6.3 Komplekse strukturer og ikke-standardiserede eller uigennemsigtige aktiviteter

Ledelsesorganet i et konsoliderende institut bør sikre, at de forskellige enheder i koncernen (herunder det konsoliderende institut selv) modtager tilstrækkelig information til at få en klar opfattelse af koncernens generelle mål, strategier og risikoprofil og af, hvordan den pågældende koncernenhed er indlejret i koncernens struktur og operationelle funktion. En sådan information og revisioner heraf bør dokumenteres og stilles til rådighed for de pågældende relevante funktioner, herunder ledelsesorganet, forretningsområder og interne kontrolfunktioner. Medlemmerne af ledelsesorganet i et konsoliderende institut bør holde sig selv informeret om de risici, som koncernens struktur giver anledning til, under hensyntagen til kriterierne i afsnit 7 i retningslinjerne. Hertil hører modtagelse af:

• a. information om væsentlige risikofaktorer
• b. regelmæssige rapporter, der vurderer instituttets generelle struktur og vurderer, om aktiviteterne i de enkelte enheder overholder den godkendte koncernstrategi, og
• c. regelmæssige rapporter om emner, hvor regelsættet kræver overholdelse på individuelt, delkonsolideret og konsolideret niveau.

Institutterne bør undgå at oprette komplekse og potentielt uigennemsigtige strukturer. Institutterne bør i deres beslutningstagning tage hensyn til resultaterne af en risikovurdering, der er foretaget for at afdække, om sådanne strukturer kunne anvendes til et formål i tilknytning til hvidvaskning af penge, finansiering af terrorisme eller anden økonomisk kriminalitet, og de respektive kontrolforanstaltninger og retlige rammer, der er indført²³ . Med henblik herpå bør institutterne som minimum tage hensyn til følgende:

• a. i hvilket omfang den jurisdiktion, hvor strukturen vil blive etableret, effektivt overholder EU-standarder og internationale standarder om gennemsigtighed på skatteområdet, bekæmpelse af hvidvaskning af penge og finansiering af terrorisme²⁴
• b. i hvilket omfang strukturen tjener et åbenbart økonomisk og lovligt formål
• c. i hvilket omfang strukturen kunne anvendes til at skjule identiteten af den ultimative reelle ejer
• d. i hvilket omfang kundens anmodning, som fører til den eventuelle etablering af en struktur, giver anledning til bekymring
• e. om strukturen kunne hindre et effektivt tilsyn fra instituttets ledelsesorgan eller instituttets mulighed for håndtere den dermed forbundne risiko, og
• f. om strukturen udgør hindringer for de kompetente myndigheders effektive tilsyn.

²³ For yderligere oplysninger om vurderingen af landerisiko og den risiko, der er forbundet med individuelle produkter og kunder, bør institutterne også henvise til de fælles retningslinjer vedrørende ML/TF-risikofaktorer (EBA GL JC/2017/37), der er under revision.

²⁴ Se også: https://eba.europa.eu/regulation-and-policy/anti-money-laundering-and-e-money/rts-on-the-implementation-of-group-wide-aml/cft-policies-in-third-countries

Under alle omstændigheder bør institutterne ikke etablere uigennemsigtige og unødvendigt komplekse strukturer, som ikke har nogen klar økonomisk begrundelse eller noget klart retligt formål, eller strukturer, der kan give anledning til bekymring over, om de oprettes med henblik på økonomisk kriminalitet.

Ved etableringen af sådanne strukturer bør ledelsesorganet forstå dem og deres formål og de særlige risici, der er forbundet med dem, og sikre, at de interne kontrolfunktioner er tilstrækkeligt involveret. Sådanne strukturer bør kun godkendes og bibeholdes, når deres formål er blevet klart defineret og forstået, og når ledelsesorganet finder det godtgjort, at alle væsentlige risici, herunder omdømmemæssige risici, er blevet identificeret, at alle risici kan håndteres effektivt og rapporteres i tilstrækkeligt omfang, og at et effektivt tilsyn er sikret. Jo mere kompleks og uigennemsigtig den organisatoriske og operationelle struktur er og jo større risici, jo mere intensiv bør tilsynet med strukturen være.

Institutterne bør dokumentere deres beslutninger og kunne begrunde deres beslutninger over for de kompetente myndigheder.

Ledelsesorganet bør sikre, at der træffes passende foranstaltninger for at undgå eller afhjælpe risiciene ved aktiviteter inden for sådanne strukturer. Herunder sikres det bl.a., at:

• a. instituttet har indført passende politikker og procedurer samt dokumenterede processer (f.eks. gældende grænser, informationsstrømme), der gør det muligt at overveje, overholde og godkende sådanne aktiviteter og håndtere risiciene i forbindelse hermed, samtidig med at der tages hensyn til konsekvenserne for koncernens organisatoriske og operationelle struktur, dens risikoprofil og omdømmemæssige risiko
• b. information om disse aktiviteter og risiciene i forbindelse hermed er tilgængelig for det konsoliderende institut og interne og eksterne revisorer og rapporteres til ledelsesorganet i dets tilsynsfunktion og til den kompetente myndighed, der meddelte tilladelse, og
• c. instituttet med jævne mellemrum vurderer det fortsatte behov for at bibeholde sådanne strukturer.

Disse strukturer og aktiviteter, herunder deres overholdelse af lovgivning og faglige standarder, bør være underkastet regelmæssig revision udført af den interne revisionsfunktion på grundlag af en risikobaseret tilgang.