إرشادات EBA بشأن مخاطر الأطراف الثالثة 2026: إدارة مزوّدي الخدمات من الأطراف الثالثة غير المرتبطة بتقنية المعلومات والاتصالات (Non-ICT) وفق منطق DORA

تعتمد المؤسسات المالية بشكل متزايد على مقدّمي خدمات من الأطراف الثالثة (TPSP) — وبذلك تزيد المخاطر عليها وعلى عملائها، وفي حالات فردية على النظام المالي (ص. 4). وتستخلص EBA نتيجتين: يصبح الإسناد الخارجي مجموعة فرعية من ترتيب الطرف الثالث الأوسع (الفقرة 17)، وتُسدّ الفجوة مع DORA — إذ تنظّم DORA مخاطر الأطراف الثالثة لتقنية المعلومات والاتصالات، والإرشادات مخاطر Non-ICT، مع توقّع نهج شامل يغطي العالمين (الفقرة 7؛ الجزء التمهيدي، الفقرة 11).

يكمن الأساس القانوني في تفويضات الحوكمة الواردة في التشريعات القطاعية: المادة 74(3) من CRD، والمادة 26 من IFD، والمادة 34 من MiCAR، والمادة 11 من PSD2 (الجزء التمهيدي، الفقرة 15؛ الملاحظات ص. 67). ومن الناحية الشكلية هي إرشادات وفق المادة 16 من اللائحة (EU) رقم 1093/2010: يجب على الجهات الرقابية والمؤسسات المالية بذل كل الجهود للامتثال لها؛ وتعلن كل جهة رقابية خلال شهرين ما إذا كانت ستطبّق الإرشادات (الفقرات 1–3؛ الملاحظات ص. 68).

على الصعيد الدولي، تستند EBA إلى مجموعة أدوات FSB الصادرة في 4 ديسمبر 2023 وإلى مبادئ BCBS ‏Principles for the sound management of third-party risk الصادرة في 10 ديسمبر 2025، والتي يتبعها تعريف ترتيب الطرف الثالث (ص. 55 و59؛ الملاحظات ص. 75)؛ أما مبادئ ESMA ‏Principles on third-party risks الصادرة في 12 يونيو 2025 فموجّهة إلى الجهات الرقابية الوطنية فقط (الملاحظات ص. 66).

جرت المشاورة حول EBA/CP/2025/12 من 8 يوليو إلى 8 أكتوبر 2025 وأسفرت عن 72 ردًا (الملاحظات ص. 65). ورفضت EBA الانتقادات الموجّهة إلى التفويض واتهامات الازدواج التنظيمي (ص. 67–68)؛ أما في مسألة التناسب فقد تراجعت — بالتركيز على الوظائف الحرجة أو المهمة، وسجل أخفّ، ومعايير تناسب في الباب I (ص. 68–69). وردّت على طلب مهلة تحضيرية من تسعة إلى ثمانية عشر شهرًا بفترة انتقالية مدتها عامان؛ ومن لا ينتهي في الوقت المحدد يُبلغ الجهة الرقابية (ص. 78؛ الفقرة 20).

تاريخ التطبيق في التقرير النهائي مجرد عنصر نائب: تسري الإرشادات اعتبارًا من تاريخ يُحدَّد مع نشر الترجمات على جميع الترتيبات التي تُبرم أو تُراجع أو تُعدَّل اعتبارًا من ذلك اليوم (الفقرة 18)؛ ويجب مراجعة الترتيبات القائمة وتكييفها (الفقرة 19).

الموضوع هو ترتيبات الحوكمة في حال قدّم مقدّمو خدمات من الأطراف الثالثة خدمات Non-ICT لدعم وظائف — مع التركيز على الوظائف الحرجة أو المهمة (الفقرة 5)؛ ويشمل «الدعم» أداء الوظيفة بالكامل (الحاشية 20). وتُستثنى خدمات ICT وفق المادة 3(21) من DORA لأنها تخضع للفصل V من DORA (الفقرة 7). وتفحص الجهة الرقابية الترتيبات في إطار SREP وفق المادة 97 من CRD وما يقابلها في IFD وPSD2 وEMD وMiCAR (الفقرة 6).

ما هو غير مشمول: استثناءات الفقرة 33

• الخدمات التي يجب قانونًا أن يقدّمها طرف ثالث — مثل تدقيق الحسابات الختامية
• الخدمات المالية المنظَّمة التي يجب قانونًا أن تقدّمها مؤسسة مالية أخرى منظَّمة بموجب قانون الاتحاد الأوروبي، مثل الحفظ أو منصات التداول
• خدمات معلومات السوق — أُضيفت بناءً على طلب المشاركين في المشاورة (الملاحظات ص. 79)
• المعاملات المالية بين المؤسسات المالية بوصفها أطرافًا مقابلة ومع البنوك المركزية
• البنى التحتية لشبكات الدفع مثل Visa وMastercard وWero وGIE CB، وكذلك اتفاقيات المقاصة والتسوية بين غرف المقاصة والأطراف المقابلة المركزية وجهات التسوية وأعضائها
• البنى التحتية العالمية للرسائل المالية الخاضعة لإشراف السلطات، مثل SWIFT، وكذلك أعمال البنوك المراسلة
• الخدمات التي ليس لها أثر جوهري على المخاطر أو المرونة: المهندسون المعماريون، والطباعة، والآراء القانونية، والتمثيل في الدعاوى، والعلاقات العامة، والتنظيف، وصيانة المباني، والخدمات الطبية، وأسطول المركبات، وخدمات التموين، والمقصف، وخدمات المكاتب والسفر والبريد والاستقبال
• شراء السلع (البطاقات البلاستيكية، وقارئات البطاقات، واللوازم المكتبية، والحواسيب الشخصية، والأثاث) وخدمات المرافق (الكهرباء، والغاز، والمياه، والهاتف)

المستبعَد هو الخدمة لا المزوّد: فالمؤسسة المالية الخاضعة للرقابة التي تقدّم خدمات أخرى هي TPSP مثل أي مزوّد آخر؛ وتدخل خضوعها للرقابة في اعتبارات التناسب وتحليل المخاطر (ص. 69–71). ولا تُعفي الاستثناءات من إدارة المخاطر — إذ تظل الخطوات المناسبة متوقَّعة (الحاشية 41).

مقدّمو الخدمات من الأطراف الثالثة داخل المجموعة ومقدّمو الخدمات المركزيون في نظام الحماية المؤسسي (IPS) هم TPSP — دون نظام خاص، لأن الترتيبات داخل المجموعة ليست بطبيعتها أقل خطورة (الجزء التمهيدي، الفقرة 19؛ الملاحظات ص. 71)؛ وتنشأ المرونة عبر الوظائف المركزية وفق الفقرات 26–30. ويجب معاملة TPSP داخل المجموعة في دولة ثالثة في تحليل المخاطر بوصفه TPSP من دولة ثالثة (الملاحظات ص. 75).

ينتمي الاختبار إلى إدارة المخاطر الشاملة عبر جميع مجالات الأعمال والوحدات الداخلية (الفقرة 31). ويُجرى قبل كل تكليف (الفقرة 68 أ) ويجب ترسيخه في السياسة بوصفه خطوة تخطيط (الفقرة 48 د).

1. 1
   المرحلة 1هل يتعلّق الأمر بخدمة Non-ICT؟

   إذا كانت الخدمة خدمة ICT وفق المادة 3(21) من DORA أو كان مكوّن ICT فيها جوهريًا لتقديمها، تسري DORA (الفقرة 31 أ، 32). وكل ما عدا ذلك يبقى في الاختبار.

2. 2
   المرحلة 2هل تُدعَم وظيفة بشكل متكرّر أو مستمر؟

   الوظيفة هي أي عملية أو خدمة أو نشاط — أو جزء منها (الفقرة 17). والمشتريات لمرة واحدة ليست ترتيب طرف ثالث (الفقرة 31 ب). ثم يجب فحص الاستثناءات وفق الفقرة 33.

3. 3
   المرحلة 3هل الوظيفة حرجة أو مهمة؟

   عندئذ فقط تسري السياسة (الفقرة 47)، والحقول الإضافية في السجل (الفقرة 62)، والعناية الواجبة الموسّعة (الفقرة 79)، والبنود التعاقدية الموسّعة (الفقرة 85)، وحقوق التدقيق غير المقيّدة (الفقرة 98)، وخطة الخروج (الفقرة 114). وعلى جميع الترتيبات الأخرى يسري النظام الأساسي (الفقرة 31 ج).

الوظيفة الحرجة أو المهمة هي وظيفة من شأن تعطّلها أن يضرّ جوهريًا بالأداء المالي للمؤسسة المالية، أو بسلامة خدماتها وأنشطتها أو استمراريتها، أو بالامتثال المستمر لشروط الترخيص وغيرها من الالتزامات الرقابية المالية (الفقرة 17). ويطابق النص المادة 3(22) من DORA (الجزء التمهيدي، الفقرة 13). وهو ليس مطابقًا لـ «الوظائف الحرجة» وفق المادة 2(1) البند 35 من BRRD، لكنه يشملها (الحاشية 35؛ الجزء التمهيدي، الفقرة 13).

الترتيب الذي يغطي عدة وظائف — مثل المهام التشغيلية لإدارة المخاطر والإبلاغ الرقابي — يجب تقييمه في جميع جوانبه معًا (الفقرة 32).

تحدّد هيئة الإدارة استراتيجيةً لمخاطر الأطراف الثالثة وتعتمدها وتراجعها بانتظام، تشمل السياسة وفق القسم 6 وتكمّل إدارة المخاطر التشغيلية والمرونة التشغيلية؛ ويجوز اعتماد استراتيجيات متكاملة أو منفصلة لـ ICT وNon-ICT (الفقرة 38؛ الملاحظات ص. 83). ولا يؤدي استخدام TPSP أبدًا إلى تفويض المسؤولية (الفقرة 41)، ولا يخفض متطلبات الملاءمة لهيئة الإدارة والإدارة العليا ولا الحاجة إلى موارد كفؤة (الفقرة 43). وتعدّد الفقرة 42 أ–ح ما تظل هيئة الإدارة مسؤولة عنه في جميع الأوقات — من شروط الترخيص مرورًا بالاستراتيجيات وشهية المخاطر وسياسات تضارب المصالح وصولًا إلى مراقبة جميع مخاطر الأطراف الثالثة وسياسة استمرارية الأعمال وخطط التدقيق الداخلي.

التناسب وهياكل المجموعات

التناسب يعني: يجب أن تتلاءم ترتيبات الحوكمة مع ملف المخاطر وطبيعة الأنشطة ونموذج الأعمال ونطاقها وتعقيدها (الفقرة 23). والمعيار لكل ترتيب هو تعقيد الوظيفة والمخاطر والأهمية الحرجة والأثر على الاستمرارية (الفقرة 24)؛ وتسري المعايير الواردة في الباب I من إرشادات الحوكمة لدى EBA بموجب CRD وIFD وMiCAR على نحو مماثل (الفقرة 25).

يجب مراجعة السياسة سنويًا على الأقل وتحديثها عند الحاجة؛ ويجب تنفيذ التغييرات في العلاقات التعاقدية في الوقت المناسب وفي أقرب وقت ممكن، وتضمن هيئة الإدارة التنفيذ على المستوى الفردي وشبه الموحّد والموحّد (الفقرة 47). ورفضت EBA طلب إلغاء الدورة السنوية — إذ رأت أنها ليست مرهقة إذا لم يتغيّر شيء، وأنها متّسقة مع DORA (الملاحظات ص. 85). أما ما إذا كانت سياسة الإسناد الخارجي لعام 2019 والسياسة الجديدة تشكّلان وثيقة واحدة فمتروك للمؤسسة المالية.

إضافةً إلى ذلك، يجب أن ترصد السياسة آثار الوظائف الحرجة أو المهمة لدى TPSP على أربعة مجالات وأن تُدخلها في القرارات: ملف المخاطر، والقدرة على مراقبة TPSP وإدارة المخاطر، وإجراءات استمرارية الأعمال، وأداء النشاط التجاري (الفقرة 50).

تنتمي ثلاثة أقسام متجاورة من حيث المضمون إلى السياسة. إذ يجب تحديد تضارب المصالح وتقييمه وإدارته؛ وفي حالة TPSP داخل المجموعة يجب أن تكون الشروط بما فيها السعر موضوعية، ويجوز احتساب أوجه التآزر في السعر ما دام TPSP قادرًا على البقاء بشكل مستقل — داخل المجموعة بمعزل عن تعثّر وحدات أخرى في المجموعة (الفقرات 51–53). وتتطلب استمرارية الأعمال خططًا تُختبر بانتظام بإشراك TPSP، وتحليلًا لأثر الأعمال (Business Impact Analysis) بمعايير كمية ونوعية، وتحليلًا للسيناريوهات، ونظرًا في قابلية الاستبدال (الفقرتان 54–55). ويجري التدقيق الداخلي فحصًا قائمًا على المخاطر، ويُدرج الترتيبات الحرجة في خطة التدقيق، ويقيّم الإطار وتقييم الأهمية الحرجة والمخاطر وإشراك الهيئات والمراقبة، ويدير عملية متابعة رسمية للملاحظات (الفقرتان 56–57).

يرصد السجل جميع ترتيبات الأطراف الثالثة الواقعة ضمن نطاق التطبيق — على المستوى الفردي وشبه الموحّد والموحّد — ويميّز الوظائف الحرجة أو المهمة عن غيرها؛ ويُدرج فيه المقاولون من الباطن لـ ICT لدى TPSP لـ Non-ICT الذين يدعمون فعليًا خدمة حرجة أو مهمة (الفقرة 58). وتبقى الترتيبات المنتهية موثّقة لمدة مناسبة؛ وقد جرت مواءمة مهلة السنوات الخمس المخطط لها في البداية مع DORA (الفقرة 59؛ الملاحظات ص. 90). ويجوز للمجموعات وIPS إدارة السجل مركزيًا، شريطة أن تحصل كل مؤسسة على سجلها الفردي دون تأخير (الفقرة 60، 28 د).

الإتاحة والإبلاغ إلى الجهة الرقابية

تحصل الجهة الرقابية عند الطلب على السجل كاملًا أو جزئيًا بصيغة إلكترونية قابلة للمعالجة — ويُسمح بصيغة ITS الخاصة بـ DORA، مثل صيغة قاعدة بيانات أو CSV (الفقرة 63) — وعلى جميع المعلومات اللازمة وصولًا إلى نسخ العقود (الفقرة 64). ويجب الإبلاغ في الوقت المناسب عن الترتيبات المخطط لها المتعلقة بوظائف حرجة أو مهمة وعن حالة تحوّل وظيفة إلى حرجة أو مهمة، وفي إطار الحوار الرقابي عند الاقتضاء، مع البيانات الواردة في الفقرتين 61 و62 على الأقل (الفقرة 65)؛ وكذلك التغييرات الجوهرية والأحداث الخطيرة (الفقرة 66). ويجب توثيق التقييمات ونتائج المراقبة (الفقرة 67). ولا تحدّد الإرشادات مهلة؛ ويمكن تقديم إبلاغات مركزية من المجموعات (الملاحظات ص. 77–78 و92).

الوظائف الخاضعة للترخيص — الأعمال المصرفية، وخدمات الدفع، وإصدار ART أو خدمات الاستثمار وفق المادة 4 البند 2 من MiFID II بنطاق يتطلب ترخيصًا أو تسجيلًا — لا يجوز إسنادها إلا إلى TPSP مرخّص أو مسجّل لذلك أو مخوّل بذلك بطريقة أخرى بموجب القانون الوطني (الفقرة 69؛ القسم 11.1). وإذا كان مقر TPSP في دولة ثالثة، تسري ثلاثة شروط تراكمية (الفقرة 70):

1. 1
   الشرط 1الترخيص والخضوع للرقابة في الدولة الثالثة

   يكون TPSP مرخّصًا أو مسجّلًا في الدولة الثالثة لممارسة النشاط، ويخضع هناك لرقابة جهة رقابية (الفقرة 70 أ).

2. 2
   الشرط 2اتفاقية تعاون بين السلطات

   توجد بين الجهة الرقابية للمؤسسة المالية والجهة الرقابية في الدولة الثالثة اتفاقية تعاون مناسبة، مثل مذكرة تفاهم (Memorandum of Understanding) أو اتفاقية هيئة إشرافية (College-Agreement) (الفقرة 70 ب).

3. 3
   الشرط 3أربعة حقوق دنيا للجهة الرقابية

   تكفل الاتفاقية للجهة الرقابية في الاتحاد الأوروبي على الأقل: المعلومات عند الطلب، والوصول إلى البيانات والوثائق والمقار والموظفين في الدولة الثالثة، والإبلاغ بأسرع ما يمكن عن المخالفات المشتبه بها، والتعاون في الإنفاذ (الفقرة 70 ج).

تحليل المخاطر (القسم 11.2)

العناية الواجبة (القسم 11.3)

• يتناسب عمق الفحص مع الأهمية الحرجة للوظيفة (الفقرة 77).
• لكل TPSP: نموذج الأعمال، والحجم، والتعقيد، والقوة المالية، وهيكل الملكية والمجموعة؛ والقدرة التشغيلية والتقنية والسجل السابق؛ والانتماء إلى المجموعة؛ والخضوع للرقابة (الفقرة 78).
• للوظائف الحرجة أو المهمة إضافةً إلى ذلك: السمعة، والخبرة، والقدرة والموارد؛ والضوابط الداخلية وإدارة المخاطر بما في ذلك مخاطر سلسلة التوريد؛ والتبعيات الجغرافية؛ وخطط استمرارية الأعمال (BCP) والطوارئ والتعافي من الكوارث؛ والتراخيص اللازمة طوال مدة العقد؛ وقابلية التدقيق الفعلية بما في ذلك في الموقع من قِبل المؤسسة والمكلَّفين من قِبلها والجهة الرقابية (الفقرة 79).
• يجب أن يُؤخذ في الاعتبار الاستخدام المخطط للمقاولين من الباطن في الأجزاء الجوهرية (الفقرة 80)؛ وفي حالة البيانات الشخصية أو السرية يجب فحص الإجراءات التقنية والتنظيمية لدى TPSP (الفقرة 81).

تتبع خطوة الفحص الخامسة — تضارب المصالح — القسم 7 (الفقرات 51–53)، ويجب توثيقها بعناية خاصة في حالة TPSP داخل المجموعة.

تشترط الفقرة 83 توزيع حقوق والتزامات المؤسسات المالية ومقدّم الخدمة من الأطراف الثالثة (TPSP) بوضوح وتوثيقها كتابيًا. والنتيجة: يجب أن تغطي الاتفاقية الإطارية وطلب الاستدعاء الفردي ووثيقة الخدمة معًا الحد الأدنى من المحتوى وفق الفقرة 84 — لكل ترتيب ضمن نطاق التطبيق، بغض النظر عن الأهمية الحرجة.

عشرة عناصر إلزامية لكل ترتيب (الفقرة 84 أ–ي)

ستة بنود إضافية للوظائف الحرجة أو المهمة (الفقرة 85 أ–و)

تضيف الفقرة 86 بالنسبة لـ TPSP، ولا سيما في الدول الثالثة: مع عدم الإخلال بـ GDPR (اللائحة (EU) 2016/679)، يجب مراعاة الاختلافات في قوانين حماية البيانات الوطنية. ويُلزم العقد TPSP بحماية المعلومات السرية والشخصية وغيرها من المعلومات الحساسة، والامتثال لجميع التزامات حماية البيانات السارية على المؤسسة المالية نفسها — بما في ذلك صراحةً السرية المصرفية والتزامات الكتمان المماثلة تجاه العملاء.

أديروا العناصر أ–ي وأ–و كقائمة تحقّق للبنود لكل عقد، مرتبطة بحقول السجل (الفقرتان 61–62). والعناصر الناقصة في العقود القديمة هي ما يجب إعادة التفاوض عليه خلال الفترة الانتقالية الممتدة لعامين (الفقرتان 19–20).

تضع الفقرة 87 الإطار: يحدّد الترتيب ما إذا كان الإسناد الفرعي مسموحًا به وبأي شروط. ولا يقلّل المقاولون من الباطن من المسؤولية النهائية لهيئة الإدارة. وتحتاج المؤسسات المالية إلى «رؤية واضحة وشاملة» للسلسلة، وتركّز على المقاولين من الباطن الذين يدعمون فعليًا خدمة Non-ICT — ومن يفعل ذلك يُدرج في السجل وفق الفقرة 88 (الفقرة 62 ج).

ما يجب أن ينظّمه العقد بشأن الإسناد الفرعي (الفقرة 89 أ–ي)

• أ — الأنشطة المستثناة من الإسناد الفرعي
• ب — الشروط الواجب الالتزام بها عند الإسناد الفرعي
• ج — التزام TPSP بتقييم مخاطر مواقع المقاولين من الباطن الحاليين أو المحتملين وشركتهم الأم ومكان تقديم الخدمة وإدارتها
• د — التزام TPSP بمراقبة الوظائف المسندة فرعيًا كي تبقى جميع الالتزامات التعاقدية مستوفاة باستمرار
• هـ — التزامات الإبلاغ لدى TPSP بشأن المقاولين من الباطن للوظائف الحرجة أو المهمة
• و — التزام TPSP بأن يثبّت في عقوده الفرعية التزامات المراقبة والإبلاغ على المقاولين من الباطن تجاهه، وتجاه المؤسسة المالية حيثما اتُّفق على ذلك
• ز — التزام الاستمرارية: يضمن TPSP الوظيفة عبر السلسلة بأكملها، حتى لو أخلّ أحد المقاولين من الباطن بالتزاماته
• ح — حقوق السلسلة: يمنح المقاول من الباطن المؤسسة المالية والجهات الرقابية وجهات التسوية حقوق الوصول والتفتيش والتدقيق ذاتها التي يمنحها TPSP
• ط — ينفّذ المقاول من الباطن في الوقت المناسب التعديلات التعاقدية اللازمة للامتثال لقانون الاتحاد الأوروبي ولهذه الإرشادات
• ي — توثّق المؤسسة المالية الجدول الزمني لهذه التعديلات وتبلّغ به

سير الإجراء: الإخطار، والمهلة، والقرار (الفقرات 90–94)

1. 1
   الخطوة 1الإخطار من قِبل TPSPالفقرة 90

   يُخطر TPSP بالعقود الفرعية الجديدة والتغييرات الجوهرية المعتزمة في وقت مبكر بما يكفي لتتمكّن المؤسسة المالية من تقييم آثارها على مخاطرها وعلى وفاء TPSP بالعقد.

2. 2
   الخطوة 2مهلة مناسبةالفقرة 91

   يتضمّن العقد مهلة إخطار مناسبة يمكن للمؤسسة المالية خلالها الموافقة أو الاعتراض.

3. 3
   الخطوة 3التقييم مقابل تحمّل المخاطرالفقرة 93

   إذا تجاوز الإسناد الفرعي أو التغيير حدود تحمّل المخاطر، تُبلغ المؤسسة المالية TPSP قبل انقضاء المهلة، وتعترض، وتطلب تعديلات — قبل إبرام العقد الفرعي أو تنفيذ التغيير.

4. 4
   الخطوة 4التنفيذ فقط بعد الموافقة أو انقضاء المهلةالفقرة 92

   لا يجوز لـ TPSP إبرام العقد الفرعي أو تنفيذ التغيير إلا بعد موافقة المؤسسة المالية أو عدم اعتراضها حتى نهاية المهلة.

5. 5
   الخطوة 5التحديد والمراقبة المستمرانالفقرة 94

   يحدّد TPSP جميع المقاولين من الباطن ويراقب من يقدّمون منهم وظائف حرجة أو مهمة أو أجزاء جوهرية منها.

وبذلك تصبح السلسلة موضوعًا للفحص. إذ تشترط الفقرة 75 منذ مرحلة تحليل المخاطر تقييم المقاولين من الباطن في الدول الثالثة والسلاسل الطويلة والمعقّدة كخطر قائم بذاته، لأنها تقلّل قابلية المراقبة من قِبل المؤسسات المالية والجهة الرقابية. ويُدرج في السجل المقاولون من الباطن للأجزاء الجوهرية مع مرتبتهم في السلسلة (الفقرة 62 ج؛ للحقول انظروا الفصل 6). ومن لا يحصل على هذه البيانات فليست لديه مشكلة في السلسلة، بل مشكلة في العقد.

حالة حدّية مع DORA: المقاولون من الباطن لـ ICT لدى مقدّم خدمة Non-ICT الذين يدعمون فعليًا خدمته لوظيفة حرجة أو مهمة يُدرجون أيضًا في سجل Non-ICT وفق الفقرة 58 — فالحد يمتد على طول الخدمة الرئيسية، لا على طول السلسلة.

تبدأ الفقرة 96 من المؤسسة نفسها: يجب أن يتيح العقد للتدقيق الداخلي فحص الوظيفة التي يؤدّيها TPSP على أساس المخاطر. وتسري الفقرة 97 على مؤسسات CRD بغض النظر عن الأهمية الحرجة: يحيل كل عقد إلى صلاحيات المعلومات والتحقيق لدى الجهات الرقابية وجهات التسوية وفق المادة 63(1)(a) من BRRD والمادة 65(3) من CRD — بالنسبة لـ TPSP في الدولة العضو وكذلك في الدولة الثالثة.

وفق الفقرة 101، تحدّد المؤسسات المالية تواتر التدقيق ومجالاته على أساس المخاطر وتتبع معايير تدقيق معترفًا بها. ولاستخدام موارد التدقيق بكفاءة أكبر، تسمح الفقرة 102 بأداتين مساعدتين: التدقيقات المجمّعة (Pooled Audits) بالاشتراك مع عملاء آخرين لدى TPSP نفسه أو عبر طرف ثالث مكلَّف بشكل مشترك، وكذلك الشهادات وتقارير التدقيق الصادرة عن أطراف ثالثة أو عن التدقيق الداخلي لدى TPSP.

الشروط الثمانية للشهادات وتقارير التدقيق (الفقرة 104 أ–ح)

قبل عمليات التفتيش الميداني المخطط لها، يتلقى TPSP إشعارًا مسبقًا مناسبًا، إلا في حالات الطوارئ أو الأزمات أو إذا كان الإشعار سيجعل التدقيق عديم الجدوى (الفقرة 105). وفي البيئات متعددة العملاء يجب تجنّب المخاطر على العملاء الآخرين — مستويات الخدمة، وتوافر البيانات، والسرية — أو الحد منها (الفقرة 106). وعند ارتفاع التعقيد يجب على المؤسسة المالية التحقّق مما إذا كان لدى التدقيق الداخلي أو مجمّع التدقيق أو الجهات الخارجية المكلَّفة القدرات اللازمة؛ وينطبق الأمر نفسه على الموظفين الذين يقيّمون الشهادات والتدقيقات الخارجية (الفقرة 107).

وفق الفقرة 108، يجب أن تتوفر حقوق الإنهاء، بما يتوافق مع القانون المطبَّق، في خمس حالات من بين حالات أخرى. وتشترط الفقرة 109 بالنسبة للوظائف الحرجة أو المهمة أن يسهّل العقد النقل إلى TPSP آخر أو الاستعادة: التزامات TPSP الحالي في حالة النقل بما في ذلك التعامل مع البيانات، ومرحلة انتقالية مناسبة يواصل خلالها تقديم الخدمة بعد الإنهاء، والتزامًا بالدعم من أجل انتقال منظَّم.

• الفقرة 108 أ — مخالفة جسيمة من TPSP للقوانين أو اللوائح أو أحكام العقد
• الفقرة 108 ب — ظروف رُصدت أثناء المراقبة قد تغيّر تقديم الخدمة
• الفقرة 108 ج — تغييرات جوهرية مثل الإسناد الفرعي أو تغيير المقاولين من الباطن
• الفقرة 108 د — نقاط ضعف مثبتة في إدارة المخاطر أو في أمن البيانات السرية أو الشخصية أو الحساسة بخلاف ذلك أو غير الشخصية
• الفقرة 108 هـ — لم تعد الجهة الرقابية قادرة على الإشراف الفعّال على المؤسسة المالية نتيجةً لشروط العقد

المراقبة وفق الفقرة 110 قائمة على المخاطر، ومستمرة في حالة الوظائف الحرجة أو المهمة. ويُحدَّث تحليل المخاطر وفق القسم 11.2 بانتظام، وتتلقى هيئة الإدارة تقارير مخاطر دورية، وعند حدوث تغيير جوهري في مخاطر وظيفة أو طبيعتها أو نطاقها يُعاد تقييم أهميتها الحرجة. وتشترط الفقرة 111 مراقبة مخاطر التركّز الداخلية — بما في ذلك المقاولون من الباطن. وعند وجود أوجه قصور فعلية أو محتملة يجب اتخاذ إجراءات تصحيحية أو إنهاء العقد (الفقرة 113).

وفق البند 114، يجب توثيق استراتيجيات الخروج لجميع الوظائف الحرجة أو المهمة، بما يتسق مع الاستراتيجية وخطط الطوارئ، مع مراعاة ستة سيناريوهات على الأقل. ويشترط البند 115 خروجًا دون تعطيل غير مبرر للأعمال، ودون المساس بالامتثال، ودون إلحاق ضرر بالعملاء: يجب أن تكون خطط الخروج واقعية وقابلة للتنفيذ، ومبنية على سيناريوهات معقولة، وموثقة، ومختبرة بشكل كافٍ حيثما كان ذلك مناسبًا — مثلًا من خلال تحليل التكاليف والآثار والموارد والوقت اللازم للتحويل. وتراعي الحلول البديلة وخطط الانتقال موقع البيانات وتضمن الاستمرارية خلال المرحلة الانتقالية.

• البند 114 a — إنهاء ترتيب الطرف الثالث
• البند 114 b — إخفاق TPSP
• البند 114 c — مخاطر التركّز على مستوى المؤسسة واحتمال صعوبة الخروج
• البند 114 d — تراجع الجودة وانقطاعات الأعمال الفعلية أو المحتملة بسبب فشل تقديم الخدمة
• البند 114 e — المخاطر الجوهرية على استمرارية تقديم الوظيفة
• البند 114 f — مخالفة جسيمة من TPSP للقوانين أو اللوائح أو الشروط التعاقدية

ويشترط البند 116 كذلك إدراج تحليل السيناريوهات وفق البند 73، وتحديد أهداف استراتيجية الخروج، وتوزيع الأدوار والمسؤوليات والموارد الكافية، ووضع معايير نجاح لنقل الخدمات والبيانات المحفوظة لدى TPSP.

ثلاثة أسئلة في البداية: هل يمثل الترتيب تغييرًا جوهريًا في شروط الترخيص الأولي (البند 117)؟ هل تستطيع الجهة الإشراف الفعّال على المؤسسة المالية — لا سيما لأن العقود تُلزم TPSP بمنح حقوق الوصول والتدقيق وفق القسم 12.2 (البند 118)؟ وأين يجري التحليل؟ في SREP على الأقل؛ وبالنسبة لمؤسسات الدفع في عمليات رقابية أخرى مثل الاستفسارات المخصصة أو الفحوص الميدانية (البند 119).

تواصل الجهة الرقابية متابعة مخاطر التركّز المكتشفة وتقيّم آثارها على المؤسسات المالية الأخرى وعلى استقرار النظام المالي؛ وتُبلغ سلطة التسوية بالوظائف الجديدة التي يُحتمل أن تكون حرجة بمفهوم BRRD (البند 125). وإذا قُدّمت وظائف حرجة أو مهمة خارج الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية، فيجب أن تكون الجهة مقتنعة بقدرتها على الإشراف الفعّال (البند 127). وتتعاون الجهات بشكل وثيق وتتبادل المعلومات في الوقت المناسب — لا سيما بشأن التركّز القطاعي (البند 128).

صلاحيات التدخل متدرجة (البند 126): إذا افتقرت المؤسسة إلى حوكمة متينة أو إلى الامتثال للقواعد، يجوز للجهة الرقابية تقييد نطاق خدمات Non-ICT للوظائف الحرجة أو المهمة أو طلب الخروج من ترتيب واحد أو أكثر. وإذا تعذّر ضمان الإشراف بطريقة أخرى، يمكن اللجوء إلى إنهاء العقود أو تعليقها مؤقتًا — مع مراعاة الحاجة إلى استمرار التشغيل.

لحوار SREP: قررت EBA عدم اعتماد موافقة مسبقة (تحليل التكلفة والعائد، الخيار B: مبادئ عامة رفيعة المستوى). وبدلًا من ذلك، يسري الإبلاغ في الوقت المناسب، وعند الاقتضاء الحوار الرقابي، بشأن الترتيبات الحرجة المخطط لها (البند 65)، إضافة إلى تقديم السجل بصيغة إلكترونية قابلة للمعالجة عند الطلب (البند 63).

يصوغ الملخص التنفيذي الهدف: سد الفجوة مع DORA، وتمكين نهج شامل، والمواءمة الوثيقة بين الإطارين — من أجل تكافؤ الفرص والتقارب الرقابي (ص. 4). وتعريف الوظيفة الحرجة أو المهمة «fully consistent» مع DORA (ص. 5، البند 17). وتسمح ثلاثة مواضع صراحةً بالدمج (الدور، السياسة، السجل)؛ ويترتب عنصران آخران على التوازي بين النظامين.

من الناحية المنهجية، توفر ISO/IEC 27001:2022 بضوابطها من A.5.19 إلى A.5.23 (العلاقات مع المورّدين، الأمن في اتفاقيات المورّدين، سلسلة توريد ICT، مراقبة خدمات المورّدين وإدارة التغيير فيها، استخدام الحوسبة السحابية) وISO/IEC 27036 (أمن المعلومات في العلاقات مع المورّدين) هيكل الضوابط اللازم لتمثيل النظامين في نظام إدارة واحد — وفي منصات مثل VamiGRC بوصفهما نموذج بيانات واحدًا بعرضين.

الدمج خيار وليس التزامًا (البندان 49، 61). ومن يدير سجلين عليه تجنب التناقضات (البند 61) — وعمليًا يعني ذلك: قاعدة بيانات واحدة.

اعتبارًا من بدء التطبيق، تسري المبادئ التوجيهية على جميع الترتيبات المبرمة أو المراجعة أو المعدلة اعتبارًا من ذلك التاريخ (البند 18)؛ ويجب مراجعة الترتيبات القائمة وتكييفها (البند 19). وللوظائف الحرجة أو المهمة فترة انتقالية مدتها عامان — ومن لم ينتهِ بحلولها يُبلغ الجهة الرقابية بالإجراءات المخطط لها أو باستراتيجية خروج محتملة (البند 20). ولا تُراجع الترتيبات غير الحرجة إلا عند التجديد (البند 21). وقد اختارت EBA هذا الخيار B2 عن قصد لتخفيف ضغط إعادة التفاوض (ص. 58–59).

1. 1
   المرحلة 0التعبئة — قبل بدء التطبيقالبنود 38–44

   تفويض من هيئة الإدارة، والدور وفق البند 44 c (مدمجًا مع دور DORA)، وجرد جميع عقود Non-ICT، وتحليل الفجوات مقابل البنود 84–85 و61–62 و48–49، واتخاذ قرار بشأن بنية التكامل.

2. 2
   المرحلة 1أول 90 يومًا من بدء التطبيقالبنود 31–37، 61

   اختبار المراحل الثلاث وتحديد درجة الأهمية الحرجة لجميع الترتيبات، والحقول الأساسية للسجل (البند 61)، وترتيب أولويات العقود الحرجة حسب تاريخ التجديد، وسياسة معتمدة (البند 47)، وعملية للترتيبات الجديدة — التي يسري عليها البند 18 فورًا — ومسار الإبلاغ إلى الجهة الرقابية (البند 65).

3. 3
   المرحلة 2الأشهر 4–12: العقد والسلسلةالبنود 84–95، 98

   إعادة التفاوض على الترتيبات الحرجة: مجموعة البنود وفق البنود 84–85، وقواعد التعاقد من الباطن وفق البنود 89–95، وحقوق التدقيق وفق البند 98، وبيانات المتعاقدين من الباطن وفق البند 62 c، والعناية الواجبة المحدّثة (البنود 77–82)، والحقول الإضافية للسجل (البند 62)، وتقارير KPI/KCI (البند 112).

4. 4
   المرحلة 3الأشهر 13–24: اختبارات الخروج وأدلة الإثباتالبنود 56، 101–104، 115

   اختبار خطط الخروج حيثما كان ذلك مناسبًا (البند 115)، وخطة تدقيق التدقيق الداخلي (البند 56)، وأولى عمليات التدقيق الذاتية أو المجمّعة (البنود 101–104)، والتقارير المقدمة إلى هيئة الإدارة (البند 110) — وحيث لا تنتهي المراجعة في الوقت المحدد، حوار رقابي قبل الشهر 24 (البند 20).

5. 5
   المرحلة 4اعتبارًا من الشهر 24: التشغيل الاعتياديالبنود 21، 47، 110، 119

   استكمال الترتيبات غير الحرجة عند التجديد (البند 21)، ومراجعة السياسة سنويًا (البند 47)، وإعادة تقييم درجة الأهمية الحرجة عند التغييرات الجوهرية (البند 110)، وتقديم السجل إلكترونيًا عند الطلب (البند 63)، والجاهزية لـ SREP (البند 119).

يتدرج البرنامج وفق مبدأ التناسب: يمكن للمؤسسات المالية الأقل تعقيدًا إسناد الدور إلى عضو في هيئة الإدارة (البند 44 c)، واستخدام تحليلات نوعية للمخاطر (البند 73)، وإدارة السجل مركزيًا على مستوى المجموعة أو IPS (البند 60).

تاريخ التطبيق: يتضمن التقرير النهائي (Final Report) العنصر النائب «[date]» (البنود 18، 20، 22)؛ وتُدرج EBA المبادئ التوجيهية بوصفها «final and awaiting translation». وإلى أن تُنشر الترجمات، يبقى الشهر 0 مجهولًا — خططوا نسبةً إلى بدء التطبيق واستغلوا الوقت للمرحلة 0.