Norma 43 ter. Política de delegación.

1. Las entidades que tengan acuerdos de delegación o tengan previsto celebrar dichos acuerdos deberán contar con una política de delegación aprobada por su consejo de administración, sujeta a expresas actualizaciones periódicas, que serán realizadas como mínimo cada dos años.

2. La política de delegación deberá especificar, asimismo, una unidad de control responsable de la documentación, gestión, seguimiento y control de los acuerdos de delegación.

3. En el desarrollo de esta política, la entidad deberá evaluar el potencial impacto de cualquier riesgo en que incurra y especificar la gestión que, en el caso de delegación de funciones esenciales, aplicará a estos. Al menos, deberá considerarse:

a) El riesgo de incumplimiento de las normas que regulan la actividad de la entidad y de las normas más relevantes que son de aplicación al proveedor del servicio.

b) El riesgo derivado de la concentración de múltiples acuerdos con un mismo proveedor o proveedores vinculados o de múltiples servicios o proveedores en una misma región geográfica.

c) El riesgo de dependencia excesiva de la entidad frente a un mismo proveedor o proveedores vinculados, aunque no exista concentración de servicios en ellos.

d) El riesgo que pueda derivarse de la necesidad de la entidad de proporcionar apoyo financiero a un proveedor de servicios en una situación de estrés financiero o de asumir sus operaciones de negocio.

e) El riesgo inherente al país en el que esté radicado el proveedor del servicio.

f) El riesgo reputacional derivado de las prácticas seguidas por el proveedor del servicio que pudieran generar en los clientes, los inversores, el supervisor o el mercado en general una opinión negativa sobre la entidad.

g) El riesgo operacional, incluyendo, en su caso, el riesgo de conducta, los riesgos ligados a las tecnologías de la información y la comunicación, y el riesgo legal, debido a fallos en la prestación del servicio por parte del proveedor, como consecuencia, entre otros factores, de la inadecuación de los procesos, los sistemas internos o el personal asignado.

h) Los riesgos relacionados con la subcontratación de servicios o funciones esenciales y la delegación en cadena.

i) Los riesgos relacionados con la localización en la que se conservarán y tratarán los datos pertinentes relacionados con la delegación, incluidos los posibles efectos de la legislación aplicable al proveedor y su cadena de delegación.