Banka, u které máte účet nebo investice, dnes málokdy dělá všechno sama. Platby, uchovávání dokumentů, zákaznická linka, část back office, cloudové systémy – to vše často zajišťují externí dodavatelé, a klient o nich obvykle neví nic. Evropský orgán pro bankovnictví (EBA) proto 18. září 2026 zveřejnil finální obecné pokyny k řízení rizik spojených s třetími stranami, které mají pravidla pro dodavatelské vztahy finančních institucí sjednotit a zaměřit na ty, jejichž výpadek by instituci skutečně ohrozil. Pro klienta s majetkem u více institucí je to důležitější, než vypadá: odolnost vaší banky nebo brokera se měří i podle toho, jak spolehlivé jsou firmy, které nikdy neuvidíte.
Pokyny doplňují evropskou regulaci digitální provozní odolnosti (DORA), která se uplatňuje od ledna 2025 a už řeší dodavatele informačních a komunikačních technologií. Novinka je v tom, že stejnou logiku EBA rozšiřuje i na služby, které s IT nesouvisejí – tedy na všechny významné externí vztahy, ne jen na ty technické. EBA přitom vycházela mimo jiné z principů Basilejského výboru pro bankovní dohled a z připomínek z veřejné konzultace, takže výsledek není ryze evropský domácí úkol, ale pokus o srovnatelný standard s tím, co se očekává i mimo EU.
Proč se hlídají i služby, které nejsou IT?
Rozdělení na technické a netechnické dodavatele bylo z pohledu klienta vždycky umělé: ať se pokazí kterákoli část řetězu, účet nebo investice se mu přestanou chovat tak, jak čekal. Výpadek cloudového systému zastaví účet stejně spolehlivě jako výpadek firmy, která zajišťuje zpracování dokumentů nebo část provozu na pozadí. Jednotný přístup znamená, že instituce bude muset stejně důkladně posoudit rizika, prověřit dodavatele, upravit smlouvu, ohlídat subdodavatele a mít na papíře i v praxi připravený plán, co dělat, když dodavatel přestane fungovat nebo se vztah musí ukončit. Zvlášť důležité jsou subdodavatelé, tedy firmy, které nestojí ve smlouvě s bankou, ale pracují pro jejího dodavatele – klient je nikdy nepotká a banka je může znát jen zprostředkovaně, přesto mohou rozhodnout o tom, jestli služba funguje. Pokyny subdodavatele výslovně zahrnují mezi oblasti, které musí instituce v rámci vztahu s dodavatelem ošetřit, vedle smluvních podmínek, průběžného monitoringu a dokumentace. Právě tahle poslední část – takzvaná exit strategie – bývá v praxi nejslabší: plán, který nikdo nezkoušel, je pro klienta stejně málo platný jako záložní generátor, který nikdo nikdy nespustil.
Co se změní pro klienta, když pokyny míří jen na kritické funkce?
Pokyny soustředí požadavky na ujednání, která podporují kritické nebo důležité funkce – tedy ty, jejichž narušení by výrazně ovlivnilo fungování finančního subjektu. Méně významné vztahy zůstávají mimo nejpřísnější režim a EBA to výslovně zdůvodňuje snahou snížit zbytečnou provozní a dohledovou zátěž při zachování řádného řízení rizik. Pro klienta je to dobrá zpráva v obou směrech: instituce nebude muset investovat energii do papírování kolem každého drobného dodavatele, ale o to pečlivěji se věnuje těm, na kterých stojí její základní služby. Z pohledu klienta s majetkem ve více zemích je přitom zajímavá i otázka koncentrace: pokud několik institucí, u kterých máte účty, závisí na stejném typu dodavatele, nebývá takové riziko na první pohled vidět a nezmizí tím, že majetek rozdělíte. Pokyny samy koncentraci vyřešit nemohou, ale tím, že nutí instituce své dodavatelské vztahy popsat, ověřit a zdokumentovat, vytvářejí pro ni alespoň základ. Pro instituce je navíc stanoveno dvouleté přechodné období, takže praktické dopady se budou projevovat postupně a nikoli skokově.
„Záložní generátor, který nikdo nikdy nespustil, je jen těžká bedna v suterénu.“
Při výběru banky nebo investičního zprostředkovatele se kromě poplatků ptejte, na kterých externích službách jejich provoz stojí a jak mají ošetřeno, co se stane, když jedna z nich vypadne – a u majetku rozloženého ve více zemích si ověřte, že stejná otázka dává dobrou odpověď u každé instituce, ne jen u té hlavní. Znění pokynů zatím čeká na překlad do úředních jazyků EU a instituce budou postupy přizpůsobovat v průběhu přechodného období, proto je rozumné ptát se už teď, ne až když se objeví první problém. Pokud vám instituce neumí odpovědět srozumitelně a konkrétně, je to samo o sobě užitečná informace o tom, jak vážně se k tématu staví, a důvod zvážit, jak velkou část majetku na ní držet.
Časté otázky
- Koho se nové pokyny EBA týkají?
Podle právních základů, které EBA uvádí, míří na banky, platební instituce a další regulované finanční subjekty včetně investičních firem; klient se jich netýká přímo, ale dopadnou na služby, které využívá.
- Co jsou kritické nebo důležité funkce?
Činnosti, jejichž narušení by výrazně ovlivnilo fungování finančního subjektu – právě na dodavatele, kteří takové funkce podporují, se pokyny zaměřují nejvíc.
- V čem se pokyny liší od DORA?
DORA řeší především dodavatele informačních a komunikačních technologií; pokyny EBA rozšiřují stejný způsob uvažování i na ne-IKT služby a pokrývají celý životní cyklus vztahu s dodavatelem od posouzení rizik po exit strategii.
- Kdy pokyny začnou platit?
Pro implementaci je stanoveno dvouleté přechodné období; přesné datum, od kterého se budou uplatňovat, je třeba ověřit v konečném znění pokynů, které zatím čeká na překlad do úředních jazyků EU.
- Musím jako klient něco udělat?
Ne, ale může být užitečné zeptat se své banky nebo brokera, jak mají dodavatelské vztahy ošetřeny a jak vypadá jejich plán pro případ výpadku klíčového dodavatele.
- Jakou roli v tom může hrát nezávislý poradce?
Aisa International není bankou ani depozitářem – naší rolí je pomoct klientovi posoudit, jak jsou jeho majetek a služby rozložené mezi instituce, a upozornit na koncentraci rizika, kterou si často člověk neuvědomí.
| Spoléháte na víc institucí najednou?
Probereme, jak je Váš majetek rozložený a kde se může skrývat koncentrace rizika. Kontaktujte nás. |
