关键职能外包与DORA：委托任务，但绝不放弃控制

一般而言，是指一旦失灵或存在缺陷，就会严重影响机构持续满足牌照条件、财务业绩，或服务稳健性与连续性的职能。

这一定性之所以重要，是因为它会触发强化制度：合同须包含最低内容、加强控制、视情况向监管机构通报，以及退出计划。依据书面标准做好分类，是整个体系的第一道控制。

原则上可以，尤其是在比例原则能够支持的小型机构。条件是：书面授权并明确范围、服务提供方可完整获取信息、直接向管理机构报告，以及机构对该服务的监督。

永远不会转移的是责任：合规仍然是您自己的责任。我们的外部合规官服务正是这样安排的，外部DPO也是类似做法。

必不可少的几个部分：

• 服务说明及可衡量的服务水平。
• 机构、其审计师及监管机构的访问、信息和审计权利。
• 保密、数据保护以及数据处理地点。
• 转包制度：条件、通知，以及权利的传递。
• 业务连续性、事件管理和退出计划。

如果该服务属于ICT服务并支撑基本或重要职能，DORA还会增加特定的强制性条款（第30条）。

关键或重要职能的外包，应按照适用于您所属机构类型的法规，向监管机构报告。此外，在新的牌照申请中，自有资源与外包资源的分配也是业务活动计划的组成部分。

实务上的规则是：如果委托改变了您的资源结构，监管机构希望您主动告知，而不是在检查中才发现。而且DORA登记册会让您相当一部分ICT地图自动呈现在监管机构面前。

这是典型的盲区。您的合同应当规定供应商能否转包、在什么条件下转包、有什么通知义务，并将您的访问和审计权利延伸到相关转包商。

对于ICT服务，DORA下的信息登记册还要求体现相关的转包链条：如果您今天还不知道供应商背后是谁，就无法严谨地填写这份登记册。

欧盟第2022/2554号条例（DORA）自2025年1月起适用，它将数字运营韧性变成金融行业的通用义务：ICT风险管理、事件、测试，以及对外包影响最大的——针对ICT第三方风险的专门制度。

其两大核心内容是：涵盖所有ICT供应商协议的信息登记册，以及第30条规定的强制性合同条款。详情见我们的DORA服务。

这是一份结构化清单，涵盖您与所有ICT服务供应商的协议，标明每家支撑哪些职能、其关键程度以及相关的转包链条。登记册必须保持更新，并随时可供监管机构查阅。

做得好，它不只是一项义务：它反映您真实的技术依赖，是确定合同重新谈判和退出计划优先级的基础。做得不好，它就是审查者最先发现的不一致之处。

一套切实可行的策略，用于在现有供应商失灵、违约或消失时，把职能收回机构或迁移到其他供应商：情景、责任人、时间、需恢复的数据和预估成本。对关键职能而言，这不是可选项。

监管标准逐年提高：从拥有一份文件，到能够证明计划可以执行——已识别依赖关系、已评估替代方案，并尽可能对部分环节进行过测试。对单一供应商的不可逆依赖，本身就是需要解释的风险。