9.4 Ramme for intern kontrol

De kompetente myndigheder bør vurdere, om det ansøgende kreditinstitut har en passende ramme for intern kontrol, der står i et rimeligt forhold til kreditinstituttets påtænkte aktiviteter, forretningsmodel, kompleksitet og tilknyttede risici (f.eks. online-onboarding af kunder, cybersikkerhedsbeskyttelse og -ordninger). De kompetente myndigheder bør forsikre sig om tilstrækkeligheden af de tildelte menneskelige ressourcer både med hensyn til antal årsværk og kvalifikationer, om systemerne og budgettet er passende til at understøtte udførelsen af opgaverne.

De kompetente myndigheder bør gennemgå ansøgningsdokumenterne og finde det godtgjort, at fordelingen af opgaver og ansvar vil gøre det muligt for ledelsesorganet fuldt ud at kende strukturen af deres kreditinstitut⁴⁹ og "sikre, at de interne kontrolfunktioner er uafhængige af de forretningsområder, de kontrollerer, herunder at der er en passende funktionsadskillelse, og at de har de passende økonomiske og menneskelige ressourcer samt beføjelser til effektivt at udføre deres rolle. Rapporteringslinjerne og fordelingen af ansvar, navnlig blandt personer med nøglefunktioner, i kreditinstituttet bør være klare, veldefinerede og sammenhængende, kunne håndhæves og være behørigt dokumenteret"⁵⁰ .

⁴⁹ Punkt 71 i EBA's retningslinjer vedrørende intern ledelse.

⁵⁰ Afsnit 68 i EBA's retningslinjer vedrørende intern ledelse.

De kompetente myndigheder bør nå til en klar opfattelse af, at rammen for intern kontrol omfatter alle instituttets områder og afspejler de tre forsvarslinjemodeller for identifikation af funktionerne til håndtering og styring af risici.

Med henblik herpå bør de kompetente myndigheder kontrollere, at der findes ordninger til at sikre, at forretnings- og støtteenheder, den første forsvarslinje, vil være ansvarlige i første omgang for at identificere og styre de risici, de løber i forbindelse med deres aktiviteter, og for at etablere og opretholde passende processer og kontroller til at sikre, at sådanne risici analyseres, måles, overvåges, behørigt rapporteres og holdes inden for rammerne af kreditinstituttets risikovillighed, og at de er i overensstemmelse med interne og eksterne regulatoriske krav.

Risikostyringsfunktionen og compliancefunktionen, den anden forsvarslinje, udgør sammen med den interne revisionsfunktion, som er den tredje forsvarslinje, de interne kontrolfunktioner inden for rammen for intern kontrol. De kompetente myndigheder bør kontrollere, at de vil blive etableret under hensyntagen til proportionalitetskriterierne i punkt 17-21, og at de vil blive udstyret med passende og tilstrækkelig autoritet, anseelse og direkte adgang til ledelsesorganet for at udføre deres opgave.

For at sikre at de interne kontrolfunktioner overholder uafhængighedskravene⁵¹ , bør de kompetente myndigheder kontrollere, at det på grundlag af ansøgningsdokumenterne fastsættes, at:

• a) deres medarbejdere ikke udfører operationelle opgaver, der falder inden for anvendelsesområdet for de aktiviteter, som de interne kontrolfunktioner forventes at overvåge og kontrollere
• b) de er organisatorisk adskilt fra de aktiviteter, som det påhviler dem at overvåge og kontrollere
• c) lederen af en intern kontrolfunktion, uanset det overordnede ansvar, som ledelsesorganets medlemmer har for instituttet, ikke bør være underordnet en person, der har ansvar for at håndtere de aktiviteter, som den interne kontrolfunktion overvåger og kontrollerer
• d) aflønningen af de interne kontrolfunktioners medarbejdere ikke bør være knyttet til udøvelsen af de aktiviteter, som den interne kontrolfunktion overvåger og kontrollerer, og ikke på anden måde bør påvirke deres objektivitet.

⁵¹ Se punkt 175 i EBA's retningslinjer vedrørende intern ledelse.

De kompetente myndigheder bør kontrollere, at lederne af de interne kontrolfunktioner opfylder følgende krav:

• a) Etableres på et passende hierarkisk niveau, som giver lederen af kontrolfunktionen den nødvendige autoritet og betydning til, at den pågældende kan opfylde sit ansvar.
• b) Vil være uafhængige af de forretningsområder eller enheder, de kontrollerer.
• c) Vil rapportere direkte til og være direkte ansvarlige over for ledelsesorganet, og deres resultater bør revideres af ledelsesorganet.
• d) Vil om nødvendigt have adgang og kunne rapportere direkte til ledelsesorganet i dets tilsynsfunktion for at give udtryk for betænkeligheder og advare tilsynsfunktionen, når det er hensigtsmæssigt, i tilfælde hvor specifikke udviklinger påvirker eller kan påvirke instituttet.

For at sikre at interne kontrolfunktioner kan udøves effektivt, bør de kompetente myndigheder finde det godtgjort, at de tildeles tilstrækkelige budgetmæssige og menneskelige ressourcer med tilstrækkelige kvalifikationer, under hensyntagen til typerne af de målrettede aktiviteter, og passende IKT-systemer og støtte.

9.4.2 Risikostyringsfunktion

De kompetente myndigheder bør finde det godtgjort, at kreditinstituttet som en del af rammen for intern kontrol vil have en holistisk ramme for risikostyring for hele kreditinstituttet, der fuldt ud anerkender det økonomiske indhold af alle kreditinstituttets risikoeksponeringer.

De kompetente myndigheder bør finde det godtgjort, at risikostyringsfunktionen (RMF) vil lette gennemførelsen af en sund ramme for risikostyring i hele instituttet, og at dens rolle i kreditinstituttet omfatter involvering i: a) risikostrategi og -beslutning, b) evaluering af væsentlige ændringer, c) identifikation, måling, vurdering, styring, afbødning, overvågning og rapportering af risici, d) vurdering af brud på risikovillighed eller -grænser og anbefaling af retsmidler. Med henblik herpå bør de kompetente myndigheder også gennemgå og vurdere udkastet til strategien for håndtering af sådanne risici og herunder en risikotolerance- og risikovillighedserklæring og foranstaltninger til at tilpasse den vurderede risiko til risikovilligheden.

Med hensyn til risikostyringsfunktionens rolle i risikostrategien og beslutningstagningen bør de kompetente myndigheders gennemgang sigte mod at kontrollere, at ansøgningen fastlægger risikostyringsfunktionens aktive involvering på et tidligt tidspunkt i den aktive going concern i udarbejdelsen af kreditinstituttets risikostrategi, i sikringen af, at kreditinstituttet har effektive risikostyringsprocesser på plads, og i formidlingen til ledelsesorganet af alle relevante risikorelaterede oplysninger for at muliggøre fastsættelsen af kreditinstituttets risikovillighedsniveau. De kompetente myndigheder bør sikre, at risikostyringsfunktionen er forudsat at skulle vurdere robustheden og bæredygtigheden af risikostrategien og -villigheden, og at sidstnævnte er passende omsat til specifikke risikogrænser, herunder på forretningsenhedsniveau, og inddrages, før der træffes en beslutning af ledelsesorganet vedrørende risikostrategierne.

Med hensyn til risikostyringsfunktionens rolle i evalueringen af væsentlige ændringer bør de kompetente myndigheder kontrollere, at risikostyringsfunktionens involvering er fastlagt, før der træffes beslutninger om ekstraordinære transaktioner, til at vurdere indvirkningen af sådanne ændringer og ekstraordinære transaktioner på kreditinstituttets samlede risiko og at rapportere resultaterne direkte til ledelsesorganet, før der træffes en beslutning.

Med hensyn til risikostyringsfunktionens rolle i at identificere, måle, overvåge, afbøde og rapportere risiko og tilhørende risikokoncentrationer, der skal godkendes af ledelsesorganet, bør de kompetente myndigheder sikre sig, at der findes politikker og procedurer dertil, og at risikostyringsfunktionen vil have adgang til alle forretningslinjer og andre enheder, som har potentiale til at generere risici.

Risikostyringsfunktionens rolle bør også omfatte den uafhængige vurdering af overtrædelser af risikovillighed eller -grænser (herunder fastslå årsagen til og foretage en juridisk og økonomisk analyse af de faktiske omkostninger ved at lukke, reducere eller risikoafdække eksponeringen i forhold til de faktiske omkostninger ved at beholde den). Der bør tages højde for, at risikostyringsfunktionen vil orientere de berørte forretningsenheder og ledelsesorganet og anbefale eventuelle afhjælpningsforanstaltninger. Med henblik herpå bør risikostyringsfunktionen rapportere direkte til ledelsesorganet i dets tilsynsfunktion, når overtrædelsen er væsentlig, uden at dette berører risikostyringsfunktionens mulighed for at rapportere til andre interne funktioner og udvalg.

9.4.3 Aflønningspolitik

Med hensyn til udkastet til aflønningspolitikken bør de kompetente myndigheder ud over at vurdere efterlevelsen af kønsneutralitetskravene i henhold til artikel 92, stk. 2, underlitra aa), i CRD, have specifik adgang til at kontrollere, at udkastet til politikken vedrører personale, hvis faglige aktiviteter har væsentlig indflydelse på kreditinstituttets risikoprofil⁵² er i overensstemmelse med artikel 94 i CRD og EBA's retningslinjer vedrørende aflønningspolitik .

⁵² Indsendt i medfør af de reguleringsmæssige tekniske standarder for oplysninger til meddelelse af tilladelse.

De bør især vurdere, om: a) udkastet til aflønningspolitikken er i overensstemmelse med instituttets fastlagte risikovillighed, dets forretningsstrategi og dets langsigtede interesser, og det forventes at blive vedligeholdt, godkendt og overvåget af ledelsesorganet, b) det fastlægger, at personale, der har en væsentlig indvirkning på instituttets risikoprofil, vil blive passende identificeret i overensstemmelse med artikel 92, stk. 3, og artikel 94, stk. 3, i CRD, c) det fastlægger specifikke aflønningskrav for dette særlige personale, bl.a. i) et forhold mellem variabel og fast aflønning i overensstemmelse med artikel 94, stk. 1, litra g), i CRD og ii) udbetalinger i instrumenter, udsættelsesordninger, herunder malus og clawback i overensstemmelse med artikel 94, stk. 1, litra l), m) og n), i CRD⁵³ .

9.4.4 Compliancefunktion

⁵³ Specifikt med hensyn til undtagelserne fastlagt i artikel 94, stk. 3 og 4, i CRD.

De kompetente myndigheder bør kontrollere, at det er fastlagt, at compliancefunktionen vil styre compliancerisikoen, rådgive ledelsesorganet om foranstaltninger, der skal træffes for at sikre overholdelse af gældende love, regler, forskrifter og standarder, og under ledelsesorganets tilsyn gennemføre politikker og processer til at håndtere compliancerisici og sikre efterlevelse. De kompetente myndigheder bør kontrollere, at compliancefunktionen er tilstrækkelig til aktiviteternes typer og geografiske fordeling (f.eks. overholdelse af gældende nationale love i forskellige jurisdiktioner i tilfælde af grænseoverskridende aktiviteter), risici og kompleksitet i overensstemmelse med forretningsmodellen og forretningsplanvurderingen foretaget i henhold til afsnit 7 i disse retningslinjer.

Compliancefunktionen bør sikre, at complianceovervågningen foretages på grundlag af et struktureret og veldefineret program for complianceovervågning, og at compliancepolitikken overholdes. Det bør også fastlægges, at compliancefunktionen og risikostyringsfunktionen vil samarbejde og udveksle oplysninger efter behov med henblik på at udføre deres respektive opgaver.

De kompetente myndigheder bør også kontrollere, at compliancefunktionen i tæt samarbejde med risikostyringsfunktionen og den juridiske enhed vil være ansvarlig for efterprøvelsen af, at nye produkter og nye procedurer overholder de eksisterende retlige rammer og i givet fald alle kendte kommende ændringer i lovgivning, forskrifter og tilsynskrav.

De kompetente myndigheder bør efterprøve, at en AML/CTF-compliancefunktion til overholdelse af den specifikke ML/TF-forordning og interne politikker påtænkes oprettet, enten inden for eller adskilt fra compliancefunktionen.

9.4.5 AML/CFT-politik

De kompetente myndigheder bør kontrollere, at AML/CTF-politikken, indgivet af det ansøgende kreditinstitut i henhold til artikel 5, stk. 1, litra c), nr. iii), i de reguleringsmæssige tekniske standarder for oplysninger til meddelelse af tilladelse giver et overblik over de vigtigste politikker og procedurer, som angivet i artikel 8, stk. 3, i AMLD, som vil blive indført for at imødegå ML/TF-risikoen. Med henblik herpå vil de kompetente myndigheder tage hensyn til proportionalitetskriterierne i punkt 17-21.

De kompetente myndigheder bør kontrollere, at udkastet dækker alle de elementer, der er anført i artikel 8, stk. 4⁵⁴ , i AMLD, og underbygge, hvordan det ansøgende kreditinstitut sikrer, at det effektivt kan afbøde og håndtere de ML/TF-risici, som det er eksponeret mod på dagen for adgang til markedet.

9.4.6 Intern revisionsfunktion

⁵⁴ Den lyder: "De politikker, kontroller og procedurer, der er omhandlet i stk. 3, omfatter: (a) udarbejdelse af interne politikker, kontroller og procedurer, herunder en model for praksis ved risikohåndtering, for kundekendskabskrav, indberetning, opbevaring af registreringer, intern kontrol, kontrol med overholdelsen af de relevante forskrifter herunder, hvis det er hensigtsmæssigt i forhold til forretningsaktiviteternes omfang og art, udnævnelse af en compliance officer på ledelsesniveau, og screening af ansatte (b) en uafhængig revisionsfunktion til at teste interne politikker, kontroller og procedurer, jf. litra a), hvis det er hensigtsmæssigt i forhold til forretningsaktiviteternes omfang og art".

De kompetente myndigheder bør, under hensyntagen til proportionalitetskriterierne i punkt 17-21, vurdere den uafhængige og effektive interne revisionsfunktion, der oprettes af det ansøgende kreditinstitut. De kompetente myndigheder bør skaffe sig et klart overblik over, om den interne revisionsfunktion på grundlag af en risikobaseret tilgang uafhængigt vil kunne revidere og foretage objektiv kontrol af, at alle et kreditinstituts aktiviteter og enheder, herunder outsourcede aktiviteter, overholder instituttets politikker og procedurer samt eksterne (ikke-tilsynsmæssige) krav.

Med henblik herpå bør de kompetente myndigheder vurdere, om den interne revisionsfunktion er organisatorisk uafhængig, og om de interne revisorers objektivitet er beskyttet ved direkte rapportering til ledelsesorganet og har tilstrækkelige ressourcer til at udføre sine opgaver. Med henblik herpå bør det også sikres, at den interne revisionsfunktion på tværs af hele instituttet har uhindret adgang til alle optegnelser, dokumenter, informationer og bygninger til udførelsen af sin funktion.

De kompetente myndigheder bør også vurdere, om den interne revisionsfunktion som minimum er betroet følgende:

• a) hensigtsmæssigheden af rammen for intern kontrol, herunder tilstrækkeligheden af politikker og procedurer og overholdelsen af lov- og reguleringsmæssige krav
• b) udvikling af en revisionsplan mindst én gang om året på grundlag af de årlige mål for intern revisionskontrol, og som skal godkendes af ledelsesorganet
• c) indsende anbefalinger baseret på resultaterne af deres aktiviteter.

De bør også kontrollere, at udkastet til metodologien og den interne revisionsplan, der omfatter de første tre års aktivitet, herunder revisionen af eksternaliserede tjenester, er i overensstemmelse med organisationsstrukturen, aktivitetstyperne og risikoprofilen, der følger af forretningsplanen vurderet i overensstemmelse med afsnit 7.

9.4.7 Operationel robusthed samt politik og plan for forretningskontinuitet

Udkastene til forretningskontinuitetspolitikken og -planen bør sikre, at ansøgeren har en sund plan til styring af forretningskontinuitet, der sikrer dennes evne til at fungere på en løbende basis og begrænser tab i tilfælde af alvorlige forretningsforstyrrelser. Den bør sikre, at forretningskontinuitetspolitikken og -planen omfatter en analyse af de vigtigste risici for forretningsforstyrrelser og et overblik over de afbødende foranstaltninger og sikrer regelmæssig test af forretningskontinuitetsplanen.

9.4.8 IKT-politik og -systemer

De kompetente myndigheder bør vurdere, om IKT-politikken vil give kreditinstituttet pålidelige informations- og kommunikationssystemer, og om IKT-systemerne fuldt ud vil kunne understøtte risikodataaggregering i normale perioder såvel som i perioder med stress. De kompetente myndigheder bør særligt vurdere, om kreditinstituttet som minimum er i stand til:

• a) at generere nøjagtige og pålidelige risikodata
• b) at indsamle og aggregere alle væsentlige risikodata på tværs af instituttet
• c) at generere aggregerede og ajourførte risikodata i rette tid
• d) at generere aggregerede risikodata for at imødekomme en bred vifte af behovsbaserede forespørgsler fra ledelsesorganet eller kompetente myndigheder
• e) at sikre en sund, pålidelig og sikker funktion af informations- og kommunikationssystemer, der understøtter institutternes målrettede aktiviteter.

Med hensyn til IKT og sikkerhedsrisiko⁵⁵ bør de kompetente myndigheder finde det godtgjort, at forvaltningsrammen vil sikre en sund, pålidelig og sikker funktion af informations- og kommunikationssystemer, der understøtter kreditinstitutternes aktiviteter, samt passende forebyggelse, overvågning og afbødning af IKT-risici i normale perioder og i perioder med stress. De kompetente myndigheder bør især vurdere:

• a) om ledelsesorganet har det overordnede ansvar for fastlæggelse, godkendelse og tilsyn med gennemførelsen af finansielle institutters IKT-strategi, som bør være i overensstemmelse med finansielle institutters overordnede forretningsstrategi
• b) den klare definition og tildeling af nøgleroller og -ansvar og relevante rapporteringslinjer for at rammen for IKT-risici og sikkerhedsrisikostyring kan være effektiv, herunder allokering af passende budget til tilstrækkeligt at understøtte IKT-driftsbehovene og IKT-risici og sikkerhedsrisikostyringen
• c) om styringen og tilsynet med IKT-risici og sikkerhedsrisici er overdraget til en uafhængig og objektiv kontrolfunktion, passende adskilt fra IKT-driftsprocesser og ikke ansvarlig for nogen intern revision, og en uafhængig intern revisionsfunktion
• d) ordningerne til at sikre identifikation, oprettelse og vedligeholdelse af opdateret kortlægning af forretningsfunktioner, roller og understøttende processer med henblik på at identificere betydningen af de enkelte elementer og deres indbyrdes afhængighed i forhold til IKT-risici og sikkerhedsrisici
• e) i det omfang oplysningerne opbevares på IKT-systemer, om kravene til informationssikkerhed vil være på plads
• f) omfanget, kompleksiteten og vigtigheden af IKT-relateret afhængighed, hvis der påtænkes outsourcing af IKT-tjenesternes operationelle funktioner og alle IKT-systemer — herunder til koncernenheder — eller brug af tredjeparter i relation til sådanne funktioner og aktiviteter.

⁵⁵ Som defineret i EBA's retningslinjer vedrørende styring af IKT-sikkerhedsrisici betyder "IKT-risiko og sikkerhedsrisiko": "Tabsrisiko som følge af brud på fortroligheden, manglende integritet af systemer og data, deres utilstrækkelighed eller utilgængelighed eller manglende evne til at ændre informationsteknologi (IT) inden for en rimelig tids- og omkostningsramme, når kravene fra omgivelserne eller de forretningsmæssige krav ændrer sig (dvs. fleksibilitet). Dette omfatter sikkerhedsrisici som følge af utilstrækkelige interne processer, interne processer, som ikke har virket efter hensigten/som er fejlet, eller eksterne hændelser, herunder cyberangreb eller utilstrækkelig fysisk sikkerhed".