K outsourcingu některých činností bank při distribuci investičních nástrojů

Shrnutí stanoviska

Při outsourcingu distribuce investičních nástrojů mohou banky kromě samotné distribuce pověřit třetí osobu i některými činnostmi s distribucí souvisejícími, jako identifikací a kontrolou klientů podle AMLZ, provedením tzv. „testu přiměřenosti nebo vhodnosti“ při poskytování investičních služeb a předáním informací zákazníkovi za účelem splnění některých informačních povinností banky.

Banky však při tom musí zajistit splnění podmínek podle nařízení (EU) 2017/565 a vyhlášky č. 163/2014 Sb., včetně dodržení pokynů EBA k outsourcingu, jakož i plnění svých dalších povinností spjatých s distribucí investičních nástrojů, vyplývajících mimo jiné z AMLZ, ZPKT, ZOS.

Adresátem pravidel pro outsourcing jsou právě banky, které třetí osobu pověřily výkonem určité činnosti, nikoliv tyto pověřené třetí osoby.

Zároveň musí banky při outsourcingu vyhodnotit, zdali činnost, kterou pověřily třetí osobu, je tzv. významnou činností ve smyslu MiFID II, resp. nařízení (EU) 2017/565, a vyhlášky č. 163/2014 Sb., neboť v takovém případě se uplatňují přísnější podmínky. To, zda je některá činnost významná, nelze určit paušálně, neboť bude vždy záležet na konkrétní situaci dané banky.

Odůvodnění

Možnost outsourcingu činnosti banky při distribuci investičních nástrojů

1. Outsourcing distribuce investičních nástrojů

Podle § 14a ZPKT může být banka při jednání se zákazníkem nebo potenciálním zákazníkem v rámci poskytování investičních služeb zastoupena pouze svým pracovníkem, investičním zprostředkovatelem nebo svým vázaným zástupcem.

Pokud se tedy banka při distribuci investičních nástrojů nechá zastoupit investičním zprostředkovatelem nebo svým vázaným zástupcem, bude z její strany docházet k outsourcingu ve smyslu § 12 odst. 1 vyhlášky č. 163/2014 Sb., resp. bodu 12 pokynů EBA k outsourcingu a banka bude muset postupovat v souladu s příslušnými požadavky stanovenými ve vyhlášce č. 163/2014 Sb., včetně dodržení pokynů EBA k outsourcingu a povinností upřesněných v příloze č. 7 této vyhlášky.^[3] Zároveň může banka outsourcovat i některé jiné činnosti spjaté s distribucí investičních nástrojů, které mohou navíc vyžadovat také splnění dalších požadavků vyplývajících mimo jiné z AMLZ, ZPKT a ZOS.

Adresátem pravidel outsourcingu je primárně banka, i když v praxi může mít aplikace těchto pravidel dopad i na třetí osoby. Může totiž nastat situace, že outsourcing některých činností na některé třetí osoby nebo v určitém rozsahu nebude možný bez provedení změn na straně třetí osoby (např. spočívajících ve zlepšení vnitřního řízení, vedení dokumentace atp.), neboť bez nich nebude slučitelný s požadavky na banku, obsaženými ve vyhlášce č. 163/2014 Sb. a pokynech EBA k outsourcingu. Zcela vyloučit nelze ani situaci, kdy uplatnění těchto pravidel outsourcingu vůbec neumožní outsourcovat některé činnosti na některé třetí osoby.

2. Outsourcing identifikace a kontroly klienta podle AMLZ

Povinné osoby, mezi které podle ustanovení § 2 odst. 1 písm. a) bodu 1 AMLZ banky patří, mohou pro provedení identifikace a kontroly klienta využít outsourcing nebo tyto informace převzít od jiné povinné osoby. Pro toto převzetí informací pak stanoví § 11 v odst. 4, 5, 6, 9 a 10 AMLZ omezení. Součástí těchto ustanovení je rovněž pravidlo, dle kterého v konečném důsledku za řádné splnění všech povinností, které souvisejí s identifikací a kontrolou klienta, odpovídá povinná osoba, jako by je provedla sama. Oblast outsourcingu však AMLZ přímo neupravuje, nicméně ani nezakazuje, a v případě banky se tak uplatní obecná pravidla její činnosti, včetně pravidel pro outsourcing ve vyhlášce č. 163/2014 Sb.^[4]

Pro úvahy o outsourcingu je nutné zohlednit, kdo outsourcing provádí, s kým se navazuje obchodní vztah a také časovou souslednost. Dle AMLZ je tak možné uvažovat o třech situacích, ilustrovaných na případu spolupráce banky s investičním zprostředkovatelem, kdy zákon umožňuje převzetí informací od jiné povinné osoby nebo využití outsourcingu k provedení identifikace a kontroly klienta:

1. V případě, že potenciální klient banky je již stávajícím klientem investičního zprostředkovatele a následně se má stát i klientem banky, je možné využít postupu převzetí identifikace a kontroly klienta ve smyslu § 11 odst. 1 AMLZ. Tento postup je podmíněn existencí obchodního vztahu mezi klientem a investičním zprostředkovatelem^[5] a v rámci vzniku tohoto obchodního vztahu provedením prvotní identifikace klienta podle § 8 respektive § 8a AMLZ.^[6]
2. V případě, že potenciální klient banky ve vztahu k investičním službám není z jiného důvodu klientem ani banky ani investičního zprostředkovatele, může banka pověřit provedením identifikace klienta^[7], zjištěním jeho řídicí a vlastnické struktury a totožnosti skutečného majitele^[8] a zjištěním zamýšlené povahy a účelu obchodního vztahu^[9] tohoto investičního zprostředkovatele (případně jinou osobu). AMLZ v § 11 odst. 5 upravuje specificky postupy pro tyto případy. Osoba provádějící za banku tyto úkony může, ale nemusí být povinnou osobou ve smyslu § 2 AMLZ. Postup podle § 11 odst. 5 AMLZ se váže na provedení identifikace a vybraných aspektů kontroly klienta před uskutečněním obchodu nebo vznikem obchodního vztahu a je nutné, aby osoba, která za banku v této věci jedná, byla vázána jejími vnitřními předpisy. Předpokladem, aby povinná osoba, tedy banka, mohla vybrané činnosti outsourcovat, je rovněž i odpovědnost banky za škodu způsobenou činností osoby, na kterou byly činnosti outsourcovány, a to ve stejném rozsahu, jako by je prováděla sama povinná osoba. Osoba provádějící outsourcované činnosti musí být také proškolena v souladu s § 23 odst. 2 AMLZ.
3. V případě, že potenciální klient banky není klientem investičního zprostředkovatele před uzavíráním obchodního vztahu s bankou, je možné také využít postup podle § 11 odst. 6 AMLZ. Tento postup podle AMLZ nevyžaduje (na rozdíl od postupu podle § 11 odst. 5 AMLZ), aby investiční zprostředkovatel jednal za osobu s povolením k poskytování investičních služeb, avšak platí vázanost investičního zprostředkovatele vnitřními předpisy banky. Různý je jen režim uložení pořízených kopií.

3. Outsourcing provedení tzv. „testu přiměřenosti nebo vhodnosti“

Banka může provedením tzv. testu vhodnosti nebo přiměřenosti pověřit i třetí osobu. Provedení testu vhodnosti nebo přiměřenosti lze považovat za přípravnou práci směřující ke sjednání obchodu s investičními nástroji ve smyslu § 2 odst. 1 písm. y) bodu 3 ZPKT, a proto je samo o sobě investiční službou ve smyslu § 4 odst. 2 písm. a) ZPKT ve spojení s § 4 odst. 4 ZPKT. Je tedy nezbytné, aby bankou pověřená třetí osoba, v souladu s § 4a ZPKT, disponovala příslušným povolením k poskytování investiční služby přijímání a předávání pokynů týkajících se investičních nástrojů podle § 4 odst. 2 písm. a) ZPKT. Odpovědnost banky za provedení a vyhodnocení testu přiměřenosti nebo vhodnosti není dotčena tím, že banka touto činností pověří jinou osobu, neboť odpovědnost v takovém případě i nadále zůstává na povinné osobě vzhledem k tomu, že požadavky právních předpisů a smluvní závazky platí pro povinnou osobu bez ohledu na její vztah k poskytovateli outsourcingu^[10].

Pokud banka pověří jinou osobu provedením a vyhodnocením testu přiměřenosti nebo vhodnosti, bude z její strany docházet k outsourcingu této činnosti, ve smyslu § 12 odst. 1 vyhlášky č. 163/2014 Sb., resp. bodu 12 pokynů EBA k outsourcingu.

Pokud má test přiměřenosti nebo vhodnosti povinnost provést vícero osob (např. banka i investiční zprostředkovatel, prostřednictvím kterého zákazník s bankou jedná), musí tak všechny učinit, i když ve vztahu ke stejné investiční službě poskytované stejnému zákazníkovi již test provedla a vyhodnotila jiná povinná osoba. To nevylučuje, že jedna ze zapojených osob outsourcuje provedení a vyhodnocení testu na jinou osobu (např. banka na investičního zprostředkovatele), ale bude stále sama odpovědná za jeho zpracování a vyhodnocení.

Výjimkou je případ, kdy se banka (resp. evropský obchodník s cennými papíry) při provádění testu přiměřenosti nebo vhodnosti spoléhá na informace o zákazníkovi, které získá od jiného evropského obchodníka s cennými papíry^[11] a rovněž na doporučení poskytnutá zákazníkovi jiným evropským obchodníkem s cennými papíry (§ 15j odst. 2 ZPKT).^[12] Za úplnost a přesnost informací, jakož i poskytnutých rad a doporučení, bude v takovém případě odpovědný tento „zprostředkující“ evropský obchodník s cennými papíry. Tím však není dotčena povinnost banky poskytovat investiční služby s odbornou péčí, zejména řádně vyhodnocovat tímto způsobem získané informace.

4. Outsourcing předání informací formou přenosu dat/datových souborů, poskytovaných zákazníkovi za účelem splnění některých informačních povinností banky

Bance vyplývají ze ZPKT informační povinnosti vůči zákazníkovi, které zpravidla musí plnit poskytnutím příslušných dat/datových souborů zákazníkovi v elektronické podobě prostřednictvím trvalého nosiče dat. Pokud daný trvalý nosič dat a systém poskytnutí informací na něm zákazníkovi provozuje třetí strana s cílem umožnit bance plnění těchto povinností zakotvených v ZPKT a nařízení (EU) 2017/565, dochází k outsourcingu této činnosti ve smyslu § 12 odst. 1 vyhlášky č. 163/2014 Sb., resp. bodu 12 pokynů EBA k outsourcingu (takovou třetí stranou může být např. správce/provozovatel speciálního portálu/serveru/aplikace, jehož prostřednictvím se informace zákazníkům poskytují).^[13]

Jsou-li pak na tomto trvalém nosiči předávány klientovi informace od banky,^[14] bude zpravidla docházet k poskytování investiční služby ve smyslu § 4 odst. 2 písm. a) ZPKT ve spojení s § 4 odst. 4 a § 2 odst. 1 písm. y) bodu 5 ZPKT.^[15] V takovém případě potřebuje třetí strana, v souladu s § 4a ZPKT, příslušné povolení k vykonávání této služby.

Klasifikování outsourcovaných činností pro účely zajištění souladu s vyhláškou č. 163/2014 Sb.

U každé činnosti, kterou banka outsourcuje, musí podle § 107 odst. 1 vyhlášky č. 163/2014 Sb. vyhodnotit, zdali se jedná o významnou činnost, neboť pro outsourcing těchto činností stanovuje vyhláška č. 163/2014 Sb. jiné (přísnější) požadavky.^[16] Kritéria pro vyhodnocení, zdali je některá činnost významná (resp. kritická nebo důležitá ve smyslu pokynů EBA k outsourcingu), jsou uvedena v čl. 30 nařízení (EU) 2017/565, § 107 odst. 2 vyhlášky 163/2014 Sb. a v Hlavě II, Oddílu 4 pokynů EBA k outsourcingu (bodech 29 až 31).^[17]

To, zdali je některá činnost významná, nelze paušálně určit. Bude záležet na konkrétní situaci, ve které k outsourcingu dochází, a různé banky tak mohou outsourcing stejné činnosti vyhodnotit rozdílně (např. kvůli rozdílnému rozsahu, v němž je činnost outsourcována nebo rozdílné důležitosti této činnosti pro celkovou finanční výkonnost či rizikovost banky). Každá banka proto musí každou outsourcovanou činnost vyhodnotit sama, s odkazem na definici významné činnosti obsažené v čl. 30 nařízení (EU) 2017/565, § 107 odst. 2 vyhlášky č. 163/2014 Sb., kritéria v Hlavě II, Oddílu 4 pokynů EBA k outsourcingu (bodech 29 až 31) a s přihlédnutím ke své konkrétní situaci.

---------

[1] Obecné pokyny Evropského orgánu pro bankovnictví k outsourcingu ze dne 25. února 2019 (EBA/GL/2019/02).

[2] Toto stanovisko se nevztahuje na outsourcing činností obchodníků s cennými papíry nebo spořitelních a úvěrních družstev (družstevních záložen).

[3] Pro účely plnění předpokladu řádné správy a řízení prostřednictvím uplatňování řádných postupů musí podle § 10 odst. 3 vyhlášky č. 163/2014 Sb. banka vždy při své činnosti dodržovat mj. pokyny EBA k outsourcingu a mít tyto pokyny zapracované do svých vnitřních předpisů. Pro oblast AML je relevantní právní povinností povinnost „zohlednit“ tyto pokyny podle § 4 odst. 2 AML vyhlášky.  Zároveň, podle čl. 16 odst. 3 nařízení o zřízení EBA musí banky vynaložit veškeré úsilí, aby se Pokyny EBA k outsourcingu řídily, ale to právní povinnost nepředstavuje (mj. rozhodnutí Soudního dvora EU C-911/19, Fédération bancaire française v. EBA).

[4] AMLZ outsourcing explicitně neupravuje zejména z důvodu přístupu založeného na riziku. Obecně pak lze ale za legitimní nástroj považovat interní nastavení zákazu outsourcingu v rizikových případech (např. podle § 9a AMLZ), pokud banka vyhodnotí u konkrétního obchodu, že je AML/TFR riziko příliš vysoké.

[5] K podmínce existence obchodního vztahu před předáním identifikace a kontroly klienta viz Markéta Hlavinová, Viktor Kabeš, Jaroslava Pilíková. Zákon o některých opatřeních proti legalizaci výnosů z trestné́ činnosti a financování terorismu. Komentář̌. 3. Vydání. Praha. C.H.Beck, 2022 k § 11 odst. 1 (str. 121): „…existence obchodního vztahu mezi klientem a povinnou osobou, od níž jsou přebírány identifikace a vybrané úkony kontroly klienta, implikuje jejich vyšší kvalitu, jelikož je možno klienta po delší dobu sledovat, a zvyšuje se tak i pravděpodobnost odhalení případných nesrovnalostí. V tomto směru jsou však uvedená východiska do jisté míry moderována výkladovou praxí FAÚ, podle níž není nutné, aby přebírající povinná osoba zkoumala, po jak dlouhou dobu trval obchodní vztah mezi klientem a povinnou osobou, od níž je identifikace přebírána.“.

[6] Viz § 12 odst. 2 AMLZ.

[7] Viz § 8 AMLZ.

[8] Viz § 9 odst. 2 písm. b) a c) AMLZ.

[9] Viz § 9 odst. 2 písm. a) AMLZ.

[10] Mj. § 20 odst. 2 písm. e) zákona o odpovědnosti za přestupky (č. 250/2016 Sb.), § 2914 občanského zákoníku nebo § 12 odst. 1 vyhlášky č. 163/2014 Sb.

[11] Z definice evropského obchodníka s cennými papíry podle § 2 odst. 1 písm. v) ZPKT, jakož i z důvodové zprávy  k § 15j , vyplývá, že investiční zprostředkovatel není pro účely ZPKT považován za evropského obchodníka s cennými papíry. Tento závěr dovozuje i relevantní komentářová literatura [viz KRÁLÍK, Aleš, Alena KOUCKÁ, Daniela DOLEŽALOVÁ, Petr JANEČEK, Lukáš OSOHA, Marek JANŠTA, Irena ŠVARCOVÁ aj. Zákon o podnikání na kapitálovém trhu: Komentář, Wolters Kluwer 2023, § 15j (dostupné v systému ASPI)].

[12] Ačkoliv se ustanovení § 15j odst. 1 ZPKT vyjadřuje k možnosti se spolehnout na „informace získané od zákazníka“, které bance (resp. obchodníkovi s cennými papíry) předal evropský obchodník s cennými papíry, eurokonformní výklad (srov. čl. 26 MiFID II) vede k závěru, že mezi tyto informace lze zahrnout nejen informace získané přímo od zákazníka stricto sensu, ale obecně informace o zákazníkovi, které evropský obchodník s cennými papíry získal. 

[13] Může se jednat např. o outsourcing provozu/poskytování/správy internetového bankovnictví banky. Pro úplnost upozorňujeme, že pokud při outsourcingu banka využívá tzv. cloudových služeb u externích poskytovatelů, uplatní se obecné pokyny ESMA ohledně zajišťování cloudových služeb u externích poskytovatelů. (Pro více informací o přístupu ČNB ke cloud computingu odkazujeme na úřední sdělení ČNB ze dne 19. srpna 2016 k výkonu činnosti na finančním trhu – cloud computing).

[14] Ledaže se jedná o ryze technické předání naroveň provozování poštovní služby.

[15] Za poskytnutí investiční služby v tomto smyslu zpravidla nebude považováno poskytnutí obecné e-mailové nebo poštovní služby např. jejím provozovatelem.

[16] Rovněž pokyny EBA k outsourcingu, které musí podle § 10 odst. 3 vyhlášky č. 163/2014 Sb. banka, pro účely plnění předpokladu řádné správy a řízení prostřednictvím uplatňování řádných postupů, vždy při své činnosti dodržovat, obsahují přísnější pokyny ve vztahu k těmto činnostem. (Pokyny EBA k outsourcingu využívají místo pojmu „významná činnost“ pojem „kritická nebo důležitá činnost“).

[17] Hlava II Oddílu 4 pokynů EBA k outsourcingu, obsahuje pouze demonstrativní výčet situací a kritérií, k nimž má banka při vyhodnocování, zdali je některá outsourcovaná činnost kritická nebo důležitá, přihlížet.