Articulo 18 Reglamento de prevención de la utilización del sistema financiero para el blanqueo de capitales o la financiación del terrorismo

1. Las entidades obligadas podrán externalizar a proveedores de servicios tareas que tengan su origen en el presente Reglamento. La entidad obligada notificará al supervisor la externalización antes de que el proveedor de servicios comience a efectuar las tareas externalizadas.

2. Cuando el proveedor de servicios realice tareas contempladas en el presente artículo, será considerado parte de la entidad obligada, en particular cuando esté obligado a consultar los registros centrales a que se refiere el artículo 10 de la Directiva (UE) 2024/1640 (en lo sucesivo, «registros centrales») a efectos de llevar a cabo la diligencia debida con respecto al cliente en nombre de la entidad obligada.

La entidad obligada seguirá siendo plenamente responsable de toda actuación, ya sea por acción o por omisión, relacionada con las tareas externalizadas llevadas a cabo por los proveedores de servicios.

Para cada tarea externalizada, la entidad obligada deberá estar en condiciones de demostrar al supervisor que comprende la lógica de las actividades realizadas por el proveedor de servicios y el enfoque adoptado en su aplicación, y que tales actividades atenúan los riesgos específicos a los que está expuesta la entidad obligada.

3. Las tareas externalizadas conforme al apartado 1 del presente artículo no se llevarán a cabo de forma que se menoscabe sustancialmente la calidad de las políticas y los procedimientos de la entidad obligada para cumplir los requisitos del presente Reglamento y del Reglamento (UE) 2023/1113, ni de los controles establecidos para probar dichas políticas y procedimientos. Las siguientes tareas no se externalizarán en ningún caso:

a) la propuesta y aprobación de la evaluación de riesgos de toda la actividad de negociode la entidad obligada, en virtud del artículo 10, apartado 2;

b) la aprobación de las políticas, los procedimientos y los controles internos de la entidad obligada, en virtud del artículo 9;

c) la decisión sobre el perfil de riesgo que ha de atribuirse al cliente;

d) la decisión de establecer una relación de negocios o llevar a cabo una operación ocasional con un cliente;

e) la notificación a las UIF de actividades sospechosas con arreglo al artículo 69 o declaraciones basadas en umbrales con arreglo a los artículos 74 y 80, salvo cuando dichas actividades se externalicen a otra entidad obligada perteneciente al mismo grupo y establecida en el mismo Estado miembro;

f) la aprobación de los criterios para la detección de operaciones y actividades sospechosas o inusuales.

4. Antes de externalizar una tarea conforme al apartado 1, las entidades obligadas se asegurarán de que el proveedor de servicios esté suficientemente cualificado para realizar las tareas que vayan a externalizarse.

Cuando una entidad obligada externalice una tarea conforme al apartado 1, se asegurará de que el proveedor de servicios, así como cualquier proveedor de servicios en el marco de una subexternalización posterior, apliquen las políticas y los procedimientos adoptados por la entidad obligada. Las condiciones para la realización de dichas tareas se establecerán en un acuerdo por escrito entre la entidad obligada y el proveedor de servicios. La entidad obligada realizará controles periódicos para determinar la ejecución efectiva de tales políticas y procedimientos por parte del proveedor de servicios. La frecuencia de dichos controles vendrá determinada por la medida en que las tareas externalizadas tengan un carácter esencial.

5. Las entidades obligadas se asegurarán de que dicha externalización no se realice de tal forma que obstaculice sustancialmente la capacidad de las autoridades de supervisión de supervisar y rastrear el cumplimiento por parte de la entidad obligada del presente Reglamento y del Reglamento (UE) 2023/1113.

6. Como excepción a lo dispuesto en el apartado 1, las entidades obligadas no podrán externalizar las tareas derivadas de los requisitos previstos en el presente Reglamento a proveedores de servicios que residan o estén establecidos en terceros países identificados conforme a la sección 2 del capítulo III, a menos que se cumplan todas las condiciones siguientes:

a) que la entidad obligada externalice tareas únicamente a un proveedor de servicios que forme parte del mismo grupo;

b) que el grupo aplique políticas y procedimientos de LBC/LFT, medidas de diligencia debida con respecto al cliente y normas relativas a la conservación de registros que se ajusten plenamente a lo dispuesto en el presente Reglamento, o a sus normas equivalentes en países terceros;

c) que el cumplimiento efectivo de los requisitos a que se refiere la letra b) del presente apartado sea supervisado a nivel de grupo por la autoridad de supervisión del Estado miembro de origen conforme al capítulo IV de la Directiva (UE) 2024/1640.

7. Como excepción a lo dispuesto en el apartado 3, cuando un organismo de inversión colectiva no tenga personalidad jurídica, o únicamente tenga un consejo de administración y haya delegado la gestión de las suscripciones y el cobro de los fondos -tal como se definen en el artículo 4, punto 25, de la Directiva (UE) 2015/2366- de los inversores a otra entidad, podrá externalizar la tarea a que se refiere el apartado 3, letras c), d) y e), a uno de sus proveedores de servicios.

La externalización a que se refiere el párrafo primero del presente apartado solo podrá llevarse a cabo una vez que el organismo de inversión colectiva haya notificado al supervisor su intención de externalizar la tarea con arreglo al apartado 1 y el supervisor haya aprobado la externalización teniendo en cuenta:

a) los recursos, la experiencia y los conocimientos del proveedor de servicios en materia de prevención del blanqueo de capitales y financiación del terrorismo;

b) los conocimientos del proveedor de servicios sobre el tipo de actividades o operaciones ejecutadas por el organismo de inversión colectiva.

8. A más tardar el 10 de julio de 2027, la ALBC emitirá directrices dirigidas a las entidades obligadas sobre:

a) el establecimiento de relaciones de externalización, incluida toda relación de externalización posterior, conforme al presente artículo, su gobernanza y los procedimientos para el seguimiento de la ejecución de las funciones por parte del proveedor de servicios y, en particular, de aquellas funciones que deban considerarse esenciales;

b) las funciones y la responsabilidad de la entidad obligada y del proveedor de servicios en el marco de un acuerdo de externalización;

c) los métodos de supervisión de la externalización, así como las expectativas en materia de supervisión en lo que respecta a la externalización de funciones esenciales.