5.5. Interne kontrolfunktioner

Ved vurderingen af instituttets interne kontrolfunktioner bør de kompetente myndigheder vurdere, om instituttet overholder EBA's retningslinjer om intern ledelse og de relevante bestemmelser i forordning (EU) 2022/2554 (forordningen om digital operationel modstandsdygtighed)²¹ . I denne sammenhæng bør de kompetente myndigheder bl.a. overveje, om:

• a. instituttet har en passende ramme for intern kontrol, der dækker alle områder, og som er i overensstemmelse med modellen med "tre forsvarslinjer", herunder velfungerende, effektive og uafhængige funktioner for risikostyring, compliance og intern revision
• b. lederne af de interne kontrolfunktioner i) er placeret på et passende hierarkisk niveau, der giver dem den nødvendige beføjelse og status til at varetage deres ansvarsområder, ii) har direkte adgang til og kan rapportere direkte til ledelsesorganet i dets tilsynsfunktion og iii) råder over alle de ressourcer, der er nødvendige for at udføre deres opgaver
• c. instituttet har tilstrækkelige skriftlige retningslinjer for intern kontrol, som gennemføres effektivt, samt en klar ansvarsfordeling i forbindelse med gennemførelsen af rammen, adskillelse af opgaver, solide administrative og regnskabsmæssige procedurer o g robuste indberetningsordninger.

²¹ Europa- Parlamentets og Rådets forordning (EU) 2022/2554 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor og om ændring af forordning (EF) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 og (EU) 2016/1011 (EUT L 333 af 27.12.2022, s. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj ).

De kompetente myndigheder bør vurdere, om risikostyringsfunktionen dækker hele instituttet, og om den har et helhedsbillede af alle risici, på et tidligt tidspunkt er aktivt involveret i udformningen af instituttets risikostrategi og overvåger dens effektive gennemførelse. De kompetente myndigheder bør også vurdere, om risikostyringsfunktionen giver ledelsesorganet fuldstændige, ajourførte og relevante risikorelaterede oplysninger med henblik på at fastlægge instituttets risikovillighedsniveau og relaterede risikogrænser. De kompetente myndigheder bør ligeledes tage hensyn til risikostyringsfunktionens vurdering af risikostrategiens og risikovillighedens robusthed og bæredygtighed samt dens inddragelse i vurderingen af, hvordan væsentlige ændringer eller eks traordinære transaktioner påvirker instituttets og koncernens (hvis relevant) samlede risiko.

De kompetente myndigheder bør vurdere, om compliancefunktionen effektivt vurderer og mindsker compliancerisici, der opstår som følge af manglende overholdelse af gældende lovmæssige og reguleringsmæssige krav, kontraktmæssige forpligtelser eller interne regler og adfærdskodekser, herunder etiske regler, og sikrer, at der i alle væsentlige beslutninger vedrørende risikostyring tages behørigt hensyn til disse risici.

De kompetente myndigheder bør vurdere, om den interne revisionsfunktion uafhængigt gennemgår og giver objektiv sikkerhed – i overensstemmelse med revisionsplanen og det detaljerede arbejdsprogram – for, at instituttets politikker, procedurer og interne kon troller er hensigtsmæssige og effektive, samt for, at alle instituttets aktiviteter, herunder aktiviteter udført af tredjepartsudbydere, overholder lovgivningsmæssige og reguleringsmæssige krav. Hvor det er relevant, bør de kompetente myndigheder vurdere, om koncernens interne revisionsfunktion er uafhængig, har en risikobaseret revisionsplan for koncernen, råder over passende ressourcer og har en tilstrækkelig profil og rapporterer direkte til det konsoliderende instituts ledelsesorgan.