监管系列——有关开曼群岛基金和投资管理人的外包安排

外包是指受监管实体持续委托第三方履行通常由其自身承担的职能或活动。就投资基金而言，主要的外包职能包括股份登记处/净值计算以及独立的反洗钱专员。就投资管理公司而言，反洗钱专员的职责以及某些运营或后台行政支持通常外包给第三方服务机构。

该指引将采购合同（即购买服务、商品和设施，但不涉及与客户/业务活动相关的非公开专有信息的转让）排除在该指引的范围之外。

1. 制定外包政策

外包政策必须包含该指引中要求的所有项目。这不仅仅是一次性走过场——受监管实体的董事必须审核并批准外包政策，确保其得到遵守，并持续监控该政策以进行任何必要的更改。董事会对外包政策的任何批准、审核和修订（包括对任何风险评估和外包协议的批准）均应记录在案，以清晰地记录董事会的监督和监管工作。

如受监管实体隶属于更大的企业集团，该实体可以依赖集团层面的企业治理架构——但是，实体应进行差异分析，以确保这些治理架构适合本地运营并符合指引原则。

2. 对每个外包服务供应商进行风险评估

由于受监管实体（包括董事和高级管理层）对所有外包的重要职能仍需向开曼群岛金融管理局 (CIMA) 承担全部责任，因此在聘用所有外包服务提供商 (OSP) 之前对其进行风险评估至关重要，以最大限度地降低风险敞口。

在聘用OSP之前，应进行风险评估，评估内容应包括：

• 外包服务是否与重要职能或活动相关（“重要外包服务供应商”）。针对任何重要外包服务都需要购买全面的保险；
• 对外包服务供应商进行的尽职调查；
• 外包安排对受监管实体的财务、声誉和运营的影响；
• 对外包服务供应商监督和维持适当内部控制的能力；
• 可能失去对重要数据访问权限的风险； 以及
• 寻找替代外包服务供应商或将业务活动“内部化”所需的难度和时间。

3. 外包协议

该指引对与重要外包服务供应商签订的书面协议中需要涵盖的内容有非常明确的规定。例如，除了工作范围、期限和报酬等标准合同条款外，与重要外包服务供应商签订的协议还必须包括：

• 重要外包服务供应商的利益冲突管理政策；
• 重要外包服务供应商的保险范围；
• 重要外包服务供应商有义务披露任何影响其履行外包职能或活动能力的重大不利变化；
• 受监管实体对重要外包服务供应商维护的与其外包重要职能或活动相关的系统和文件的访问权限；
• 受监管实体和/或开曼群岛金融管理局 (CIMA) 为进行检查访问重要外包服务供应商的数据和场所的安排；以及
• 限制重要外包服务供应商使用受监管实体的专有信息数据。

4. 持续监控

• 应每年至少对每项重要外包服务供应商进行一次风险评估和尽职调查，并持续进行；如董事会认为有必要，考虑到外包安排的风险和重要性，评估和尽职调查的频率应增高。如发现任何缺陷均应及时纠正。
• 受监管实体的董事会应维护并批准所聘用的重要外包服务供应商名单。
• 董事会必须确保制定应急计划和退出策略，以防重要外包服务供应商无法继续履行外包服务。
• 受监管实体应将委任重要外包服务供应商的情况通知开曼群岛金融管理局 (CIMA)，包括外包活动的开展地点以及外包的主要原因。该通知义务同样适用于终止与重要外包服务提供商的任何外包安排。

2025年，开曼群岛金融管理局（CIMA）对16家跨行业实体（包括投资和证券）开展的外包安排进行了专题审查（“审查”），重点评估与外包安排相关的治理结构、风险评估实践和监督控制的有效性。审查的主要结论于2026年1月发布。

具体而言，CIMA 评估了选定的受监管实体是否按照其业务的规模、复杂性和风险状况实施了该指引，以及外包安排的结构是否能够维护 CIMA 进行有效监管的能力。

虽然审查报告中列举了一些良好的外包实践案例，但同时也指出了外包安排中存在的以下主要缺陷：

• 98% 的外包协议缺少必要的条款；
• 50% 的公司没有将与重要外包服务供应商的外包安排的批准或终止情况通知 CIMA；
• 45% 的公司未能证明在开始外包安排之前已进行尽职调查评估；
• 36% 的公司没有进行风险评估，没有考虑到该指引要求的所有最低风险——特别是与国家、战略和退出风险相关的风险；
• 34%的外包协议在充分性和有效性方面存在缺陷；及
• 22% 的董事会对政策和程序的审查不充分。

该审查强调，无论从内部风险管理还是监管角度来看，开曼群岛投资基金和投资管理人的董事必须持续监控任何外包安排的充分性。

本次审查的关键要点是，任何外包协议均应在签订之初由董事会根据外包政策进行审查和批准（包括按要求在重要外包政策日志中记录，以及向开曼群岛金融管理局 (CIMA) 提交通知），并每年至少进行一次持续评估。外包安排应作为受监管实体所有董事会会议的独立议题，任何潜在的违规行为都应及时提交董事会讨论并改正。

虽然该指引不具有与CIMA规则相同的法律地位，但CIMA审查发现不遵守该指引表明受监管实体未能达到监管机构的期望，并且董事会可能没有有效监控基金或管理人的业务活动，CIMA很可能会进行进一步的审查、监控和后续行动。

查看全文

如需就受监管实体的外包安排获得帮助，包括起草、审查外包协议、进行差异分析或为应对 CIMA 检查准备审计，请联系以下 Loeb Smith 联系人：

本出版物并非旨在替代具体的法律建议或法律意见。如需就本简报的主题事项获取具体的法律建议，请联系：

合伙人：Elizabeth Kenny
电子邮箱: elizabeth.kenny@loebsmith.com

Liz 是公司和基金集团的合伙人，同时也是监管和风险主管，她在监管许可证申请、虚拟资产、加密货币和金融科技监管、公司治理审查、反洗钱合规框架、监管审计、公司治理、CIMA 检查和补救措施、制裁报告和许可、数据保护法、监管执法通知、行政罚款以及强制性信息交换要求等方面具有重要的思想领导力。