Informationsregistret: en deadline och ett format

Finansinspektionen formulerar det som att finansiella entiteter ska rapportera sitt register med information om kontraktsmässiga arrangemang. Ordet kontraktsmässiga är centralt: det är avtalen med IKT-tredjepartsleverantörer som registreras, inte era system.

Rapporteringen görs via Fidac i xbrl-csv-format, med mallarna i genomförandeförordningen (EU) 2024/2956, och entiteten identifieras med LEI-kod. Om ni inte redan har en LEI-kod är det den uppgift som tar längst tid att skaffa och den som stoppar hela inlämningen.

Finansiella entiteter inom en grupp får rapportera på gruppnivå, alltså på högsta konsoliderade nivå. Entiteter som inte ingår i en grupp, eller vars register inte täcks fullt ut på gruppnivå, rapporterar på entitetsnivå. Bara en av metoderna ska användas, för att undvika dubbelrapportering.

senast den 28 februari

Den första är underleverantörer. Registret handlar om kedjan, inte bara om den ni har avtal med. Ett avtal med en molnleverantör som i sin tur använder en underleverantör för en kritisk del är två uppgifter, inte en, och den andra måste hämtas från leverantören.

Den andra är avtal som inte ser ut som IKT-avtal. En marknadsföringsplattform som behandlar kunddata, ett HR-system, ett dokumentverktyg. De köps ofta utanför IT och finns därför inte i IT:s avtalsregister, vilket är precis varför de saknas.

Den tredje är funktionsklassificeringen. För varje arrangemang ska det framgå om det stödjer en kritisk eller viktig funktion, och den bedömningen är verksamhetens och inte inköpets. Den kan inte hämtas ur avtalet, den måste göras.

Det är lätt att behandla registret som en rapporteringsuppgift och lägga det i en mapp efter inlämning. Det är en missad möjlighet, eftersom sammanställningen producerar något som få organisationer har: en komplett förteckning över vilka utomstående som bär er verksamhet.

Den förteckningen är direkt användbar på tre andra ställen. Den är utgångspunkten för riskanalysen, eftersom den visar vilka beroenden som faktiskt finns. Den är underlaget för kontinuitetsplaneringen, eftersom den visar vad som faller om en leverantör faller. Och den är svaret på de leverantörskedjefrågor era egna kunder ställer.

Praktiskt betyder det att registret bör bo där riskarbetet bor och inte i en rapporteringsmapp. Formatet för inlämning är xbrl-csv, men källan bör vara något ni faktiskt använder mellan februarierna.

Räkna baklänges från den 28 februari och lägg de tunga delarna först, eftersom de kräver andra människor än er själva.

Under hösten: kontrollera LEI-kod och Fidac-behörigheter, och begär in underleverantörsuppgifter från leverantörerna. Det senare är det som tar tid, eftersom svaren kommer när leverantören hinner.

Under fjärde kvartalet: klassificera funktionerna med verksamheten. I januari: sammanställ mot mallarna och validera formatet. Lämna in i god tid före den 28 februari, eftersom formatfel upptäcks vid inlämning och inte innan.