Norma 43 septies. Registro de acuerdos de delegación.

1. Las entidades deberán mantener un registro actualizado con información sobre todos sus acuerdos de delegación y, cuando proceda, a nivel subconsolidado y consolidado, diferenciando entre la delegación de servicios o funciones esenciales y la de los servicios o funciones no esenciales.

2. El registro al que se refiere el párrafo anterior deberá incluir, al menos, la siguiente información para todos los acuerdos de delegación:

a) Un número de referencia o identificación para cada acuerdo.

b) La fecha de entrada en vigor y, en su caso, la próxima fecha de renovación del contrato, la fecha de finalización y los plazos de preaviso para el proveedor de servicios y para la entidad.

c) Una breve descripción de la función o servicio objeto de la delegación, incluidos los datos implicados en la delegación y, en particular, si se han transferido o no datos personales o si su tratamiento se ha delegado en un proveedor de servicios.

d) Una categoría asignada por la entidad que refleje la naturaleza de la función o servicio.

e) El nombre del proveedor de servicios, su número de registro, el identificador de entidad jurídica, cuando se disponga de él, el domicilio social, otra información de contacto pertinente, y, cuando proceda, el nombre de su entidad matriz.

f) El país o los países en los que se desarrollará la delegación, incluidas las localizaciones en las que se tratarán o almacenarán los datos.

g) Si el servicio o la función objeto de la delegación se considera esencial o no, así como, en su caso, las razones que justifican dicha clasificación.

h) En el caso de delegación a un proveedor de servicios en la nube, el modelo de servicio en la nube, el modelo de despliegue y los países o regiones utilizados.

i) La fecha de la última evaluación de la esencialidad del servicio o de la función objeto de delegación.

3. Además de la información prevista en el párrafo 2 de la presente norma, en el caso de los acuerdos de delegación que tengan por objeto servicios o funciones esenciales, el registro deberá incluir, como mínimo, la siguiente información adicional:

a) Las entidades y otras empresas pertenecientes al grupo consolidable de la entidad o que formen parte del sistema institucional de protección, cuando proceda, que hacen uso del mismo acuerdo de delegación.

b) Si el proveedor de servicios o subcontratista forma parte del grupo consolidable de la entidad de crédito o del mismo sistema institucional de protección o pertenece a las entidades del grupo consolidable o que forman parte del sistema institucional de protección, o no.

c) La fecha del último análisis de riesgos efectuado y un breve resumen de los principales resultados derivados de dicho análisis.

d) La persona u órgano de la entidad que aprobó la delegación.

e) El derecho aplicable por el que se rige el acuerdo de delegación.

f) Las fechas de las auditorías más recientes realizadas por la entidad al proveedor de servicios y de las próximas auditorías programadas, en su caso.

g) Cuando proceda, los nombres de los subcontratistas a los que se hayan subcontratado partes significativas del servicio o la función esencial, incluido el país en que están registrados los subcontratistas, el país en el que se prestará el servicio y, si procede, la localización en la que se almacenarán los datos.

h) El resultado de la evaluación de la sustituibilidad del proveedor de servicios, la posibilidad de reincorporar el servicio o la función esencial en la entidad, o el impacto de interrumpir el servicio o la función esencial.

i) Identificación de proveedores de servicios alternativos.

j) Si el servicio o la función esencial objeto de delegación asiste a operaciones de negocio en las que la disponibilidad es un factor crítico.

k) El presupuesto anual estimado relacionado con la delegación del servicio o función esencial.

l) Fecha en la que se realizó la última comunicación formal a la autoridad competente a la que se refiere la norma 43 sexies anterior.