Artikel 16 Krav på koncernplan

1.   Et moderselskab sikrer, at kravene vedrørende interne procedurer, risikovurdering og personale, som er omhandlet i dette kapitels afdeling 1, gælder i alle koncernens filialer og datterselskaber i medlemsstaterne og for så vidt angår koncerner, hvis hovedsæde er beliggende i Unionen, i tredjelande. Med henblik herpå foretager et moderselskab en risikovurdering på koncernplan under hensyntagen til den risikovurdering på virksomhedsplan, som alle koncernens filialer og datterselskaber foretager, og udarbejder og indfører politikker, procedurer og kontroller på koncernplan, herunder om databeskyttelse og om udveksling af oplysninger internt i koncernen med henblik på bekæmpelse af hvidvask af penge og finansiering af terrorisme og til sikring af, at de ansatte i koncernen har kendskab til de krav, der følger af denne forordning. Forpligtede enheder inden for koncernen gennemfører disse politikker, procedurer og kontroller på koncernplan under hensyntagen til deres særlige kendetegn og de risici, som de er eksponeret for.

De i første afsnit omhandlede politikker, procedurer og kontroller på koncernplan og risikovurderinger på koncernplan skal omfatte alle de elementer, der er anført i henholdsvis artikel 9 og 10.

Hvis en koncern har etableringssteder i mere end én medlemsstat og for så vidt angår koncerner, hvis hovedsæde er beliggende i Unionen, i tredjelande, tager moderselskaber med henblik på første afsnit hensyn til de oplysninger, der offentliggøres af myndighederne i alle de medlemsstater eller tredjelande, hvor koncernens etableringssteder er beliggende.

2.   Der oprettes compliancefunktioner på koncernplan. Disse funktioner skal omfatte en complianceansvarlig på koncernplan og, hvis de aktiviteter, der udføres på koncernplan, berettiger det, en compliancemedarbejder. Afgørelsen om compliancefunktionernes størrelse skal dokumenteres.

Den i første afsnit omhandlede complianceansvarlige aflægger regelmæssigt rapport til moderselskabets ledelsesorgan i dets ledelsesfunktion om gennemførelsen af politikker, procedurer og kontroller på koncernplan. Den complianceansvarlige forelægger som minimum én gang om året en rapport om gennemførelsen af den forpligtede enheds interne politikker, procedurer og kontroller og tager de nødvendige tiltag til rettidigt at afhjælpe eventuelle konstaterede mangler. Hvis ledelsesorganet i dets ledelsesfunktion er et organ, der har et kollektivt ansvar for sine beslutninger, bistår og rådgiver den complianceansvarlige det og udarbejder de beslutninger, der er nødvendige for at gennemføre denne artikel.

3.   Det skal i de politikker, procedurer og kontroller, som vedrører den i stk. 1 omhandlede deling af oplysninger, kræves, at forpligtede enheder i koncernen udveksler oplysninger, når en sådan deling er relevant med henblik på kundekendskabsprocedurer og risikostyring i forbindelse med hvidvask af penge og finansiering af terrorisme. Deling af oplysninger i koncernen skal navnlig omfatte kundens identitet og kendetegn, dens reelle ejere eller den person, på hvis vegne kunden handler, forretningsforbindelsens og de lejlighedsvise transaktioners art og formål og mistanker, ledsaget af de underliggende analyser, om, at midler er udbytte af kriminelle handlinger, eller at de er forbundet med finansiering af terrorisme, som er indberettet til FIU'en i henhold til artikel 69, medmindre FIU'en anviser andet.

De politikker, procedurer og kontroller, der er indført på koncernplan, må ikke forhindre enheder i en koncern, som ikke er forpligtede enheder, i at forelægge oplysninger for forpligtede enheder i samme koncern, hvis en sådan deling er relevant, for at disse forpligtede enheder kan overholde kravene i denne forordning.

Moderselskaber indfører politikker, procedurer og kontroller på koncernplan for at sikre, at de oplysninger, der udveksles i henhold til første og andet afsnit, er omfattet af tilstrækkelige garantier for så vidt angår fortrolighed, databeskyttelse og anvendelse af oplysninger, herunder for at forhindre videregivelse heraf.

4.   Senest den 10. juli 2026 udarbejder AMLA udkast til reguleringsmæssige tekniske standarder og forelægger dem for Kommissionen med henblik på vedtagelse. Nævnte udkast til reguleringsmæssige tekniske standarder præciserer mindstekravene til politikker, procedurer og kontroller, som er indført på koncernplan, herunder minimumsstandarder for koncernintern udveksling af oplysninger, kriterierne for identifikation af moderselskabet i de tilfælde, der er omfattet af artikel 2, stk. 1, nr. 42), litra b), og de vilkår, på hvilke bestemmelserne i nærværende artikel finder anvendelse på enheder, der indgår i strukturer, som har samme ejerskab, ledelse eller compliancekontrol, herunder netværk eller partnerskaber, samt kriterierne for identifikation af moderselskabet i Unionen i disse tilfælde.

5.   Kommissionen tillægges beføjelse til at supplere denne forordning ved at vedtage de reguleringsmæssige tekniske standarder, der er omhandlet i denne artikels stk. 4, i overensstemmelse med artikel 49-52 i forordning (EU) 2024/1620.