1. Lorsqu’un APA ou un ARM prend ses dispositions pour faire exercer des activités pour son compte par des prestataires de services tiers, y compris des entreprises avec lesquelles il a des liens étroits, il veille à ce que ces prestataires de services tiers aient les aptitudes et les capacités nécessaires pour exercer ces activités de manière fiable et professionnelle.
L’APA ou l’ARM précise quelles activités seront externalisées, ainsi que les ressources humaines et techniques nécessaires à l’exercice de chacune de ces activités.
2. Un APA ou un ARM qui externalise des activités veille à ce que cette externalisation ne diminue pas son aptitude à exercer ou son pouvoir d’exercer des fonctions de direction générale ou d’organe de direction.
3. Un APA ou un ARM conserve la responsabilité de toutes les activités externalisées et prend des mesures organisationnelles garantissant:
a) qu’il évalue si le prestataire de services tiers exerce les activités externalisées de manière efficace et conforme aux dispositions législatives et aux exigences réglementaires applicables et remédie de manière adéquate aux défaillances constatées;
b) l’identification des risques relatifs aux activités externalisées et un suivi périodique adéquat;
c) des procédures de contrôle adéquates des activités externalisées, incluant une surveillance effective des activités et de leurs risques au sein de l’APA ou de l’ARM;
d) une continuité suffisante des activités externalisées.
Aux fins du point d), l’APA ou l’ARM obtient des informations sur les mécanismes de continuité des activités du prestataire de services tiers, en évalue la qualité et, au besoin, en demande l’amélioration.
4. L’APA ou l’ARM veille à ce que le prestataire de services tiers coopère, pour ce qui concerne les activités externalisées, avec l’AEMF ou, selon le cas, avec l’autorité nationale compétente.
5. Lorsqu’un APA ou un ARM externalise une fonction critique ou importante, il communique à l’AEMF ou, selon le cas, à l’autorité nationale compétente:
a) l’identité du prestataire de services tiers;
b) les mesures organisationnelles, définies au paragraphe 3, qui régissent l’externalisation et les risques qu’elle comporte;
c) des rapports internes ou externes sur les activités externalisées.