ICT-palveluiden ulkoistaminen DORA-asetuksen näkökulmasta

Pilvipalvelut, ohjelmistot ja muut ulkoistetut ICT-ratkaisut ovat usein olennainen osa finanssialan yritysten liiketoimintaa ja toiminnan järjestämistä. Tällöin ICT-palvelun tuottaminen siirtyy ulkopuoliselle, mutta palveluun ja palveluntarjoajaan liittyvien riskien tunnistaminen ja hallinta jäävät finanssiyhteisölle.

Vuoden 2025 alussa voimaan tullut asetus digitaalisesta häiriönsietokyvystä (”DORA”, Digital Operational Resilience Act, (EU) 2022/2554) ei tuonut tähän asetelmaan mitään täysin uutta. ICT-riskit ja niihin liittyvä toimittajahallinta ovat kuuluneet finanssiyhteisöjen riskienhallintaan jo ennen asetuksen voimaantuloa. DORA kuitenkin täsmentää riskienhallintaa koskevia vaatimuksia, yhtenäistää käytäntöjä ja kytkee ICT-palveluntarjoajiin liittyvät riskit selvemmin osaksi yrityksen kokonaisvaltaista riskienhallintaa.

Vastuuta ei voi ulkoistaa

DORA:n mukaan täysi vastuu DORA-asetuksen ja muun sovellettavan finanssisääntelyn mukaisten velvoitteiden noudattamisesta säilyy finanssiyhteisöllä myös silloin, kun se ulkoistaa ICT-palveluita kolmansille osapuolille.

Finanssiyhteisö ei siis voi vapautua omista velvoitteistaan vetoamalla palveluntarjoajan virheeseen esimerkiksi tilanteessa, jossa ICT-palvelun häiriö johtaa toiminnan keskeytymiseen. Palveluntarjoajan sopimusperusteinen vastuu finanssiyhteisöä kohtaan on tästä erillinen kysymys.

Finanssivalvonnan mahdollisesti määräämät seuraamukset kohdistuvat finanssiyhteisöön myös silloin, kun häiriö tai puute on syntynyt ulkoistetun palveluntarjoajan päässä. Finanssiyhteisön on kyettävä osoittamaan, että se tuntee ja seuraa riippuvuuksiaan palveluntarjoajista, ja häiriötilanteessa se vastaa itse poikkeamaraportoinnista ja kriittisten toimintojen jatkuvuudesta. Palveluntarjoajalta perittävä vahingonkorvaus on tähän nähden jälkikäteistä kompensaatiota, eikä vapauta sääntelyvelvoitteista.

Mitä tämä tarkoittaa käytännössä?

Finanssiyhteisön tulee rakentaa riskienhallintansa DORA:n vaatimusten mukaiseksi. ICT-palveluntarjoajiin liittyvien riskien osalta tämä käytännössä tarkoittaa sitä, että riskit tunnistetaan ja niitä hallitaan riittävällä tavalla aina, kun sopimusjärjestelyjä solmitaan, muutetaan tai päätetään.

Riskienhallinnan päivittäminen lähtee usein liikkeelle riskiarvion laatimisesta. Riskiarviossa kartoitetaan, millaisia riskejä ICT-palveluiden ulkoistamiseen yleisesti liittyy ja millaisia riskejä jo tehtyihin ulkoistuksiin sisältyy. Riskiarvion tulisi vastata ainakin seuraaviin peruskysymyksiin:

• Mitä ICT-palveluita olemme ulkoistaneet?
• Mitkä näistä palveluista tukevat kriittisiä tai tärkeitä toimintoja?
• Mitä riskejä palveluntarjoajiin ja niiden käyttöön liittyy?
• Kuinka riippuvaisia olemme yksittäisestä palveluntarjoajasta?

Riskiarvio antaa perustan riskienhallintaprosessien päivittämiselle. Lisäksi mikäli finanssiyhteisö ei pysty suoraan vastaamaan edellä mainittuihin kysymyksiin, kertoo se siitä, että ICT-riskiä ei ole riskienhallinnassa huomioitu vielä riittävällä tavalla, joten siihen liittyvät prosessit olisi syytä käydä läpi.

Sopimus riskienhallinnan välineenä

Sopimukset ovat aina toimineet sopimusosapuolten riskienhallinnan välineenä. DORA:n myötä ICT-sopimusten sisältö korostuu entisestään, sillä sopimus on keskeinen keino hallita palveluntarjoajaan liittyviä riskejä.

Sopimusneuvotteluissa tämä näyttäytyy siten, että ICT-palveluntarjoajan kanssa tulee sopia kirjallisesti ja nimenomaisesti tietyistä sääntelyn edellyttämistä asioista kuten alihankinnasta, tietosuojasta, irtisanomisoikeuksista ja palveluntarjoajan velvollisuudesta tehdä yhteistyötä Finanssivalvonnan kanssa. Sopimukseen on siis sisällytettävä ne oikeudet, joita ilman finanssiyhteisö ei pysty täyttämään omia velvoitteitaan. Vaatimustaso määräytyy riskiperusteisesti ja siihen vaikuttaa se, tukeeko palvelu kriittistä tai tärkeää toimintoa.

Entä jos palveluntarjoaja ei suostu DORA-ehtoihin?

Tämä on yksi DORA:n kiinnostavimmista käytännön kysymyksistä. Vaikka sopimusmääräyksiä koskevat DORA:n vaatimukset koskevat myös palveluntarjoajia, se ei takaa, että palveluntarjoaja automaattisesti suostuu DORA-ehtoihin. Finanssiyhteisö ei esimerkiksi välttämättä pysty neuvottelemaan suurten kansainvälisten pilvi- tai ohjelmistotoimittajien vakioehdoista poikkeavia ehtoja.

Jos palveluntarjoaja ei hyväksy tarvittavia ehtoja, finanssiyhteisön on arvioitava, voiko se hyväksyä kyseiseen palveluntarjoajaan liittyvän riskin ja pystyykö se edelleen täyttämään omat DORA-velvoitteensa. Tämä korostaa myös exit-suunnittelun merkitystä. Finanssiyhteisön on syytä tietää jo etukäteen, miten palvelu voidaan tarvittaessa siirtää toiselle palveluntarjoajalle ja miten tämä vaikuttaa liiketoiminnan jatkuvuuteen.

Sopimusrekisteri

DORA edellyttää lisäksi, että finanssiyhteisö ylläpitää ajantasaista rekisteriä kaikista ICT-palveluihin liittyvistä sopimusjärjestelyistä. Sopimusjärjestelyjen ja toimittajien hallinta on kuulunut ulkoistamista koskeviin vaatimuksiin jo aiemmin, mutta DORA täsmentää rekisterin sisällön ja rakenteen aiempaa yksityiskohtaisemmin. Lisäksi rekisteri raportoidaan Finanssivalvonnalle määrämuotoisena vuosittain.

Rekisteri toimii samalla riskienhallinnan tosiasiallisena perustana. Jos tiedot ovat puutteellisia tai vanhentuneita, ei riippuvuuksien, keskittymäriskien tai alihankintaketjujen arviointi ole luotettavaa. Tämän vuoksi rekisterin ylläpito kannattaa kytkeä osaksi hankinta- ja sopimusprosesseja niin, että uudet sopimukset, muutokset ja päättymiset päivittyvät rekisteriin automaattisesti sovitun vastuunjaon mukaisesti.

Mitä finanssiyhteisön kannattaa tehdä nyt?

DORA:n näkökulmasta keskeistä on, ovatko ICT-palveluiden ulkoistamiseen liittyvät riskit huomioitu ja hallittu riittävästi. Edellä kuvatun riskiarvion pohjalta työ kannattaa jakaa seuraaviin kokonaisuuksiin, joissa mahdolliset puutteet käytännössä yleisimmin ilmenevät:

1. ICT-sopimukset

Täyttävätkö nykyiset sopimukset DORA:n vaatimukset esimerkiksi auditointi- ja valvontaoikeuksien, tietoturvan, häiriötilanteiden, raportoinnin ja sopimuksen päättämisen osalta?

2. Toimittajariippuvuudet

Onko yritys liian riippuvainen yhdestä palveluntarjoajasta?

3. Alihankintaketjut

Tiedetäänkö, ketkä tosiasiassa osallistuvat ICT-palvelun tuottamiseen?

4. Exit-järjestelyt

Voidaanko palveluntarjoaja vaihtaa, jos siihen on tarvetta?

5. Sopimusrekisteri

Onko rekisteri ajan tasalla ja päivittyykö se osana hankinta- ja sopimusprosesseja?

6. Hallinto ja vastuut

Onko organisaatiossa selkeästi määritelty, kuka on vastuussa mistäkin ICT-riskienhallinnan osa-alueesta?

Vuonna 2026 huomio kannattaakin siirtää DORA:n implementoinnista siihen, ovatko yrityksen nykyiset ICT-sopimukset ja toimittajahallinnan käytännöt sellaisia, että niiden varaan voidaan rakentaa digitaalinen häiriönsietokyky. Lexian asiantuntijat auttavat mielellään esimerkiksi sopimusten arvioinnissa ja neuvottelussa, ICT-riskienhallintaa koskevien prosessien suunnittelussa ja vastuunjaon selkeyttämisessä.

Teksti: Elina Väärä, Senior Associate, [email protected]

Tutustu asiantuntijoihimme: Hanna Huttunen, Erika Leinonen, Laura Kataila, Mikko Koskinen