20 Risikostyringsfunktion

De interne kontrolfunktioner bør have tilstrækkelige IT-systemer og støtte til deres rådighed, med adgang til de interne og eksterne oplysninger, der er nødvendige for at leve op til deres ansvar. De bør have adgang til alle nødvendige oplysninger vedrørende alle forretningsområder og relevante datterselskaber, der indebærer en risiko, navnlig hvis de potentielt kan medføre væsentlige risici for institutterne.

Institutterne bør oprette en risikostyringsfunktion, der omfatter hele instituttet. Risikostyringsfunktionen bør i tilstrækkeligt omfang have autoritet, vægt og ressourcer, under hensyntagen til de i del I anførte proportionalitetskriterier, til at gennemføre risikopolitikker og rammen for risikostyring, jf. afsnit 17.

Risikostyringsfunktionen bør om nødvendigt have direkte adgang til ledelsesorganet i dets tilsynsfunktion og dets udvalg, hvis sådanne er nedsat, herunder navnlig risikoudvalget.

Risikostyringsfunktionen bør have adgang til alle forretningsområder og andre interne enheder, der har potentiale til at medføre risici, samt til relevante datterselskaber og tilknyttede selskaber.

Medarbejdere inden for risikostyringsfunktionen bør være i besiddelse af tilstrækkelig viden, kompetence og ekspertise med hensyn til risikostyringsteknikker og -procedurer samt markeder og produkter og have adgang til regelmæssig uddannelse.

Risikostyringsfunktionen bør være uafhængig af de forretningsområder og enheder, hvis risici den kontrollerer, men bør ikke hindres i at indgå i samspil med dem. Et samspil mellem de operationelle funktioner og risikostyringsfunktionen bør bidrage til at nå målsætningen om, at alle instituttets medarbejdere har ansvar for at håndtere risici.

Risikostyringsfunktionen bør være en central organisatorisk funktion, der er struktureret, så den kan gennemføre risikopolitikker og kontrollere rammen for risikostyring. Risikostyringsfunktionen bør spille en central rolle i at sikre, at instituttet har indført effektive risikostyringsprocesser. Risikostyringsfunktionen bør være aktivt involveret i alle væsentlige risikostyringsbeslutninger.

Væsentlige institutter kan overveje at oprette specifikke risikostyringsfunktioner for hvert væsentligt forretningsområde. Der bør imidlertid være en central risikostyringsfunktion, herunder en koncernrisikostyringsfunktion i det konsoliderende institut, der for hele instituttet og koncernen tegner et holistisk billede af hele risikospektret og sikrer, at risikostrategien efterleves.