REGULATION N° 49/2022 OF 02/06/2022 ON OUTSOURCING

Ingingo ya mbere:Icyo aya mabwiriza rusange agamije Article One: Purpose Article premier: Objet Ingingo ya mbere: Icyo aya mabwiriza rusange agamije Article One: Purpose Article premier: Objet Aya amabwiriza rusange agamije gushyiraho bigenzurwa ibipimo bigomba kubahiriza igihe gikoresha undi muntu ibikorwa byabyoby’ingenzi. by’ibanze ibigo This regulation aims at establishing minimum prudent standards for regulated institutions that outsource their material activities to an external service provider. Le présent règlement vise à fixer les normes minimales prudentes pour les institutions réglementées qui externalise leurs activités principales auprès d'un prestataire de services. 254 Official Gazette n° Special of 17/06/2022

Ingingo ya 2: Ibisobanuro by’amagambo Article 2: Definition of terms Article 2: Définition des termes Ingingo ya 2: Ibisobanuro by’amagambo Article 2: Definition of terms Article 2: Définition des termes Muri aya amabwiriza rusange amagambo akurikira asobanura: In this regulation, the following terms mean: Dans le présent règlement, les termes suivants signifient: 1° ikigo kigenzurwa: ikigo kigenzurwa n’Urwego rw’ubugenzuzi; 1° regulated institution: any institution regulated and supervised by the Supervisory authority; 2° kwifashisha undi muntu mu mirimo: guha akazi utanga serivisi wo hanze y’ikigo kigenzurwa kugira ngo akore ibikorwa cyangwa imirimo ijyanye na serivisi z’imaricyangwa ikigo kigenzurwa indi mirimo kuba ubwacyo cyikorera; cyakagombye institution 2° outsourcing: the engagement of a service provider from outside the to carry out regulated activities or processes related to the execution of financial services or that would other typical services the otherwise be performed by regulated institution itself; 1° institution réglementée: toute institution règlementée et supervisée par l’Autorité de contrôle ; 2° externalisation: engagement d'un prestataire de services en dehors de l’institution réglementée pour mener des activités ou des processus liés à l'exécution de services financiers ou d'autres services typiques qui seraient l’institution autrement effectués par réglementée elle-même ; 3° ibikorwa by’ingenzi: ni igikorwa cyangwa urwego rw’murimo: 3° material activities: those activities or 3° activités principales: activités ou functions which: fonctions qui: a. iyo bihungabanye, bishobora guteza ingaruka zigaragara ku umutungo mari mvunjwafaranga ibikorwa by’ubucuruzi, isura cyangwa se inyungu by’ikigo kigenzurwa; shingiro, , a. if disturbed, may significantly affect the capital , liquidity , business operations, or profitability of regulated institution ; reputation the a. si elle est perturbée, peut affecter de manière significative le capital minimal, liquidité, les opérations commerciales, la réputation ou la rentabilité d’une institution réglementée ; b. bijyanye n’amakuru atagenewe igihe haba rubanda byatuma hagize uyabona atabyemerewe atakaye atangajwe, cyangwa b. involves non-public data and, in the event of any unauthorized access or disclosure, loss or theft, may have a 255 b. qui implique non publiques dont accès non autorisé ou divulgation, perte ou vol, peut causer informations Official Gazette n° Special of 17/06/2022 cyangwa yibwe byagira ingaruka zikomeye ku baguzi b’ikigo kigenzurwa; material impact on customers of a regulated institution; des conséquences materialles sur les clients d’une institution réglementée; 4° gukoresha undi muntu ibikorwa by’igenzi: gukoresha utari umukozi w’ikigo igikorwa cy’ingenzi; 4° material outsourcing: an outsourcing arrangement of a material activity; 4° externalisation matérielle: arrangement de l’externalisation portant sur une activité principale; 5° utanga serivisi: umuntu ukorera ikigo kigenzurwa ibikorwa mu izina ryayo hakubiyemo abari mu itsinda kigenzurwa, rimwe amasosiyete afitanye isano n’ikigo kigenzurwayaba ari mu Rwanda cyangwa hanze yarwo; n’ikigo 5° service provider: a person that is undertaking the outsourced activity on behalf of the regulated institution and includes a member of the group to which institution regulated belongs, related company whether located in Rwanda or outside; the 5° prestataire de services: une personne qui exerce l'activité d’externalisée pour le compte de l’institution réglementée et qui comprend un membre du groupe auquel institution réglementée, société liée, qu'elle soit située au Rwanda ou à l'étranger. appartient une 6° kwifashisha undi muntu mu mirimo nawe akifashisha abandi: serivisi hakurikijwe iyo utanga amasezerano nawe akoresheje uwo murimo undi utanga serivisi; 6° sub-outsourcing: a situation where a service provider under an outsourcing transfers an further arrangement outsourced function to another service provider; 6° sous-externalisation: situation dans laquelle un prestataire de services sous contrat d'externalisation transfère en outre une fonction externalisée à un autre prestataire de services; ryo 7° serivisi zerekeye amakuru abitse mu buryo bw’iyakure: serivisi hakoreshejwe zitangwa ikoranabuhanga gukoresha amakuru abitse mu buryo bw’iya kure ikitegererezo mu kubika amakuru mu buryo butagira umupaka, bubereye ubukoresha, butuma umuntu abukoresha igihe bibaye ngombwa mu buryo bwa akabera enabling on-demand 7° cloud services: services provided using cloud computing, that is, a universal, model for convenient, network access to a shared pool of configurable computing resources (e.g. networks, servers, storage, applications and rapidly services) released with provisioned that and can be 7° services d'informatique en nuage: services fournis à l'aide d'informatique en nuage, c'est-à-dire un modèle permettant un accès réseau universel, pratique et à la demande à un pool partagé de ressources informatiques configurables (par exemple, réseaux, stockage, applications et serveurs, services) pouvant être rapidement approvisionné et relâché avec un effort 256 (urugero, mudasobwa busangiwe umuyoboro, aho kubika amakuru, ububiko, apulikasiyo na serivisi) gutangwa bishobora cyangwa habaho bigatuma kurekurwa igikenewe kandi bigatwara imbaraga nkeya mu kubucunga cyangwa mu gukorana n’utanga serivisi; 8° amakuru atagenewe amakuru ahagaragara: yose rubanda: atarashyizwe Official Gazette n° Special of 17/06/2022 minimal management effort or service provider interaction; minimal de gestion ou une interaction avec le prestataire de services; 8° non-public data: all data that are not publicly available that are: 8° informations non publiques: toutes les données non accessibles au public qui sont: a. yerekeye cyangwa rizerekeye; serivisi z’imari ibarurishamibare b. amakuru yerekeye umuntu ku giti cye nk’uko asobanurwa n’amategeko yihariye. a. related to product and services of a related institution or regulated statistics; b. personal data as defined by specific laws. a. liées aux produits et services d'une réglementée ou aux institution statistiques connexes; b. données personnelles relative à un individus telles que définies par des lois spécifiques.

Ingingo ya 3: Inzego z’imirimo cyangwa imirimo bidashobora gukoreshwa undi muntu Article 3: Functions or activities that cannot be outsourced Article 3: Fonctions ou activités qui ne peuvent pas être externalisées UMUTWE WA BYEREKEYE UBUGENZUZI II: IBISABWA II: CHAPTER REQUIREMENTS REGULATORY II: CHAPITRE RÉGLEMENTAIRES EXIGENCES Ingingo ya 3: Inzego z’imirimo cyangwa imirimo bidashobora gukoreshwa undi muntu Article 3: Functions or activities that cannot be outsourced Article 3: Fonctions ou activités qui ne peuvent pas être externalisées Ikigo kigenzurwa ntigishobora gukoresha undi muntu mu gutanga serivisi z’imari Urwego rwagihereye uruhushya rwo gukora. rw’Ubugenzuzi A regulated institution shall not outsource the activities of providing financial services for which it obtained the license from the Supervisory authority. Une institution réglementée ne peut externaliser les activités de provisions des services financiers pour lesquels elle a été octroyé l’agrément par l’Autorité de contrôle. 257 Official Gazette n° Special of 17/06/2022 Gukoresha undi muntu mu mirimo ntibigomba gutuma inama y’ubutegetsi ndetse n’ubuyobozi bukuru byikuraho inshingano. Outsourcing must not lead to the delegation of responsibility of the board of directors and senior management. L’externalisation ne doit pas conduire à la délégation de la responsabilité du conseil d’administration et de direction générale. Ikigo kigenzurwa ntigishobora gukoresha undi muntu inzego z’imirimo y’ubuyobozi z’ingenzi irimo: A regulated institution shall not outsource core management functions including: Une institution réglementée ne peut pas externaliser les fonctions de gestion de base, notamment: 1° igenamigambi ry’ikigo; 1° corporate planning; 1° planification d'entreprise; 2° imitunganyirize y’imiterere y’ikigo; 2° organization; 2° organisation; 3° ubuyobozi bw’ikigo; 3° management and 3° gestion et 4° n’inzego z’imirimo zifata ibyemezo uko kureba nk’urushinzwe amategeko yubahirizwa. UMUTWE WA BYEREKEYE UBUGENZUZI II: IBISABWA 4° decision making like determination of compliance with applicable laws. functions 4° fonctions de prise de décision comme la lois respect des détermination du applicables. CHAPTER II: REQUIREMENTS REGULATORY CHAPITRE II: RÉGLEMENTAIRES EXIGENCES

Ingingo ya 4: Ibigomba kubahirizwa mbere yo gukoresha undi muntu imirimo Article 4: Pre- outsourcing conditions Article l’externalisation 4: Les préconditions de Ingingo ya 4: Ibigomba kubahirizwa mbere yo gukoresha undi muntu imirimo Article 4: Pre- outsourcing conditions Article l’externalisation 4: Les préconditions de kigenzurwa Ikigo kubanza kumenya neza niba gukoresha undi muntu imirimo bitazahungabanya: kigomba 1° uburyo bw’imikorere busanzwe bukoreshwa, urugero, guha serivisi n’abagenerwabikorwa abaguzi A regulated institution shall ensure that outsourcing does not jeopardize the: Une institution réglementée doit s’assurer que l’externalisation ne compromet pas: 1° regular operations, i.e. providing services and beneficiaries in accordance with the customers to 1° opérations régulières, par exemple, fourniture de services aux clients et aux 258 Official Gazette n° Special of 17/06/2022 bisabwa nk’uko n’amategeko,amabwiriza rusange n’ imigenzereze iboneye mu bucuruzi; 2° ubushobozi bw’ikigo bwo gucunga no kugenzura uburyo bw’imikorere ndetse n’ibikorwa by’ikigo; existing laws, regulations, and best practice; bénéficiaires conformément aux lois en vigueur, règlements et bonnes pratiques; 2° capability to manage and control 2° la capacité de gérer et de contrôler les operations and activities; opérations et activités; 3° imicuingire y’ibyateza ingorane 3° regulated institution’s risk 3° la gestion des risques de l'institution y’ikigo kigenzurwa; management; réglementée ; 4° igenzura ry’ikigo kigenzurwa 4° regulated institution’s internal control ry’imbere; system; 4° le système de contrôle l'institution réglementée ; interne de 5° ubushobozi Urwego rw’Ubugenzuzi 5° Supervisory authority’s ability to 5° capacité l’Autorité de contrôle rufite bwo gukora igenzura. perform supervision. d’effectuer des contrôles. Ikigo kigenzurwa gikoresha gusa utanga serivisi ugaragaza ko afite ingamba zerekeye ubushobozi ubuhanga bw’umutekano, ndetse n’iz’uburyo bw’imiterere y’ikigo ku buryo kugira icyo akoresha amakuru yerekeye umuntu ku giti cye bikorwa hubahirijwe amategeko. provider providing Regulated institution shall only appoint a sufficient service guarantees to implement appropriate security, technical and organizational measures in such a manner that processing of person data will meet the requirements of the Law. Une institution réglementée ne nomme qu'un prestataire de services offrant des garanties suffisantes pour mettre en œuvre des mesures de sécurité, techniques et organisationnelles appropriées de manière à ce que le traitement aux des données personnelles exigences de la loi. réponde rw’ubugenzuzi, Ikigo kigenzurwa kigomba kugaragariza binyuze mu Urwego masezerano yerekeye gukoresha undi muntu kubahiriza imirimo Urwego amabwiriza rw’ubugenzuzi ndetse n’amategeko ya Repubulika y’u Rwanda. kizakomeza rusange ko y’ The regulated institution shall demonstrate to the Supervisory Authority that, under the outsourcing arrangement, regulations from the Supervisory Authority and laws from the Republic of Rwanda will continue to be met. Une institution réglementée doit être en mesure de démontrer à l’Autorité de contrôle que, dans le cadre de les règlements de et les lois de la République du Rwanda continueront d'être respectées. l'accord d'externalisation, 259 Official Gazette n° Special of 17/06/2022

Ingingo ya 5: y’ubutegetsi n’iz’ubuyobozi bukuru Inshingano z’inama Article 5: Responsibility of the Board and Senior Management Article 5: Responsabilité du Conseil d’administration et de la direction générale Ingingo ya 5: y’ubutegetsi n’iz’ubuyobozi bukuru Inshingano z’inama Article 5: Responsibility of the Board and Senior Management Article 5: Responsabilité du Conseil d’administration et de la direction générale Inama y’ubutegetsi ndetse n’ubuyobozi ibyerekeye bukuru ni bo bashinzwe gukoresha imirimo abatari abakozi b’ikigo ndetse no gucunga ingorane bishamikiye ku gukoresha imirimo abatari abakozi b’ikigo. ibyateza The Board and senior management are for outsourcing ultimately arrangements and for managing risks inherent in such outsourcing relationships. responsible Le Conseil d’administration et la direction générale sont en fin de compte responsables des opérations de l’externalisation et de la gestion des relations de à l’externalisation. risques liés ces Inama y’ubutegetsi cyangwa komite inama y’ubutegsti yabihereye ububasha ishinzwe: The board, or a committee delegated by it, is responsible for: Le Conseil d’administration, ou un comité délégué par ce dernier, est responsable de: 1° kwemeza uburyo bwo gusuzuma ingorane n’uburemere ndetse cyangwa bw’amasezerano ashobora kubaho yo kwifashisha undi muntu mu gukora imirimo hamwe na politiki zubahirizwa kuri ayo masezerano; ahari 1° approving a framework to evaluate the risks and materiality of all existing and prospective outsourcing arrangements and the policies that apply to such arrangements; 1° approuver un cadre pour évaluer les risques et l’importance de tous les l’externalisation arrangements existants et les politiques qui s'appliquent à ces arrangements; futurs ainsi que de gushoramo kugaragaza ibyateza 2° kugena ibyo ikigo kigenzurwa cyiyemeje imari hagamijwe ubwoko n’urugero ingorane bishamikiye kuri iryo shoramari bikubiye mu biriho masezerano yo kwifashisha undi muntu mu mirimo; nk’uko 3° kugaragaza bakwiye bemeza amasezerano yo kwifashisha abayobozi 2° setting a suitable risk appetite to define the nature and extent of risks that the regulated institution is willing and able its to assume outsourcing arrangements; from 3° laying down appropriate approval outsourcing for authorities 260 2° établir le l’appétence pour risque appropriée pour définir la nature et l'ampleur des risques qu’une institution réglementée est disposée et capable d'assumer dans ses le cadre de arrangements de l’externalisation; 3° mettre autorités compétentes en matière d'approbation place les en mu mirimo undi muntu mu hashingiwe ku ngamba n’ibyateza ikigo kigenzurwa gifite ingorane ubushake kwirengera byashyizeho; bwo 4° gusuzuma ubushobozi bw’ubuyobozi mu gutegura politiki n’uburyo bikwiye mu gucunga ingorane zaturuka ku kwifashisha undi muntu mu mirimo hashingiwe ku bwoko, urwego n’urusobe by’amasezerano yo kwifashisha undi muntu mu mirimo; 5° gukora ku buryo ubuyobozi bukuru z’ubuyobozi inzego bushyiraho zikwiye bwiza n’uburyo bw’imicungire y’ibyateza ingorane nk’urwego rw’ubuyobozi rusuzuma amagenzura kugira ngo bihure kandi bijyane n’uburyo bwagutse bw’uko ikigo kigenzurwa kibona ibyateza ingorane; na 6° gusuzuma ku buryo buhoraho ingamba n’amasezerano byerekeye kwifashisha undi muntu mu mirimo. Official Gazette n° Special of 17/06/2022 its arrangements consistent with established strategy and risk appetite; des arrangements de l’externalisation conformément à la stratégie et à l’appétence pour le risque établies; 4° assessing management competencies for developing sound and responsive outsourcing risk management policies and procedures that are commensurate with the nature, scope and complexity of the outsourcing arrangements; 4° évaluer les compétences de la direction pour l'élaboration de politiques et de procédures de gestion du risque de l’externalisation et appropriées qui correspondent à la nature, la portée et la complexité des arrangements de l’externalisation; cohérentes 5° ensuring that senior management establishes appropriate governance structures and processes for sound and prudent risk management, such as a reviews management body controls and alignment with a comprehensive institution-wide view of risk; and that consistency for 6° undertaking regular reviews of these and strategies outsourcing arrangements. 5° veiller à ce que la direction générale établisse des structures et des processus de gouvernance appropriés pour une gestion saine et prudente des risques, tels qu’un organe de gestion qui examine les contrôles en vue de la cohérence et de l'alignement avec une l’échelle de risque à vision du l’institution réglementée et 6° entreprendre les contrôles réguliers de ces stratégies et arrangements de l’externalisation. . Ubuyobozi bukuru bushinzwe: Senior management is responsible for: La direction générale est responsable de: 261 Official Gazette n° Special of 17/06/2022 ku masezerano 1° gusuzuma uburemere n’ingorane byaturuka yo kwifashisha undi muntu mu mirimo ahari n’ashobora kubaho hashingiwe ku byemejwe n’Inama y’Ubutegetsi; 1° evaluating the materiality and risks from all existing and prospective outsourcing arrangements, based on the framework approved by the board; 2° gutegura politiki zinoze kwifashisha undi muntu mu mirimo zijyanye n’ubwoko, n’urusobe urwego by’amasezerano yo kwifashisha undi muntu mu mirimo no gukora ku n’uburyo buryo bikoreshwa bishyirwa mu bikorwa neza n’abayobozi babishinzwe; politiki izo 3° gusuzuma buri gihe niba politiki n’uburyo bukoreshwa bikora neza no kubivugurura igihe bikwiye kugira ngo bijyane n’impinduka ku miterere y’ibyateza kigenzurwa ikigo ingorane muri rusange; 4° Gukurikirana no gukomeza kugenzura neza ibyateza ingorane byose bijyanye n’amasezerano yo gukoresha undi muntu ibikorwa by’igenzi hasuzumwa buri gihe ingamba zo kufashisha undi muntu mu mirimo hitawe ku ngano y’amasezerano ; 2° developing and sound prudent outsourcing policies and procedures that are commensurate with the nature, scope and complexity of the outsourcing arrangements as well as that such policies and ensuring procedures implemented effectively by line managers; are and 3° reviewing regularly the effectiveness of, adjusting, appropriately policies and procedures to reflect changes in the regulated institution’s overall risk risk environment; profile and 4° monitoring and maintaining effective control of all risks from its material outsourcing arrangements on an undertaking regular reviews of these and outsourcing arrangements -wide basis; strategies 262 les 1° évaluer l’importance et les risques de tous de l’externalisation existants et potentiels suivant le cadre approuvé par le Conseil d'administration; arrangements cohérentes l’externalisation 2° élaborer des politiques et des procédures et de prudentes qui correspondent à la nature, la complexité des la portée et arrangements de l’externalisation et assurer leur mise en œuvre efficace par les supérieurs hiérarchiques; 3° examiner régulièrement l'efficacité des politiques et des procédures et les ajuster convenablement pour refléter globalement les changements dans le profil et l'environnement des risques de l’institution réglementée ; 4° surveiller et maintenir un contrôle risques efficace d’arrangements de l’externalisation matérielle à l'échelle de l'établissement; tous les de Official Gazette n° Special of 17/06/2022 5° kugenzura ko hariho ubundi buryo bwakoreshwa ku ngorane ziriho n’izashoboka kandi bukageragezwa buri gihe; hashingiwe 5° ensuring that contingency plans, based on realistic and probable disruptive scenarios, are in place and regularly tested; 5° s’assurer que les plans d'urgence, basés sur des scénarios réalistes et probables de perturbation, sont en place et régulièrement testés; 6° gukora ku buryo habaho ubugenzuzi bukozwe mu bwigenge kugira ngo harebwe niba politiki n’uburyo bukoreshwa mu kwifashisha undi muntu mu mirimo byubahirizwa; 7° gukora ku buryo hafatwa ingamba zigamije gukosora amakosa kandi zigafatirwa igihe mu rwego rwo kubonera ibyavuye mu igenzura; ibisubizo 8° guha inama y’ubutegetsi amakuru yerekeye ingorane zavuka ziturutse ku masezerano yo gukoresha undi muntu ibikorwa by’igenzi kandi bigakorwa ku gihe. 6° ensuring that there is independent review and audit for compliance with outsourcing policies and procedures; 6° s'assurer qu'il existe un contrôle et un audit indépendants à des fins de vérification du respect des politiques et des procédures de l’externalisation; 7° ensuring that appropriate and timely remedial actions are taken to address audit findings; 7° veiller à ce que des mesures correctives appropriées et en temps opportun soient prises pour donner suite aux résultats de l’audit; 8° communicating information pertaining to risks arising from its material outsourcing arrangements to the board in a timely manner. 8° communiquer à temps au Conseil informations des d'administration relatives aux risques découlant de ses arrangements l’externalisation matérielle. de

Ingingo ya 6: Gukoresha undi muntu ibikorwa by’igenzi Article 6: Outsourcing of material activities Article 6: L’externalisation des activités principales 249 Official Gazette n° Special of 17/06/2022 Ingingo ya 6: Gukoresha undi muntu ibikorwa by’igenzi Article 6: Outsourcing of material activities Article 6 : L’externalisation de l’activités principales kigenzurwa ibikorwa Ikigo by’ingenzi bishobora kuba byakorwa n’undi muntu. kigena Regulated institution shall define the material activities to be outsourced. Une institution réglementée définit les activités principales à externaliser. 263 Official Gazette n° Special of 17/06/2022 Mu rwego rwo gusuzuma niba igikorwa kigiye ari ikigo kigenzurwa kigomba kwita ku bintu birimo ibikurikira: ingenzi In order to assess whether the activity is material, institution shall regulated the consider factors, such as: l'activité est matérielle, Afin d'évaluer si l'institution réglementé prend en considération des facteurs tels que: 1° akamaro k’umurimo ugiye gukoreshwa abandi batari abakozi b’ikigo (urugero uruhare rw’uwo murimo ku by’ikigo kigenzurwa cyinjiza n‘nyungu; 2° ingaruka zo gukoresha imirimo y’ikigo abatari abakozi bacyo ku nyungu, ubushobozi bwo kwishyura imyenda, amafaranga ahari, kubona imari bwite, n’imiterere y’ibyateza ingorane; 1° importance of the business activity to be outsourced (e.g., terms of contribution to income and profit of a regulated institution); in 1° importance de l’activité commerciale à l’externalisée (exemple, en termes de sa contribution aux revenues et au bénéfice de l'institution réglementé ) 2° potential impact of the outsourcing on earnings, solvency, liquidity, funding and capital, and risk profile; 2° l’impact potentiel de l’externalisation sur les bénéfices, la solvabilité, la liquidité, le financement et le capital, ainsi que sur le profil de risque; intego bikorwa 3° ingaruka ku isura y’ikigo kigenzurwa no ku gaciro k’izina ry’ubucuruzi, hamwe n’ubushobozi bwo gushyira mu zacyo z’ubucuruzi, ingamba na gahunda serivisi byacyo, adashoboye kuyitanga cyangwa iyo amakuru yabonye atayagize ibanga cyangwa ngo yite ku mutekano wayo (urugero ni nko gushyira mu kagaamakuru y’imari atagenewe rubanda ; utanga iyo 3° impact on the regulated institution’s reputation and brand value, and ability to achieve its business objectives, strategy and plans, should the service provider fail to perform the service or encounter a breach of confidentiality or security (e.g., compromise of non- public data); 3° l’impact la sur réputation d’une institution réglementée et la valeur de la marque, ainsi que sa capacité à réaliser ses objectifs commerciaux, sa stratégie et ses plans si le prestataire de services ne parvient pas à effectuer le service ou s’il viole la confidentialité ou la sécurité (par exemple, compromission des données financières non publiques); 4° ingaruka kigenzurwa, ku bakiriya b’ikigo iyo utanga serivisi 4° impact on the institution’s customers, should the service provider fail to 4° l’impact sur les clients d’une institution réglementée si le prestataire de services 264 kuyitanga cyangwa adashoboye amakuru abonye ntayagire ibanga cyangwa ngo yite ku mutekano wayo; 5° ingaruka ku bagomba inshingano ikigo kigenzurwa rwego rw’imari mu Rwanda igihe utanga serivisi yaba ananiwe gutanga serivisi; , ku 6° amafaranga agenda ku gukoresha imirimo y’ikigo abatari abakozi bacyo ugereranyije n’akoreshwa kugira ngo ikigo kibashe gukora; 7° ingaruka zaterwa no kuba undi muntu wifashishijwe mu gukora mirimo yananirwa kuyikora; 8° ikigereranyo cy’ibyateza ingorane byakomoka ku kwifashisha muntu umwe mu gukora umurimo urenze umwe w’ikigo kigenzurwa; 9° ubushobozi bwo gukomeza gukora igenzura ry’imbere mu kigo rikwiye no kubahiriza amabwiriza mu gihe utanga serivisi yahuye n’ibibazo byo gukora ibikorwa. Official Gazette n° Special of 17/06/2022 perform the service or encounter a breach of confidentiality or security; ne parvient pas à effectuer le service ou viole la confidentialité ou la sécurité; 5° impact on institution’s the counterparties and the Rwandan financial system , should the service provider fail to perform the service; 5° impact les sur contreparties de l’institution réglementée et système financier Rwandais, si le prestataire de services ne fournit pas le service; 6° cost of the outsourcing as a proportion the total operating costs of of institution; 6° le coût de l’externalisation par rapport de opérationnel coût au l’institution réglementée total 7° cost of outsourcing failure; 7° coût de l'échec de l’externalisation; 8° aggregate risk exposure to a particular service provider in cases where the outsources institution regulated various functions to the same service provider; 8° exposition globale aux risques à un prestataire de services particulier au cas réglementée institution où externalise diverses fonctions au même prestataire de services; une 9° ability to maintain appropriate internal controls and meet regulatory requirements, if the service provider faces operational problems. 9° capacité de maintenir les contrôles internes appropriés et de satisfaire aux exigences réglementaires, en cas de problèmes opérationnels rencontrés par le prestataire de services. 265 Official Gazette n° Special of 17/06/2022 A regulated institution shall undertake a periodic review of its outsourced processes to identify new outsourcing risks as they arise for example, when the service provider has further sub- outsourced work to other service providers or has undergone a significant change infrastructure, or management. in processes, identifier de nouveaux Une institution réglementée procède à un examen périodique de ses processus sous-traités pour risques de l’externalisation lorsqu’ils se présentent. C’est par exemple lorsque le prestataire de services a lui aussi sous-traité un travail auprès d'autres prestataires de services ou a subi un changement important dans les processus, l'infrastructure ou la gestion. ibyateza ingorane Ikigo kigenzurwa gisuzuma ku buryo ngarukagiheuburyo bwo kwifashisha undi muntu mu gukora imirimo mu rwego rwo kugaragaza bishya byatezwa no kwifashisha undi muntu mu gukora imirimo igihe harebwe uko zigenda zigaragara. Urugero ni nk’igihe utanga ibice by’imirimo byinshi serivisi afite ashinga abandi batanga serivisi cyangwa iyo akoze impinduka zikomeye zerekeye uburyo bukoreshwa, ibikorwa remezo cyangwa ubuyobozi. Uburemere bugomba gusuzumwa harebwa ikigo ubwacyo ndetse kinarebwa mu buryo bukomatanyije, bisobanura ko hagomba no kurebwa ikigo hamwe n’amashami yacyo ndetse n'amasosiyete icyo kigo kigenzura.

Ingingo ya 7: Imicungire y’ibyateza ikigo ingorane biturutse ku kwifashisha undi muntu mu mirimo yacyo Article 7: Outsourcing risk management Article l’externalisation 7: Gestion des risques de Ingingo ya 7: Imicungire y’ibyateza ikigo ingorane biturutse ku kwifashisha undi muntu mu mirimo yacyo Inama y’ubutegetsi hamwe n’Ubuyobozi bukuru bigomba kumenya kandi bikumva ingorane zishobora guturuka ku kwifashisha abo hanze mu gukora imirimo y’ikigo. Ikigo kigenzurwa ishyiraho uburyo bwo gusuzuma ingorane bugomba kuba burimo ibikorwa bikurikira : institution Materiality shall be considered both at a regulated level and on a consolidated basis i.e. together with the institution’s and corporations/entities under its control. branches L’importance doit être considérée à la fois au niveau de l'institution réglementée et sur une l'institution base réglementée avec ses succursales et les sociétés/entités sous son contrôle. consolidée, c'est-à-dire Article 7: Outsourcing risk management Article l’externalisation 7: Gestion des risques de The board and senior management shall be aware of and understand the risks arising from outsourcing. The regulated institution shall establish a framework for risk evaluation which shall include the following activities Le Conseil d’administration et la direction générale doivent connaître et comprendre les risques découlant de l’externalisation. Une institution réglementée établit un cadre pour l'évaluation des risques qui doit inclure les activités suivantes: 266 1° kugaragaza uruhare rwo kwifashisha abo hanze mu gukora imirimo y’ikigo mu ngamba no mu ntego rusange z’ibikorwa by’ubucuruzi bya ikigo kigenzurwa ; Official Gazette n° Special of 17/06/2022 1° identifying the role of outsourcing in the overall business strategy and objectives of the regulated institution ; 2° performing comprehensive due diligence on the nature, scope and complexity outsourcing arrangement to identify and mitigate key risks; the of 1° identifier le rôle de l’externalisation dans la stratégie commerciale globale et les institution réglementée ; objectifs d’une 2° effectuer toute vérification diligente et complète sur la nature, la portée et la complexité de l’externalisation pour identifier et atténuer les principaux risques; l'arrangement de 2° kumenya mu buryo bwuzuye kandi mu bushishozi imiterere, urwego n’urusobe yo kwifashisha undi muntu mu gukora imirimo mu rwego rwo kugaragaza ingorane no kugabanya nyamukuru; by’amasezerano ibyateza 3° gusuzuma ubushobozi bw’utanga serivisi bwo gukorana ubwitonzi imirimo yifashisha undi muntu kandi agenga yubahirize ikigo ubugenzuzi kibyitezweho, kiba kigenzurwa bigakorwa imirimo nk’aho yifashisha undi muntuyakozwe na ikigo kigenzurwa ubwayo; amatageko nk’uko 3° assessing the service provider’s ability to employ a high standard of care in performing the outsourced service and meet regulatory standards as expected of the regulated institution , as if the outsourcing arrangement is performed by the regulated institution itself; à un 3° évaluer la capacité du prestataire de niveau déployer services d’attention élevé dans l'exécution du service sous-traité et à remplir les obligations qui pèsent sur une institution réglementée en vertu des normes réglementaires comme si l'arrangement de l’externalisation était effectué par une institution réglementée elle-même; ingorane zose 4° gusuzuma ingaruka z’amasezerano yo gukoresha undi muntu ku miterere ikigo y’ibyateza kigenzurwa yagira, hakanasuzumwa niba ikigo kigenzurwa gifite abakozi n’umutungo bafite bihagije cyakoresha mu rwego rwo ubuhanga 4° analysing the impact of the outsourcing arrangement on the overall risk profile of the regulated institution , and whether there are adequate internal expertise and resources to mitigate the risks identified; 4° analyser l'impact de l'arrangement de l’externalisation sur le profil de risque global d’une institution réglementée et voir s'il existe une expertise et des ressources internes adéquates pour atténuer les risques identifiés; 267 kugabanya zagaragajwe; ibyateza ingorane 5° gusuzuma ukwicucika kw’ibyateza ingorane kwatezwa no kwifashisha undi muntu mu gukora imirimo bikozwe n’utanga irenze umwe na/cyangea serivisi kwisfashisha undi muntu mu gukora imirimo kwaterwa y’ingenzi n’umubare mukeya wabatanga serivisi; umwe 6° gusuzuma inyungu zo kwifashisha undi muntu mu gukora imirimo ugereranyije n’ingorane zavuka; Official Gazette n° Special of 17/06/2022 5° analysing the concentration risk posed by multiple outsourcings to the same service the concentration risk posed by outsourcing critical or important functions to a limited number of service providers. provider and/or 5° analyser le risque de concentration posé par des externalisations multiples chez le même prestataire et / ou le risque de concentration posé par l'externalisation de fonctions critiques ou importantes à un nombre limité de prestataires. 6° analysing the benefits of outsourcing against the risks that may arise; 6° analyser les de l’externalisation par rapport aux risques qui peuvent survenir ; bénéfices 7° gushyiraho umurongo utanga serivisi igihe na we atagomba kurenga akoresha imirimo undi utari we. 7° establish a threshold (a limit) that a service provider must not exceed while sub outsourcing. 7° établir un seuil (une limite) qu'une prestataire de service ne doit pas dépasser lors de la sous-sous-traitance. Isuzuma ry’ingorane ryagombye gukorwa igihe ikigo kigenzurwa iteganya gusinya amasezerano yo kwifashisha undi muntu hamwe n’usanzwe utanga serivisi cyangwa utanga serivisi mushya, kandi rikongera gukorwa ku buryo ngarukagihe, nka kimwe mu bigize amasuzuma y’iyemezwa, itegenya rya gahunda ihamye, imicungire y’ibyateza ingorane cyangwa uburyo bw’igenzura by’amasezerano yo kwifashisha undi muntu mu gukora imirimo ya ikigo kigenzurwa. The risk evaluations shall be performed when the regulated institution is planning to enter into an outsourcing arrangement with an existing or a new service provider, and also re- performed periodically on existing outsourcing arrangements, as part of the approval, risk management or internal control reviews of the outsourcing arrangements of the regulated institution . planning, strategic risques doivent L’évaluations des être effectuées lorsqu’une institution réglementée envisage de conclure un arrangement de l’externalisation avec un prestataire de services existant ou nouveau. Elles doivent être également renouvelées périodiquement pour les arrangements de l’externalisation existants dans le cadre de l'approbation, de la planification stratégique, de la gestion du risque ou des examens de contrôle interne des arrangements 268 Official Gazette n° Special of 17/06/2022 l’externalisation de réglementée. d’une institution

Ingingo ya 8: Isuzuma ry’abatanga serivisi Article 8: Due diligence and assessment of service providers Article 8: Évaluation des prestataires de services ya yo Ingingo kwifashisha undi muntu mu gukora imirimo 9: Amasezerano Ingingo ya 8: Isuzuma ry’abatanga serivisi Article 8: Due diligence and assessment of service providers Article 8: Évaluation des prestataires de services Mu gusuzuma, kongera kuganira cyangwa kuvugurura amasezerano yo gukoresha undi muntu mu ikigo kigenzurwa igomba gukoresha ubushishozi bukwiye mu gusuzuma ingorane zaturuka ku masezerano yo kwifashisha undi muntu. gukora imirimo, In considering, renegotiating or renewing an regulated outsourcing arrangement, institution shall subject the service provider to appropriate due diligence processes to assess the risks associated with the outsourcing arrangements. the d'un arrangement Lors de l'examen, de la renégociation ou du de renouvellement l’externalisation, une institution réglementée doit soumettre le prestataire de services à des procédures diligence raisonnable pour évaluer les risques associés aux arrangements de l’externalisation. appropriées de Ikigo kigenzurwa gisuzuma utanga serivisi mu ngingo zose zishoboka harimo: The regulated institution shall assess all relevant aspects of the service provider, including: Une institution réglementée évalue tous les aspects pertinents du prestataire de services y compris: mu gushyira 1° ubushobozi bwe mu gukoresha ubwitonzi bwo ku rwego rwo hejuru mu bikorwa amasezerano yo kwifashisha undi muntu ku buryo bikorwa nk’aho byakozwe kigenzurwa n’ikigo ubwayo mu kuzuza inshingano zayo nk’ikigo kigenzurwa; 1° its capability to employ a high standard of care in the performance of the outsourcing arrangement as if the service is performed by the regulated institution itself to meet its obligations as a regulated institution; 1° capacité à un niveau déployer d’attention élevé dans l'exécution de l’arrangement l’externalisation de comme si le service était effectué par une institution réglementée elle-même pour remplir ses obligations en tant qu'institution réglementée ; 2° amagenzura y’ibikoresho n’umutekano mu by’ikoranabuhanga n’ubushobozi hamwe bw’ikoranabuhaga utanga serivisi afite mu kubahiriza inshingano ziri 2° the physical and IT security controls the service provider has in place as well as capability of the technology to comply with service provider 2° les contrôles de sécurité physique et informatique que le prestataire de services a mis en place ainsi que la capacité du prestataire de services 269 Official Gazette n° Special of 17/06/2022 mu masezerano yo kwifashisha undi muntu mu mu mirimo; obligations agreement; in the outsourcing technologiques à se conformer aux obligations du contrat d'externalisation 3° isura y’ibikorwa n’ubushobozi mu by’imari by’utanga serivisi, harimo ngenderwaho ibipimo kandi by’imyitwarire ikwiye serivisi mbonezamurimo utanga afite, hamwe n’ubushobozi bwe mu kubahiriza ziri mu inshingano masezerano yo kwifashisha undi muntu mu gukora akazi. 3° the business reputation and financial the service provider, strength of including the ethical and professional standards held by the service provider, and its ability to meet obligations under the outsourcing arrangement. 3° la réputation de l'entreprise et de la solidité financière du prestataire de services, y compris les normes éthiques et professionnelles du prestataire de services et sa capacité à respecter les obligations de de l’externalisation; l’arrangement Ubushishozi bukwiye bugomba kubamo isuzuma ry'amakuru yose yerekeye utanga serivisi harimo: The due diligence shall involve an evaluation of all relevant information about the service provider including: La diligence raisonnable doit impliquer une les évaluation informations toutes le prestataire de pertinentes concernant services. de mu 1° ubunararibonye n’ubushobozi mu no gushyira gushyigikira yo kwifashisha undi muntu mu gihe amasezerano azamara; bikorwa amasezerano 2° kuba ahagaze neza mu birebana n’imari n’ubushobozi bwo gutanga serivisi yiyemeje kabone n’iyo haba hari ibibazo; 1° experience and capability to implement and support the outsourcing arrangement over the contracted period; 1° expérience et la capacité de mettre en œuvre et de soutenir l’arrangement de l’externalisation pendant la période contractuelle; 2° financial soundness and ability commitments to even under service adverse conditions; 2° a solidité financière et la capacité d’honorer les engagements, même dans des conditions défavorables; 3° imiyoborere y’ikigo, ikigo gifite, kuba cyubahiriza amategeko n’imanza umuco gifite, isura 3° corporate business governance, reputation and culture, compliance, and pending or potential litigation; 270 3° la gouvernance la réputation et la culture d’entreprise, la d'entreprise, gifite cyangwa gishobora guhura na zo; 4° umutekano n’uburyo bw’igenzura ikigo umwuka n’ikurikirana by’imbere mu kigo, abo ubugenzuzi, gikorera gutanga amakuru bikorwa bikorwamo; ingorane, 5° uburyo n’ubushobozi mu micungire y'ibyateza harimo imicungire y’ingorane zaturuka ku ikoranabuhanga n’imicungire y’ikomeza ry’imirimo hashingiwe ku masezerano yo kwifashisha undi muntu mu gukora imirimo; 6° uburyo bwo gusubukura imirimo nyuma y’amage n’amakuru ku isubukura nyuma y’amage; ry’imirimo Official Gazette n° Special of 17/06/2022 conformité et les procès en cours ou potentiels; 4° security and internal controls, audit coverage, reporting and monitoring environment; 4° a sécurité et les contrôles internes, la couverture de l'audit, l'environnement de transmission des rapports et de suivi; 5° risk management framework and capabilities, including technology risk management and business continuity management the outsourcing arrangement; respect of in 5° le cadre et les capacités de gestion des risques, y compris la gestion des risques technologiques et la gestion de la continuité d’’activité dans le cadre de l’arrangement de l’externalisation; 6° disaster recovery arrangements and disaster recovery track record; 6° les arrangements en matière de reprise d’activités après sinistre et antécédents en matière de reprise après sinistre; 7° ibikorwa remezo bitekanye; 7° secure infrastructure facilities; 7° les infrastructures sécurisées; 8° kuba acungira ku guha amasezerano abandi bamukorera akazi no kuba ashobora gukorana nabo neza; 8° reliance on and success in dealing with sub-contractors; 8° la dépendance sur les sous-traitants et le succès dans les relations avec eux; 9° kuba afite ubwishingizi; 9° insurance coverage; 9° la couverture d'assurance; 10° uko hanze hitwaye (nk’ibijyanye na politiki, imibereho y'ikigo 10° external environment (such as the social, 10° l’environnement (comme l'environnement politique, économique, externe political, economic, 271 Official Gazette n° Special of 17/06/2022 myiza, ikoranabuhanga n’amategeko by’akarere serivisi akoreramo); utanga technological and legal environment of the jurisdiction in which the service provider operates); social, technologique et juridique du ressort où le prestataire de services opère); 11° ubushobozi kubahiriza bwo amategeko n’amabwiriza rusange n’uko ikigo gihagaze mu birebana ry’amaregeko n’iyubahirizwa n’amabwiriza rusange biriho. 11° ability to comply with applicable laws and regulations and track record in relation compliance with its applicable laws and regulations. to 11° la capacité de se conformer aux lois et règlements en vigueur et le bilan en rapport avec sa conformité aux lois et règlements en vigueur. ari cyo igice Ikigo kigenzurwa igomba kugenzura ko abakozi b’utanga serivisi bashyira mu bikorwa cyose icyo cy’amasezerano yo kwifashisha undi muntu mu gukora imirimo basuzumwe kugira ngo harebwe ko bujuje ibisabwa na politiki za ikigo kigenzurwa mu gutanga akazi ku bijyanye n’umurimo bari gukora, kandi ko ibyo basabwa bihuje n’ibigenderwaho byubahirizwa ku bakozi bayo basanzwe. Ibi bikurikira ni bimwe mu ngero z’ibyitabwaho muri iri suzuma: of the service The regulated institution must ensure that the provider employees undertaking any part of the outsourcing arrangement have been assessed to meet the regulated institution ’s hiring policies for the role they are performing, consistent with the criteria applicable to its own employees including: Une institution réglementée doit s’assurer que les employés du prestataire de services qui réalisent une telle partie de l’arrangement de l’externalisation ont été évalués selon les politiques de recrutement d’une institution réglementée pour le rôle qu'ils exercent et conformément aux critères applicables à ses propres employés. Quelques exemples non exhaustifs de ce qui doit être considéré dans cette évaluation sont repris ci-après: 1° kureba niba batarigeze bahabwa ibihano rwego rw’imyitwarire cyangwa baciribwa imanza kubera byaha; byo mu 2° kureba niba batarahamwe n’icyaha (by’umwihariko ikijyanye n’uburiganya, gutanga amakuru atari yo kubura cyangwa ubunyangamugayo); 1° whether they have been the subject of any proceedings of a disciplinary or criminal nature; 1° s’ils ont fait l'objet d’une mesure disciplinaire ou poursuites pénales; 2° whether they have been convicted of any offence that associated with a finding of fraud, misrepresentation or dishonesty); (in particular, 2° s’ils ont été reconnus coupables d'une infraction (en particulier, celle en rapport avec la fraude, les fausses déclarations ou la malhonnêteté); 272 Official Gazette n° Special of 17/06/2022 3° niba baremeye kuryozwa indishyi ku cyangwa byerekeye gutanga amakuru atari yo; uburiganya 3° whether they have accepted civil or for fraud liability misrepresentation; 3° s'ils ont reconnu la responsabilité civile pour fraude ou fausse déclaration; et 4° no kuba bahagaze neza mu byerekeye 4° whether they are financially sound. 4° s’ils sont financièrement solides. imari. igihe akorera, Hagombye kubaho gusura aho utanga serivisi binashoboka hakanakorwa amagenzura akozwe n’abantu bigenga hakanashakishwa n’amakuru ku buryo utanga serivisi ahagaze ku isoko kugira ngo byunganire isuzuma rikorwa na ikigo kigenzurwa . Gusura aho utanga serivisi akorera bigomba gukorwa n’abantu bafite ubumenyi n’ubushobozi bisabwa mu gukora isuzuma. Ikinku cyose kibi cyagaragara muri iri suzuma kigomba kwitabwaho hashingiwe ku buremere n’ingaruka gifite ku masezerano yo kwifashisha undi muntu mu gukora imirimo. Ubushishozi bukwiye bukoreshwa mu inyandiko isuzuma bugomba gukorerwa bukongera kandi gukorwa nibura rimwe mu mwaka mu rwego rw’ikurikiranabikorwa n’igenzura ry’amasezerano yo kwifashisha undi muntu mu gukora imirimo. Ikigo kigenzurwa igomba kugenzura ko amakuru Onsite visits to the service provider, and where possible, independent reviews and market feedback on the service provider, shall also be obtained to supplement the regulated institution’s assessment. Onsite visits shall be conducted by persons who possess the requisite knowledge and skills to conduct the assessment. Des visites sur terrain auprès du prestataire de services et, le cas échéant, des évaluations indépendantes du prestataire de services et sa perception par le marché devraient également être obtenues pour compléter l'évaluation d’une institution réglementée. Les visites sur terrain doivent être menées par des personnes possédant les connaissances et les compétences requises pour effectuer l'évaluation. Any adverse findings from this assessment shall be considered in light of their relevance and impact to the outsourcing arrangement. Les résultats négatifs de cette évaluation doivent être leur traités compte pertinence et de leur impact sur l’arrangement de l’externalisation. tenu de The due diligence undertaken during the assessment process shall be documented and re-performed at least annually as part of the monitoring control processes of outsourcing arrangements. The regulated institution must ensure that the information is used for due diligence evaluation and La diligence raisonnable entreprise au cours du processus d'évaluation doit être documentée et renouvelée au moins une fois par an dans le cadre des processus de suivi et de contrôle des l’externalisation. Une arrangements institution réglementée doit s’assurer que l'information utilisée pour l'évaluation de la de 273 Official Gazette n° Special of 17/06/2022 ry’ubushobozi isuzuma yatanzwe mu bukwiye ajyanye n'igihe ku buryo buhagije. Ikigo kigenzurwa kandi igomba guha agaciro amakuru yavuye mu isuzuma ry’ubushobozi bukwiye kugira ngo igene igihe izajya ikorera ubugenzuzi utanga serivisi ndetse n’urwego rw’ubwo bugenzuzi. sufficiently current. The regulated institution shall also consider the findings from the due diligence evaluation the frequency and scope of audit on the service provider. to determine diligence raisonnable est suffisamment à jour. Une institution réglementée doit également tenir compte des résultats de l'évaluation de la diligence la fréquence et l’étendue de l'audit concernant le prestataire de services. raisonnable pour déterminer ya Ingingo yo kwifashisha undi muntu mu gukora imirimo 9: Amasezerano

Article 9: Outsourcing agreement Article 9: Accord de l’externalisation Article 9: Outsourcing agreement Article 9: Accord de l’externalisation zerekeye z’amasezerano Ingingo uburenganzira inshingano, imikoranire, n’ibyitezwe zigiranye ku mpande amasezerano yo kwifashisha undi muntu mu gukora imirimo zigomba gusobanurwa neza mu masezerano yanditse. Contractual terms and conditions governing relationships, obligations, responsibilities, rights and expectations of the contracting parties in the outsourcing arrangement shall be carefully and properly defined in written agreements. Les termes du contrat régissant les relations, les obligations, les responsabilités, les droits et les attentes des parties contractantes dans l’arrangement de l’externalisation doivent être soigneusement et correctement précisés dans les accords écrits. Amasezerano yo kwifashisha undi muntu mu gukora imirimo agomba gusobanura neza inshingano zigiranye z’impande amasezerano kandi hagashyirwamo ingingo zikwiye zerekeye indishyi. Ikigo kigenzurwa igomba gukora ku buryo buri masezerano yo kwifashisha undi muntu mu gukora imirimo avuga ku ngorane zagaragajwe mu gihe cyo gusuzuma ingorane n’ubushobozi bukwiye. Outsourcing agreement shall clearly define the roles and responsibilities of the parties to the suitable contract indemnification clauses. include and L'accord de l’externalisation doit définir clairement les rôles et les responsabilités des parties contractantes et inclure des clauses d'indemnisation appropriées. The regulated institution shall ensure that every outsourcing agreement addresses the risks identified at the risk evaluation and due diligence stages. Une institution réglementée doit veiller à ce que chaque accord de l’externalisation traite les risques identifiés au niveau des étapes d’évaluation des risques et de diligence raisonnable. 274 Official Gazette n° Special of 17/06/2022 Buri masezerano yo kwifashisha undi muntu mu gukora imirimo agomba kuba ashobora kongera kuganirwaho ku gihe kandi akaba yavugururwa kugira ngo ikigo kigenzurwa ishobore kuyagenzura bikwiye no kugira ngo ibe yafata ibyemezo bikwiye mu rwego rwo kubahiriza inshingano zayo zo kubahiriza amategeko n’amabwiriza. Each outsourcing agreement shall allow for timely renegotiation and renewal to enable the regulated institution to retain an appropriate level of control over the outsourcing arrangement and the right to intervene with appropriate measures to meet its legal and regulatory obligations. et une renégociation l’externalisation doit Chaque accord de un permettre renouvellement en temps opportun pour permettre à une institution réglementée de garder un niveau de contrôle approprié sur l'arrangement de l’externalisation et le droit d'utiliser des mesures appropriées pour et ses respecter réglementaires. obligations légales Yagombye kuba nibura akubiyemo ingingo zivuga ku bintu bikurikira byerekeye kwifashisha undi muntu mu gukora imirimo: The outsourcing agreement shall at least, have provisions to address the following aspects of outsourcing: Accord de l’externalisation doit au moins comprendre des dispositions pour traiter les aspects suivants de l’externalisation: 1° gusobanura ibirebwa n’amasezerano yo kwifashisha undi muntu mu gukora imirimo, serivisi zigomba gutangwa, ubwoko bw’imikoranire hagati ya ikigo kigenzurwa n’utanga ingingo zerekeye kugira serivisi, ibanga hamwe n’umutekano, n’ibikurikizwa kugira ngo utanga serivisi agirane n’abandi bantu amasezerano y’akazi arebana n’izo serivisi; 2° ibipimo ngenderwaho byerekeye imikorere, uburyo bw’igenzura hamwe n’imicungire y’ibyateza ingorane; ibikorwa, 1° specification of supplied, the scope of the nature of the the outsourcing arrangement, the services to be the relationship between regulated institution and the service provider, confidentiality and security terms, and procedures sub governing outsourcing of services; the 1° la spécification de l’étendue de l'arrangement de l’externalisation, les services à fournir, la nature de la relation entre une institution réglementée et le prestataire de services, les conditions de confidentialité et de sécurité, ainsi que les régissant l’externalisation des services; procédures 2° performance, internal control and risk management standards; operational, 2° les normes de performance, de fonctionnement, de contrôle interne et de gestion des risques; 275 Official Gazette n° Special of 17/06/2022 3° ibisabwa byerekeye kugira ibanga n’umutekano nk’uko biteganyijwe muri aya mabwiriza rusange; 3° confidentiality and requirements as provided regulation; security this in byerekeye 4° ibisabwa imicungire y’ikomeza nk’uko biteganyijwe muri aya mabwiriza rusange; ry’imirimo 4° business requirement regulation; continuity management this as provided in 3° exigences de confidentialité de sécurité présent prévues par le comme règlement; 4° la gestion de la continuité d’activité présent prévues par le comme règlement; 5° uburyo bwo gukurikirana no kugenzura ibikorwa byeguriwe undi muntu nk’uko biteganyijwe muri aya mabwiriza rusange; 6° ubugenzuzi bw’imari n’ubugenzuzi bw’imikorere nk’uko biteganyijwe muri aya mabwiriza rusange; 7° kugaragaza ko ikigo kigenzurwa n’ Urwego n’ikigo rw’ubugenzuzi kigenzurwa bihabwa cyangwa bigera ku makuru afitwe n’utanga serivisi; 8° gukora imenyekanisha iyo hari ibintu bitari byiza bitangiye kugaragara: Ikigo igomba kigenzurwa kugaragaza mu masezerano yayo yo kwifashisha undi muntu mu gukora imirimo ubwoko bw’ibikorwa utanga serivisi agomba gutangira raporo kuri ikigo kigenzurwa n’igihe agomba ikigo kugira kuyitangira ngo 5° a process of monitoring and oversight of the outsourced activities as provided this regulation; 5° un processus de suivi et de contrôle des activités externalisé; 6° audit and inspection as provided in this 6° audits et inspection comme prévues par regulation; le présent règlement; that 7° specification regulated institution Supervisory Authority shall have access to data from the service provider; and the the 7° la spécification selon laquelle une institution réglementée et la Banque Centrale auront accès aux données du prestataire de services; 8° notification of adverse developments: The regulated institution shall specify in its outsourcing agreement the type of events and the circumstances under which the service provider should report to the regulated institution in order for the regulated institution to take prompt risk mitigation measures and notify 276 8° notification des une l’externalisation développements défavorables: institution réglementée devrait préciser dans son type accord de d'événements et de circonstances dans le prestataire de services lesquels institution devrait notifier à une réglementée prenne rapidement des mesures d'atténuation qu’elle afin le kigenzurwa ifate ingamba zikwiye zo kugabanya ingaruka mbi no kugira Urwego ngo rw’ubugenzuzi ibyo bikorwa; ibyerekeye imenyeshe 9° gukemura impaka: Ikigo kigenzurwa ishyira mu masezerano yayo yo kwifashisha undi muntu mu gukora imirimo uburyo bwo gukemura ibigize ibibazo, kutubahiriza indishyi, uburyo bwo ibisabwa, gukosora ibitarakozwe neza n’inzira buri ruhande mu masezerano rwanyuramo mu gihe havutse ikibazo. Ikigo kigenzurwa igomba gukora ku buryo uburenganzira bwayo buvugwa mu masezerano bwubahirizwa igihe utanga serivisi atuhabirije amasezerano ; 10° gusesa igihe amasezerano atubahirijwe cyangwa utanga serivisi agasezererwa y’igihe mbere cyateganyijwe: ikigo kigenzurwa ifite uburenganzira bwo gusesa amasezerano yo kwifashisha undi muntu mu gukora iyo habayeho kutubahiriza inshingano; imirimo Official Gazette n° Special of 17/06/2022 Supervisory Authority developments; of such des risques et informe l’autorité de contrôle de ces développements ; 9° dispute shall resolution: The specify regulated its in institution outsourcing agreement the dispute resolution process, events of default, and the indemnities, remedies and recourse the respective parties of agreement. The regulated institution shall ensure that its contractual rights can be exercised in the event of a breach of the outsourcing agreement by the service provider; the in 9° règlement des litiges: l’institution règlementée doit préciser dans son accord de l’externalisation le processus de résolution des litiges, les cas de défaillance ainsi que les indemnités, recours des parties réparations et respectives à l’accord. Une institution réglementée doit s'assurer que ses droits contractuels peuvent être exercés en cas de de d’inexécution l’externalisation par le prestataire de services; l'accord 10° default termination and early exit: a regulated institution shall have the right to terminate the outsourcing agreement in the event of default, or under circumstances where: 10° résiliation pour inexécution et anticipée: une institution réglementée a le droit de résilier le contrat d'externalisation en cas de défaut ou dans les cas où: 277 Official Gazette n° Special of 17/06/2022 a) habaye miterere y’utanga serivisi; impinduka mu y’imigabane a) the service provider undergoes a a) le fournisseur de services subit un change in ownership; changement de propriétaire; b) utanga serivisi ananiowe kwishyura afitiye imyenda cyangwa asheshwe; abo b) the service provider becomes into or goes insolvent liquidation; b) le prestataire de services devient en ou est mis insolvable liquidation; c) utanga serivisi ashyizwe mu icungwa cyangwa icyemezo cy’urukiko gitegetse uko ayoborwa haba mu Rwanda cyangwa u mahanga; c) the service provider goes into receivership judicial management whether in Rwanda or elsewhere; or c) le prestataire de services entre en redressement judiciaire ou en gestion judiciaire que ce soit au Rwanda ou ailleurs; d) habayeho ibyerekeye cyangwa ibanga; kutubahiriza umutekano e) harabayeho gugabanuka gukabije k’ubushobozi bw’utanga serivisi bwerekeye kubahiriza ibikubiye mu masezerano; 11° ikomeza ry’imirimo: Amasezerano agomba kuba arimo ingingo z’ubundi buryo uko bwakoreshwa, bugeragezwa, kugira ngo habeho ugukomeza kw’ibikorwa by’ubucuruzi. d) there has been a breach of d) il y a eu violation de la sécurité ou security or confidentiality; de la confidentialité; e) there a is demonstrable deterioration in the ability of the service provider to perform the contracted service; e) il a y détérioration une démontrable de la capacité du fournisseur de services à exécuter le service contracté; 11° business continuity: The contract shall contain clauses for contingency plans and testing thereof to maintain business continuity. 11° continuité des activités: le contrat doit contenir des clauses sur les plans d'urgence et leurs tests pour maintenir la continuité de l'activité commerciale; 278 utanga amabwiriza 12° kwifashisha undi muntu mu mirimo nawe akifashisha abandi : Ikigo kigenzurwa kugumana igomba ubushobozi bwo gukururikirana no kugenzura amasezerano yayo yo kwifashisha undi muntu mu gukora serivisi imirimo igihe igice akoresheje uwapatanishijwe cy’imirimo. yo Amasezerano kwifashisha undi muntu mu gukora imirimo agomba kuba arimo ingingo agenga zisobanura kwifashisha undi muntu mu mirimo nawe akifashisha abandi n’aho uburenganzira bwo gupatanisha igice Ikigo cy’imirimo kigomba gushyira mu masezerano ingingo uburyozwe bw’utanga serivisi ku byerekeye imikorere n’imicungire y’ibyateza ingorane ku wo yapatanishije no ku byerekeye kuba uwo yapatanishije yubahiriza ibikubiye mu masezerano hagati y’utanga serivisi n’ikigo, harimo ishishoza imikorere isobanuye muri aya mabwiriza. Ikigo kigenzurwa igomba gukora ku buryo gupatanisha igice icyo ari cyo cyose cy’ibikorwa mu masezerano yo kwifashisha undi muntu mu gukora imirimo yagira bugarukira. zigaragaza bikubiye Official Gazette n° Special of 17/06/2022 12° sub-outsourcing: The regulated institution shall retain the ability to monitor and control its outsourcing arrangements when a service provider uses a sub-outsourcing. An outsourcing agreement shall contain clauses setting out the rules and limitations on sub - outsourcing. A regulated institution shall include clauses making the service provider contractually liable for the risk management performance and its sub-outsourcing of practices sub- arrangements the for and outsourcing’s compliance with the provisions in its agreement with the service provider, including the prudent practices set out in this regulation. The regulated institution must ensure that the sub- outsourcing of any part of material outsourcing arrangements is subject to the institution’s prior approval; 279 12° sous-externalisation: Une de institution réglementée conserve la capacité de suivre et de contrôler ses arrangements de l’externalisation lorsqu'un prestataire de services utilise un sous-traitant. Un accord de l’externalisation doit contenir des stipulations relatives aux règles et l’externalisation. Un limites établissement doit inclure des clauses qui rendent le prestataire de services contractuellement de l’exécution du contrat et des pratiques de gestion des risques de son sous- traitant et du respect par le sous-traitant des stipulations dans son accord avec le prestataire de services, y compris les pratiques prudentes énoncées dans ce règlement . Une institution réglementée doit veiller à ce que l’externalisation de toute partie des arrangements de l’externalisation soit soumise à l'approbation préalable d’une institution réglementée ; substantielle responsable Official Gazette n° Special of 17/06/2022 ingaruka zikomeye bigomba kubanza kwemezwa na ikigo kigenzurwa ; 13° amategeko yubahirizwa: Amasezerano agomba kuba arimo ingingo zo guhitamo amategeko zigenga ayagenga, ingingo inkiko amasezerano, n’izerekeye zifite ububasha ziteganya ifatwa ry’ibyemezo habayeho amakimbirane hagati y’impande zagiranye amasezerano hashingiwe ku mategeko y’igihugu runaka; igihe choice-of-law laws: Agreements 13° applicable shall provisions, include agreement covenants and jurisdictional covenants that provide for adjudication of disputes between the parties under the laws of a specific jurisdiction; 13° lois applicables: les accords devraient inclure des stipulations sur le choix de la loi applicable, les clauses relatives à l'accord et clauses attributives de juridiction qui prévoient la résolution des différends entre les parties en vertu des lois d'un pays spécifique ; 14° nyir’amakuru: amasezerano agenga uburyo bw’imikoranire avuga ku buryo bwumvikana ko nyir’amakuru ari ikigo kigenzurwa. Amakuru agumanwa kugirango hasohozwe umugambi ayo makuru agomba agukureshwa uretse igihe amategeko yaba Ikigo abiteganya ukundi. kigenzurwa ndetse n’utanga serivisi bagomba kumenya icyo amategeko y’igihugu amakuru azabikwamo ku byerekeye nyir’amakuru; 15° ibanga ry’amakuru: amasezerano agenga imikoranire agomba kuba akubieymo ingingo yerekeye uko amakuru agomba kugirwa ibanga. 14° data ownership: The agreement shall clearly state that the regulated institution retains the ownership of data. The data shall be retained to satisfy the purpose for which it is processed except where the law provides otherwise. The regulated institution and the service provider shall understand how data rights are affected by ownership different laws of countries, which will host the data; 14° propriété des données: L'accord doit l'institution clairement stipuler que réglementée conserve la propriété des données. Les données sont conservées pour répondre à la finalité pour laquelle traitées, sauf disposition elles sont contraire de loi. L'institution réglementée et le fournisseur de services doivent comprendre comment les droits de propriété des données sont affectés par les différentes lois des pays qui hébergeront les données ; la 15° confidentiality: the agreement shall include confidentiality provisions. 15° confidentialité: l'accord doit comporter des dispositions de confidentialité. 280 Official Gazette n° Special of 17/06/2022 Ikigo kigenzurwa igomba gutegura buri masezerano ku buryo yatanga ibisubizo byavuka bitewe n’ingorane z’igihugu no ku mbogamizi zavuka mu gukora igenzura no mu gucunga amasezerano yo kwifashisha undi muntu mu gukora imirimo yagiranye n’utanga serivisi utari uwo mu Rwanda. The regulated institution shall tailor each agreement to address issues arising from country risks and potential obstacles in exercising oversight and management of the outsourcing arrangements made with a service provider outside Rwanda. Une institution réglementée doit adapter chaque accord pour résoudre les problèmes découlant des risques du pays et des obstacles potentiels dans le contrôle et la gestion des accords de l’externalisation conclus avec un prestataire de services en dehors du Rwanda.

Ingingo ya 10: Amasezerano y’urwego rwa serivisi n’ibipimo by’imikorere Article 10: Service Level Agreements and performance metrics Article 10: Accords sur le niveau de service et paramètres de performance Ingingo ya 10: Amasezerano y’urwego rwa serivisi n’ibipimo by’imikorere Article 10: Service Level Agreements and performance metrics Article 10: Accords sur le niveau de service et paramètres de performance ishyira amasezerano Ikigo kigenzurwa y’urwego rwa serivisi (SLA) mu masezerano yo kwifashisha undi muntu mu gukora imirimo mu rwego rwo kwemeranya no gushyiraho uburyozwe ku nshingano ku byitezwe ku mikorere. Amasezerano y’urwego rwa serivisi agomba gusobanura ireme ibishingirwaho mu gupima neza n'ingano y'inzego za serivisi. The regulated institution shall include Service Level Agreements (SLAs) in the outsourcing contracts to agree and establish accountability for performance expectations. SLAs must clearly formalize the performance criteria to measure the quality and quantity of service levels. Une institution réglementée inclut les accords sur le niveau de service (SLA) dans les contrats de l’externalisation pour accepter et établir la responsabilité concernant les attentes en matière de rendement. Les SLA doivent formaliser de performance pour mesurer la qualité et la quantité des niveaux de service. clairement critères les Ikigo kigenzurwa bikurikira mu gahunda nziza y’ubugenzuzi: rwego igomba gutegura ibi rwo gushyiraho 1° politiki yemewe isobanura gahunda rwa y’urwego y’amasezerano serivisi; 2° uburyo gukurikirana amasezerano y’urwego rwa serivisi; bwo The regulated institution shall develop the following towards establishing an effective oversight program: Une institution réglementée doit développer ce qui suit pour établir un programme de supervision efficace: 1° formal policy that defines the SLA 1° une politique formelle qui définit le program; programme SLA; 2° SLA monitoring process; 2° le processus de suivi des SLA; 281 Official Gazette n° Special of 17/06/2022 3° inzira ziyambazwa igihe habayeho 3° recourse in case of non-performance; 3° les recours en cas de non-exécution; kwica amasezerano ; 4° uburyo bwo kuzamuka ku rundi 4° escalation process; 4° le processus d'escalade; rwego; 5° uburyo bwo gukemura impaka; 5° dispute resolution process; 5° le processus de règlement des différends; 6° uburyo uwo ari we wese mu bagiranye amasezerano ashobora gusesa amasezerano; 6° conditions in which the contract may be terminated by either party 6° les conditions dans lesquelles le contrat peut être résilié par l'une ou l'autre partie; 7° Isubukurabikorwa n’ikomeza 7° Disaster Recovery (DR) and Business 7° reprise après sinistre continuité des ryabyo; Continuity; activités; 8° gucunga amakuru; 8° data management; 8° gestion des données; 9° kwiyemeza kuboneka kwa serivisi; 9° service availability commitment; 9° engagement de disponibilité de service; 10° ibihano n’ukubura kw’amafaranga 10° penalties and credit outage 10° calcul des pénalités et durée des pannes atangwa mu nguzanyo; calculation; 11° uburyozwe. 11° indemnity. 11° indemnité. Ku bikorwa by’ikoranabuhanga byifashisha undi muntu, ibipimo byihariye bishobora gusobanurwa hagendewe ku iboneka rya serivisi, kw'imirimo n'umutekano w'igikorwa, mu rwego rwo gupima imirimo yakozwe n’ikigo cyo hanze ya ikigo kigenzurwa cyagurishije serivisi. ugukomeza For outsourced technology operations, specific metrics may be defined around the service availability, business continuity and transaction security, in order to measure services rendered by the external vendor organization. les opérations Pour technologiques sous- traitées, des indicateurs spécifiques peuvent être définis en fonction de la disponibilité du service, de la continuité d’activité et de la sécurité des opérations afin de mesurer les services rendus par l'organisation fournisseur externe. 282 isobanura Ikigo kigenzurwa imikorere yitezwe, mu bihe bisanzwe no mu bihe igomba bidasanzwe. igihe gushyiraho hagomba kugira igikorwa no gukosora ibitameze neza mu gihe utanga serivisi atanze serivisi yo ku rwego rwo hasi. Ikigo kigenzurwa ingingo zigaragaza Official Gazette n° Special of 17/06/2022 regulated contingency The shall define institution performance expectations, under both normal and The in place institution shall put regulated provisions for timely and orderly intervention and rectification in the event of substandard performance by the service provider. circumstances. Une institution réglementée définit les attentes en matière de rendement dans des circonstances normales et de contingence. Une institution réglementée doit prévoir des dispositions pour une intervention et une rectification rapide et ordonnée en cas de performance de qualité inférieure par le prestataire de services.

Ingingo ya 11: Igongana ry'inyungu Article 11: Conflict of interest Article 11: Conflit d'intérêts Ingingo ya 11: Igongana ry'inyungu Article 11: Conflict of interest Article 11: Conflit d'intérêts Ikigo kigenzurwa bigomba kumenya, gusuzuma no gucunga igongana ry’inyungu ku bijyanye no gukoresha imirimo y’ikigo abatari abakozi bacyo. Iyo gukoresha imirimo y’ikigo abatari abakozi bacyo bituma habaho igongana ry’inyungu rikabije, ikigo kigenzurwa gifata ingamba zikwiye zerekeye gucunga iryo gongana.

Ingingo ya 12: Ingamba zerekeye uko gusohoka mu masezereano bikorwa Article 12: Exit strategy Article 12: Stratégie de sortie Article bushyirwaho n’tanga serivisi 13: Uburyo bw’igenzura Ingingo ya 12: Ingamba zerekeye uko gusohoka mu masezereano bikorwa Ibigo by'imari bigomba kugira ingamba zanditse zivuga kurangiza amasezerano yo gukoresha imirimo y’ikigo abatari abakozi bacyo byagira ingaruka zikomeye zijyanye na politiki yo gukoresha imirimo y’ikigo abatari abakozi bacyo ndetse na gahunda A regulated institution shall identify, assess and manage conflicts of interests with regard to the outsourcing arrangements. Une institution réglementée identifie, évalue et gère les conflits d'intérêts en ce qui concerne leurs accords d'externalisation. Where outsourcing creates material conflicts of interests, the regulated institution needs to take appropriate measures to manage those conflicts of interest. l'externalisation crée des conflits Lorsque d'intérêts institution réglementée doit prendre des mesures appropriées pour gérer ces conflits d'intérêts. importants, une Article 12: Exit strategy Article 12: Stratégie de sortie have shall institutions Regulated a documented exit strategy in the material outsourcing arrangements that is in line with their outsourcing policy and business continuity plans, taking into account at least the possibility of: Les établissements financiers disposent d'une stratégie de sortie documentée dans les accords d'externalisation importants qui est conforme à leur politique d'externalisation et à leurs plans de continuité des activités, en tenant compte au moins de la possibilité: 283 Official Gazette n° Special of 17/06/2022 y’ikomeza ry’imirimo hitabwa kuri bikurikira: ibi 1° irangizwa ry’amasezerano yerekeye gukoresha imirimo y’ikigo abatari abakozi bacyo; 1° the termination of outsourcing arrangements; 1° la résiliation d'externalisation; des accords 2° kunanirwa gukora k’utanga serivisi; ibyo basabwa 2° the failure of the service provider; 2° la défaillance du fournisseur de 3° kwangirika k’ubwiza bw’urwego rw’umurimo cyangwa guhagarara gushoboka cyangwa kwarangije kubaho kw’ibikorwa by’ubucuruzi bitewe no gukora mu buryo kunanirwa cyangwa budakwiye gukora uko bikwiye; 4° ibyateza ingorane bikomeye byavuka mu gukomeza gukoresha urwego rw’umurimo mu buryo budakwiye; abakozi 5° Ibigo by'imari bigomba kumenya niba bifite ubushobozi bwo kuva mu masezerano yo gukoresha imirimo abatari ariko bitabangamiye mu buryo butari ibikorwa by’ubucuruzi ngombwa kandi ikomeza ry’imiromo ndetse n’ubwiza bwa serivisi baha abaguzi. Kugirango ibi bitabangamiye bacyo 3° the deterioration of the quality of the function provided and actual or potential business disruptions caused by failed provision of the function; inappropriate or the 4° material risks arising appropriate application of the function; and for the continuous without 5° regulated institution shall ensure that they are able to exit outsourcing arrangements undue disruption to their business activities and without any detriment to the continuity and quality of its provision of services to clients. To achieve this, the regulated institution shall: 284 services; 3° la détérioration de la qualité de la fonction fournie et les perturbations commerciales réelles ou potentielles causées par la fourniture inappropriée ou défaillante de la fonction; 4° les risques importants découlant de l'application appropriée et continue de la fonction ; d'externalisation 5° Les établissements financiers veillent à ce qu'ils soient en mesure de sortir des accords sans perturbation indue de leurs activités commerciales et sans porter préjudice à la continuité et à la qualité de ses prestations de services aux clients. Pour y parvenir, une institution réglementée doit: bigerweho, kigomba: ikigo kigenzurwa (urugero a. kugerageza gahunda zabo zo nko gusohoka gukora isesengura ry’ibyagenda ku isohoka mu ingaruka masezerano, z’isohoka, icyo bivuze ku mutungo no ku gihe mu imirimo kwimura imirimo abakozi ikorwa n’abatari b’ikigo bishyikirizwa undi utanga serivisi; b. kugaragaza ibindi bisubizo hagashyirwaho kandi y’inzibacyuho gahunda ikigo ifashe kugirango kigenzurwa gukuraho urwego rw’umurimo rushnzwe gukoresha imirimo y’ikigo abatari bakozi bacyo ndetse n’amakuru afitwe n’utanga serivisi kugirango byohererezwe undi utanga serivisi usimbura uwambere cyangwa kugarurwa mu kigo cy’imari; c. gufata izindi ngamba zituma habaho habaho ikomeza ryo Official Gazette n° Special of 17/06/2022 a. test their exit plans (e.g. by carrying out an analysis of the impacts, costs, potential resources timing and implications of transferring an outsourced service to an alternative provider); a. tester leurs plans de sortie (par exemple en effectuant une analyse des coûts potentiels, des impacts, des ressources et des temporelles du implications transfert d'un service externalisé à un fournisseur alternatif); enable b. identify alternative solutions and develop transition plans regulated the to remove to institution outsourced functions and data from the service provider and transfer them to alternative the providers or back regulated institution; to c. take other measures that continuous ensure the 285 b. identifier solutions des alternatives et élaborer des plans de transition pour permettre à une institution réglementée de fonctions et supprimer données du prestataire de services et de les transférer à des prestataires alternatifs ou de les retourner une institution réglementée ; les externalisées c. prendre d'autres mesures qui assurent la fourniture continue Official Gazette n° Special of 17/06/2022 gutanga serivisi z’ingenzi ibikorwa cyangwa buryo by’ubucuruzi mu bugenzuwe kandi bwageragejwe mu buryo buhagije hitabwa ku ku ngorane zavuka bitewe n’aho amakuru aherereye kandi hagafatwa ingamba zikenewe ibikorwa kugirango bikomeze gihe cy’inzibacyuho. mu in function provision of the critical or or important business a activity controlled and sufficiently tested manner, taking into account the challenges that may arise because of the location of data and taking the necessary measures to ensure business continuity during the transition phase. la fonction critique ou de importante ou de l'activité commerciale d'une manière contrôlée et suffisamment testée, tenant compte des défis en pouvant survenir du fait de la localisation des données et en prenant les mesures nécessaires pour assurer la continuité des activités pendant la phase de transition.

Ingingo ya 14: Kugira ibanga n’umutekano w’amakuru atagenewe ruban Article 14: Confidentiality and security of non-public data Article 14: Confidentialité et sécurité d’ informations non publiques Article Management 15: Business Continuity Article 14: Confidentiality and security of non-public data Article 14: Confidentialité et d’informations non publiques sécurité The regulated institution shall satisfy itself that the service provider’s security policies, procedures and controls will enable the the regulated confidentiality and security of non-public data. institution protect to Une institution réglementée doit s'assurer que les politiques, les procédures et les contrôles de sécurité du prestataire de services permettront à une institution réglementée de protéger la confidentialité et la sécurité des informations sur les clients. The regulated institution must be proactive in identifying and specifying requirements for confidentiality, integrity and availability in the outsourcing arrangement. The regulated institution must take the following steps to protect the confidentiality and security of non- public data: Une institution réglementée doit être proactive pour identifier et spécifier les exigences de confidentialité, d'intégrité et de disponibilité dans l’arrangement de l’externalisation. Une institution réglementée doit prendre les mesures suivantes pour protéger la confidentialité et la sécurité des informations non publiques: 1° State the responsibilities of contracting parties in the outsourcing agreement to ensure the adequacy and effectiveness of security policies and practices, including the circumstances under which each party has the right to change security requirements. The outsourcing agreement shall also address: pour dans l'accord 1° Indiquer les responsabilités des parties de contractantes l’externalisation assurer l'adéquation et l'efficacité des politiques et pratiques de sécurité, y compris les circonstances dans lesquelles chaque partie a les exigences de sécurité. L'accord de également l’externalisation répondre à: le droit de modifier doit 288 imirimo agomba no gusubiza ibibazo bikurikira: a. ikibazo igihe cy’uruhande rwaryozwa habayeho ibihombo kutubahiriza ibanga, umutekano w’amakuru y’abakiriya n’inshingano z’utanga serivisi zo kumenyesha ikigo kigenzurwa ; kubika Official Gazette n° Special of 17/06/2022 a. the issue of the party liable for losses the event of a breach of in confidentiality, security of personal data and the service provider’s obligation to inform the institution; b. ikibazo cy’uko utanga serivisi agera ku makuru n’uko ayatangaza. amakuru atagenewe rubanda agomba gukoreshwa n’utanga serivisi hamwe n’abakozi be mu bijyanye gusa na serivisi yemerewe gutanga ivugwa mu masezerano; b. the issue of access to and disclosure of information by the service provider. Non-public data shall be used by the service provider and its staff strictly for the purpose of the contracted service; 2° kugaragariza utanga serivisi amakuru atagenewe rubanda kugirango abashe gukora inshingano ze gusa; 2° disclose non-public data to the service provider only on a need-to- know basis; a. la question de la partie responsable pour les dommages en cas de violation de la la sécurité des confidentialité, de informations sur les clients et de l'obligation du prestataire de services d'informer une institution réglementée ; et l'information par b. la question d'accès à l’information et de divulgation de le prestataire de services. Les informations non publiques sur les clients doivent être utilisées par le prestataire de services et son personnel strictement aux fins du service contracté; 2° divulguer les informations non publiques aux prestataires de services selon le principe du besoin d'en connaître; kurinda amakuru, by’abakiriya, 3° gukora ku buryo utanga serivisi amabanga ashobora inyandiko yerekeye n’imitungo cyane cyane mu bihe utanga serivisi yasinye amasezerano menshi yo guha serivisi batandukanye abakiriya 3° ensure the service provider is able to protect the confidentiality of non- public data, documents, records, and assets, particularly where multi- tenancy arrangements are present at the service provider; 3° s’assurer que le prestataire de services est capable de protéger la confidentialité des informations non publique, des documents, des dossiers et des biens des clients, en particulier le prestataire de services a conclu des arrangements d’hébergement multi- client; lorsque 289 Official Gazette n° Special of 17/06/2022 4° review and monitor the security practices and control processes of the service provider on a regular basis, including commissioning audits or obtaining periodic expert reports on confidentiality, adequacy of security of non-public data, compliance in respect of the operations of the service provider, and requiring the service provider to disclose to the institution breaches of confidentiality in relation to non -public information. akoresheje mudasobwa bahuriyeho; porogaramu ya ibanga 4° gusuzuma no gukurikirana uko umutekano wubahirizwa n’ibikorwa byo kugenzura utanga serivisi ku buryo buhoraho, harimo gushyiraho ubugenzuzi no kubona za raporo z’inzobere ku kuba uburyo bwo n’umutekano kugira w’amakuru rubanda bikwiye no kuba ibikorwa by’utanga serivisi amategeko n’amabwiriza, no gusaba utanga serivisi ikigo kumenyesha habayeho igihe kigenzurwa ukutubahiriza kugira ibanga ku byerekeye amakuru y’abakiriya. atagenewe byubahiriza 4° examiner et suivre régulièrement les pratiques de sécurité et les processus de contrôle du prestataire de services, y le recours aux audits ou compris rapports périodiques l'obtention de d'experts sur la la confidentialité, des convenance de informations non publiques la conformité relative aux opérations du prestataire de services ainsi que l’exigence au prestataire de services de divulguer à une institution réglementée des manquements à l’obligation de confidentialité en relation avec les informations sur les clients. sécurité et la Abagiranye amasezerano bagomba kugirana amasezerano yerekeye kudashyira amakuru hanze. Contracting parties shall sign a non-disclosure agreement. Les parties contractantes doivent signer un accord de non-divulgation.

Ingingo ya 15: Imicungire y’ikomeza ry’imirimo ya Ingingo 16: Gukurikirana no kugenzura amasezerano yo kwifashisha undi muntu mu gukora imirimo Article 15: Gestion de la continuité des activités Ingingo ya 15: Imicungire y’ikomeza ry’imirimo Article Management 15: Business Continuity Article 15: Gestion de la continuité des activités Ikigo kigenzurwa kigomba gukora ku buryo amasezerano yo kwifashisha undi muntu mu gukora imirimo adahungabanya ugukomeza kw’ibikorwa byayo by’ubucuruzi. Ikigo imikorere kigenzurwa kigomba kugira A regulated institution shall ensure that its business continuity is not compromised by outsourcing arrangements. The institution shall adopt the sound practices and standards the Business Continuity contained in 290 Une institution réglementée doit s’assurer que la continuité de son activité n’est pas de des compromise l’externalisation. Une institution réglementée doit adopter les bonnes pratiques et les normes arrangements par Official Gazette n° Special of 17/06/2022 Management (BCM) regulation issued by Supervisory Authority, in evaluating the impact of outsourcing on its risk profile and for effective BCM. ashyirwaho n’ibipimo byiza biri mu amabwiriza rusange agenga imicungire y’ikomeza ry’imirimo (BCM) Urwego ingaruka rw’Ubugenzuzimu kwifashisha undi muntu mu gukora imirimo byagira ku miterere y’ibyayiteza ingorane no ku mikorere myiza y’imicungire y’ikomeza ry’imirimo. na gusuzuma ry’imirimo, Ku bijyanye n’amabwiriza rusange agenga ikigo micungire y’ikomeza gifata ingamba zo gusuzuma no gukora ku buryo yizera ko ingorane zaturuka ku iturutse ku masezerano yo mikoranire kwifashisha undi muntu mu gukora imirimo zacungwa neza ku buryo ingaruka zayo ikigo kigumana zagabanuka ku buryo ubunyangamugayo bwo gukora ibikorwa byacyo by'ubucuruzi mu cyangwa gihe igahagarara, cyangwa se habayeho guseza amasezerano yo kwifashisha undi muntu mu gukora imirimo ku buryo butari bwitezwe cyangwa ikigo gitanga serivisi kiramutse gisheshwe. Igomba gufata ingamba zirimo izikurikira: n’ubushobozi ibibazo serivisi igize line with the BCM regulation, In the institution shall take steps to evaluate and satisfy itself that the interdependency risk arising from the outsourcing arrangement can the be adequately mitigated such institution remains able its business with integrity and competence in the event of a service disruption or failure, unexpected termination of the outsourcing arrangement or liquidation of the service provider. These shall include taking the following steps: that to conduct 291 contenues dans le règlement sur la gestion de la continuité des activités («BCM») édicté par l’Autorité de contrôle lors de l’évaluation de l'impact de l’externalisation sur son profil de risque et en vue d’une gestion de la continuité des activités efficace. Conformément au règlement BCM, une réglementée doit prendre des institution mesures pour évaluer et s'assurer que le risque d’interdépendance découlant de l’arrangement de l’externalisation peut être atténué de façon adéquate de sorte que l'établissement reste capable de mener ses activités avec intégrité et compétence en cas d'une perturbation de service ou d'une panne, ou d'une résiliation inattendue de l’arrangement de l’externalisation ou de la liquidation du prestataire de services. Ces mesures doivent inclure les étapes suivantes: 1° Kwemeza ko utanga serivisi afite gahunda ziboneye zo gukomeza by’ubucuruzi ibikorwa zijyanye n’urusobe urwego n’ubwoko, rw’amasezerano yo kwifashisha undi muntu. Amasezerano yo kwifashisha undi muntu mu gukora imirimo yagombye kuba arimo ibisabwa na gahunda yo gukomeza ibikorwa by’ubucuruzi, intego z’igihe cyo kugarura ibintu mu buryo (RTO), intego zitabwaho mu kugarura ibintu mu hamwe buryo gusubukura n’ubushobozi ibikorwa ; (RPO) bwo igihe akagira 2° Kumenya hakiri kare uko utanga serivisi yiteguye gukurikiza gahunda y’ikomeza ry’imirimo y’ubucuruzi, uruhare mu cyangwa kuyigerageza, bishoboka. Banki igomba gukora ku buryo utanga serivisi agerageza buri gihe gahunda z’ugukomeza kw’ibikorwa by’ubucuruzi kandi amagerageza akemeza intego z’igihe cyo gusubiza ibintu mu buryo, ibigomba kwitabwaho mu gusubiza ze Official Gazette n° Special of 17/06/2022 (BCP) 1° Determine that the service provider has in place satisfactory business continuity plans that are commensurate with the nature, scope and complexity of the outsourcing arrangement. Outsourcing agreements shall contain BCP requirements on the particular, provider, service recovery (RTO), time objectives recovery point objectives (RPO), and resumption operating capacities; in de 1° Vérifier si le prestataire de services a mis en place des plans satisfaisants de continuité des activités (« BCP ») qui correspondent à la nature, la portée et la de complexité l’externalisation. Les de l’externalisation doivent contenir des exigences BCP à l’égard du prestataire de services, en particulier les objectifs de délai de reprise (RTO), les objectifs de point de reprise informatique (RPO) et les capacités de reprise; l’arrangement accords 2° Proactively seek assurance on the state of BCP preparedness of the service provider, or participate in joint testing, where possible. The institution shall ensure the service provider regularly tests its BCP plans and that the tests validate the feasibility of the RTO, RPO resumption operating capacities. Such tests would serve to familiarise the institution and the service provider with the recovery processes as well as improve the and 2° S’assurer de manière proactive de l'état de préparation du BCP du prestataire de services ou participer à des tests conjoints dans la mesure du possible. Une institution réglementée s’assure que le prestataire de services teste régulièrement ses plans BCP et que les tests valident la faisabilité du RTO, celle du RPO et les capacités de reprise. De tels tests serviraient à familiariser une institution réglementée et le prestataire de services avec les processus de reprise 292 zo buryo kumenyereza hamwe mu ibintu n’ubushobozi gusubukura bwo ibikorwa. Ayo masuzuma afite ikigo intego kigenzurwa hamwe n’utanga serivisi uburyo bwo kugarura ibintu mu buryo hamwe no kunoza imikoranire hagati y’impande zirebwa. Ikigo kigenzurwa gisaba utanga serivisi kukimenyesha igerageza iryo ari ryo ryose abona ko ryagira ingaruka ku mikorere y’utanga serivisi. Ikigo kigenzurwa kandi gisaba utanga impinduka serivisi kuyimenyesha zose zikomeye muri gahunda ye y’ikomeza ry’ibikorwa by’ubucuruzi ingaruka zikomeye kuri zagira serivisi itangwa ku kigo cy’imari; byiza cyangwa 3° Gukora ku buryo habaho gahunda n’uburyo byo guhangana n’ibihe bitari gusesa amasezerano yo kwifashisha undi muntu mu gukora imirimo ku buryo cyashobora ikigo byacyo gukomeza by’ubucuruzi kandi inyandiko zose, hamwe amakuru kigenzurwa ibikorwa bikorwa ku Official Gazette n° Special of 17/06/2022 the the parties coordination between involved. The regulated institution shall require the service provider to notify it of any test finding that may affect provider’s service performance. The institution shall also require the service provider to notify it of any substantial changes in the service provider’s BCP plans and of any adverse development that could service impact substantially provided to the institution; the institution les parties ainsi qu’à améliorer la coordination entre impliquées. Une institution réglementée doit exiger que le prestataire de services l'informe de tout résultat de test susceptible d'affecter le rendement du prestataire de services. doit Une demander également au prestataire de services tout changement important dans les plans BCP du prestataire de services et de tout développement défavorable susceptible d'avoir un impact important sur le service fourni à l'établissement; réglementée l'informer de de 3° Ensure that termination of there are plans and procedures in place to address adverse conditions or the outsourcing arrangement such that the institution will be able to continue business operations and that all documents, records of transactions and information previously given to should be the service provider la 3° S’assurer qu'il existe des plans et des procédures pour gérer les conditions défavorables ou résiliation de l’arrangement de l’externalisation afin qu’une institution réglementée puisse continuer ses activités commerciales et que tous les documents, registres des opérations informations et précédemment donnés au prestataire de 293 n’amakuru utanga serivisi yahawe mbere byahita byakwa utanga serivisi bigasibwa, bigasenywa cyangwa bagakora ku buryo bidashobora gukoreshwa. cyangwa Ku birebana no kwizera imikorere kandi myiza ya gahunda yo gukomeza ibikorwa by’ubucuruzi, ikigo kigomba gushyiraho kandi kikanakora buri gihe isuzuma ryuzuye kandi rifite intego rya gahunda yo gukomeza ibikorwa by’ubucuruzi rijyanye n’ubwoko, urwego hamwe n’urusobe rw’amasezerano yo kwifashisha undi muntu mu gukora imirimo. Kugira ngo amasuzuma abe yuzuye kandi afite ikigo kigenzurwa kigomba gukora ku buryo utanga serivisi agira uruhare mu kwemeza gahunda yacyo y’ikomeza ry’ibikorwa by’ubucuruzi hamwe no gusuzuma ko abakozi bayo bazi iyo gahunda no kuba biteguye kuyikoresha. Ikindi ni uko ikigo kigenzurwa kigomba kugira uruhare muri gahunda zo gukomeza ibikorwa z’abatanga serivisi no mu buryo basohoka mu ngorane bahura na zo. intego, Official Gazette n° Special of 17/06/2022 from removed the promptly possession of the service provider or deleted, rendered unusable. destroyed or the functionality and For assurance on effectiveness of its BCP plan, a regulated institution shall design and carry out regular, complete and meaningful BCP testing that is commensurate with the nature, scope and complexity of the outsourcing arrangement. For tests to be complete and meaningful, the institution must involve the service provider in the validation of its BCP and assessment of the awareness and preparedness of its own staff. Similarly, the regulated institution shall take part in its service providers’ BCP and disaster recovery exercises. 294 services soient rapidement retirés de la possession du prestataire de service ou supprimés, rendus détruits inutilisables. ou de l’arrangement Pour une assurance sur la fonctionnalité et l'efficacité de son plan BCP, institution réglementée doit concevoir et réaliser des tests BCP réguliers, complets et significatifs qui correspondent à la nature, la portée et la complexité de l’externalisation. Pour que les tests soient institution complets et réglementée doit impliquer le prestataire de services dans la validation de son BCP et l'évaluation de la sensibilisation et de la préparation de son propre personnel. De même, l'établissement doit participer aux exercices de ses prestataires de services en rapport avec le BCP et la reprise après sinistre. significatifs, une Official Gazette n° Special of 17/06/2022 The regulated institution shall consider worst- case scenarios in its business continuity plans. Some examples of these scenarios are unavailability of service provider due to unexpected termination of the outsourcing agreement, liquidation of the service provider and wide-area disruptions that result in collateral impact on both the institution and the the interdependency on an institution in the financial system is high, the institution should maintain a higher state of business continuity preparedness. The identification of viable alternatives for resuming operations without incurring prohibitive costs is also essential to mitigate interdependency risk. provider. Where service Une institution réglementée considère les pires scénarios dans ses plans de continuité d'activités. Quelques exemples de ces scénarios sont l'indisponibilité du prestataire de services suite à la résiliation inattendue de l'accord de l’externalisation, à la liquidation du prestataire de services et à des perturbations de grande envergure qui ont un impact collatéral tant sur l'établissement que sur le prestataire de services. Lorsque l’interdépendance vis-à-vis un établissement dans le système financier est élevée, l'établissement doit maintenir une préparation plus élevée de la continuité des activités. L'identification d’alternatives viables pour reprendre les opérations sans s’exposer aux coûts prohibitifs est également essentielle pour atténuer les risques d’interdépendance. imirimo, serivisi Ikigo kigenzurwa kigomba kwita ku bihe bibi bishoboka muri gahunda zayo zo gukomeza ibikorwa by’ubucuruzi. Zimwe mu ngero z’ibyo bihe ni ukutabone k’utanga serivisi bitewe n’iseswa ritari ryitezwe ry’amasezerano yo kwifashisha undi muntu ry’ikigo mu gukora iseswa cy’utanga n’amahungabana ashobora kugira ingaruka ikomeye ku kigo cyangwa ku utanga serivisi. Iyo gucungira ku kigo mu rwego rw’imari biri ku kigero cyo hejuru, ikigo kigenzurwa gikora ku buryo kigumana igipimo cyo hejuru cyo kuba cyiteguye gukomeza ibikorwa by’ubucuruzi. Kugaragaza bwiza buryo ibikorwa bwakoreshwa mu gusubukura ibiciro gukoresha hatabayeho by’umurengera na byo ni ingenzi mu kugabanya ingorane zituruka ku kuba hari uwo ucungiraho. ubundi ya Ingingo 16: Gukurikirana no kugenzura amasezerano yo kwifashisha undi muntu mu gukora imirimo

Article 13: Control environment offered by the service provider Article 13: Environnement de contrôle offert par le prestataire de services Ingingo ya 13: Uburyo bw’igenzura bushyirwaho n’tanga serivisi Article 13: Control environment offered by the service provider Article 13: Environnement de contrôle offert par le prestataire de services cy’imari kigenzurwa ko kigomba Ikigo gusuzuma bw’igenzura bwashyizweho n’utanga serivisi bukomeye. Hagomba kureba ko utanga serivisi yita kuri ibi bikurikira: uburyo The regulated institution shall evaluate the adequacy of internal controls environment the service provider. Due offered by consideration the implementation of following by the service provider: shall be given to Une institution réglementée doit évaluer la pertinence de l'environnement des contrôles internes offert par le prestataire de services. Le prestataire de services doit accorder une attention particulière à la mise en œuvre de ce qui suit: 1° umutekano w’amakuru ndetse 1° information security policies and n’ubukangurambaga ku bakozi; employee awareness; 1° les politiques de l'information et de sensibilisation des employés; sécurité de 2° igenzura hagamijwe ko abakozi b’utanga serivisi, bagera ku amakuru y’imari atagenewe rubanda mu buryo amakuru kuburyo buboneye 2° controls for logical access to non- public financial data by service provider staff, so that information may be accessed on a need-to-know basis only; 2° les contrôles en vue de l'accès logique aux financières non publiques par le personnel du prestataire de services de sorte que l'information informations 286 Official Gazette n° Special of 17/06/2022 agerwaho gusa n’abayakeneye mu nshingano zabo; puisse être consultée en cas de nécessité absolue seulement; 3° umutekano w’ibidukukije ndetse 3° environmental security controls; 3° les contrôles de sécurité physique et n'umutekano wabyo; environnementale; 4° umutekano interineti; w’umuyoboro wa 4° network security controls; 4° les contrôles de sécurité du réseau; 5° uburyo buzwi bwerekeranye no gukurikirana no gucunga impinduka ziba muri gahunda; 5° formal process for tracking and monitoring program changes; 5° le processus formel de suivi et de changements de surveillance des programme; 6° uburyo n’inzira byo gutanga raporo zerekeye ikibazo n’icungwa ryabyo; 6° process for incident reporting and 6° le processus de déclaration des incidents problem management; et de gestion des problèmes; 7° uburyo bwihariye utanga serivisi akoresheje uburyo bwo kubika amakuru bw’iaya kure; 7° special control considerations for cloud service using providers computing as part of service; 8° uburyo bukoreshwa mu gucunga 8° control considerations for handling of amakuru y’imari; financial data; 7° les considérations de contrôle spécial pour les prestataires de services utilisant l’informatique en nuage dans le cadre du service; 8° les considérations de contrôle pour le traitement des informations sur les clients; 9° gushyira mu byiciro amakuru ndetse n’uburyo bw’igenzura bukoreshwa mu kuyakoresha. 9° data classification and controls for 9° la classification des données et contrôles handling data. pour le traitement des données. 287 ya Ingingo n’umutekano w’amakuru rubanda 14: Kugira ibanga atagenewe Ikigo kigenzurwa igomba kwizera ko politiki n’amagenzura z’umutekano, imikorere by’utanga ikigo ibanga n’umutekano kigenzurwa by’amakuru y’abakiriya. serivisi irinda bizatuma Ikigo kigenzurwa igomba kugira icyo ikora hakiri kare mu kugaragaza no kugena mu masezerano yo kwifashisha undi muntu mu gukora imirimo ibisabwa byerekeye kugira ibanga, umutekano no kuboneka kw’ amakuru. Ikigo kigenzurwa igomba gukora ibi bikurikira mu rwego rwo kurinda w'amakuru n'umutekano amabanga atagenewe rubanda : 1° kugaragaza inshingano z’impande mu zigirana amasezerano kwifashisha undi muntu mu gukora imirimo kugira ngo yizere ko politiki n’ibikorwa by’umutekano biri ku rwego rushimishije kandi bikora neza, harimo n’ibihe bisobanuye aho buri ruhande rufite uburenganzira bwo guhindura ibisabwa bijyanye n’umutekano. Amasezerano yo kwifashisha undi muntu mu gukora Official Gazette n° Special of 17/06/2022

Article 16: Monitoring and control of outsourcing arrangements Article 16: Suivi et contrôle des accords de l’externalisation 250 Official Gazette n° Special of 17/06/2022 Article 16: Monitoring and control of outsourcing arrangements Article 16: Suivi et contrôle des accords de l’externalisation kigenzurwa uburyo Ikigo bw’imicungire no kugenzura amasezerano yacyo yo kwifashisha undi muntu mu gukora gishyiraho The regulated institution shall establish a structure for the management and control of its outsourcing arrangements. Such a structure Une institution réglementée doit établir une structure pour la gestion et le contrôle de ses accords de l’externalisation. Une telle structure 295 hamwe n’ubwoko imirimo. Ubwo buryo buzagenda buhinduka bitewe n’urwego rw’ingorane by’amasezerano yo kwifashisha undi muntu mu gukora imirimo. Kubera ko imikoranire n’ubwuzuzanye bishingiye ku masezerano yo kwifashisha undi muntu mu byiyongera gukora hashingiwe ku buremere no ku rusobe, hagomba gushyirwaho uburyo butejenjetse bw’imicungire y’ibyateza ingorane. imirimo bigenda Official Gazette n° Special of 17/06/2022 increase will vary depending on the nature and extent of risks in the outsourcing arrangements. As relationships and interdependencies in respect in of outsourcing arrangements materiality and complexity, a more rigorous risk management approach shall be adopted. The institution must be more proactive in its relationship with the service provider (e.g., having frequent meetings) to ensure that performance, operational, internal control and risk management standards are upheld. Ikigo kigenzurwa kigomba gushyiraho ingamba zikurikira kugira ngo habeho ikurikiranabikorwa n’igenzura bikora neza by’amasezerano ayo ari yo yose yo kwifashisha undi muntu mu gukora imirimo yagira ingaruka zikomeye: following measures The regulated institution shall put in place all effective the monitoring and control of any material outsourcing arrangement: for risques dans variera en fonction de la nature et de l'étendue des les arrangements de l’externalisation. Au fur et à mesure que les relations et les interdépendances en ce qui concerne les arrangements de l’externalisation augmentent en importance et en complexité, une approche de gestion des risques plus rigoureuse doit être adoptée. Une institution réglementée doit être plus proactive dans ses relations avec le prestataire de services (par exemple, avoir des réunions fréquentes) pour s'assurer que les normes de performance, de fonctionnement, de contrôle interne et de gestion des risques sont respectées. Une institution réglementée doit mettre en place toutes les mesures suivantes pour un suivi et un contrôle efficace de tout arrangement de l’externalisation substantielle: 1° Kugira igitabo cyandikwamo amasezerano yo kwifashisha undi muntu mu gukora imirimo yagira ingaruka zikomeye ku kigo no gukora ku buryo icyo gitabo kiboneka igihe cyose kugira ngo 1° Maintain a register of all material outsourcing arrangements and ensure that the register is readily accessible for review by the board and senior management of the institution. The register shall be updated promptly and 296 1° Tenir un de registre de les tous arrangements l’externalisation substantielle et veiller à ce que le registre soit facilement accessible pour examen par le Conseil d'administration et la direction générale d’une institution Official Gazette n° Special of 17/06/2022 the oversight and form part of governance reviews undertaken by the board and senior management of the institution; registre doit être réglementée. Le rapidement mis à jour et faire partie des examens de contrôle et de gouvernance entrepris par le Conseil d’administration et la direction générale d’une institution réglementée ; gisuzumwe n’Inama y’Ubutegetsi hamwe bukuru n’ubuyobozi bw’ikigo kigenzurwa . Amakuru ari muri icyo gitabo agomba guhita akaba asanishwa n'igihe kandi arebwa hamwe n'igenzura n'amasuzuma y’imiyoborere bikorwa n’Inama y'Ubutegetsi hamwe n’ ubuyobozi bw’ikigo bukuru kigenzurwa ; 2° Gushyiraho amatsinda y’imicungire y’amasezerano yo kwifashisha undi muntu mu gukora imirimo afite ibintu byinshi yitaho bakora imirimo itandukanye y’imicungire y’ibyateza ingorane hamwe n’igenzura bwite abanyamategeko, harimo iyubahiriza abashinzwe n’amabwiriza, ry’amategeko n’abashinzwe imari kugira ngo ibibazo byose bya tekiniki hamwe n’ibisabwa mu rwego rw’amategeko n’amabwiriza byubahirizwe. Ikigo kigenzurwa kigomba guha amatsinda yo y’imicungire kwifashisha undi muntu uburyo n’igihe buhagije mu y’amasezerano bijyanye 2° Establish that all relevant multi-disciplinary outsourcing management groups with members from different risk and internal control functions including legal, compliance and finance, to technical ensure issues and regulatory legal and requirements are met. The institution shall allocate sufficient resources, in terms of both time and skilled manpower, to the management groups to enable its staff to adequately plan and oversee the entire outsourcing lifecycle; 297 2° Établir des groupes multidisciplinaires de gestion de l’externalisation ayant des membres en provenance de différentes fonctions de risque et de contrôle interne, y compris la fonction juridique, la fonction de conformité et la fonction finance, pour s'assurer que toutes les questions techniques pertinentes sont traitées et que les exigences légales et réglementaires sont respectées. Une institution réglementée doit allouer des ressources suffisantes, en termes de temps et de main-d’œuvre qualifiée, aux groupes de gestion pour permettre à son personnel de planifier et de superviser adéquatement tout le cycle de vie de l’externalisation; bayo abakozi n’abakozi bafite ubushobozi kugira ngo bashobore guteganya no kugenzura uko bikwiye ibintu byose birebana no kwifashisha undi muntu mu gukora imirimo; 3° Gushyiraho amatsinda yo kugenzura imicungire yo kwifashisha undi muntu mu gukora imirimo mu rwego rwo gukurikirana no kugenzura imirimo yifashisha undi muntu ku buryo buhoraho. Hagomba kuba hariho politiki n’ibikurikizwa mu gukurikirana uko serivisi itangwa hamwe no kugira ibanga amakuru w’amakuru atagenewe rubanda mu rwego rwo kugenzura uko ibipimo bya yemeranyweho byubahirizwa no kugira ngo ibikorwa bitange kigenzurwa by’ikigo umusaruro. Iryo kurikiranabikorwa ryagombye gukorwa buri gihe rikanemezwa binyuze mu gusuzuma n’abagenzuzi raporo b’utanga cyangwa abagenzuzi bashyirwaho n’ikigo; bikorwa serivisi serivisi Official Gazette n° Special of 17/06/2022 3° Establish outsourcing management control groups to monitor and control the outsourced service on an ongoing basis. There must be policies and procedures to monitor service delivery and the confidentiality and security of non-public data, For the purpose of gauging ongoing compliance with agreed service levels and the viability of the institution’s operations. Such regular and monitoring shall be validated review of reports by auditors of the service provider or audits commissioned by the institution; through the 3° Établir des groupes de contrôle de gestion de l’externalisation pour suivre et contrôler continuellement le service sous-traité. Il doit y avoir des politiques et des procédures pour faire le suivi de la prestation des services, de la confidentialité et de la sécurité des informations non publiques afin de mesurer la conformité continue avec les niveaux de service convenus et la viabilité des opérations d’une institution réglementée. Un tel suivi doit être régulier et validé par l'examen des rapports par les auditeurs du prestataire de services ou les audits ordonnés par l'établissement; 298 Official Gazette n° Special of 17/06/2022 4° Periodic reviews, at least on an annual basis, on all material outsourcing arrangements. This is to ensure that risk institution’s outsourcing the management policies and procedures, and this regulation, are effectively reviews shall implemented. Such ascertain the adequacy of internal risk management and management information systems established by the institution (e.g., assessing the effectiveness of processes and metrics used to evaluate the performance and security of the service provider) and highlight any deficiency the regulated institution ’s systems of control; in 4° Amasuzuma ngarukagihe, nibura rimwe mu mwaka, ku masezerano yose yo kwifashisha undi muntu mu ingaruka imirimo yagira gukora zikomeye ku kigo. Ibi ni ukugira ngo politiki n’ibikurikizwa mu micungire y’ingorane z’ikigo zaturuka ku kwifashisha undi muntu mu gukora imirimo hamwe n'aya amabwiriza rusange bishyirwe mu bikorwa neza. Aya masuzuma agomba kwemeza ko imicungire z’ikigo hamwe y’uburyo ikoranabuhanga bukoresha byashyizweho n’ikigo kigenzurwa bikora neza (nk’urugero gusuzuma ko uburyo butanga umusaruro bukoreshwa n’ibipimo hamwe bikoreshwa mu gusuzuma imikorere n’umutekano w’utanga serivisi) no kugaragaza ibibazo byose mu buryo ikigo kigenzurwa gikoresha mu gukora igenzura ; n’imicungire y’ingorane 4° Examens périodiques, au moins annuellement, de tous les accords de l’externalisation substantielle. Il s'agit de veiller à ce que les politiques et procédures de gestion des risques de l’externalisation de l'établissement ainsi que ce règlement soient effectivement mis en œuvre. Ces examens doivent confirmer l'adéquation des systèmes de gestion interne des risques et des systèmes d'information établis par une institution réglementée (par exemple, l’évaluation de l'efficacité des processus et des indicateurs utilisés pour évaluer le rendement et la sécurité du prestataire de services) et mettre en évidence toute lacune dans les systèmes de contrôle d’une institution réglementée ; 5° Politiki zo gutanga raporo ku n’ibikurikizwa: ikurikiranabikorwa n’igenzura ry’ibikorwa by’ikigo kigenzurwa Raporo 5° Reporting: Reports on the monitoring and control activities of the institution shall be reviewed by its senior management and provided to the 5° Politiques et procédures de transmission des rapports : les rapports sur les activités de suivi et de contrôle d’une institution réglementée doivent être 299 gukora y’Ubutegetsi. zigomba gusuzumwa n’ubuyobozi bukuru kandi zigatangwaho amakuru ku Nama Ikigo kigenzurwa kigomba gukora ku buryo ibipimo by’ikurikiranabikorwa hamwe n’amakuru ku mikorere bitavangwa n’ibyabandi bakiriya b’utanga serivisi. Ikigo kigenzurwa kigomba kandi gukora ku buryo ikibazo cyose cyavuka cyerekeye amasezerano yo kwifashisha undi muntu mu imirimo gishyikirizwa n’ubuyobozi bukuru hamwe kigenzurwa bw’ikigo n’utanga serivisi cyangwa Inama y’Ubutegetsi y’ikigo kigenzurwa, iyo cyagaragaye, hakiri kare. Iyo havutse ikibazo, ikigo kigenzurwa kigomba gufata ingamba mu buryo bwihuse mu rwego rwo kongera gusuzuma imikorere ishingiye ku kwifashisha undi muntu mu gukora imirimo ivugururwa kugira ngo habeho cyangwa iseswa ry’amasezerano ; hamwe; Official Gazette n° Special of 17/06/2022 ensure board for information. The regulated institution must that monitoring metrics and performance data are not aggregated with those belonging to other customers of the service provider. The regulated institution shall also ensure that any adverse development arising in any outsourcing arrangement is brought to the senior management of the institution and service provider, or to the institution’s board, where warranted, on a timely basis. When adverse development occurs, prompt actions must be taken by the the for outsourcing modification or termination of the agreement; relationship to review institution attention the of 300 d'un examinés par sa direction générale et transmis au Conseil d’administration institution pour information. Une les réglementée doit s'assurer que indicateurs de suivi et les données de performance ne sont pas regroupés avec ceux appartenant à d'autres clients du prestataire de services. Une institution réglementée doit également veiller à ce que tout développement défavorable de accord découlant l’externalisation si cela est soit, nécessaire, porté en temps opportun à l'attention de la direction générale d’une institution réglementée et du prestataire ou de Conseil services, institution d’une d'administration réglementée . En cas de développement défavorable, des mesures rapides doivent être prises par une institution réglementée pour examiner la relation de l’externalisation en vue de modifier ou de résilier l’accord; au Official Gazette n° Special of 17/06/2022 are made 6° Perform comprehensive pre and post- implementation reviews of new outsourcing arrangements or when the amendments outsourcing arrangements. If an outsourcing arrangement is materially comprehensive due amended, diligence outsourcing arrangement must also be conducted. a of the to arrangements 6° Effectuer des examens complets des nouveaux de l’externalisation avant et après la mise en œuvre ou lorsque des modifications sont apportées aux arrangements de l’externalisation. Si un accord de l’externalisation est modifié de façon significative, un examen intégral de l’arrangement de l’externalisation doit également être effectué. ry’amasezerano 6° Gukora amasuzuma y’ishyirwa mu bikorwa by’amasezerano mashya yo kwifashisha undi muntu mu gukora igihe hakozwe imirimo cyangwa ivugururwa yo kwifashisha undi muntu mu gukora yo imirimo. kwifashisha undi muntu mu gukora ivugururwa imirimo rikomeye, gukorwa hagomba isuzumwa ryimbitse ry’amasezerano yo kwifashisha undi muntu mu gukora imirimo. amasezerano akorewe Iyo

Ingingo ya 17: Ubugenzuzi n’igenzura Article 17: Audit and Inspection Article 17: Audit et inspection Ingingo ya 17: Ubugenzuzi n’igenzura Article 17: Audit and Inspection Article 17: Audit et inspection y’ikigo kigenzurwa yo Amasezerano kwifashisha undi muntu mu gukora imirimo ntagomba kubangamira ubushobozi bwa ikigo kigenzurwa bwo gucunga neza ibikorwa byayo by’ubucuruzi cyangwa ngo abangamire Urwego rw’ubugenzuzi mu imirimo yayo y’ubugenzuzi no gukora gushyira mu bikorwa intego zayo. regulated institution’s outsourcing The arrangements must not interfere with the ability of the institution to effectively manage its business activities or impede Supervisory authority in carrying out its supervisory functions and objectives. accords de l’externalisation d’une Les institution réglementée ne doivent pas entraver la capacité d’une institution réglementée de gérer efficacement ses activités commerciales ou empêcher l’Autorité de contrôle à s'acquitter de ses fonctions de supervision et à réaliser ses objectifs. Ikigo kigenzurwa kigomba gushyira mu masezerano yayo yo kwifashisha undi muntu mu gukora imirimo ku masezerano yo The regulated institution shall include, in all its outsourcing agreements for material outsourcing arrangements, clauses that: Une institution réglementée doit inclure dans tous ses accords de l’externalisation concernant 301 Official Gazette n° Special of 17/06/2022 kwifashisha undi muntu mu gukora imirimo yagira ingaruka zikomeye ingingo: arrangements les substantielle des clauses qui: de l’externalisation kigo 1° zemerera ikigo kigenzurwa gukorera ubugenzuzi utanga serivisi n’abo yapatanishije, bikozwe n’abagenzuzi cyangwa b’imbere mu abaturutse hanze yacyo, abakozi bashyirwaho n’ikigo kigenzurwa ; no kugira ngo ibone kopi za raporo iyo ari yo yose n’ibyagaragajwe ku byerekeye utanga serivisi, abandi utanga serivisi nawe yifashishije n’umugenzuzi zaba cyangwa w’imbere wigenga b’utanga cyangwa serivisi ab’umuntu utanga serivisi nawe yifashishije bikozwe n’abakozi bashyizweho n’utanga serivisi hashingiwe ku masezerano agenga kwifashisha undi muntu mu gukora imirimo ; izakozwe cyangwa 2° zituma Urwego rw’Ubugenzuzi cyangwa umukozi uwo ari we wese n’Urwego washyizweho rw’Ubugenzuzi, iyo ari ngombwa bagira cyangwa bikwiye, 1° allow institution the regulated to conduct audits on the service provider and its sub- outsourcing, whether by its internal or external auditors, or by agents appointed by the institution; and to obtain copies of any report and finding made on the service provider its sub-outsourcing, whether and produced by the service provider’s or its or external auditors, or by agents appointed by the service provider in relation outsourcing the to arrangement; sub-outsourcing internal 1° permettent à une institution réglementée de mener des audits auprès du prestataire de services et de ses sous- traitants, que ce soit par les auditeurs internes ou externes, ou par des agents nommés par une institution réglementée ; et d'obtenir des copies de tout rapport et observation faits sur le prestataire de services et ses sous-traitants en rapport avec l’arrangement de l’externalisation, qu'ils soient produits par les auditeurs internes ou externes du prestataire de services ou de ses sous-traitants, ou par des agents nommés par le prestataire de services et son sous-traitant; 2° allow Supervisory Authority, or any agent appointed by Supervisory or Authority, where expedient, to exercise the contractual rights of the institution to: necessary 2° permettent à l’Autorité de Contrôle, ou à tout agent nommé par l’Autorité de Contrôle, si nécessaire ou opportun, d'exercer les droits contractuels de l'établissement à: 302 uburenganzira masezerano y’ikigo bwo: bushingiye ku a. kugera ku utanga serivisi no kubo nawe yifashishije no kubona amakuru n’inyandiko z’ibikorwa, hamwe y’ikigo n'amakuru kigenzurwa yahawe, abitse cyangwa yigwaho n'utanga n'abo hamwe serivisi yifashishije; b. kugera kuri raporo yose hamwe n’ibyagaragajwe ku byerekeye amasezerano yo kwifashisha undi muntu mu gukora imirimo bireba utanga n’abo serivisi hamwe byaba yapatanishije, byaragaragajwe n’abagenzuzi b’imbere cyangwa baturuka hanze b’utanga serivisi cyangwa abo yapatanishije cyangwa bashyirwaho abakozi n’utanga hamwe serivisi n’abo yapatanishije. Official Gazette n° Special of 17/06/2022 its and a. access and inspect the service sub- and provider outsourcing, obtain records and documents, of transactions, and information of the institution given to, stored at or processed by the service provider and its sub- outsourcing; its b. access any report and finding made on the service provider sub-outsourcing, and the whether produced by service provider’s and its sub- outsourcing’ or external auditors, or by agents service appointed by provider sub- and outsourcing, in relation to the outsourcing arrangement. internal the its 303 a. accéder au prestataire de services et ses sous-traitants, les inspecter et obtenir les registres et les documents des opérations et des informations d’une institution réglementée que le prestataire de services et ses reçoivent, sous-traitants stockent ou traitent; sur tout faits b. accéder à rapport et observation le prestataire de services et ses sous-traitants en rapport avec l’arrangement de l’externalisation, qu'ils soient auditeurs produits par internes du ou prestataire de services et de ses sous-traitants, ou par des agents nommés par le prestataire de services et ses sous-traitants. les externes serivisi Amasezerano yo kwifashisha undi muntu mu gukora imirimo yagira ingaruka ikomeye ku kigo agomba gushyirwamo ingingo zisaba utanga serivisi kubahiriza vuba hashoboka icyo Urwego rw’ubugenzuzi rusaba cyose utanga nawe yifashishije, igihe basabwe gutanga raporo izo ari zo zose ku Urwego rw’ubugenzuzi ku mutekano no ku mwuka w’igenzura ry’utanga serivisi ndetse n’abo nawe yifashishije ku byerekeye amasezerano yo kwifashisha undi muntu mu gukora imirimo. cyangwa abo Ikigo kigenzurwa gikora ku buryo ibyo byitezwe byubahirizwa mu masezerano yayo yo kwifashisha undi muntu mu gukora imirimo bigirana n’utanga serivisi ndetse n’undi uwo ari we wese utanga serivisi akoresha mu masezerano yo kwifashisha undi muntu mu gukora imirimo, harimo abatanga zigamije gukomeza imirimo nyuma y’amage ndetse n’abatanga serivisi z’ingoboka. Urwego rw’ubugenzuzi iha ikigo kigenzurwa integuza yumvikana y’uko ishaka gushyira mu bikorwa uburenganzira bwayo bwo gukora igenzura kandi ibyavuye mu igenzura igihe ibona ari ngombwa. ishyikiriza serivise ikigo Official Gazette n° Special of 17/06/2022 for material agreements Outsourcing outsourcing arrangements shall also include clauses that require the service provider to comply, as soon as possible, with any request from Supervisory authority , to the service provider or its sub-outsourcing, to submit any control reports on environment of the service provider and its sub-outsourcing to Supervisory Authority , in relation to the outsourcing arrangement. security and the The regulated institution shall ensure that these expectations are met in its outsourcing arrangements with the service provider as well as any sub-outsourcing that the service provider may engage in the outsourcing arrangement, including any disaster recovery providers. The service and Supervisory Authority will provide the institution reasonable notice of its intent to exercise its inspection rights and share its findings with institution where appropriate. backup the 304 l’externalisation pour les Les accords de arrangements de l’externalisation substantielle doivent également inclure des clauses qui le prestataire de services à se exigent conformer, dès que possible, à toute demande de l’Autorité de contrôle ou d’une institution réglementée adressée au prestataire de services ou à ses sous-traitants de soumettre à l’Autorité de contrôle des rapports sur l'environnement de sécurité et de contrôle du prestataire de services et de ses sous-traitants, en rapport avec l’arrangement de l’externalisation. dans soient satisfaites dans l’externalisation avec Une institution réglementée doit veiller à ce que ses ces attentes arrangements de le prestataire de services ainsi que tout sous- traitant que le prestataire de services peut engager de l’externalisation, y compris les fournisseurs de services en cas de reprise après sinistre ou de secours. L’Autorité de contrôle signifiera à une délai institution raisonnable son intention d'exercer ses droits d'inspection et, le cas échéant, de partager ses constatations avec l'établissement. l’arrangement réglementée dans un Official Gazette n° Special of 17/06/2022 The regulated institution shall ensure that independent audits and/or expert assessments of all its outsourcing arrangements are conducted. In determining the frequency of audit and expert assessment, the institution shall consider the nature and extent of risk and impact to the institution from the outsourcing arrangements. The scope of the audits and expert an assessment of the service providers’ and its control sub-outsourcing’ environment, incident management process (for material breaches, service disruptions or other material issues) and the institution’s observance of this regulation in relation to the outsourcing arrangement. assessments security include shall and akozwe n’inzobere Ikigo kigenzurwa gikora ku buryo hakorwa na/cyangwa ubugenzuzi bwigenga amasuzuma ku masezerano yayo yose yo kwifashisha undi muntu mu gukora imirimo. Mu kugena igihe isuzuma ubugenzuzi cyangwa rikozwe ikigo kigenzurwa n’inzobere bikorerwa, igendera ku bwoko ndetse n’urwego rw’ingorane hamwe n’ingaruka ikigo kigenzurwa cyahura nazo biturutse ku masezerano yo kwifashisha undi muntu mu gukora imirimo. Ibirebwa n’amagenzura ndetse n’amasuzuma akorwa n’inzobere bigomba kuba birimo isuzuma ry’umutekano n’umwuka w’igenzura by’abatanga serivisi ndetse uburyo bw'imicungire y'ibibazo byavuka (igihe habayeho ukutubahiriza amasezerano ku buryo bukomeye, ibibazo serivisi yagira cyangwa ibindi bibazo’by’ingenzi) hamwe n’uko ikigo kigenzurwa yubahiriza aya mabwiriza byerekeye amasezerano yo kwifashisha undi muntu mu gukora imirimo. bapatanishije, rusange n’abo ku une tous d’experts, soient menées. Une institution réglementée doit veiller à ce que des audits indépendants et/ou des évaluations ses arrangements de d'experts de Pour l’externalisation déterminer la fréquence de l’audit et de l'évaluation institution réglementée doit tenir en compte la nature et l'étendue des risques ainsi que l'impact des arrangements de l’externalisation sur une institution réglementée. La portée des audits et des évaluations d'experts doit inclure une évaluation de l'environnement de sécurité et de contrôle du prestataire de services et de ses sous-traitants, le processus de gestion des incidents (pour les interruptions de service ou d'autres problèmes sérieux) et le respect par une institution réglementée de ce règlement en rapport avec l’arrangement de l’externalisation. les violations graves, Ubugenzuzi bwigenga na/cyangwa isuzuma rikorwa n’inzobere ku utanga serivisi no ku gukorwa bo yapatanisjije bishobora independent expert The assessment on the service provider and its sub-outsourcing may be performed by the and/or audit L'audit indépendant et/ou l'évaluation d’experts du prestataire de services et de ses sous-traitants peuvent être effectués par les auditeurs internes 305 serivisi cyangwa n’abagenzuzi b’ikigo kigenzurwa bemewe b’imbere mu kigo cyangwa baturuka hanze yacyo, abagenzuzi baturuka hanze y’ikigo abakozi b’utanga bashyirwaho nikigo kigenzurwa . Abo bantu bashyirwaho bagomba kuba bafite ubumenyi n’ubushobozi bisabwa kugira ngo bakore uwo murimo, kandi bakaba badafite aho bahuriye n'itsinda cyangwa urwego rushyira mu bikorwa amasezerano yo kwifashisha undi muntu mu gukora imirimo. Ubuyobozi bukuru bugomba gukora ku buryo hafatwa ingamba zigamije gukosora amakosa kandi zigafatirwa igihe mu rwego rwo kubonera ibisubizo ibyavuye mu magenzura. Ikigo kigenzurwa hamwe n’abatanga serivisi bagombye kugira uburyo bakoresha butuma hizerwa ko ibikorwa bigamije gukosora amakosa Ibikorwa byakozwe n’utanga serivisi mu rwego rwo kubonera ibyagaragajwe n'ubugenzuzi bigomba kwemezwa n’ikigo kigenzurwa mbere yo gusozwa. Iyo ari ngombwa, abantu babifitiye ubumenyi n’ubushobozi bagombye kugira uruhare mu n’ingamba kwemeza z’igenzura byafashwe bikora neza. umutekano byakozwe ibisubizo neza. ko Official Gazette n° Special of 17/06/2022 arrangement. institution’s qualified internal or external auditors, the service provider’s external auditors or by agents appointed by the institution. The appointed persons must possess the requisite knowledge and skills to perform the engagement, and be independent of the unit or function performing the outsourcing Senior management shall ensure that appropriate and timely remedial actions are taken to address the audit findings. The regulated institution and the service providers shall have adequate processes in place to ensure that remedial actions are satisfactorily completed. Actions taken by the service provider to address the audit findings shall be appropriately validated by the regulated institution before closure. Where necessary, the relevant persons who possess the requisite knowledge and skills shall be involved to validate the effectiveness of the security and control measures taken. 306 les auditeurs appropriées l’audit. Les banques et externes qualifiés d’une institution ou réglementée, externes du prestataire de services ou les agents nommés par une institution réglementée . Les personnes nommées doivent posséder les connaissances et les compétences requises pour effectuer la tâche et être indépendantes de l'unité ou de la fonction qui exécute l'arrangement de l’externalisation. La haute direction générale doit veiller à ce que des mesures et correctives opportunes soient prises pour donner suite aux résultats de les prestataires de services doivent avoir des processus adéquats pour s'assurer que les mesures correctives sont exécutées de manière satisfaisante. Les mesures prises par le prestataire de services pour prendre en considération les résultats de l’audit doivent être validées de manière appropriée par une institution réglementée avant d’y mettre fin. Le cas échéant, les personnes qualifiées qui possèdent les connaissances et les compétences nécessaires devraient être impliquées pour valider l'efficacité des mesures de sécurité et de contrôle prises. hamwe n’ibibazo by’ingenzi Ingingo bigomba kumenyeshwa ubuyobozi bukuru bw’ikigo kigenzurwa hamwe n’utanga serivisi cyangwa Inama y’Ubutegetsi y’ikigo iyo ari ngombwa, kigenzurwa kandi, Ikigo kigenzurwa bigakorwa ku gihe. ingamba zo kongera kigomba gufata gusuzuma amasezerano yo kwifashisha undi muntu mu gukora imirimo igihe ingorane yagaragaye kwihanganirwa n’ikigo kigenzurwa. idashobora Official Gazette n° Special of 17/06/2022 to Significant issues and concerns must be brought the senior the attention of management of the institution and service provider, or to the institution’s board, where warranted, on a timely basis. Actions shall be taken by the institution outsourcing arrangement if the risk posed is no risk the tolerance. longer within institution’s to review the et des questions préoccupations Des importantes doivent, si cela est nécessaire, être portées en temps opportun à l'attention de la direction générale d’une institution réglementée et du prestataire de services ou du Conseil d'administration d’une institution réglementée . Les mesures doivent être prises par une institution réviser l’arrangement de l’externalisation si le risque posé dépasse la tolérance au risque d’une institution réglementée . réglementée pour buri gihembwe. Ikigo kigenzurwa kigomba gushyikiriza Urwego rw’Ubugenzuzi kopi za raporo y’ubugenzuzi Ikigo kigenzurwa kandi, iyo kibisabwe, kigomba guha Urwego rw’Ubugenzuzi izindi raporo cyangwa amakuru ku kigo cyangwa ku utanga serivisi ku birebana n’amasezerano yo kwifashisha undi muntu mu gukora imirimo. Copies of audit reports shall be submitted by the institution to Supervisory Authority on quarterly basis. The regulated institution shall also, upon request, provide Supervisory Authority with other reports or information on the institution and service provider that is related to the outsourcing arrangement. les L’établissement doit transmettre les copies des l’Autorité de contrôle rapports d’audit à concernant soumis rendements trimestriellement. Une institution réglementée doit, sur demande, donner à l’Autorité de contrôle d'autres rapports ou informations sur l'établissement et le prestataire de services qui sont liés à l’arrangement de l’externalisation.

Ingingo ya 18: Kwifashisha undi muntu mu gukora imirimo hanze y’u Rwanda Article 18: Outsourcing outside Rwanda Article 18: L’externalisation en dehors du Rwanda Ingingo ya 18: Kwifashisha undi muntu mu gukora imirimo hanze y’u Rwanda Article 18: Outsourcing outside Rwanda Article 18: L’externalisation en dehors du Rwanda serivisi wo mu Ishyirwaho mahanga, yo amasezerano kwifashisha undi muntu mu gukora imirimo ry’utanga cyangwa The engagement of a service provider in a foreign outsourcing or arrangement whereby the outsourced function country, an L'engagement d'un prestataire de services dans un pays étranger ou un arrangement de l’externalisation selon lequel la fonction sous- 307 Official Gazette n° Special of 17/06/2022 is performed in a foreign country, may expose an institution to country risk - economic, social and political conditions and events in a foreign country that may adversely affect the regulated institution. Such conditions and events could prevent the service provider from carrying out the terms of its agreement with the institution. In its risk management of such outsourcing arrangements, the institution shall take into account, as part of its due diligence, and on a continuous basis: aho umurimo ukorwa n’undi muntuukorerwa mu gihugu cy’amahanga bishobora gutuma ikigo gihura n’ingorane zerekeyeigihugu – imiterere y’ubukungu, imibereho myiza na politiki n’ibiba mu gihugu cy’ amahanga bishobora kugira ingaruka mbi ku ikigo kigenzurwa . Iyo miterere n’ibiba muri icyo gihugu bishobora gutuma utanga serivisi ibikubiye mu adashyira mu bikorwa masezerano n’ikigo. Mu yagiranye ingorane bijyanye micungire y’ibyateza n’ayo masezerano yo kwifashisha undi muntu mu gukora imirimo, ikigo kigenzurwa kizirikana mu bushishozi bwacyo no ku mu buryo buhoraho: traitée est exercée dans un pays étranger peut exposer un établissement au risque pays - conditions et événements économiques, sociaux et politiques dans un pays étranger qui peuvent avoir un impact défavorable sur une institution réglementée. De tels conditions et événements pourraient empêcher le prestataire de services de se conformer aux termes de son accord avec l'établissement. Dans sa gestion des risques relative de tels l’externalisation, une institution réglementée doit prendre en considération, dans le cadre de sa diligence raisonnable, et de façon continue: arrangements de à 1° politiki za Leta; 1° government policies; 1° les politiques gouvernementales; 2° imiterere ya politiki, myiza n’ubukungu; imibereho 2° political, social, economic conditions; 2° les conditions politiques, sociales et économiques; 3° impinduka zigenda zikorwa zerekeye amategeko n’amabwiriza mu gihugu cy’amahanga; 4° ubushobozi bw’ikigo kigenzurwa mu gukurikirana neza utanga serivisi no gushyira mu bikorwa gahunda zacyo 3° legal and regulatory developments in 3° l’évolution juridique et réglementaire the foreign country; dans le pays étranger; 4° the institution’s ability to effectively monitor the service provider, and 4° la capacité d’une institution réglementée à le suivi du prestataire de services et à exécuter ses faire efficacement 308 y’ugukomeza z’imicungire kw’ibikorwa by’ubucuruzi hamwe n’uburyo bwo kurangizanya imirimo. kigomba kigenzurwa Ikigo kumenya ibigomba gukorwa mu gusohoka mu ngorane byashyizweho n’utanga serivisi ndetse n’aho bigomba gukorerwa ku byerekeye amasezerano yo kwifashisha undi muntu mu gukora imirimo. Kubera ko amakuru ashobora kuba yakwimurirwa ahandi hantu ho mu bindi bihugu, ingorane zerekeye uburyo bwo kuyatwara, bwaba buryo ubufatika bw’ikoranabuhanga, bigomba kwitabwaho. ari mu cyangwa Official Gazette n° Special of 17/06/2022 execute management plans and exit strategy. business continuity its plans de gestion de la continuité des activités et sa stratégie de sortie. The regulated institution must also be aware of the disaster recovery arrangements and locations established by the service provider in relation to the outsourcing arrangement. As information and data could be moved to primary or backup sites located in foreign the countries, medium of transport, be it physical or electronic, shall be considered. the risks associated with Une institution réglementée doit également connaître les arrangements et endroits de reprise après sinistre établis par le prestataire de services en rapport avec l'arrangement de l’externalisation. Comme les informations et les données pourraient être déplacées vers des sites primaires ou de secours situés dans des pays étrangers, les risques associés au moyen de transport, qu'il soit physique ou électronique, doivent être tenus en compte. buryo Amasezerano yo kwifashisha undi muntu mu gukora imirimo ashobora kugira ingaruka zikomeye ku kigo ikigo kigirana n’abatanga serivisi bo mu mahanga yagombye gukorwa mu Urwego rw’Ubugenzuzi mu mirimo yarwo yo gukurikirana ibikorwa by'ubucuruzi by’ikigo kigenzurwa biri mu Rwanda (nk'urugero hakoreshwa ibitabo, konti n'inyandiko) ku gihe.By'umwihariko: bitabangamira Material outsourcing arrangements with service providers located outside Rwanda must be conducted in a manner so as not to hinder Supervisory Authority ’s efforts to supervise the Rwanda business activities of the institution (i.e., from its books, accounts and documents) in a timely manner, in particular: 309 de arrangements l’externalisation Les matérielle avec les fournisseurs de services situés à l'extérieur du Rwanda doivent être conclus de manière à ne pas entraver les efforts de l’Autorité de Contrôle de superviser en temps opportun les activités commerciales d’une institution réglementée au Rwanda (c.-à- d. ses livres, comptes et documents). En particulier: Official Gazette n° Special of 17/06/2022 amasezerano 1° Ikigo kigenzurwa kigomba nk'ihame kugirana yo kwifashisha undi muntu mu gukora imirimo gusa n’abatanga serivisi bakorera mu bihugu byubahiriza ingingo n'amasezerano byerekeye kugira ibanga; 1° The institution shall, in principle, enter into outsourcing arrangements only with service providers operating in jurisdictions that generally uphold confidentiality and agreements; clauses 1° Une institution réglementée doit, en principe, conclure des accords de l’externalisation uniquement avec des prestataires de services opérant dans des pays qui respectent généralement des clauses et des accords de confidentialité; 2° Ikigo kigenzurwa ntikigomba kugirana amasezerano n’abatanga serivisi bakorera mu bihugu aho Urwego rw’Ubugenzuzi cyangwa abakozi bashyirwaho na yo ngo wayo bakore mu mwanya bibangamirwa n’amategeko cyangwa inzego zaho z’ubutegetsi. Ikigo nibura kigenzurwa kwiyemeza kongera kubona amakuru atanzwe n’utanga igihe Urwego rw’Ubugenzuziisabye ayo makuru. kigomba serivisi in 2° A regulated institution shall not enter into outsourcing arrangements with jurisdictions service providers where prompt access to information by Supervisory Authority or agents appointed by Supervisory Authority to act on its behalf, at the service provider, may be impeded by legal or A administrative regulated institution must at least commit to retrieve information readily from the service provider should Supervisory Authority request for such information; restrictions. des arrangements l'information par 2° Une institution réglementée ne doit pas conclure de l’externalisation avec les prestataires de services dans les pays où un accès rapide à l’Autorité de contrôle ou les agents nommés par l’Autorité de Contrôle pour agir en son nom auprès du prestataire de services peut être entravé par des restrictions légales administratives. Une institution réglementée doit au moins les s'engager à obtenir facilement informations auprès du prestataire de services si l’Autorité de Contrôle les demande. ou 3° Ikigo kigenzurwa kigomba kuba ibyemezo gifite ariyo bikoreshawa by’ikoranabuhanga 3° The regulated institution shall ensure that all licenses of any system or application are maintained and are in the names of the regulated institution; 3° Une institution réglementée doit notifier l’Autorité de Contrôle si une autorité étrangère cherche à accéder à ses informations sur le client ou s’il existe 310 Official Gazette n° Special of 17/06/2022 ndetse bikiba biri no mu mazina yacyo; 4° Ikigo kigenzurwa kigomba kugaragaza ko amakuru yacyo cyangwa ikoranabuhanga rishobora kuva k’utanga serivisi mu buryo bworoshye kandi ko ikoranabuhanga rishobora gutandukanwa n’irisanzwe rikoreshwa mu buryo buhuje. 5° Ikigo kigenzurwa kigomba kugararagaza ko gukoresha undi muntu imirimo wo hanze y’u Rwanda bitabangamira ingama zo kuzahura no guseza ikigo; Ikigo kigenzurwa kimenyesha Urwego rw’Ubugenzuziiyo ikigo cy’ikinyamahangaa rubanda gishaka cyangwa ikigo kigenzurwa cyangwa Urwego rw’Ubugenzuzibihura n’imbogamizi cyangwa byangirwa kubona amakuru. amakuru iyo bituma atagenwe 4° The regulated institution shall demonstrate that any information or systems can be easily transferred or separated from a centralized system even in case where outsourced services are performed by a group; 5° a regulated institution shall also demonstrate that outsourcing outside Rwanda guarantee the continuation of service provision in case a regulated institution is put into resolution or under liquidation; institution shall notify The regulated Supervisory Authority if any overseas authority seeks access to its non-public data or if a situation were to arise where the rights of access of the institution and Supervisory Authority have been restricted or denied. 311 une situation où les droits d'accès d’une institution réglementée et de l’Autorité de contrôle ont été restreints ou refusés; 4° L'institution réglementée doit démontrer que toute information ou tout système peut être facilement transféré ou séparé d'un système centralisé, même dans le cas où des services externalisés sont fournis par un groupe; réglementée démontrer 5° L’institution doit que également l'externalisation hors du Rwanda garantit la poursuite de la prestation de services en cas de mise en résolution ou de établissement réglementé; liquidation d'un institution réglementée notifie à Une la L’Autorité de Contrôle si une autorité étrangère demander avoir l’accès aux données non publiques ou si ça peut créer une situation où les droits d’accès de l’institution réglementée et de l ’Autorité de Contrôle ont été restreints ou refusés.

Ingingo ya 19: Kwifashisha undi muntu itsinda mu gukora ry’amasosiyete ikigo kigenzurwa imirimo uri mu na rimwe Article 19: Outsourcing within a Group Article 19: L’externalisation au sein d'un groupe Ingingo ya 19: Kwifashisha undi muntu itsinda mu gukora ry’amasosiyete ikigo kigenzurwa imirimo uri mu na rimwe Official Gazette n° Special of 17/06/2022 Article 19: Outsourcing within a Group Article 19: L’externalisation au sein d'un groupe Aya mabwiriza rusange akoreshwa mu masezerano yo kwifashisha undi muntu mu gukora imirimo hagati y’abakora imirimo n’ikigo kigenzurwa bahuriye mu itsinda rimwe ry’amasosiye. Ibyitezwe bishobora kwitabwaho muri politiki n’ibikurikizwa mu micungire y’ibyateza ingorane byo ku rwego rw’itsinda. Biteganijwe ko ikigo cyimari gitanga, mugihe bisabwe, amakuru yerekana imiterere y’ubutegetsi n’ubuyobozi bukuru byacyo basohoza uruhare rwabo mu gucunga no kugenzura ibyago ku rwego rw’itsinda. ninzira inama This Regulation is applicable to outsourcing arrangements with parties within the group. The expectations may be addressed within group-wide risk management policies and procedures. A is regulated requested, to provide, when expected information demonstrating the structure and processes by which its board and senior management discharge their role in the oversight and management of outsourcing risks on a group-wide basis. institution présent règlement s'applique Le aux arrangements de l’externalisation entre les parties au sein du groupe. Les attentes peuvent être considérées dans les politiques et les procédures de gestion des risques à l'échelle du groupe. Une institution réglementée est censée fournir, informations démontrant la structure et les processus par lesquels son conseil d'administration et sa direction générale s'acquittent de leur rôle de surveillance et de gestion des risques d'externalisation à l'échelle du groupe. sur demande, des Isuzuma rikwiye utanga serivisi wo mu itsinda asabwa gukora rishobora kuba gusuzuma ibyerekeye ireme ry’ubushobozi bw’utanga serivisi mu guhangana n’ingorane zihariye z’ikigo kigenzurwa, cyane cyane y’ugukomeza izerekeye by’ubucuruzi, kw’ibikorwa ikurikiranabikorwa n’igenzura, ubugenzuzi, harimo no kwemeza uburenganzira bwa imicungire Due diligence on an intra-group service provider may take the form of evaluating qualitative aspects of the service provider’s the to address risks specific ability institution, particularly to business continuity management, monitoring and control, audit and inspection, including confirmation on the right of access to be provided to Supervisory authority, to retain to those relating La diligence raisonnable sur un prestataire de services intragroupe peut prendre la forme d'une évaluation des aspects qualitatifs de la capacité du prestataire de services à répondre aux risques propres à une institution réglementée, en particulier ceux liés à la gestion de la continuité des activités, au suivi et contrôle, à l’audit et à l’inspection, y compris la confirmation sur le droit d'accès devant être accordé à l’Autorité de 312 Urwego rw’Ubugenzuzi bwo gukingurirwa imiryango no gukomeza kugenzura mu buryo bukwiye ku kigo, no kubahiriza ibipimo ngenderwaho byo mu gihugu bikubiye mu mabwiriza. Inshingano za buri shami mu masezerano yo kwifashisha undi muntu mu gukora imirimo zigomba kuba zanditse mu masezerano y’urwego rwa serivisi cyangwa mu nyandiko bifite agaciro kamwe. Gukoresha imirimo y’ikigo abatari abakozi bacyo mu itsinda mu mahanga buigomba kubahiriza ibisabwa byerekeye gukoresha abatari abakozi b’ikigo mu mahanga nk’uko biteganywa n’aya mabwiriza rusange. Official Gazette n° Special of 17/06/2022 effective supervision over the institution, and compliance with local regulatory standards. The respective roles and responsibilities of each office in the outsourcing arrangement shall be documented in writing in a service level agreement or an equivalent document. contrôle , la confirmation sur le droit de conserver une supervision efficace d’une institution réglementée et la conformité aux normes réglementaires locales. Les rôles et les responsabilités respectifs de chaque bureau dans l’arrangement de l’externalisation doivent être documentés par écrit dans un accord sur le niveau du service ou un document équivalent. Outsourcing within the group outside Rwanda shall follow the requirements of outsourcing outside Rwanda as provided for by this Regulation L'externalisation au sein du groupe en dehors du Rwanda doit respecter les exigences de l'externalisation hors du Rwanda telles que prévues par le présent règlement. Urwego rushobora rw’ubugenzuzi gushyiraho amabwiriza agenga serivisi zisangiwe. The Supervisory Authority may issue a directive governing the shared services arrangements. L'Autorité de contrôle peut émettre une directive régissant les accords de services partagés.

Ingingo ya 20: Ikoranabuhanga ryo gukoresha amakuru abitse mu buryo bw’iyakure Article 20: Cloud Computing Article 20: Informatique en nuage UMUTWE WA III : IBISABWA MU GUKORESHA MUNTU UNDI IBIKORWA BY’INGENZI CHAPTER III: REQUIREMENTS FOR OUTSOURCING MATERIAL ACTIVITIES III CHAPITRE EXIGENCES RELATIVES A L’EXTERNALISATION DES ACTIVITÉS PRINCIPALES : Ingingo ya 20: Ikoranabuhanga ryo gukoresha amakuru abitse mu buryo bw’iyakure Article 20: Cloud Computing Article 20: Informatique en nuage Urwego rw’Ubugenzuziiha agaciro serivisi zerekeye abitse mu buryo bw’iyakure zitangwa n’abatanga serivisi amakuru The Supervisory Authority considers cloud services operated by service providers as a form of outsourcing and recognizes that L’Autorité de Contrôle considère les services d’informatique en nuage fournis par les prestataires de services comme une forme de 313 Official Gazette n° Special of 17/06/2022 regulated institutions may leverage on such a service to enhance their operations and service efficiency while reaping the benefits of Cloud services’ scalable, standardized and secured infrastructure. In this regard, Cloud services providers selected by a regulated institution must have implemented strong authentication, and access tokenization techniques and data encryption security to meet institution’s requirements. The encryption key should be retained by the regulated institution ; controls, remezo z'ibikorwa nk’uburyo bwo kwifashisha undi muntu mu gukora imirimo kandi yemera ko ikigo kigenzurwa gishobora kubyaza umusaruro izo serivisi mu kunoza ibikorwa byazo n’ireme rya za serivisi ari nako zibona inyungu byujuje ubuziranenge, bitekanye kandi bishobora guhindura ingano yabyo bikoreshwa muri serivisi zerekeye amakuru abitse mu buryo bw’iyakure. Muri uru rwego, abatanga serivisi zerekeye amakuru abitse mu buryo bw’iyakure n’ikigo kigenzurwa bagomba kuba barashyize mu rikomeye bikorwa ry’umwirondoro, kugenzura uburyo bwo kubona amakuru, tekiniki zo gusimbuza cyane amakuru uturango no kurinda amakuru kutavogerwa mu rwego rwo kubahiriza ibisabwa n’ikigo kigenzurwa. kwitonderwa batoranyijwe z'isuzuma serivisi akwiye en des profitant avantages tirer parti d’un l’externalisation et reconnaît que les banques peuvent tel service afin d'améliorer leurs opérations et leur efficacité de tout l'infrastructure modulable, standardisée et sécurisée des services d’informatique en nuage. À cet égard, les prestataires de services d’informatique sélectionnés par les banques doivent avoir mis en œuvre une authentification forte, des contrôles d'accès, des techniques de tokenisation et une sécurité de cryptage des données pour répondre aux exigences des banques. Ikigo kigenzurwa kigomba gukora isuzuma rikwiye kandi kigashyira mu bikorwa imikorere myiza y’imiyoborere n’imicungire y’ibyateza ingorane bisobanuye muri aya mabwiriza rusange igihe gitanga akazi ku bayihaserivisi zerekeye amakuru abitse mu buryo bw’iyakure. The regulated institution shall perform the necessary due diligence and apply sound governance and risk management practices articulated in this regulation when subscribing to Cloud services. Une institution réglementée doit effectuer une vérification préalable nécessaire et appliquer les pratiques de bonne gouvernance et de gestion des risques mentionnées dans le présent règlement lors de l'abonnement aux services d’informatique en nuage. 314 Official Gazette n° Special of 17/06/2022 The regulated institution shall be aware of cloud services’ typical characteristics such as multi-tenancy, data commingling and the higher propensity for processing to be carried out in multiple locations. Hence, regulated institution must take active steps to address risks associated with data access, the confidentiality, sovereignty, recoverability, regulatory compliance and auditing. In particular, the institution shall ensure that the service provider possesses the ability to clearly identify and segregate non public data using strong physical or logical controls. integrity, des Une institution réglementée doit connaître les caractéristiques services typiques d’informatique en nuage tels que l’hébergement multiclient, le mélange de données et une propension élevée au traitement à effectuer dans plusieurs endroits. Par conséquent, les banques doivent prendre des mesures actives pour faire face aux risques liés à l'accès aux données, à leur confidentialité, à leur intégrité, à leur souveraineté, à leur recouvrabilité, à leur l'audit. En conformité réglementaire et à particulier, une institution réglementée doit s'assurer que le prestataire de services est capable d’identifier et de séparer clairement informations non-publiques en utilisant des contrôles d’accès physiques ou d’accès logiques solides. Ikigo kigenzurwa kigomba kumenya ibintu byihariye biranga serivisi zerekeye amakuru abitse mu buryo bw’iyakure, nko kuba rikoreshwa ku bigo byinshi bikoresha porogaramu ya mudasobwa imwe, uburyo bwo kubika amakuru butuma yose abonekera icya rimwe n’uburyo yakoreshwa nuwo ari we wese ahantu hatandukanye. Kubera iyo mpamvu, ikigo kigenzurwa kigomba gufata ingamba zifatika zo kwirinda ingorane zerekeye kubona amakuru, kuyagira ibanga, ubwizerwe bwayo, ubutavogerwa bwayo, kongera kuboneka kw’amakuru igihe habayeho ikibazo, kubahiriza amategeko n’amabwiriza, n’ubugenzuzi. hamwe By’umwihariko, ikigo kigenzurwa kigomba gukora ku buryo utanga serivisi agira ubushobozi bwo kugaragaza neza no gutandukanya amakuru atagenewe rubanda afatika mu amagenzura hakoreshejwe ibikoresho kwinjira by’ikoranabuhanga amakuru cyangwa amagenzura mu kwinjira muri porogramu ziyabitse. bibitse ahari Utanga serivisi agomba kuba afite uburyo bukomeye y’amakuru bw’imicungire atagenewe rubanda mu rwego rwo kurinda The service provider shall have in place robust access controls to protect non public data and such access controls should survive Le prestataire de services doit disposer de contrôles d'accès robustes pour protéger les informations non-publiques et ces contrôles 315 Official Gazette n° Special of 17/06/2022 the tenure of the contract of the cloud services. d'accès doivent aller au-delà de la durée du contrat des services d’informatique en nuage. amakuru y’abakiriya kandi gucunga uko abantu babona amakuru bigomba gukomeza na nyuma y’amasezerano ya serivisi abitse mu buryo amakuru zerekeye bw’iyakure. zaturuka bw’iyakure buryo ingorane Ikigo kigenzurwa ni cyo kiba gishinzwe ku rwego rwa mbere kandi kikaba cyabazwa igenzura rya serivisi zerekeye amakuru abitse mu kandi ku kikanacunga ikoreshwa ry’iryo koranabuhanga, nk’uko bikorwa ku bundi bwoko bw’amasezerano yo kwifashisha undi muntu mu gukora imirimo. Uburyo bushingiye ku ngorane zavuka bugomba gufatwa n'ibigo mu kurinda cy’ikurikiranabikorwa ko n’amagenzura n’uburemere kijyanye bw’ingorane zaturuka kuri serivisi zerekeye amakuru abitse mu buryo bw’iyakure. igipimo any The regulated institution shall be ultimately responsible and accountable for maintaining oversight of Cloud services and managing the attendant risks of adopting Cloud services, as outsourcing form in arrangements. A risk-based approach shall be taken by regulated institution to ensure that the level of oversight and controls are commensurate with the materiality of the risks posed by the Cloud services. other of responsable du maintien de Une institution réglementée est en dernier ressort la supervision des services d’informatique en nuage et de la gestion des risques liés à l'adoption des services d’informatique en nuage, comme dans forme d'arrangements l’externalisation. Les établissements doivent adopter une approche axée sur les risques pour s'assurer que le niveau de supervision et les contrôles correspondent à l'importance des risques posés par les services d’informatique en nuage. toute autre de Urwego rw’Ubugenzuziishobora gushyiraho ibisabwa byihariye byerekeye kubika amakuru mu buryo w’iyakure. The Supervisory Authority may issue specific requirement for cloud computing services. 316 L ’Autorité de contrôle peut émettre des services exigences d’informatique en nuage. spécifiques pour les Official Gazette n° Special of 17/06/2022 UMUTWE WA III : IBASABWA MU GUKORESHA MUNTU IBIKORWA BY’INGENZI UNDI CHAPTER III: REQUIREMENTS FOR OUTSOURCING MATERIAL ACTIVITIES III EXIGENCES CHAPITRE RELATIVES À L’EXTERNALISATION DES ACTIVITÉS PRINCIPALES :

Ingingo ya 21: Gusaba uburenganzira bwo kwifashisha undi muntu mu gukora ibikorwa by’ingenzi Article 21: Application material activities to outsource Article 21: Demande pour l’externalisation des activités principales Ingingo ya 21: Gusaba uburenganzira bwo kwifashisha undi muntu mu gukora ibikorwa by’ingenzi Ikigo kigenzurwa cyifuza kwifashisha undi ibikorwa byacyo muntu mu gukora by’ingenzi kigomba kubanza kubihererwa uburenganzira n’Urwego rw’Ubugenzuzi. Gukora amasezerano yo kwifashisha undi muntu mu gukora imirimo, kuyavugurura cyangwa kuyongerera igihe bisaba kubanza kubyemererwa na Urwego rw’Ubugenzuzi. Article 21: Application material activities to outsource Article 21: Demande pour l’externalisation des activités principales that intends institution A regulated to outsource material activities shall obtain approval from the Supervisory authority. A prior approval of the Supervisory Authority is necessary to contract, modify or extend a material outsourcing arrangement. institution réglementée Une souhaitant externaliser ses activités principales doit préalablement obtenir une approbation de l’Autorité de contrôle. Une approbation l ’Autorité de contrôle est préalable de nécessaire pour contracter, modifier ou prolonger un arrangement de l’externalisation matérielle. Ikigo kigenzurwa gitanga ifishi yujuje neza mu gusaba uburenganzira bwo kwifashisha undi muntu mu gukora imirimo y’ingenzi. The regulated institution shall submit a duly filled application form to outsource a material activity. institution Une soumet un formulaire de demande dûment rempli pour l’externaliser une activité principale. réglementée Dosiye isaba uburenganzira igomba kuba irimo inyandiko n’amakuru bisobanuye aha hasi: 1° inyandiko y’umushinga w’amasezerano yo kwifashisha undi The application shall include documents and information specified hereafter: La demande doit inclure les documents et les informations ci-après spécifiés: 1° outsourcing contract draft, containing this elements defined the in 1° le projet de contrat de l’externalisation, contenant les éléments définis dans ce 317 muntu mu gukora imirimo, irimo ingingo aya mabwiriza rusange ikigo kigenzurwa cyifuza kugirana n’utanga serivisi; zisobanuye muri 2° inyandiko yemeza ko amasezerano yo kwifashisha undi muntu mu gukora imirimo yemejwe hashingiwe kuri politiki z’ikigo zo kwifashisha undi muntu mu gukora imirimo; 3° amakuru arambuye ku bikorwa bizifashisha undi muntu mu gukora imirimo ndetse n’impamvu yo kwifashisha undi muntu mu gukora iyo mirimo; 4° urutonde rw’abantu bafitanye isano n’ikigo kigenzurwa, banafitanye serivisi hamwe isano n’utanga n’ibisobanuro by’isano bafitanye; Official Gazette n° Special of 17/06/2022 regulated regulation, which institution intends to conclude with the service provider; the institution qu’une règlement, réglementée a l'intention de conclure avec le prestataire de services; 2° a that statement certifying the outsourcing arrangement has been approved the regulated institution ’s outsourcing policies; in accordance with 2° une déclaration attestant que l'accord de approuvé de institution l’externalisation conformément l’externalisation réglementée ; été politiques a aux d’une 3° details of the activities to be outsourced as well as the rationale for the outsourcing; 3° les détails des activités à l’externaliser ainsi de la l’externalisation; justification que 4° list of persons to related the institution, who are at the same time related to the service provider, and a description of the manner in which they are related; 4° la liste des personnes liées à une institution réglementée qui sont en même temps liées au prestataire de services et une description de la manière dont elles sont liées; 5° raporo z’utanga z’ubugenzuzi serivisi mu mwaka wabanjirije uwo; 5° service provider’s audited reports for the previous calendar year; 5° les rapports d'audit du prestataire de services pour l'année civile précédente; 318 Official Gazette n° Special of 17/06/2022 6° inyandiko igaragaza ko utanga serivisi afite uburambe mu gukora iyo mirimo yo kwifashisha undi muntu mu gukora imirimo; 6° proof of the service provider’s former experience related to the activities subject of outsourcing; 6° la preuve de l'expérience antérieure du prestataire de services en rapport avec les de l’externalisation; activités faisant l'objet 7° inyandiko igaragaza ko utanga 7° proof of the financial soundness of the 7° la preuve de la solidité financière du serivisi afite imari ihagaze neza; service provider; prestataire de services; 8° ibisobanuro by’inshingano z’amashami abakozi bashinzwe kugenzura no gucunga imikoranire ishingiye ku masezerano hamwe n’utanga serivisi; cyangwa 9° isesengura ry’ingorane z’ingenzi yo ku masezerano zaturuka kwifashisha undi muntu mu gukora imirimo hamwe n’ingamba zo kugabanya ubukana bw’ingorane mu rwego rwo guhangana na zo ; 8° description of the obligations and responsibilities of the departments or the employees the supervision contractual the service provider; of charge in and managing relationship with 9° an analysis of the key risks involved in the outsourcing arrangement and the risk mitigation strategies to address these risks; 8° la description des obligations et des responsabilités des départements ou des employés chargés de la supervision et de la gestion des relations contractuelles avec le prestataire de services; à 9° une analyse des principaux risques de associés l’externalisation stratégies d'atténuation des risques pour faire face à ces risques; l’arrangement et des 10° ingamba z’ikigo kigenzurwa zo 10° the institution exit strategy; kwikura mu bibazo; 11° ibisobanuro mu buryo burambuye by’ibisubizo mu rwego rwa tekiniki habaho n’imikorere byatuma 11° detailed description of technical and organizational solutions enabling safe and good quality performance of the activities planned to be outsourced, 10° la stratégie de sortie d’une institution réglementée ; 11° une description détaillée des solutions organisationnelles techniques permettant une exécution sûre et de et 319 itekanye imikorere myiza kandi y’ibikorwa biteganyijwe kwifashisha undi muntu mu gukora imirimo, harimo igisobanuro cy'uburyo bwo kurinda ukuboneka n'umwimerere w'amakuru; amabanga, 12° Inyandiko kigenzurwa y’ikigo igaragaza ko ubuyobozi butagamije inyungu iziguye cyangwa itaziguye bafite mu bikorwa by’utanga serivisi, kereka iyo utanga serivisi afitanye isano n’uwayitanze mbere; 13° Andi makuru yafasha Urwego gusesengura rw’Ubugenzuzi ubusabe. Official Gazette n° Special of 17/06/2022 including a description of the manner of protection of confidentiality, availability and integrity of data; 12° the that interest with institution statement the management do not have direct or indirect the service provider, except in the case of parent related service provider is it a parent company; 13° Any information deemed necessary to the Supervisory Authority for assess the application. bonne qualité des activités planifiées pour être sous-traitées, y compris une description de la manière de protéger la et confidentialité, l'intégrité des données; la disponibilité 12° une déclaration bancaire selon laquelle la direction n'a pas d'intérêt direct ou indirect avec le prestataire de services, sauf dans le cas d'un prestataire lié aux parents; 13° toute autre information qui peut assister l ’Autorité de contrôle dans l’examen de la demande.

Ingingo ya 22: Iyemezwa ryo kwifashisha undi muntu mu gukora ibikorwa by’ingenzi Article 22: Approval for outsourcing of material activities Article 22: Approbation d’externalisation des activités principales Ingingo ya 22: Iyemezwa ryo kwifashisha ibikorwa undi muntu mu gukora by’ingenzi Article 22: Approval for outsourcing of material activities Article 22: Approbation d’externalisation des activités principales Iyo Urwego rw’ubugenzuzi rumaze kubona dosiye isaba uburenganzira bwo kwifashisha undi muntu mu gukora ibikorwa by’ingenzi ikubiyemo n’inyandiko zitanga ibisobanuro, mu gihe cy’iminsi icumi y’akazi (10), yoherereza Urwego rw’Ubugenzuzi Upon receipt of an application to outsource material activities and supporting documents, the Supervisory authority shall, within (10) ten working days, send the applicant a letter of acknowledgment or a letter of deficiency as the case may be. la réception d'une demande de Lors de l’externalisation d'activités principales et des pièces justificatives, l’Autorité de contrôle doit, dans un délai de dix jours ouvrables (10), envoyer au demandeur un accusé de réception ou une lettre de défaillance selon le cas. 320 Official Gazette n° Special of 17/06/2022 isaba uburenganzira uwatanze dosiye ibaruwa imumenyesha ko yakiriwe cyangwa ibaruwa igaragaza ibiburamo bitewe n’uko bimeze. ko dosiye yemeza Ibaruwa isaba uburenganzira yakiriwe ifatwa nk’icyemezo ko inyandiko zatanzwe zuzuye kandi ko nta yandi makuru asabwa kugira ngo dosiye isaba uburenganzira isuzumwe. ibibura igaragaza ibibura mu dosiye igomba Ibaruwa kugaragaza isaba uburenganzira kandi igomba gutanga umunsi ntarengwa wo gukosora ibibura no gutanga andi makuru Urwego rw’ubugenzuzi yabona ko ari ngombwa. Nta kindi cyemezo gifatwa na Urwego rw’ubugenzuzi kereka iyo ibibura bikosowe kandi Urwego mu gihe rw’ubugenzuzi n’amakuru yakiriye. cyagenwe, ikanyurwa A letter of acknowledgement shall constitute official notice that the documents submitted were deemed complete and that no further information is required for processing the analysis of the application. L’accusé de réception constitue un avis officiel selon lequel les documents soumis ont été jugés complets et qu'aucune autre information n'est nécessaire pour analyser la demande. letter of deficiency A shall outline deficiencies in the application and shall provide a deadline for rectification of the deficiencies and for providing additional information that may be deemed necessary by the Supervisory authority. Une lettre de défaillance doit préciser les irrégularités dans la demande et donner un délai pour y remédier et fournir des informations supplémentaires que l’Autorité de Contrôle peut juger nécessaires. No further action shall be taken by the Supervisory authority unless the deficiencies are rectified within the period prescribed, and the Supervisory authority is satisfied about the information received. Aucune autre action ne sera entreprise par les l’Autorité de contrôle à moins que irrégularités ne soient rectifiées dans le délai prescrit et que l ’Autorité de contrôle ne soit convaincue des informations reçues. 321 Official Gazette n° Special of 17/06/2022

Ingingo ya 23: Icyemezo cy’Urwego rw’ubugenzuz Article decision 23: Supervisory Authority’s Article 23: Décision de l’Autorité de contrôle 251 Official Gazette n° Special of 17/06/2022 UMUTWE WA ZINYURANYE N’IZISOZA IV: INGINGO CHAPTER IV: MISCELLANEOUS AND FINAL PROVISIONS CHAPITRE DIVERSES ET FINALES IV: DISPOSITIONS Ingingo ya 23: Icyemezo cy’Urwego rw’Ubugenzuzi Article decision 23: Supervisory Authority’s Article 23: Décision de la Banque Centrale Urwego rw’Ubugenzuzi rugomba gutegura raporo kuri buri dosiye mu gihe kingana n’ukwezi kumwe (1) nyuma yo gushyira umukono ku ibaruwa yemeza ko amakuru akubiye muri dosiye isaba uburenganzira yuzuye. The Supervisory Authority shall, within (1) one month after signing letter of acknowledgement that confirms that the information is complete, prepare a report in respect of each application. the L’Autorité de Contrôle doit, dans un délai d'un (1) mois après avoir signé l'accusé de réception qui confirme que les renseignements sont complets, préparer un rapport pour chaque demande. Raporo igaragaza icyemezo cya Urwego rw’Ubugenzuzicyo: The report shall indicate the decision of the Supervisory Authority to: Le rapport doit indiquer la décision de la L’Autorité de Contrôle de: 1° kwemera kwifashisha undi muntu mu gukora ibikorwa byagira ingaruka zikomeye, iyo rubona ko dosiye ibisaba yujuje ibisabwa muri aya mabwiriza rusange ; cyangwa 2° kwanga kwemeza kwifashisha undi muntu mu gukora imirimo yagira ingaruka zikomeye mu busabe ikanasobanura yashyikirijwe, impamvu ishingiraho. 1° approve the outsourcing of the material activities, if it is satisfied that the the satisfies requirements in this regulation; application 2° rejection of outsourcing of the material a given application, stating the grounds upon which it is based. activities in 1° approuver l’externalisation des activités principales si elle est convaincue que la demande satisfait aux exigences du présent règlement; ou 2° refuser d'approuver l’externalisation des activités principales dans une demande donnée, en indiquant les motifs de sa décision. Urwego nyandiko uburenganzira rw’Ubugenzuziimenyesha mu isaba cyo icyemezo uwatanze dosiye cyayo The Supervisory Authority shall inform the applicant, in writing, of its decision to L’Autorité de Contrôle informe le demandeur, par écrit, de sa décision d'approuver ou non 322 kwemeza cyangwa kwanga kwifashisha undi muntu mu gukora imirimo yagira ingaruka ku yasabiye uburenganzira. kigenzurwa ikigo Official Gazette n° Special of 17/06/2022 approve or not the outsourcing of the material activities that the institution applied for. l’externalisation des activités principales demandée par une institution réglementée. UMUTWE WA ZINYURANYE N’IZISOZA IV: INGINGO CHAPTER IV: MISCELLANEOUS AND FINAL PROVISIONS CHAPITRE DIVERSES ET FINALES IV: DISPOSITIONS

Ingingo ya 24: Uruhare rwa Urwego rw’Ubugenzuzi mu masezerano yo kwifashisha undi muntu mu gukora imirimo Article 24: Involvement of Supervisory Authority in outsourcing arrangements Article 24: Implication de l’Autorité de Contrôle dans les contrats d’externalisation Ingingo ya 24: Uruhare rwa Urwego rw’Ubugenzuzimu yo kwifashisha undi muntu mu gukora imirimo masezerano Article 24: Involvement of Supervisory Authority in outsourcing arrangement Article 24: Implication de l’Autorité de contrôle dans le contrat de l’externalisation aya mabwiriza Ikigo kigenzurwa kigomba kuba cyiteguye kugaragariza Urwego rw’Ubugenzuziuko cyubahiriza rusange kiyishyikiriza igitabo cyayo cyandikwamo amasezerano yo kwifashisha undi muntu mu gukora imirimo nibura rimwe buri mwaka Icyo gitabo cyangwa gishikirizwa Urwego rw’Ubugenzuzi mu buryo buteganywa n’umugereka wa kabiri uri kuri aya mabwiriza rusange mu gihe cy’iminsi 15 uhereye kuva umwaka urangiye. igihe kibisabwe. The regulated institution shall be ready to demonstrate to the Supervisory Authority its observance of this regulation by submission of its outsourcing register at least annually or upon request. The annual register shall be submitted as per the appendix 2 of this regulation within (15) fifteen days after the end of the year. Une institution réglementée doit être prête à démontrer à la l’Autorité de Contrôle qu’il respecte le présent règlement en soumettant son registre de l’externalisation au moins une fois par an ou sur demande. Le registre annuel doit être soumis conformément à l'annexe 2 du présent règlement dans les 15 jours suivant la fin de l'année. Iyo Urwego rw’Ubugenzuziitanyuzwe n’uko ikigo kigenzurwa cyubahiriza aya mabwiriza Where the Supervisory Authority is not satisfied with the regulated institution ’s Lorsque la L’Autorité de Contrôle n'est pas satisfaite du respect du présent règlement par 323 rusange, Urwego rw’Ubugenzuziishobora kugisaba gufata izindi ngamba mu rwego rwo gukosora inenge zagaragajwe. ikigo kigenzurwa, Urwego rw’Ubugenzuzi ishobora kandi kwita kuri uko kutubahiriza ibisabwa mu gusuzuma bitewe n’ingaruka zishoboka ku ikigo kigenzurwa n’urwego rw’imari muri rusange zaturuka ku kwifashisha undi muntu mu gukora imirimo hamwe, uburemere bw’inenge zagaragaye, uko ikigo kigenzurwa gisanzwe cyitwara mu gukora amagenzura bwite no mu micungire y’ibyateza ingorane, ikaba yanasuzuma icyo kibazo ku buryo bw’umwihariko bitewe n’uko ikibona. buryo butaziguye Urwego rw’Ubugenzuzi rushobora kuganira n’urwego mu rw’ubugenzuzi rw’igihugu ikigo kigenzurwa hamwe n’utanga serivisi kukigo cy’imari bakomokamo cyangwa bakoreramo ku byerekeye ubushobozi n’ubushake bwabo mu gukurikirana ingorane ikigo cyagira ziturutse ku kwifashisha undi muntu mu gukora imirimo. Official Gazette n° Special of 17/06/2022 observance of this regulation, the Supervisory Authority may require the institution to take additional measures the deficiencies noted. address to The Supervisory Authority may also take such non-compliance into account in its assessment of the regulated institution, depending on the potential impact of the outsourcing on the regulated institution and the financial system, the severity of regulated institution’s track record in internal controls and risk management, and also on the circumstances of the case. the deficiencies noted, dernière une institution réglementée, elle peut exiger que cette des mesures prenne supplémentaires pour remédier aux défaillances relevées. de L’Autorité de contrôle peut également tenir compte de cette non-conformité dans son évaluation d’une institution réglementée, en fonction de l'impact l’externalisation sur une institution réglementée et le système financier, de la gravité des défaillances relevées, des antécédents d’une institution réglementée en matière de contrôles internes et de gestion des risques, et en fonction aussi des circonstances particulières de ce cas. potentiel The Supervisory Authority may directly communicate with the home or host regulators of the regulated institution and the regulated institution’s service provider, on their ability and willingness to cooperate with Supervisory Authority in supervising the outsourcing risks to the institution. L’Autorité de Contrôle L’Autorité de Contrôle les peut communiquer directement avec régulateurs du pays d’origine ou d'accueil de l'établissement et de son prestataire de services au sujet de leur capacité et de leur volonté de coopérer avec l’Autorité de Contrôle dans la supervision des risques de l’externalisation pour l'établissement. 324 Official Gazette n° Special of 17/06/2022 Urwego rw’Ubugenzuziifite uburenganzira bwo gusaba ikigo kigenzurwa kuvugurura, gukora andi masezerano cyangwa kugarura mu kigo imirimo yifashishwaga abo hanze yacyo ibi bikurikira: igihe habaye kimwe muri The Supervisory Authority reserve rights to require the regulated institution to modify, make alternative arrangements or re-integrate an outsourced service into the institution where one of the following circumstances arises: L’Autorité de Contrôle se réserve le droit de demander à une institution réglementée de modifier, de faire d'autres arrangements ou de réintégrer un service sous-traité dans une institution l'une des lorsque réglementée circonstances suivantes se présente: 1° iyo ikigo kigenzurwa kitagaragaza cyangwa kidashoboye kugaragaza urwego rushimishije rwo kumva rw’ingaruka n’urwego ubwoko zaturuka mu masezerano yo kwifashisha undi muntu mu gukora imirimo; 1° the regulated institution fails or is unable to demonstrate a satisfactory level of understanding of the nature and extent of risk arising from the outsourcing arrangement; 1° une institution réglementée ne démontre pas ou est incapable de démontrer un niveau de compréhension satisfaisant de la nature et de l'étendue des risques découlant de de l’externalisation; l’arrangement 2° iyo ingamba ikigo kigenzurwa kidashyira cyangwa kidashoboye gushyira mu bikorwa zihamye mu guhangana n’ingorane zaturuka mu masezerano yo kwifashisha undi muntu mu gukora imirimo mu buryo bushimishije kandi ku gihe; to implement 2° the regulated institution fails or is adequate unable measures to address the risks arising from its outsourcing arrangements in a satisfactory and timely manner; 2° une institution réglementée n’exécute pas ou est incapable d’exécuter des mesures adéquates pour faire face aux risques découlant de ses arrangements de manière de satisfaisante et en temps opportun; l’externalisation 3° iyo hari ibintu bitari byiza bikomoka ku masezerano yo kwifashisha undi muntu mu gukora imirimo bishobora kugira ingaruka ku ikigo kigenzurwa; 3° adverse developments arise from the outsourcing arrangement that could impact the institution; 325 impact 3° les évolutions négatives pourront avoir un institution sur réglementée découlent de l’arrangement de l’externalisation; une 4° iyo ububasha bw’ Urwego rw’Ubugenzuzi bwo kugenzura ikigo kigenzurwa hamwe n’ubushobozi imirimo yacyo yo bwo gukora kugenzura z’ikigo serivisi bibangamiwe ; 5° iyo umutekano y’abakiriya n’amabanga y’amakuru b’ikigo kigenzurwa byagabanutse bitewe n’impinduka mu buryo utanga serivisi abigenzuramo. hashoboka Ikigo kigenzurwa kimenyesha Urwego rw’Ubugenzuzivuba igihe ikintu kitari kiza giturutse ku habaye masezerano yo kwifashisha undi muntu mu gukora imirimo yagira ingaruka mbi kukigo cy’imari. Muri ibyo bintu bitari byiza harimo ibibazo mu gutanga serivisi mu gihe kirekire cyangwa se guhagarara kw’iyubahirizwa ry’amasezerano yo kwifashisha undi muntu mu gukora imirimo, cyangwa kutubahiriza umutekano no kumena amabanga yerekeye Ikigo amakuru kigenzurwa kandi kimenyesha Urwego rw’Ubugenzuzi igihe ibyo bibazo bibaye mu kigenzurwa. y’ikigo Official Gazette n° Special of 17/06/2022 4° The supervisory authority powers over the institution and ability to carry out its supervisory functions in respect institution’s services are of hindered; the 5° The security and confidentiality of the institution’s data is lowered due to changes in the control environment of the service provider. regulated regulated The shall notify institution Supervisory Authority as soon as possible of any adverse development arising from its outsourcing arrangements that could impact the institution. Such adverse developments include any event that could potentially lead to prolonged service failure or disruption in the outsourcing arrangement, or any breach of security and confidentiality of the non public data. The regulated institution shall also notify Supervisory Authority of such adverse development encountered within the regulated institution’s group. This shall be done as soon as possible but not in a 326 4° les pouvoirs de supervision de l’Autorité de contrôle sur une institution réglementée et sa capacité d’exercer ses fonctions de supervision à l'égard des services sont entravés; l'établissement de 5° la sécurité et la confidentialité des informations sur les clients d’une institution réglementée sont abaissées dans suite l'environnement du de prestataire de services. changements contrôle aux de négative découlant Une institution réglementée doit informer la Banque Centrale, dès que possible, de toute ses évolution arrangements de l’externalisation qui pourrait avoir un impact sur une institution réglementée. Ces évolutions négatives comprennent tout événement qui pourrait conduire à une défaillance prolongée du service ou à une de interruption l’externalisation, ou à toute violation de la sécurité et de la confidentialité des informations non publique d’une institution réglementée. Une institution réglementée doit également aviser l’Autorité de contrôle de toute évolution l’arrangement de ibarizwamo. ry’amasosiyete Ibi itsinda bikorwa vuba hashoboka ariko uko byagenda kose mu gihe kitarenze amasaha 24 ikigo kigenzurwa kimaze kumenya ko ibyo bibazo bihari. Official Gazette n° Special of 17/06/2022 period of later than (24) twenty-four hours from the time the institution is aware of these adverse developments. négative rencontrée au sein du groupe dont elle fait partie. Cela doit être fait le plus tôt possible, mais pas dans un délai de plus de 24 heures à partir du moment où une institution réglementée est au courant de ces évolutions négatives.

Ingingo ya 25: Ingero zerekeye gukoresha imirimo y’ikigo undi muntu Article 25: Examples of outsourcing arrangements Article d'externalisation 25: Exemples de modalités Ingingo ya 25: Ingero zerekeye gukoresha imirimo y’ikigo undi muntu Article 25: Examples of outsourcing arrangements Article d'externalisation 25: Exemples de modalités Umugereka wa 1 utanga ingero zimwe na zimwe zerekeye gukoresha imirimo y’ikigo abatari abakozi bacyo aya mabwiriza rusange areba ndetse n’ingero zo gukoresha imirimo y’iki abatari abakozi bacyo aya mabwiriza rusange rusange atareba. Annex 1 provides some examples of this outsourcing arrangements regulation applies and arrangements to which it does not. to which 1 donne quelques L'annexe exemples d’arrangements de l’externalisation auxquels ce règlement s’applique et les arrangements auxquels il ne s’applique pas. Ntibigomba kumvwa nk’aho ubundi buryo bwo gukora imirimo butasobanuwe nko gukoresha imirimo y’ikigo abatari abakozi n’uburyo bacyo buhamye bwo gucunga ibyateza ingorane ndetse n’igenzura ry’imbere byashyizweho n’ikigo kigenzurwa. butagomba kurebwa that should not be misconstrued It arrangements not defined as outsourcing need not be subject to adequate risk management and sound internal controls by the regulated institution. non-définis arrangements comme Les l’externalisation ne doivent pas être erronément interprétés comme n’étant pas soumis à une gestion de risques adéquate et aux contrôles internes rigoureux.

Ingingo ya 26: Iyubahirizwa ry’ibisabwa Article 26: Compliance landscape Article 26: Conformité Ingingo ya 26: Iyubahirizwa ry’ibisabwa Article 26: Compliance landscape Article 26: Conformité Ikigo kigenzurwa kigomba kwita ku bakigenzura mu gukoresha imirimo y’ikigo A regulated institution shall consider all their considering specific regulators when Une institution réglementée doit tenir compte de tous ses régulateurs spécifiques lorsqu'elle 327 Official Gazette n° Special of 17/06/2022 abatari abakozi bacyo mu rwego rwo kubahiriza ibisabwa. outsourcing arrangements in order to ensure compliance. envisage des accords d'externalisation afin de garantir la conformité. Ikigo kigenzurwa kigomba kuzirikana ko, uretse ku byo amategeko y’imbere mu gihugu asaba, inzego z’ubugenzuzi zo mu bindi bihugu zishobora kugishyiriraho ibindi biswabwa by’inyongera. A regulated institution shall be aware that, apart from local legislative requirements, regulators in other jurisdictions may impose additional requirements on the regulated institution Une institution réglementée doit être consciente qu'en dehors des exigences législatives locales, les autorités de réglementation d'autres juridictions peuvent imposer des exigences supplémentaires à l'institution réglementée.

Ingingo ya 27: Ikoreshwa ry’ayandi mategko Article 27: Application of other laws Article 27: Application d'autres lois Ingingo ya 27: Ikoreshwa ry’ayandi mategko Uretse aya mabwiriza rusange, ikigo andi kigenzurwa kigomba gukurikiza mategeko ndetse n’ibindi bisabwa byerekeye ubugenzuzi byerekeye umutekano mu by’ikoranabuhanga ndetse no kurinda amakuru bwite ndetse n’ubuzima bwite. Article 27: Application of other laws Article 27: Application d'autres lois In addition to the provisions of this regulation, a regulated institution shall abide with other legal and regulatory requirements notably those applicable to cybersecurity and data protection and privacy. En dépit des dispositions du présent règlement, une institution réglementée se conforme aux autres exigences légales et réglementaires applicables à la cybersécurité et à la protection des données personnelles et de la vie privée.

Ingingo ya 28: Ibihano n’ibyemezo byo mu rwego rw’ ubutegetsi Article 28: Penalties and administrative sanctions Article administratives 28: Pénalités et sanctions Ingingo ya 28: Ibihano n’ibyemezo byo mu rwego rw’ ubutegetsi Article 28: Penalties and administrative sanctions Article administratives 28: Pénalités et sanctions Iyo ikigo kigenzurwa kinaniwe kubahiriza ibisabwa n’aya mabwiriza rusange, Urwego rw’Ubugenzuziishobora kugihanisha cyose giteganyijwe icyo igihano n’amategeko cyangwa mabwiriza rusange. ari Where a regulated institution fails to satisfy any of the requirements of this Regulation the Supervisory Authority may apply any sanctions available under relevant provisions of the Law /or provisions of a relevant regulation. Lorsqu'une institution réglementée ne satisfait pas à l'une des exigences du présent règlement, l’Autorité de Contrôle peut appliquer toutes les sanctions prévues en vertu des dispositions pertinentes de la loi / ou des dispositions d'un règlement pertinent. 328

Ingingo ya 29: Ingingo z’inzibacyuho Article 29: Transitional provisions Article 29: Dispositions transitoires Ingingo ya 29: Ingingo z’inzibacyuho Article 29: Transitional provisions Article 29: Dispositions transitoires Official Gazette n° Special of 17/06/2022 Ikigo kigenzurwa gisuzuma uburemere bw’amasezerano yose yo kwifashisha undi muntu mu gukora imirimo mbere y’uko aya mabwiriza rusange atangazwa, kandi igasaba rw’Ubugenzuziyemeza ko gukomeza kwifashisha undi muntu mu gukora imirimo mu gihe cy'amezi 6 nyuma y'uko aya mabwiriza rusange atangiye kubahirizwa. Urwego

Ingingo ya 30: Ivanwaho ry’ingingo zinyuranyije n’aya mabwiriza rusange Article 30: Repealing provisions Article 30: Disposition abrogatoire article 30 ; 253 Official Gazette n° Special of 17/06/2022 Ishingiye ku Itegeko Nº 73/2018 ryo ku wa 31/08/2018 uburyo bw’ihererekanyamakuru ku myenda cyane cyane mu ngingo iya 9, iya 13 n’iya 23; rigena Ishingiye ku Itegeko N° 05/2015 ryo ku wa 30/03/2015 imitunganyirize y’ubwiteganyirize bwa pansiyo cyane cyane mu ngingo yaryo ya 3; rigenga Isubiye ku Mabwiriza Rusange N° 03/2018 yo ku wa 24/01/2018 agenga uburyo banki zifashisha undi muntu; Banki Nkuru y’u Rwanda, mu ngingo zikurikira yitwa « Urwego rw’Ubugenzuzi », ishyizeho amabwiriza rusange akurikira: Pursuant to Law Nº 73/2018 of 31/08/2018 governing credit reporting system, especially in its articles 9, 13 and 23; Vu la Loi Nº 73/2018 du 31/08/2018 régissant le système d’information sur les crédits, spécialement en ses articles 9,13 et 23 ; Pursuant to Law N° 05/2015 of 30/03/2015 governing the Organization of Pension Schemes, especially in its article 3; Vu la Loi N° 05/2015 du 30/03/2015 régissant l'organisation des régimes de pensions spécialement en son article 3 ; Having reviewed Regulation N° 03/2018 of 24/01/2018 on outsourcing; Revu le Règlement N° 03/2018 du 24/01/2018 régissant l’externalisation ; The National Bank of Rwanda hereinafter referred to as « Supervisory Authority Supervisory Authority »issues the following regulation: La Banque Nationale du Rwanda, ci-après dénommée «l’Autorité de contrôle», édicte le présent règlement : UMUTWE WA MBERE: INGINGO RUSANGE CHAPTER PROVISIONS ONE: GENERAL CHAPITRE PREMIER: DISPOSITIONS GÉNÉRALES Ingingo ya 30: Ivanwaho ry’ingingo zinyuranyije n’aya mabwiriza rusange The regulated institution shall assess the materiality of all outsourced agreements prior to the time of the publication of this regulation, and shall seek approval of the continue Supervisory outsourcing these activities within 6 months after this regulation comes into force. Authority to Une institution réglementée évalue l'importance de tous les sous-traités conclus avant la publication du présent règlement et doit demander l’Autorité de Contrôle pour continuer à l’externaliser ces activités dans les six (6) mois suivant l'entrée en vigueur du présent règlement. l'approbation de Article 30: Repealing provisions Article 30: Disposition abrogatoire Amabwiriza Rusange N° 03/2018 yo ku wa 24/01/2018 agenga uburyo banki zifashisha undi muntu n’ingingo zose zabanjirije aya mabwiriza zinyuranyije nayo zivanyweho. rusange Regulation N° 03/2018 of 24/01/2018 on outsourcing and all previous provisions contrary this Regulation are hereby repealed. to le Règlement N° 03/2018 du 24/01/2018 les régissant dispositions antérieures contraires au présent règlement sont abrogées. l’externalisation toutes et

Ingingo ya 31: Itegurwa, n’iyemezwa ry’aya mabwiriza rusange isuzumwa Article 31: Drafting, consideration and approval of this regulation Article 31: Initiation, examen et approbation du présent règlement Ingingo ya 31: Itegurwa, n’iyemezwa ry’aya mabwiriza rusange isuzumwa Article 31: Drafting, consideration and approval of this regulation Article 31: Initiation, examen et approbation du présent règlement Aya mabwiriza asuzumwa kandi yemezwa mu rw’icyongereza. rusange yateguwe, rurimi This Regulation was drafted, considered and approved in English. Le présent règlement a été initié, examiné et approuvé en anglais. 329 Official Gazette n° Special of 17/06/2022

Ingingo ya 32: Igihe aya mabwiriza rusange atangirira gukurikizwa Article 32: Commencement Article 32: Entrée en vigueur 252 Official Gazette n° Special of 17/06/2022 AMABWIRIZA RUSANGE N° 49/2022 YO KU WA 02/06/2022 AGENGA KWIFASHISHA UNDI MUNTU MU MIRIMO REGULATION N° 49/2022 OF 02/06/2022 ON OUTSOURCING RÈGLEMENT 49/2022 DU 02/06/2022 RÉGISSANT L’EXTERNALISATION rigenga Ishingiye ku Itegeko N° 48/2017 ryo ku wa Urwego 23/09/2017 rw’Ubugenzuziy’u nk’uko ryavuguruwe kugeza ubu, cyane cyane mu ngingo zaryo, iya 6 , iya 8, iya 9, iya 10 n’iya 15; Rwanda Pursuant to Law N° 48/2017 of 23/09/2017 governing the National Bank of Rwanda as amended to date, especially in its articles 6, 8, 9, 10 and 15; Vu la Loi N° 48/2017 du 23/09/2017 régissant la Banque Nationale du Rwanda telle que modifiée à ce jour, spécialement en ses articles 6, 8, 9 10 et 15; Ishingiye ku Itegeko N° 47/2017 ryo ku wa 23/09/2017 imitunganyirize y’imirimo y’amabanki, cyane cyane mu ngingo zaryo, iya 37 n’iya 117; rigena Ishingiye ku Itegeko N° 030/2021 ryo ku wa 30/06/2021 imitunganyirize y’umurimo w’ubwishingizi cyane cyane mu ngingo yaryo ya 82; rigenga Pursuant to Law N° 47/2017 of 23/09/2017 governing the organization of banking, especially in its Articles 37 and 117; Vu la Loi N° 47/2017 du 23/09/2017 portant organisation bancaire, de spécialement en ses articles 37 et 117 ; l’activité Pursuant to Law N° 030/2021 of 30/06/2021 governing insurance the organisation of business, especially in its article 82; Vu la Loi N° 030/2021 du 30/06/2021 régissant l’organisation d’assurance, d’activité spécialement 82 ; Ishingiye ku Itegeko N° 072/2021 ryo ku wa 05/11/2021 rigenga ibigo by’imari iciriritse byakira amafaranga abitswa, cyane cyane mu ngingo zaryo, iya 23 iya 24 n’iya 102; Pursuant to Law N° 072/2021 of 05/11/2021 governing deposit-taking microfinance institutions, especially in its articles 23, 24 and 102; Vu Loi N° 072/2021 du 05/11/2021 régissant les institutions de microfinance de dépôt, spécialement en ses articles 23,24 et 102 ; Ishingiye ku Itegeko N° 061/2021 ryo ku wa bwo 14/10/2021 kwishyurana, cyane cyane mu ngingo yaryo ya 30 ; rigenga uburyo Pursuant to Law N° 061/2021 of 14/10/2021 governing the payment system, especially in its article 30; Vu la Loi N° 061/2021 du 14/10/2021 régissant le système de paiement, spécialement en son Ingingo ya 32: Igihe aya mabwiriza rusange atangirira gukurikizwa Article 32: Commencement Article 32: Entrée en vigueur mabwiriza atangira Aya gukurikizwa ku munsi atangarijweho mu Igazeti ya Leta ya Repubulika y’u Rwanda. rusange This regulation shall come into force on the date of its publication in the Official Gazette of the Republic of Rwanda. Le présent règlement entre en vigueur le jour de sa publication au Journal officiel de la République du Rwanda. Kigali, 02/06/2022 (sé) RWANGOMBWA John Guverineri Governor Gouverneur Bibonywe kandi bishyizweho Ikirango cya Repubulika: Seen and sealed with the Seal of the Republic: Vu et scellé du Sceau de la République: (sé) Dr UGIRASHEBUJA Emmanuel Minisitiri w’Ubutabera akaba n’Intumwa Nkuru ya Leta Minister of Justice and Attorney General Ministre de la Justice et Garde des Sceaux 330 Official Gazette n° Special of 17/06/2022 UMUGEREKA WA MBERE INGERO ZO KWIFASHISHA UNDI MUNTU MU MIRIMO 1. Ibikurikira ni ingero za serivisi zimwe na zimwe, iyo zakozwe nundi muntu, zifatwa nkizitangwa hifashishijwe undi muntu: a. gusaba serivisi (urugero, gusaba inguzanyo, amakarita y'inguzanyo); b. gutunganya amafaranga no kuyimura avanwa ahantu hamwe ajyanwa ahandi; c. gukomeza ubucuruzi n'izahuka ryabwo nyuma yo guhagarara; d. kwishyura abasaba kwishyurwa (urugero, ibiganiro byinguzanyo, gukora ibikenewe kugirango inguzanyo zitangwe, gucunga ingwate, kwishyuza inguzanyo zananiranye kwishyurwa); e. gutunganya inyandiko (urugero, sheki, ikarita yinguzanyo no kwishyura fagitire, impapuro za banki, andi yishyurwa ryibigo, icapiro ryabakiriya); f. gushyiraho uburyo bw’imikorere bw’ikoranabuhanga (urugero, progaramu ya mudasobwa ibikwamo izindi kugirango abazikeneye bazibone, urubuga rushyirwaho porogaramu za mudasobwa cyangwa ibikoresho bya mudasobwa kugirango ababishaka babisangehoi, urubuga rushyirwaho servisi za mudasobwa, ububikondetse na interineti kugirango ababishaka babibone); g. sisitemu yo gucunga amakuru no kuyitaho (urugero: kwinjiza amakuru no kuyatunganya, ibigo byamakuru, imicungire yikigo cyamakuru, imikoreshereze yanyuma-ukoresha, imiyoborere yimiyoboro yakarere, uho basabira gufashwa, ibikorwa byumutekano byikoranabuhanga); 331 Official Gazette n° Special of 17/06/2022 h. gucunga abakozi (urugero, inyungu nindishyi zubuyobozi, kugena abakozi, amahugurwa niterambere); i. gucunga itangwa ry’ubwishingizi n'ibikorwa byo gusaba kwishyurwa; j. serivisi zumwuga zijyanye nibikorwa by’ubucuruzi bwikigo (urugero: ibaruramari, ubugenzuzi bwimbere, actuarial, kubahiriza); k. kwamamaza no gukora ubushakashatsi (urugero, iterambere ryibicuruzwa, kubika amakuru no gucukura amabuye y'agaciro, umubano w'itangazamakuru, ibigo byita, telemarketing); l. serivisi zunganira zijyanye nububiko, kubika no gusenya amakuru ninyandiko. 2. Ibikorwa bikurikira ntizishobora gufatwa gukorwa hifashishijwe undi muntu: a. Gahunda aho ibintu bimwe na bimwe biranga inganda bisaba gukoresha abandi-batanga serivisi; b. serivisi z'itumanaho n'ibikorwa rusange (urugero, amashanyarazi, serivisi zerekeye kohererezanya ubutumwa mu buryo bw’ikoranabuhanga); c. serivisi z'iposita; d. ibikorwa remezo rusange (urugero, Visa, MasterCard, nibindi); e. gahunda yo gukuraho no gutuza hagati yo gusiba amazu n’ibigo by’imiturire n’abanyamuryango bayo, n’uburyo busa hagati y’abanyamuryango n’abatari abanyamuryango; f. ibikorwa remezo byubutumwa bwimari kwisi yose bigenzurwa nababishinzwe bireba (urugero, SWIFT); na 332 Official Gazette n° Special of 17/06/2022 g. serivisi zerekeye imikoranire hagati ya za banki; h. intangiriro na gahunda byerekeranye n’isano abahuza bafitanye: i. kugurisha ubwishingizi bikozwe n’abahuza mu bwishingizi basanzwe na servisi zifitanye isano n’iryo gurisha; ii. kwemera ikishingirwa gitanga ubwishingizi no gutanga ubwishingizi; na iii. kwamamaza serivisi (aho ikigo kidafite umubano wamasezerano nabakiriya). i. Gahunda ikigo cyagenwe ntabwo cyemewe n'amategeko cyangwa ubuyobozi gishobora gutanga j. ubugenzuzi bwemewe nubugenzuzi bwigenga cyangwa isuzuma; k. serivisi zubujyanama bwubwenge (urugero, ibitekerezo byamategeko, isuzuma ryigenga, abashinzwe guhomba, kugenzura igihombo); l. kugisha inama yigenga (urugero, serivisi zubujyanama ku bikorwa ikigo kidafite ubumenyi bwo kubikora) 333 Official Gazette n° Special of 17/06/2022 UMUGEREKA II INGERO ZEREKEYE UMWANDITSI W'IBIKORWA BIKURIKIRA / SERIVISI Izina ry’utanga serivisi Umurimo ukoreshwa undi Erekana niba umurimo ari ingenzi ku kigo kigenzurwa Sobanura muri make amasezerano agenga kwifashisha undi Igihugu serivisi izatangirwamo Igihe amasezerano azatangirira n’igihe azarangirira Igiteranyo cy’amafaranga agomba kwishyurwa kuri serivisi Amafaranga agenda kuri serivisi buri kwezi (FRW/USD) Amafaranga agenda kuri serivisi ku mwaka (FRW/USD) 334 Official Gazette n° Special of 17/06/2022 APPENDIX I EXAMPLES OF OUTSOURCING ARRANGEMENTS 1. The following are examples of some services that, when performed by a third party, would be regarded as outsourcing arrangements for the purposes of this regulation although they are not exhaustive: a. application processing (e.g., loan origination, credit cards); b. cash processing and transportation; c. business continuity and disaster recovery functions and activities; d. claims administration (e.g.,loan negotiations, loan processing, collateral management, collection of bad loans); e. document processing (e.g., cheques, credit card and bill payments, bank statements, other corporate payments, customer statement printing); information systems hosting (e.g., software-as-a-service, platform-as-a-service, infrastructure-as-a-service); f. g. information systems management and maintenance (e.g., data entry and processing, data centres, data centre facilities management, end-user support, local area networks management, help desks, information technology security operations); h. manpower management(e.g., benefits and compensation administration, staff appointment, training and development); i. management of policy issuance and claims operations; j. professional services related to the business activities of the institution (e.g.,accounting, internal audit, actuarial, compliance); 335 Official Gazette n° Special of 17/06/2022 k. marketing and research (e.g., product development, data warehousing and mining, media relations, call centres, telemarketing); l. support services related to archival, storage and destruction of data and records. 2. The following arrangements would generally not be considered outsourcing arrangements: a. Arrangements in which certain industry characteristics require the use of third-party providers b. telecommunication services and public utilities (e.g., electricity, SMS gateway services); c. postal services; d. common network infrastructure(e.g., Visa, MasterCard, etc); e. clearing and settlement arrangements between clearing houses and settlement institutions and their members, and similar arrangements between members and non-members; f. global financial messaging infrastructure which are subject to oversight by relevant regulators (e.g., SWIFT); and g. correspondent banking services. h. Introducer arrangements and arrangements that pertain to principal-agent relationships: i. sale of insurance policies by agents, and ancillary services relating to those sales; ii. acceptance of business by underwriting agents; and iii. introducer arrangements (where the institution does not have any contractual relationship with customers). 336 Official Gazette n° Special of 17/06/2022 i. Arrangements that the regulated institution is not legally or administratively able to provide j. statutory audit and independent audit or assessments; k. discreet advisory services(e.g., legal opinions, independent appraisals, trustees in bankruptcy, loss adjuster); l. independent consulting(e.g., consultancy services for areas which the instutition does not have the internal expertise to conduct) 337 Estimated spending amount year FRW/USD) ( per in Estimated spending amount month FRW/USD) ( per in Official Gazette n° Special of 17/06/2022 APPENDIX II REGISTER OF THE OUTSOURCED ACTIVITIES/SERVICES Outsourced service Name of the service provider Indicate whether material the to institution Short description of the arrangement Country from which service is provided Commencement date the of arrangement and expiry date The total value of the arrangement (FRW/USD 338 Official Gazette n° Special of 17/06/2022 ANNEXE I EXEMPLES D'ARRANGEMENTS D'EXTERNALISATION 1. Les exemples suivants sont des exemples de certains services qui, lorsqu'ils sont exécutés par un tiers, seraient considérés comme des accords d'externalisation aux fins du présent règlement, bien qu'ils ne soient pas exhaustifs: a. une. traitement des demandes (par exemple, initiation de prêts, cartes de crédit); b. traitement et transport d'espèces; c. fonctions et activités de continuité des activités et de reprise après sinistre ; d. administration des réclamations (par ex. négociations de prêts, traitement des prêts, gestion des garanties, recouvrement des créances douteuses); e. traitement de documents (par exemple, chèques, paiements par carte de crédit et de factures, relevés bancaires, autres paiements d'entreprise, impression de relevés client) ; f. hébergement de systèmes d'information (par exemple, logiciel en tant que service, plate-forme en tant que service, infrastructure en tant que service); g. gestion et maintenance des systèmes d'information (par exemple, saisie et traitement des données, centres de données, gestion des installations des centres de données, assistance aux utilisateurs finaux, gestion des réseaux locaux, services d'assistance, opérations de sécurité des technologies de l'information ); h. gestion de la main-d'œuvre (p. ex. administration des avantages sociaux et de la rémunération, nomination, formation et perfectionnement du personnel); 339 Official Gazette n° Special of 17/06/2022 i. gestion des opérations d'émission de polices et de réclamations; j. services professionnels liés aux activités commerciales de l'institution (p. ex. comptabilité, audit interne, service actuarielles, conformité); k. marketing et recherche (par exemple, développement de produits, entreposage et extraction de données, relations avec les médias, centres d'appels, télémarketing); l. services de soutien liés à l'archivage, au stockage et à la destruction des données et des dossiers. 2. Les accords suivants ne sont généralement pas considérés comme des accords d'externalisation : a. une. Arrangements dans lesquels certaines caractéristiques de l'industrie nécessitent le recours à des fournisseurs tiers b. services de télécommunication et services publics (par exemple, électricité, services de passerelle SMS); c. services postaux; d. infrastructure de réseau commune (par exemple, Visa, MasterCard, etc.) ; e. accords de compensation et de règlement entre les chambres de compensation et les établissements de règlement et leurs membres, et accords similaires entre membres et non-membres ; f. l'infrastructure mondiale de messagerie financière soumise à la surveillance des régulateurs concernés (par exemple, SWIFT) ; et g. services de correspondant bancaire. h. Arrangements avec les introducteurs et arrangements relatifs aux relations mandant-mandataire : 340 Official Gazette n° Special of 17/06/2022 i. ii. iii. la vente de polices d'assurance par des agents et les services auxiliaires liés à ces ventes ; l'acceptation d'affaires par les agents de souscription ; et accords d'introducteur (lorsque l'établissement n'a aucune relation contractuelle avec les clients). i. Dispositions que l'établissement réglementé n'est pas juridiquement ou administrativement en mesure de fournir j. l'audit légal et l'audit ou les évaluations indépendants ; k. services consultatifs discrets (p. ex. avis juridiques, évaluations indépendantes, syndics de faillite, expert en sinistres); l. conseil indépendant (par exemple, services de conseil dans des domaines pour lesquels la banque n'a pas l'expertise interne pour mener à bien) 341 Official Gazette n° Special of 17/06/2022 ANNEXE II REGISTRE DES ACTIVITES/SERVICES EXTERNALISÉS Nom du prestataire de services Services externalisés Indiquez si le service est matériel à l'institution réglementée Brève description de l'arrangement à Pays partir duquel le service est fourni Date de début de l'arrangement et date d'expiration La valeur totale de l'arrangement (FRW/USD Montant estimé dépenses des (en par mois FRW/USD) Montant estimé des dépenses par (en an FRW/USD) 342 Official Gazette n° Special of 17/06/2022 BIBONYWE KUGIRANGO BISHYIRWE KU MUGEREKA W’AMABWIRIZA RUSANGE N° 49/2022 YO KU WA 02/06/2022 AGENGA KWIFASHISHA UNDI MUNTU MU MIRIMO SEEN TO BE ANNEXED ON REGULATION N° 49/2022 OF 02/06/2022 ON OUTSOURCING VU POUR ETRE ANNEXE RÈGLEMENT 49/2022 DU 02/06/2022 RÉGISSANT L’EXTERNALISATION Kigali, 02/06/2022 (sé) RWANGOMBWA John Guverineri Governor Gouverneur Bibonywe kandi bishyizweho Ikirango cya Repubulika: Seen and sealed with the Seal of the Republic: Vu et scellé du Sceau de la République: (sé) Dr UGIRASHEBUJA Emmanuel Minisitiri w’Ubutabera akaba n’Intumwa Nkuru ya Leta Minister of Justice and Attorney General Ministre de la Justice et Garde des Sceaux 343