5. člen
(prenos pomembnih poslovnih procesov na zunanje izvajalce)
(1)
Upravljavec mora pri sklenitvi pogodbe o prenosu izvajanja pomembnih poslovnih procesov zagotoviti, da pri tem ne pride do prenosa odgovornosti upravljavca in njenih organov vodenja ali nadzora za spoštovanje pravil, ki se uporabljajo pri opravljanju posameznih dejavnosti, in nadzora nad spoštovanjem teh pravil, na druge osebe ter da pogoji, na podlagi katerih je upravljavec pridobil dovoljenje za opravljanje posameznih dejavnosti, ostanejo izpolnjeni.
(2)
Upravljavec mora zagotoviti ustrezno skrbnost pri sklenitvi, izvajanju ali prekinitvi pogodbe o prenosu pomembnih poslovnih procesov na zunanjega izvajalca, zlasti pa mora zagotoviti, da:
1.
ima izvajalec sposobnost, zmogljivost in vsa zakonsko zahtevana dovoljenja, da funkcije, storitve ali dejavnosti, opravlja zanesljivo in strokovno,
2.
izvajalec storitve izvaja učinkovito, upravljavec pa mora vzpostaviti metode za ocenjevanje standarda uspešnosti izvajalca storitev,
3.
izvajalec ustrezno nadzoruje izvajanje funkcij in primerno upravlja s tveganji, ki so povezana z zunanjim izvajanjem,
4.
ima sprejete ustrezne postopke, če ugotovi, da izvajalec ne more opravljati funkcij učinkovito in v skladu z veljavnimi predpisi,
5.
ima ustrezne zmogljivosti za učinkovit nadzor funkcij, oddanih v zunanje izvajanje, in upravljanje s tveganji, povezanimi z zunanjim izvajanjem, ter mora nadzorovati navedene funkcije in upravljati navedena tveganja,
6.
izvajalec upravljavcu razkrije vse dogodke, ki bi lahko pomembno vplivali na njegovo zmožnost izvajanja funkcij na učinkovit način in v skladu z veljavnimi predpisi,
7.
lahko, če je potrebno, prekine pogodbo o prenosu pomembnih poslovnih procesov na drugo osebo brez posledic za kontinuiteto in kakovost izvajanja dejavnosti,
8.
izvajalec spoštuje navodila upravljavca,
9.
imajo upravljavec, njegov revizor in Agencija učinkovit dostop do podatkov, ki se nanašajo na dejavnosti, oddane v zunanje izvajanje, in na poslovne prostore izvajalca,
10.
izvajalec varuje vse zaupne informacije, ki zadevajo upravljavca,
11.
imata upravljavec in izvajalec vzpostavljen krizni načrt za izvajanje ukrepov v primeru kriznega dogodka ter zagotovljeno redno testiranje varnostne opreme, če je to potrebno ob upoštevanju funkcije, storitve ali dejavnosti.
(3)
Pogodba o prenosu izvajanja pomembnih poslovnih procesov mora biti sklenjena v pisni obliki.