeringar för att redovisa och värdera det anknutna företagets tillgångar och skulder i enlighet med IFRS. 1.22. Vid tillämpning av artikel 13.5 i den delegerade förordningen

text: (EU) 2015/35

text: bör ett företag kunna motivera för tillsynsmyndigheten varför det inte har beräknat överskottet av tillgångar mot skulder för anknutna företag i enlighet med

text: artikel 13.4

text: Riktlinje 7 – Innehav i anknutna företag: alternativa värderingsmetoder

text: 1.23. Om företag värderar innehav i anknutna företag med hjälp av alternativa värderingsmetoder i enlighet med artikel 13.1 c i den delegerade förordningen

text: (EU) 2015/35

text: bör de kunna förklara för tillsynsmyndigheten varför det inte är möjligt att omvärdera det anknutna företagets tillgångar och skulder med hjälp av standardvärderingsmetoden eller den justerade kapitalandelsmetoden.

text: Riktlinje 8 – Eventualförpliktelser Eventualförpliktelser som uppstår från poster i tilläggskapitalet

text: 1.24. När företagen ingår ett avtal som utgör en post i tilläggskapitalet för motparten bör de noggrant bedöma om de ska redovisa motsvarande eventualförpliktelse som en skuld i enlighet med artikel 11 i den delegerade förordningen

text: (EU) 2015/35

text: . 1.25. Företag bör kunna lämna en motivering till tillsynsmyndigheten om de inte har redovisat en eventualförpliktelse då de har ingått ett avtal med ett annat företag, inklusive andra företag i gruppen, och detta avtal har godkänts som en post i tilläggskapitalet.

text: Riktlinje 9 – Uppskjutna skatter - redovisning och värdering

text: Diskontering av uppskjutna skatter

text: 1.26. Företag bör inte diskontera skattefordringar och skatteskulder.

text: Kvittning av uppskjutna skattefordringar och skatteskulder på Solvens II-

text: balansräkningen

text: 1.27. Ett företag ska endast kvitta uppskjutna skattefordringar och uppskjutna skatteskulder då de har legal rätt att kvitta aktuella skattefordringar mot aktuella skatteskulder och om de uppskjutna skattefordringarna och uppskjutna

text: skatteskulderna hänför sig till skatter som debiterats av samma skattemyndighet för samma skattskyldiga företag.

text: Redovisning och värdering av en uppskjuten skattefordran netto

text: 1.28. Om det inte finns tillräckliga skattepliktiga temporära skillnader som förväntas återföras under samma period som den förväntade återföringen av de avdragsgilla temporära skillnaderna, bör företaget överväga sannolikheten för att skattepliktiga vinster kommer att uppstå under samma period som återföringen av de avdragsgilla temporära skillnaderna eller i perioder för vilket ett skattemässigt underskott till följd av den uppskjutna skattefordran kan användas bakåt respektive framåt i tiden. 1.29. När ett företag gör prognoser för skattepliktiga vinster och bedömer sannolikheten för att tillräckligt stora skattepliktiga vinster kommer att uppstå i framtiden, bör det a) beakta att inte ens en stark vinsthistorik kan ge tillräckligt objektiva belägg för framtida lönsamhet; b) beakta att osäkerhetsgraden avseende framtida skattepliktiga vinster till följd av förväntade nya affärsmöjligheter ökar när bedömningsperioden förlängs, och i synnerhet när de förväntade vinsterna beräknas uppkomma under perioder bortom företagets normala planeringscykel; c) beakta att vissa skatteregler kan försena eller begränsa indrivningen av outnyttjade skattemässiga underskottsavdrag och andra outnyttjade skatteavdrag; d) undvika dubbelräkning: skattepliktiga vinster till följd av återföring av skattepliktiga temporära skillnader bör undantas från beräknade framtida skattepliktiga vinster då de har använts för att stödja redovisningen av uppskjutna skattefordringar; e) se till att prognoser över skattepliktiga vinster blir både trovärdiga och huvudsakligen överensstämmer med de antaganden som görs för andra beräknade kassaflöden. Framför allt bör de antaganden som ligger till grund för prognoserna stämma överens med dem som ligger till grund för värderingarna av försäkringstekniska avsättningar och tillgångar i solvensbalansräkningen.

text: Riktlinje 10 – Uppskjutna skatter - dokumentation

text: 1.30. På begäran ska företagen kunna ge tillsynsmyndigheterna information som minst bygger på företagets bokföring, som innehåller a) orsaken till temporära skillnader som kan leda till redovisning av uppskjuten skatt; b) redovisnings- och värderingsprinciper som tillämpas för uppskjuten skatt; c) en beräkning, för varje typ av tidsskillnad och för varje typ av underskottsavdrag och andra outnyttjade skatteavdrag, av storleken på

text: redovisade uppskjutna skattefordringar och -skulder, liksom underliggande antaganden i samband med detta belopp; d) en beskrivning av redovisningen av uppskjutna skattefordringar, som åtminstone innefattar - förekomsten av eventuella skattepliktiga temporära skillnader som kan hänföras till samma skattemyndighet, samma skattskyldiga företag och samma typ av skatt som förväntas återföras under samma period som den förväntade återföringen av de avdragsgilla temporära skillnaderna eller, i förekommande fall, skulle resultera i skattepliktiga belopp mot vilka de skattemässiga underskottsavdragen eller outnyttjade skatteavdragen kan utnyttjas innan de förfaller; - om det förekommer eventuella skattepliktiga temporära skillnader som kan hänföras till samma skattemyndighet, samma skattskyldiga företag och samma typ av skatt, dokument som visar att det är sannolikt att företaget kommer att ha tillräckliga skattepliktiga vinster som kan hänföras till samma skattemyndighet, samma skattskyldiga företag och samma typ av skatt under samma period som den förväntade återföringen av de avdragsgilla temporära skillnaderna eller, i förekommande fall, skulle resultera i att företagen kommer att få skattepliktiga vinster innan rätten att utnyttja underskottsavdragen eller andra skattemässiga avdrag går förlorad. e) belopp och, i förekommande fall, utgångsdatum för avdragsgilla temporära skillnader, underskottsavdrag och outnyttjade skatteavdrag för vilka uppskjutna skattefordringar har redovisats eller inte.

text: Riktlinje 11 – Uppskjuten beskattning då företag inte omfattas av grupptillsyn

text: 1.31. Då anknutna företag inte omfattas av grupptillsyn enligt artikel 214.2 i Solvens II-direktivet bör sådana företag tillämpa följande principer för redovisning av uppskjuten beskattning: a) då innehav i anknutna företag är undantagna från grupptillsynens tillämpningsområde enligt artikel 214.2 a i Solvens II-direktivet bör den uppskjutna skatten som är förknippad med det undantagna företaget inte redovisas vare sig individuellt eller på gruppnivå; b) då innehav i anknutna företag är undantagna från grupptillsynens tillämpningsområde enligt artikel 214.2 b eller c i Solvens II-direktivet, bör den uppskjutna skatten som är förknippad med det anknutna företaget inte redovisas på gruppnivå.

text: Riktlinje 12 – Tillämpning av värderingsmetoder som används i årsredovisningar och konsoliderade räkenskaper i enlighet med artikel 9.4 i den delegerade förordningen

text: (EU) 2015/35

text: 1.32. Företag som tillämpar undantaget i artikel 9.4 i den delegerade förordningen

text: (EU) 2015/35

text: bör överväga riktlinjerna 1, 2, 4, 5 och 8–11, samt jämförelsetabellen i Teknisk bilaga I som referens vid fastställandet av huruvida värderingarna är förenliga med artikel 75 i Solvens II-direktivet. Den tekniska bilagan är en integrerad del av dessa riktlinjer. 1.33. Företag inom ramen för konsolideringen av en grupp som upprättar konsoliderade räkenskaper enligt IFRS bör inte tillämpa undantaget i artikel 9.4 i den delegerade förordningen

text: (EU) 2015/35

text: Efterlevnads- och rapporteringsregler

text: 1.34. Det här dokumentet innehåller riktlinjer som utfärdats enligt artikel 16 i Eiopaförordningen. I enlighet med artikel 16.3 i Eiopa-förordningen ska behöriga myndigheter och finansinstitut med alla tillgängliga medel söka följa riktlinjerna och rekommendationerna. 1.35. Behöriga myndigheter som följer eller avser att följa dessa riktlinjer bör införliva dem i sitt rättsliga ramverk eller sin tillsynsram på ett lämpligt sätt. 1.36. De behöriga myndigheterna ska bekräfta för Eiopa huruvida de följer eller avser att följa dessa riktlinjer och ange orsaker till bristande efterlevnad inom två månader efter utfärdandet av de översatta versionerna. 1.37. Om inget svar ges inom denna tidsfrist kommer de behöriga myndigheterna inte att anses uppfylla kraven på rapportering och kommer att rapporteras I enlighet med detta.

text: Slutlig bestämmelse om granskning

text: 1.38. Dessa riktlinjer granskas av Eiopa.


text: Europaparlamentets och rådets förordning (EU) nr 1094/2010 av den 24 november 2010

text: om inrättande av en europeisk tillsynsmyndighet (Europeiska försäkrings- och tjänstepensionsmyndigheten), om ändring av beslut nr

text: och om upphävande av

text: kommissionens beslut 2009/79/EG

text: (EUT L 331, 15.12.2010, s. 48). 2

text: Europaparlamentets och rådets direktiv 2009/138/EG av den 25 november 2009

text: om upptagande och utövande av försäkrings- och återförsäkringsverksamhet (Solvens II) (EUT L 335, 17.12.2009, s. 1). Kommissionens delegerade förordning

text: (EU) 2015/35

text: av den 10 oktober 2014 om komplettering av

text: Europaparlamentets och rådets direktiv 2009/138/EG

text: om upptagande och utövande av försäkrings- och återförsäkringsverksamhet (Solvens II) (EUT L 12, 17.1.2015, s. 1). 4 Artikel 212.1 i Solvens II. 5 Artikel 29.3 i Solvens II.

text: Artikel 13.10 i Solvens II.

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: (allmän dataskyddsförordning), EUT L 119, 4.5.2016, s. 1.

publisher: Europeiska försäkrings- och tjänstepensionsmyndigheten

title: Guidelines on outsourcing to cloud service providers

text: Riktlinjer om uppdragsavtal med molntjänstleverantörer

text: Inledning

text: 1. I enlighet med

text: artikel 16 i förordning (EU) nr 1094/2010

text: utfärdar Eiopa riktlinjer som ger försäkrings- och återförsäkringsföretag vägledning om hur bestämmelserna om uppdragsavtal i direktiv

text: (Solvens II) och i kommissionens delegerade förordning

text: (EU) 2015/35

text: (den delegerade förordningen) ska tillämpas för uppdragsavtal med molntjänstleverantörer.

text: 2. Dessa riktlinjer utgår från artiklarna 13.28, 38 och 49 i Solvens II och artikel 274 i den delegerade förordningen. Dessutom bygger dessa riktlinjer på den vägledning som ges i Eiopas riktlinjer för företagsstyrningssystem (EIOPA-BoS-14/253).

text: 3. Dessa riktlinjer vänder sig till behöriga myndigheter och syftar till att ge vägledning om hur försäkrings- och återförsäkringsföretag (nedan kallade ”företag”) bör tillämpa de krav på uppdragsavtal som läggs fram i ovanstående rättsakter när det gäller utkontraktering till molntjänstleverantörer.

text: 4. Riktlinjerna gäller både enskilda företag och i tillämpliga delar grupper . Enheter som är föremål för andra sektorskrav, och som ingår i en grupp, omfattas inte av dessa riktlinjer på företagsnivå eftersom de måste följa de sektorspecifika kraven samt den relevanta vägledning som utfärdas av Europeiska värdepappersoch marknadsmyndigheten samt Europeiska bankmyndigheten.

text: 5. Vid uppdragsavtal inom gruppen och avtal om underentreprenad med molntjänstleverantörer bör dessa riktlinjer tillämpas tillsammans med bestämmelserna i Eiopas riktlinjer för företagsstyrningssystem avseende uppdragsavtal inom gruppen.

text: 6. Företag och behöriga myndigheter bör beakta proportionalitetsprincipen och hur kritisk eller viktig den tjänst är som läggs ut på molntjänstleverantörer, när de efterlever eller övervakar efterlevnad av dessa riktlinjer. Proportionalitetsprincipen bör säkerställa att styrformer, inbegripet sådana som avser uppdragsavtal med molntjänstleverantörer, är proportionerliga i förhållande till de underliggande riskernas art, omfattning och komplexitet.

text: 7. Dessa riktlinjer bör gälla tillsammans med och utan att påverka Eiopas riktlinjer för företagsstyrningssystem samt de lagstadgade skyldigheter som förtecknas i punkt 1.

text: Definitioner

text: 8. Termer som inte definieras i dessa riktlinjer har den betydelse som anges i de rättsakter som det hänvisas till i inledningen.

text: 9. I riktlinjerna gäller dessutom följande definitioner: Tjänsteleverantör En enhet från tredje part som utför en process, tjänst eller verksamhet, eller delar därav, inom ramen för en överenskommelse om uppdragsavtal. Molntjänstleverantör En tjänsteleverantör enligt definitionen ovan som ansvarar för att tillhandahålla molntjänster inom ramen för ett uppdragsavtal. Molntjänster Tjänster som tillhandahålls med hjälp av molnbaserade datortjänster, dvs. en modell som möjliggör en allmän, lämplig nätverksåtkomst på begäran till en gemensam samling konfigurerbara datorresurser (t.ex. nätverk, servrar, lagring, applikationer och tjänster) som snabbt kan tillhandahållas och överlåtas med minimala driftsinsatser eller interaktion med tjänsteleverantören. Offentligt moln Molninfrastruktur som är tillgänglig för öppen användning av allmänheten. Privat moln Molninfrastruktur som är tillgänglig för exklusiv användning av ett enda företag. Gemenskapsmoln Molninfrastruktur som är tillgänglig för exklusiv användning av en särskild företagsgemenskap, till exempel flera företag inom en och samma grupp. Hybridmoln Molninfrastruktur som består av två eller fler separata molninfrastrukturer.

text: Tillämpningsdatum

text: 10. Dessa riktlinjer gäller från och med den 1 januari 2021 för alla uppdragsavtal om molntjänster som ingås eller ändras på eller efter detta datum.

text: 11. Företag bör se över och ändra befintliga arrangemang för uppdragsavtal om molntjänster som avser kritiska eller viktiga operativa funktioner eller verksamheter i syfte att säkerställa efterlevnad av dessa riktlinjer senast den 31 december 2022.

text: 12. Om granskningen av uppdragsavtal om molntjänster för kritiska eller viktiga operativa funktioner eller verksamheter inte är färdig senast den 31 december 2022 ska företaget informera sin tillsynsmyndighet om detta faktum, inbegripet åtgärder som planerats för att fullgöra granskningen eller den möjliga utträdesstrategin. Tillsynsmyndigheten kan komma överens med företaget om en förlängd tidsfrist för att slutföra översynen, om så är lämpligt.

text: 13. Uppdateringen (vid behov) av företagets policyer och interna processer bör vara klar den 1 januari 2021, medan dokumentationskraven för överenskommelser om uppdragsavtal om molntjänster av kritiska eller viktiga operativa funktioner eller verksamheter bör genomföras senast den 31 december 2022.

text: Riktlinje 1 – Molntjänster och uppdragsavtal

text: 14. Företaget bör fastställa om en överenskommelse med en molntjänstleverantör omfattas av definitionen av uppdragsavtal i enlighet med Solvens II. Inom ramen för bedömningen bör följande beaktas: a. Huruvida den operativa funktionen eller verksamheten (eller en del därav) som omfattas av uppdragsavtal är återkommande eller kontinuerlig. b. Huruvida den här operativa funktionen eller verksamheten (eller en del därav) vanligen skulle omfattas av sådana operativa funktioner eller verksamheter som skulle eller skulle kunna utföras av företaget inom ramen för dess normala affärsverksamhet, även om företaget inte har utfört denna operativa funktion eller verksamhet tidigare.

text: 15. Om en överenskommelse med en tjänsteleverantör omfattar flera operativa funktioner eller verksamheter bör företaget beakta alla aspekter av överenskommelsen i sin bedömning.

text: 16. I fall då företaget ingår uppdragsavtal för operativa funktioner eller verksamheter med tjänsteleverantörer som inte är molntjänstleverantörer, men till stor del är beroende av molninfrastrukturer för att tillhandahålla sina tjänster (till exempel om molntjänstleverantören ingår i en underentreprenörskedja), omfattas överenskommelsen om detta uppdragsavtal av dessa riktlinjer.

text: Riktlinje 2 – Allmänna principer för styrning av uppdragsavtal om molntjänster

text: 17. Utan att det påverkar artikel 274.3 i den delegerade förordningen bör företagets förvaltnings-, lednings- eller tillsynsorgan säkerställa att ett beslut om att ingå uppdragsavtal om kritiska eller viktiga operativa funktioner eller verksamheter med molntjänstleverantörer fattas på grundval av en noggrann riskbedömning som omfattar alla relevanta risker som överenskommelsen kan medföra, exempelvis avseende informations- och kommunikationsteknik (IKT), affärskontinuitet, lagstiftning och efterlevnad, koncentration samt övriga operativa risker och risker som rör datamigrering och/eller genomförandefasen, om så är tillämpligt.

text: 18. Om kritiska eller viktiga operativa funktioner eller verksamheter läggs ut på molntjänstleverantörer bör företaget i tillämpliga fall låta ändringarna i dess riskprofil på grund av överenskommelserna om uppdragsavtal om molntjänster återspeglas i den egna risk- och solvensbedömningen.

text: 19. Användningen av molntjänster bör ske i enlighet med företagets strategier (till exempel IKT-strategi, informationssäkerhetsstrategi, strategi för hantering av operativa risker) samt interna policyer och processer och dessa bör vid behov uppdateras.

text: Riktlinje 3 – Uppdatering av den skriftliga policyn om uppdragsavtal

text: 20. Vid uppdragsavtal med molntjänstleverantörer bör företaget uppdatera den skriftliga policyn om uppdragsavtal (till exempel genom att se över den, lägga till en separat bilaga eller ta fram nya särskilda policyer) samt övriga relevanta interna policyer (till exempel informationssäkerhet), med beaktande av särdrag som gäller uppdragsavtal om molntjänster på åtminstone följande områden: a. Roller och ansvarsområden för företagets berörda funktioner, i synnerhet förvaltnings-, lednings- eller tillsynsorgan, och funktionerna som ansvarar för IKT, informationssäkerhet, efterlevnad, riskhantering och internrevision. b. Processerna och rapporteringsförfarandena som krävs för godkännande, genomförande, övervakning, förvaltning och förnyelse, där så är tillämpligt, av överenskommelser om uppdragsavtal om molntjänster som avser kritiska eller viktiga operativa funktioner eller verksamheter. c. Översyn av molntjänsterna i proportion till art, omfattning och komplexitet för de tillhandahållna tjänsternas risker, inbegripet i) riskbedömning av överenskommelser om uppdragsavtal om molntjänster och företagsbesiktning av molntjänstleverantörer, inklusive riskbedömningens frekvens, ii) övervaknings- och förvaltningskontroller (till exempel verifiering av servicenivåavtalet) samt iii) säkerhetsstandarder och -kontroller. d. Avseende uppdragsavtal om molntjänster för kritiska eller viktiga operativa funktioner eller verksamheter bör en hänvisning göras till de avtalsenliga kraven i enlighet med riktlinje 10. e. Dokumentationskrav och skriftligt meddelande till tillsynsmyndigheten om uppdragsavtal om molntjänster för kritiska eller viktiga operativa funktioner eller verksamheter. f. Avseende varje enskild överenskommelse om uppdragsavtal om molntjänster som omfattar kritiska eller viktiga operativa funktioner eller verksamheter krävs en dokumenterad och i tillämpliga fall tillräckligt testad utträdesstrategi som är proportionerlig till art, omfattning och komplexitet för de tillhandahållna tjänsternas risker. Utträdesstrategin kan inbegripa ett antal förfaranden för uppsägning, inklusive men inte nödvändigtvis begränsat till, att avsluta, återintegrera eller överföra tjänsterna som omfattas av överenskommelsen om uppdragsavtal om molntjänster.

text: Riktlinje 4 – Skriftligt meddelande till tillsynsmyndigheten

text: 21. Kraven på skriftligt meddelande som fastställs i artikel 49.3 i Solvens II och specificeras ytterligare i Eiopas riktlinjer för företagsstyrningssystem gäller alla uppdragsavtal för kritiska eller viktiga operativa funktioner och verksamheter med molntjänstleverantörer. Om en operativ funktion eller verksamhet som omfattas av uppdragsavtal tidigare klassades som ej kritisk eller ej viktig blir kritisk eller viktig bör företaget meddela tillsynsmyndigheten.

text: 22. Företagets skriftliga meddelande bör i enlighet med proportionalitetsprincipen åtminstone innefatta följande information: a. En kort beskrivning av den operativa funktion eller verksamhet som omfattas av uppdragsavtal. b. Startdatum och, efter vad som är tillämpligt, datum för nästa kontraktsförnyelse, slutdatum och/eller anmälningsperioder för molntjänstleverantören och för företaget. c. Den lagstiftning som gäller för överenskommelsen om uppdragsavtal om molntjänster. d. Molntjänstleverantörens namn, organisationsnumret, identifieringskoden för juridisk person (LEI) (när sådan finns), den registrerade adressen och andra relevanta kontaktuppgifter, samt namnet på leverantörens moderföretag (om sådant finns), och vid grupper huruvida molntjänstleverantören ingår i gruppen. e. Molntjänsterna och distribueringsmodellerna (dvs. offentligt moln/privat moln/hybridmoln/gemenskapsmoln) och den särskilda karaktären på uppgifterna som ska hållas och platserna (dvs. länder eller regioner) där sådana uppgifter kommer att lagras. f. En kort sammanfattning av anledningarna till att den operativa funktion eller verksamhet som omfattas av uppdragsavtal anses vara kritisk eller viktig. g. Datumet för den senaste bedömningen av om den operativa funktion eller verksamhet som omfattas av uppdragsavtal är kritisk eller viktig.

text: Riktlinje 5 – Dokumentationskrav

text: 23. Som en del av sitt styrnings- och riskhanteringssystem bör företaget föra ett register över sina överenskommelser om uppdragsavtal om molntjänster, till exempel genom ett särskilt register som uppdateras löpande. Företaget bör också föra ett register över avslutade överenskommelser om uppdragsavtal om molntjänster under en lämplig lagringsperiod i enlighet med nationell lagstiftning.

text: 24. Vid uppdragsavtal för kritiska eller viktiga operativa funktioner eller verksamheter bör företaget registrera följande information: a. Informationen som ska meddelas tillsynsmyndigheten i enlighet med riktlinje 4. b. Om grupper förekommer: de försäkrings- eller återförsäkringsföretag och andra företag inom ramen för den konsoliderade tillsynen som använder molntjänsterna. c. Datumet för den senaste riskbedömningen och en kort sammanfattning av huvudresultaten. d. Det enskilda eller beslutsfattande organet (till exempel förvaltnings-, ledningseller tillsynsorganet) i företaget som godkände överenskommelsen om uppdragsavtal om molntjänster. e. Datumen för de senaste och närmast planerade revisionerna, i tillämpliga fall. f. Namnen på eventuella underentreprenörer som väsentliga delar av en kritisk eller viktig operativ funktion eller verksamhet läggs ut på underentreprenad till, däribland de länder där underentreprenörerna är registrerade, var tjänsten kommer att utföras och i tillämpliga fall de platser (dvs. länder eller regioner) där uppgifterna kommer att lagras. g. Ett resultat av bedömningen av molntjänstleverantörens utbytbarhet (till exempel lätt, svår eller omöjlig). h. Huruvida den kritiska eller viktiga operativa funktionen eller verksamheten som omfattas av uppdragsavtal stöder affärsverksamheter som är tidsmässigt kritiska. i. De beräknade årliga budgetkostnaderna. j. Huruvida företaget har en utträdesstrategi i händelse av uppsägning av avtalet av endera parten eller störningar i molntjänstleverantörens tjänster.

text: 25. Vid uppdragsavtal för ej kritiska eller ej viktiga operativa funktioner eller verksamheter bör företaget definiera den information som ska registreras baserat på art, omfattning och komplexitet för riskerna med de tjänster som molntjänstleverantören tillhandahåller.

text: 26. På förfrågan bör företaget göra all information tillgänglig för tillsynsmyndigheten för att göra det möjligt för den att övervaka företaget, inbegripet en kopia av uppdragsavtalet.

text: Riktlinje 6 – Analys innan uppdragsavtal ingås

text: 27. Innan några överenskommelser ingås med molntjänstleverantörer bör företaget a. bedöma om överenskommelsen om uppdragsavtal om molntjänster avser en kritisk eller viktig operativ funktion eller verksamhet i enlighet med riktlinje 7, b. identifiera och bedöma alla relevanta risker med överenskommelsen om uppdragsavtal om molntjänster i enlighet med riktlinje 8, c. genomföra en lämplig företagsbesiktning av den blivande molntjänstleverantören i enlighet med riktlinje 9, d. identifiera och bedöma intressekonflikter som uppdragsavtalet kan orsaka i enlighet med kraven i artikel 274.3 b i den delegerade förordningen.

text: Riktlinje 7 – Bedömning av kritiska eller viktiga operativa funktioner och verksamheter

text: 28. Innan några överenskommelser om uppdragsavtal ingås med molntjänstleverantörer bör företaget bedöma om överenskommelsen om uppdragsavtal om molntjänster avser en operativ funktion eller verksamhet som är kritisk eller viktig. När bedömningen görs bör företaget, om så är relevant, överväga huruvida överenskommelsen har potential att bli kritisk eller viktig i framtiden. Företaget bör också ompröva huruvida en operativ funktion eller verksamhet som tidigare har lagts ut på molntjänstleverantörer fortsätter att vara kritisk eller viktig om avtalets risker förändras avsevärt i fråga om riskernas art, omfattning eller komplexitet.

text: 29. I bedömningen bör företaget beakta åtminstone följande faktorer, tillsammans med riskbedömningens resultat: a. Hur varje eventuell väsentlig störning i den operativa funktion eller verksamhet som omfattas av uppdragsavtal, eller misslyckande från molntjänstleverantören med att tillhandahålla tjänsterna kontinuerligt på de överenskomna servicenivåerna, påverkar företagets i. kontinuerliga efterlevnad av de lagstadgade kraven, ii. kort- och långsiktiga motståndskraft och bärkraft vad gäller ekonomi och solvens, iii. affärskontinuitet och operativa motståndskraft, iv. operativa risk, inbegripet vad gäller uppförande, IKT och juridiska risker, v. ryktesrisker. b. Hur överenskommelsen om uppdragsavtal om molntjänster potentiellt påverkar företagets möjlighet att i. identifiera, övervaka och hantera alla relevanta risker, ii. efterleva alla juridiska krav och regleringskrav, iii. genomföra lämpliga revisioner av den operativa funktion eller verksamhet som omfattas av uppdragsavtal. c. Företagets (och/eller gruppens i tillämpliga fall) sammanlagda exponering för samma molntjänstleverantör och den potentiella kumulativa påverkan från överenskommelser om uppdragsavtal om molntjänster i samma affärsområde. d. Storleken och komplexiteten på företagets affärsområden som påverkas av överenskommelsen om uppdragsavtal om molntjänster. e. Möjligheten att vid behov eller om så önskas överföra den föreslagna överenskommelsen om uppdragsavtal om molntjänster till en annan molntjänstleverantör eller återintegrera tjänsterna (”utbytbarhet”). f. Skyddet av personuppgifter och icke-personuppgifter samt hur företaget, försäkringstagare eller andra relevanta intressenter potentiellt påverkas av brott mot konfidentialiteten eller misslyckande att säkerställa uppgifternas tillgänglighet och integritet med utgångspunkt i bland annat förordning

text: (EU) 2016/679

text: . Företaget bör i synnerhet beakta uppgifter som utgör affärshemligheter och/eller är känsliga (till exempel uppgifter om försäkringstagares hälsa).

text: Riktlinje 8 – Riskbedömning av uppdragsavtal om molntjänster

text: 30. I allmänhet bör företaget tillämpa en strategi som är proportionerlig till art, omfattning och komplexitet för riskerna med tjänsterna som läggs ut på molntjänstleverantörer. Detta inbegriper att bedöma hur uppdragsavtal om molntjänster i synnerhet kan påverka operativa risker och ryktesrisker.

text: 31. Vid uppdragsavtal för kritiska eller viktiga operativa funktioner eller verksamheter med molntjänstleverantörer bör ett företag a. beakta de förväntade fördelarna och kostnaderna för den föreslagna överenskommelsen om uppdragsavtal om molntjänster, och samtidigt väga avsevärda risker som kan minskas eller hanteras bättre mot avsevärda risker som kan uppstå till följd av den föreslagna överenskommelsen om uppdragsavtal om molntjänster, b. om så är tillämpligt och lämpligt bedöma riskerna, inbegripet rättsliga risker samt IKT-, efterlevnads- och ryktesrisker samt tillsynsbegränsningar som uppstår från i. den valda molntjänsten och den föreslagna distributionsmodellen (dvs. offentligt moln/privat moln/hybridmoln/gemenskapsmoln), ii. migreringen och/eller genomförandet, iii. verksamheten och de tillhörande uppgifter som eventuellt ska omfattas av uppdragsavtal (eller redan gör det) och deras känslighet och nödvändiga säkerhetsåtgärder, iv. den politiska stabiliteten och säkerhetssituationen i de länder (i eller utanför EU) där de tjänster som omfattas av uppdragsavtal tillhandahålls eller kan tillhandahållas och där uppgifterna lagras eller sannolikt kommer att lagras. Bedömningen bör beakta 1. gällande lagar, inklusive lagar för dataskydd, 2. vilka bestämmelser för brottsbekämpning som finns, 3. den insolvenslagstiftning som skulle gälla i händelse av en tjänsteleverantörs fallering och eventuella hinder som skulle uppkomma i samband med brådskande återhämtning av företagets uppgifter, v. underentreprenad, inbegripet de ytterligare risker som kan uppstå om underleverantören finns i ett tredjeland eller ett annat land än molntjänstleverantören och risken för att långa och komplexa underentreprenörskedjor minskar företagets förmåga att övervaka sina kritiska eller viktiga operativa funktioner eller verksamheter och tillsynsmyndigheternas förmåga att effektivt övervaka dem, vi. företagets övergripande koncentrationsrisk till samma molntjänstleverantör, inbegripet uppdragsavtal med en molntjänstleverantör som inte enkelt kan ersättas eller flera överenskommelser om uppdragsavtal med samma molntjänstleverantör. Vid bedömning av koncentrationsrisken bör företaget (och/eller gruppen, i tillämpliga fall) beakta alla överenskommelser om uppdragsavtal om molntjänster med den molntjänstleverantören.

text: 32. Riskbedömningen bör genomföras innan en överenskommelse om uppdragsavtal om molntjänster ingås. Om företaget blir medvetet om betydande brister och/eller betydande förändringar i de tjänster som tillhandahålls eller i molntjänstleverantörens situation bör riskbedömningen ses över eller göras om snarast. Om en överenskommelse om uppdragsavtal om molntjänster förnyas avseende innehåll och omfattning (till exempel utökning av omfattningen eller inkluderande av kritiska eller viktiga operativa funktioner som tidigare inte inkluderats i omfattningen) bör riskbedömningen göras om.

text: Riktlinje 9 – Företagsbesiktning av molntjänstleverantören

text: 33. Företaget bör i sin urvals- och bedömningsprocess säkerställa att molntjänstleverantören är lämplig enligt de kriterier som fastställs i dess skriftliga policy om uppdragsavtal.

text: 34. Företagsbesiktningen av molntjänstleverantören bör genomföras innan uppdragsavtal ingås för en operativ funktion eller verksamhet. Om företaget ingår ett andra avtal med en molntjänstleverantör som redan har bedömts bör företaget utifrån en riskbaserad strategi fastställa om en andra företagsbesiktning krävs. Om företaget blir medvetet om betydande brister och/eller betydande förändringar i de tjänster som tillhandahålls eller i molntjänstleverantörens situation bör företagsbesiktningen ses över eller göras om snarast.

text: 35. Vid uppdragsavtal om molntjänster för kritiska eller viktiga operativa funktioner bör företagsbesiktningen innefatta en utvärdering av molntjänstleverantörens lämplighet (till exempel kompetenser, infrastruktur, ekonomisk situation, företagsoch tillsynsstatus). Om så är lämpligt kan företaget använda bevisning, certifieringar baserade på internationella standarder, revisionsrapporter från erkända tredje parter eller interna revisionsrapporter till stöd för företagsbesiktningen.

text: Riktlinje 10 – Avtalsenliga krav

text: 36. Företagets och molntjänstleverantörens rättigheter och skyldigheter bör vara klart och tydligt fördelade och specificerade i ett skriftligt avtal.

text: 37. Utan att det påverkar kraven i artikel 274 i den delegerade förordningen bör följande fastställas i det skriftliga avtalet mellan företaget och molntjänstleverantören vid uppdragsavtal för kritiska eller viktiga operativa funktioner eller verksamheter med en molntjänstleverantör: a. En tydlig beskrivning av den tillhandahållna funktion som omfattas av uppdragsavtal (molntjänster, inbegripet typen av stödtjänster). b. Startdatum och slutdatum, i tillämpliga fall, för avtalet och uppsägningstiden för molntjänstleverantören och företaget. c. Domstol för tvistemål och tillämplig lagstiftning för avtalet. d. Parternas finansiella skyldigheter. e. Huruvida underentreprenad för en kritisk eller viktig operativ funktion eller verksamhet (eller avsevärda delar därav) tillåts och om så är fallet vilka villkor som gäller för väsentlig underentreprenad (se riktlinje 13). f. Den eller de platser (dvs. regioner eller länder) där relevanta uppgifter kommer att lagras och behandlas (datacentrens lokalisering) och de villkor som ska uppfyllas, inbegripet ett krav om att meddela företaget om tjänsteleverantören föreslår att ändra platsen eller platserna. g. Bestämmelser om relevanta uppgifters tillgänglighet, integritet, konfidentialitet, sekretess och säkerhet, med beaktande av specifikationerna i riktlinje 12. h. Företagets rätt att regelbundet övervaka molntjänstleverantörens prestationer. i. De överenskomna servicenivåerna, som bör inkludera exakta kvantitativa och kvalitativa resultatmål för att möjliggöra övervakning i god tid så att lämpliga korrigerande åtgärder kan vidtas utan onödigt dröjsmål om de överenskomna servicenivåerna inte uppfylls. j. Molntjänstleverantörens rapporteringsskyldigheter gentemot företaget, inbegripet, om så är lämpligt, skyldigheterna att lämna in rapporter som är relevanta för företagets säkerhetsfunktion och viktiga funktioner, såsom rapporter från molntjänstleverantörens internrevisionsfunktion. k. Huruvida molntjänstleverantören bör teckna en obligatorisk försäkring mot vissa risker och, i tillämpliga fall, vilken nivå på försäkringsskydd som efterfrågas. l. Kraven på att införa och testa affärskontinuitetsplaner. m. Kravet på att molntjänstleverantören ska ge företaget, dess tillsynsmyndigheter och andra personer som utses av företaget eller tillsynsmyndigheterna följande: i. Fullständigt tillträde till alla relevanta företagslokaler (huvudkontor och operativa centraler), inklusive hela utbudet av relevanta enheter, system, nätverk, information och uppgifter som används för att tillhandahålla den funktion som omfattas av uppdragsavtal, däribland anknuten finansiell information, personal och molntjänstleverantörens utomstående revisorer (”åtkomsträttigheter”). ii. Obegränsad rätt till inspektion och revision gällande överenskommelsen om uppdragsavtal om molntjänster (”revisionsrättigheter”) så att de kan övervaka överenskommelsen om uppdragsavtal och säkerställa att alla tillämpliga lagstadgade och avtalsenliga krav efterlevs. n. Bestämmelser som säkerställer att de uppgifter som ägs av företaget är möjliga för företaget att få tillgång till i händelse av insolvens, resolution eller upphörd affärsverksamhet för molntjänstleverantören.

text: Riktlinje 11 – Åtkomst- och revisionsrättigheter

text: 38. Uppdragsavtalet om molntjänster bör inte begränsa företagets effektiva utövande av åtkomst- och revisionsrättigheter samt kontrollalternativ för molntjänster i syfte att fullgöra de lagstadgade skyldigheterna.

text: 39. Företaget bör utöva sina åtkomst- och revisionsrättigheter, fastställa hur ofta revisioner ska genomföras och de områden och tjänster som ska granskas utifrån en riskbaserad strategi, i enlighet med avsnitt 8 i Eiopas riktlinjer för företagsstyrningssystem.

text: 40. När företaget fastställer hur ofta och i vilken omfattning det ska utöva sina åtkomst- eller revisionsrättigheter bör företaget beakta huruvida uppdragsavtalet om molntjänster avser en kritisk eller viktig operativ funktion eller verksamhet, riskernas art och omfattning samt påverkan på företaget genom överenskommelserna om uppdragsavtal om molntjänster.

text: 41. Om utövandet av åtkomst- och revisionsrättigheterna eller användningen av vissa revisionstekniker skapar en risk för molntjänstleverantörens miljö och/eller en annan molntjänstleverantörs kund (till exempel påverkan på servicenivåer, uppgifters tillgänglighet, konfidentialitetsaspekter) bör företaget och molntjänstleverantören komma överens om alternativa sätt att tillhandahålla en liknande tillförlitlighets- och servicenivå till företaget (till exempel inbegripande av specifika kontroller som ska testas i en specifik rapport/certifiering som molntjänstleverantören skapar).

text: 42. Utan att det påverkar företagets slutliga ansvar för de verksamheter som utförs av molntjänstleverantörerna kan företaget, i syfte att tillämpa revisionsresurser effektivare och minska den organisatoriska bördan för molntjänstleverantören och dess kunder, använda a. tredjepartscertifieringar och tredjepartsrevisionsrapporter eller interna revisionsrapporter som har gjorts tillgängliga av molntjänstleverantören, b. gemensamma revisioner (dvs. revisioner som utförs tillsammans med andra av molntjänstleverantörens kunder) eller gemensamma revisioner som utförs av en tredje part som företaget utser.

text: 43. Vid uppdragsavtal om molntjänster för kritiska eller viktiga operativa funktioner eller verksamheter bör företag tillämpa den metod som beskrivs i punkt 42 a endast om de a. ser till att certifieringen eller revisionsrapporten omfattar de system (till exempel processer, applikationer, infrastruktur, datacenter osv.) och de kontroller som identifierats av företaget samt bedömer efterlevnad av relevanta regleringskrav, b. noggrant och regelbundet bedömer innehållet i nya certifieringar eller revisionsrapporter och kontrollerar att certifieringarna eller rapporterna inte är inaktuella, c. säkerställer att centrala system och kontroller omfattas i framtida versioner av certifieringen eller revisionsrapporten, d. är tillfreds med den certifierande eller reviderande partens lämplighet (till exempel med avseende på rotation av det certifierande eller reviderande företaget, kvalifikationerna, expertisen, de upprepade kontrollerna/verifieringen av bevisen i den underliggande revisionsakten), e. är tillfreds med att certifieringar utfärdas och att revisionerna utförs på grundval av lämpliga standarder och inbegriper ett test av den operativa effektiviteten hos de centrala kontroller som har införts, f. har den avtalsenliga rätten att begära att omfattningen av certifieringarna eller revisionsrapporterna utökas till andra relevanta system och kontroller; antalet sådana begäranden om ändrad omfattning och hur ofta de görs bör vara rimligt och motiverat ur ett riskhanteringsperspektiv, g. behåller den avtalsenliga rätten att genomföra enskilda revisioner på plats efter eget gottfinnande avseende uppdragsavtal om molntjänster för kritiska eller viktiga operativa funktioner eller verksamheter. Denna rätt bör utövas vid specifika behov som inte kan tillfredsställas genom andra typer av interaktion med molntjänstleverantören.

text: 44. Vid uppdragsavtal med molntjänstleverantörer för kritiska eller viktiga operativa funktioner bör företaget bedöma om de tredjepartscertifieringar och tredjepartsrapporter som avses i punkt 42 a är adekvata och tillräckliga för att uppfylla deras lagstadgade skyldigheter, och bör utifrån en riskbaserad strategi inte förlita sig enbart på dessa rapporter och certifieringar med tiden.

text: 45. Före ett planerat besök på plats bör den part som utövar sin åtkomsträttighet (företag, revisor eller tredje part som agerar på företagets eller företagens vägnar) meddela detta inom en rimlig tidsperiod, om inte ett tidigt förhandsmeddelande är omöjligt på grund av en nöd- eller krissituation. Ett sådant meddelande bör innefatta platsen för besöket och dess syfte samt den personal som kommer att närvara vid besöket.

text: 46. Mot bakgrund av att molnlösningar har en hög teknisk komplexitet bör företaget kontrollera att den personal som utför revisionen – företagets interna revisorer eller den grupp revisorer som agerar på dess vägnar, eller molntjänstleverantörens utsedda revisorer – eller, i förekommande fall, den personal som granskar tredjepartscertifieringar eller tjänsteleverantörens revisionsrapporter har lämplig kompetens och kunskap för att utföra relevanta revisioner och/eller bedömningar.

text: Riktlinje 12 – Uppgifts- och systemsäkerhet

text: 47. Företaget bör säkerställa att molntjänstleverantörerna efterlever europeiska och nationella föreskrifter samt lämpliga IKT-säkerhetsstandarder.

text: 48. Vid uppdragsavtal för kritiska eller viktiga operativa funktioner eller verksamheter med molntjänstleverantörer bör företaget dessutom definiera särskilda informationssäkerhetskrav i uppdragsavtalet och regelbundet övervaka efterlevnaden av dessa krav.

text: 49. Vad beträffar punkt 48 bör företaget, vid uppdragsavtal för kritiska eller viktiga operativa funktioner eller verksamheter med molntjänstleverantörer, utifrån en riskbaserad strategi och med beaktande av sitt ansvar samt molntjänstleverantörens ansvar a. komma överens om tydliga roller och ansvarsområden för molntjänstleverantören och företaget avseende de operativa funktioner eller verksamheter som påverkas av uppdragsavtalet om molntjänster och fördelningen bör vara tydlig, b. definiera och besluta om en lämplig skyddsnivå för konfidentiella uppgifter, kontinuiteten för de verksamheter som ska omfattas av uppdragsavtal samt integriteten och spårbarheten för data och system mot bakgrund av det avsedda uppdragsavtalet om molntjänster, c. överväga särskilda åtgärder om så behövs för transiterande, minnesbelägna och vilande data, till exempel användning av krypteringstekniker i kombination med en lämplig nyckelhantering, d. överväga molntjänsternas integreringsmekanismer med företagens system, till exempel gränssnitten för tillämpningsprogram och en sund användar- och åtkomsthanteringsprocess, e. i avtalet säkerställa att nätverkstrafikens tillgänglighet och förväntade kapacitet efterlever höga kontinuitetskrav, om så är tillämpligt och rimligt, f. definiera och besluta om lämpliga kontinuitetskrav som säkerställer lämpliga nivåer på varje nivå i den tekniska kedjan, i tillämpliga fall, g. ha en sund och väldokumenterad hanteringsprocess för tillbud, inbegripet respektive ansvarsområden, till exempel genom att definiera en samarbetsmodell om faktiska eller misstänkta tillbud inträffar, h. anta en riskbaserad strategi för platser för lagring och hantering av uppgifter (dvs. land eller region) och informationssäkerhetsbeaktanden, i. övervaka efterlevnaden av kraven på ändamålsenligheten och effektiviteten hos de kontrollmekanismer som molntjänstleverantören genomför och som skulle minska riskerna för de tillhandahållna tjänsterna.

text: Riktlinje 13 – Underentreprenad för kritiska eller viktiga operativa funktioner eller verksamheter

text: 50. Om underentreprenad tillåts för kritiska eller viktiga operativa funktioner (eller en del därav) bör uppdragsavtalet om molntjänster mellan företaget och molntjänstleverantören a. ange alla typer av verksamhet som är undantagna från eventuell underentreprenad, b. specificera de villkor som ska efterlevas vid underentreprenad (till exempel att underleverantören också fullt ut ska efterleva molntjänstleverantörens relevanta skyldigheter); dessa skyldigheter inbegriper revisions- och åtkomsträttigheter samt uppgifts- och systemsäkerhet, c. specificera att molntjänstleverantören behåller fullt ansvar och full tillsyn för de tjänster som läggs ut på underentreprenad, d. innehålla en skyldighet för molntjänstleverantören att informera företaget om alla planerade betydande förändringar när det gäller de underleverantörer eller de tjänster som lagts ut på underentreprenad och som kan påverka tjänsteleverantörens möjlighet att uppfylla sina skyldigheter i enlighet med uppdragsavtalet om molntjänster. Delgivningsperioden för dessa förändringar bör göra det möjligt för företaget att åtminstone utföra en riskbedömning av de föreslagna ändringarnas inverkan innan den faktiska förändringen rörande underleverantörer eller de tjänster som lagts ut på underentreprenad träder i kraft, e. säkerställa att företaget har rätt att invända mot förändringarna och/eller säga upp avtalet, om en molntjänstleverantör planerar förändringar när det gäller de underleverantörer eller de tjänster som lagts ut på underentreprenad som skulle ha en negativ effekt på riskbedömningen av de avtalade tjänsterna.

text: Riktlinje 14 – Övervakning och översyn av överenskommelser om uppdragsavtal om molntjänster

text: 51. Företaget bör regelbundet övervaka molntjänstleverantörens utförande av verksamheter, säkerhetsåtgärder och efterlevnad av överenskommen servicenivå utifrån en riskbaserad strategi. Det huvudsakliga fokuset bör ligga på uppdragsavtal om molntjänster för kritiska och viktiga operativa funktioner.

text: 52. För att uppnå detta bör företaget inrätta övervaknings- och översynsmekanismer som, om så är rimligt och lämpligt, bör beakta om kritiska eller viktiga operativa funktioner eller en del därav läggs ut på underentreprenad.

text: 53. Förvaltnings-, lednings- eller tillsynsorganet bör regelbundet uppdateras om de risker som identifieras i uppdragsavtalet om molntjänster för kritiska eller viktiga operativa funktioner eller verksamheter.

text: 54. I syfte att säkerställa lämplig övervakning och översyn av överenskommelserna om uppdragsavtal om molntjänster bör företagen tillämpa tillräckliga resurser med lämplig kompetens och kunskap för övervakning av de tjänster som omfattas av uppdragsavtal för molnet. Företagets personal som ansvarar för dessa verksamheter bör ha både IKT- och branschkunskap i nödvändig utsträckning.

text: Riktlinje 15 – Rätt till uppsägning och utträdesstrategier

text: 55. Vid uppdragsavtal för molntjänster för kritiska eller viktiga operativa funktioner eller verksamheter bör företaget inom ramen för uppdragsavtalet för molntjänster ha en tydligt definierad utträdesstrategiklausul som säkerställer att det vid behov kan säga upp överenskommelsen. Uppsägningen ska möjliggöras utan förfång för kontinuiteten och kvaliteten på leveransen av tjänster till försäkringstagarna. För att uppnå detta bör företaget a. ta fram utträdesplaner som är omfattande, tjänstebaserade, dokumenterade och tillräckligt testade (till exempel genom att genomföra en analys av de potentiella kostnaderna, effekterna, resurserna och tidskonsekvenserna för de olika potentiella utträdesalternativen), b. identifiera alternativa lösningar och ta fram lämpliga och rimliga övergångsplaner som gör det möjligt för företaget att ta bort och överföra befintliga verksamheter och uppgifter från molntjänstleverantören till alternativa tjänsteleverantörer eller tillbaka till företaget. Dessa lösningar bör definieras mot bakgrund av de utmaningar som kan uppstå på grund av uppgifternas lokalisering och nödvändiga åtgärder bör vidtas för att säkerställa affärskontinuitet under övergångsfasen, c. säkerställa att molntjänstleverantören på ett lämpligt sätt stöder företaget vid överföringen av uppgifterna, systemen eller applikationerna som omfattas av uppdragsavtal till en annan tjänsteleverantör eller direkt till företaget, d. komma överens med molntjänstleverantören om att molntjänstleverantören ska radera företagets uppgifter fullständigt och säkert i alla regioner när dessa har återförts till företaget.

text: 56. När företaget utarbetar utträdesstrategier bör det tänka på följande: a. Definiera målsättningarna i utträdesstrategin. b. Definiera de triggerhändelser (till exempel viktiga riskindikatorer som rapporterar om en oacceptabel tjänstenivå) som kan aktivera utträdesstrategin. c. Utföra en verksamhetsanalys som står i proportion till de verksamheter som omfattas av uppdragsavtal för att utröna vilka mänskliga och övriga resurser som krävs för att genomföra utträdesplanen och hur lång tid detta skulle ta. d. Tilldela roller och ansvarsområden för hantering av utträdesplaner och övergångsverksamheter. e. Definiera kriterier för att fastställa om övergången har lyckats.

text: Riktlinje 16 – Tillsyn av överenskommelser om uppdragsavtal om molntjänster av tillsynsmyndigheter

text: 57. Tillsynsmyndigheterna bör analysera inverkan från företagens överenskommelser om uppdragsavtal om molntjänster som en del av tillsynens granskningsprocess. Fokus i analysen av inverkan bör i synnerhet ligga på överenskommelser som avser uppdragsavtal för kritiska eller viktiga operativa funktioner eller verksamheter.

text: 58. Tillsynsmyndigheterna bör överväga följande risker i tillsynen av företagens överenskommelser om uppdragsavtal om molntjänster: a. IKT-risker. b. Andra operativa risker (inbegripet rättsliga risker och efterlevnadsrisker, risker avseende hantering av uppdragsavtal och tredje part). c. Ryktesrisker. d. Koncentrationsrisker, inbegripet på lands-/sektorsnivå.

text: 59. Inom ramen för sin bedömning bör tillsynsmyndigheterna inkludera följande aspekter utifrån en riskbaserad strategi: a. Lämpligheten och effektiviteten i företagets styrningsprocesser och operativa processer när det gäller godkännande, genomförande, övervakning, hantering och förnyelse av överenskommelser om uppdragsavtal om molntjänster. b. Huruvida företaget har tillräckliga resurser med lämplig kompetens och kunskap för att övervaka de tjänster som omfattas av uppdragsavtal för molnet. c. Huruvida företaget identifierar och hanterar alla risker som belyses i dessa riktlinjer.

text: 60. Avseende grupper bör grupptillsynsmyndigheten säkerställa att inverkan från uppdragsavtal om molntjänster för kritiska eller viktiga operativa funktioner eller verksamheter återspeglas i gruppens tillsynsriskbedömning, med beaktande av kraven som listas i punkterna 58–59 och gruppens enskilda styrningsegenskaper och operativa egenskaper.

text: 61. Om uppdragsavtal om molntjänster för kritiska eller viktiga operativa funktioner eller verksamheter inbegriper mer än ett företag i olika medlemsstater och förvaltas centralt av moderföretaget eller av ett dotterbolag (till exempel ett företag eller ett grupptjänsteföretag såsom gruppens IKT-leverantör) bör grupptillsynsmyndigheten och/eller relevanta tillsynsmyndigheter för de företag som inbegrips av uppdragsavtalet om molntjänster i tillämpliga fall diskutera inverkan från uppdragsavtalet om molntjänster på gruppens riskprofil i tillsynskollegiet.

text: 62. När det konstateras orosmoment som leder till slutsatsen att ett företag inte längre har stabila styrformer inrättade eller inte efterlever regleringskrav, bör tillsynsmyndigheterna vidta lämpliga åtgärder, vilka till exempel kan innefatta att begära att företaget förbättrar styrningsarrangemanget, att begränsa omfattning för de funktioner som omfattas av uppdragsavtal eller att kräva utträde ur en eller flera överenskommelser om uppdragsavtal. I synnerhet, med hänsyn till företagets behov av kontinuitet i verksamheten, skulle upphävda kontrakt kunna krävas om tillsynen och verkställigheten av regleringskrav inte kan säkerställas genom andra åtgärder.

text: Regler för efterlevnad och rapportering

text: 63. Detta dokument innehåller riktlinjer som har utfärdats enligt

text: . I enlighet med artikel 16.3 i denna förordning ska behöriga myndigheter och finansinstitut med alla tillgängliga medel söka följa dessa riktlinjer och rekommendationer.

text: 64. De behöriga myndigheter som följer eller har för avsikt att följa dessa riktlinjer bör införliva dem i sina ramar för regler och tillsyn på ett lämpligt sätt.

text: 65. De behöriga myndigheterna ska, inom två månader från det att de översatta versionerna har offentliggjorts, bekräfta till Eiopa om huruvida de följer eller avser att följa dessa riktlinjer, och ange skälen till att de eventuellt inte följer dem.

text: 66. Om Eiopa inte har fått något svar inom denna tidsfrist kommer behöriga myndigheter att anses inte följa rapporteringen och rapporteras i enlighet med detta.

text: Slutbestämmelse om översyn

text: 67. Dessa riktlinjer ska vara föremål för översyn av Eiopa.