4.3 Organisering af AML/CFT-compliancefunktionen på koncernniveau

Kredit- eller finansieringsinstituttet bør tilpasse rammerne for den interne kontrol til virksomhedens særlige karakter, dens kompleksitet og de dermed forbundne risici, under hensyntagen til koncernsammenhængen.

Kredit- eller finansieringsinstituttet bør sikre, at moderselskabet, hvis det er et kredit- eller finansieringsinstitut, råder over tilstrækkelige data og oplysninger og er i stand til at vurdere koncernens ML/TF-risikoprofil i overensstemmelse med EBA's retningslinjer for ML/TF-risikofaktorer.¹⁴

¹⁴ EBA's reviderede retningslinjer for ML/TF-risikofaktorer: EBA/GL/2021/02

Hvis kredit- eller finansieringsinstituttet er moderselskab i en koncern, bør det sikre, at ledelsesorganer, forretningsområder og interne enheder, herunder interne kontrolfunktioner, har de oplysninger, der er nødvendige for, at de kan udføre deres opgaver. Navnlig bør det sikre udveksling af tilstrækkelige oplysninger mellem forretningsområderne og AML/CFT-compliancefunktionen og med compliancefunktionen på koncernniveau, hvis det er en separat kontrolfunktion, og mellem lederne af de interne kontrolfunktioner på koncernniveau og kredit- eller finansieringsinstituttets ledelsesorgan. 4.3.2 Ledelsesorganets rolle med hensyn til AML/CFT på koncernniveau

Hvis moderselskabet er et kredit- eller finansieringsinstitut og dermed en forpligtet enhed i henhold til direktiv (EU) 2015/849, bør ledelsesorganet som minimum udføre følgende opgaver:

• a) sikre, med henblik på at opnå en kortlægning af ML/TF-risici for de enkelte koncernenheder, at koncernenhederne udfører deres egne vurderinger af virksomhedsdækkende ML/TF-risiko på en koordineret måde og efter en fælles metode, som samtidig afspejler de særlige forhold i de enkelte koncernenheder, under hensyntagen til artikel 8, stk. 1, i direktiv (EU) 2015/849 og EBA's reviderede retningslinjer for ML/TF-risikofaktorer¹⁵
• b) når ledelsesorganet informeres af medlemmer af koncernledelsesorganet eller den øverste leder med ansvar for AML/CFT eller direkte af koncernens AML/CFT-compliance officer om tilsynsaktiviteter, der udføres i koncernens enheder af en kompetent myndighed, eller om mangler, der er konstateret herved, skal det sikre, at datterselskabet eller filialen gennemfører afhjælpende foranstaltninger rettidigt og effektivt.

4.3.3 Organisatoriske krav på koncernniveau

¹⁵ EBA's reviderede retningslinjer for ML/TF-risikofaktorer: EBA/GL/2021/02

Ved gennemførelsen af koncerndækkende politikker og procedurer som omhandlet i artikel 45 i direktiv (EU) 2015/849 bør modstridende interesser, dvs. ML/TF-risikoskabende aktiviteter såsom de kommercielle forretninger mellem et moderkredit- eller finansieringsinstitut, som er en forpligtet enhed i henhold til direktiv (EU) 2015/849, og et datterselskab eller en filial, ikke have negativ indvirkning på efterlevelsen af AML/CFT-kravene og bør afbødes.

Moderkredit- eller finansieringsinstituttet bør:

• a) udpege et medlem af ledelsesorganet eller en øverste leder med ansvar for AML/CFT blandt de øverste ledere på moderselskabsniveau samt en AML/CFT-compliance officer på koncernniveau
• b) oprette en organisatorisk og operationel koordineringsstruktur på koncernniveau med tilstrækkelige beslutningsbeføjelser til, at koncernens AML/CFT-ledelse kan sikre, at ML/TF-risici kan styres og forebygges effektivt i overensstemmelse med proportionalitetsprincippet og gældende national lovgivning
• c) godkende koncernens interne AML/CFT-politikker og -procedurer og sikre, at de er i overensstemmelse med koncernens struktur og med koncernens kredit- eller finansieringsinstitutters størrelse og særlige forhold
• d) oprette interne AML/CFT-kontrolmekanismer på koncernniveau
• e) regelmæssigt evaluere effektiviteten af AML/CFT-politikker og -procedurer på koncernniveau og
• f) for et kredit- eller finansieringsinstitut, der driver filialer eller datterselskaber på hjemmemarkedet eller i en anden medlemsstat eller et tredjeland, udnævne en AML/CFT-compliance officer på koncernniveau som koordinator for at sikre, at alle de enheder i koncernen, der er involveret i finansielle aktiviteter, gennemfører koncernpolitikken og passende og hensigtsmæssige systemer og procedurer til effektiv forebyggelse af ML/TF.

AML/CFT-compliance officeren på koncernniveau bør samarbejde i fuldt omfang med de enkelte enheders AML/CFT-compliance officer.

AML/CFT-compliance officeren på koncernniveau bør som minimum have følgende opgaver:

• a) koordinere den forretningsmæssige vurdering af ML/TF-risici, der udføres på lokalt plan af enheder i koncernen, og sørge for samling af resultaterne heraf for at få en god forståelse af art, intensitet og placering af de ML/TF-risici, som koncernen som helhed er eksponeret for
• b) udarbejde en koncerndækkende ML/TF-risikovurdering. I den forbindelse bør koncernens moderselskab i sit ML/TF-risikostyringssystem på koncernniveau tage hensyn til både de individuelle risici i koncernens forskellige enheder og mulige indbyrdes sammenhænge, som kan have betydelig indvirkning på risikoeksponeringen på koncernniveau. I den sammenhæng bør der lægges særlig vægt på de risici, som koncernens filialer eller datterselskaber etableret i tredjelande er eksponeret for, navnlig hvis de udgør en høj ML/TF-risiko
• c) definere AML/CFT-standarder på koncernniveau og sikre, at lokale politikker og procedurer på enhedsniveau er i overensstemmelse med den lovgivning og de bestemmelser om AML/CFT, der gælder for hver enkelt enhed i koncernen, og også er i overensstemmelse med de fastlagte koncernstandarder
• d) koordinere de lokale AML/CFT-compliance officerers aktiviteter i koncernens operationelle enheder for at sikre ensartet løsning af opgaverne
• e) overvåge, at filialer og datterselskaber, der er beliggende i tredjelande, overholder EU's AML/CFT-bestemmelser, navnlig hvis kravene til forebyggelse af ML/TF er mindre strenge end kravene i direktiv (EU) 2015/849¹⁶
• f) fastsætte politikker, procedurer og foranstaltninger for hele koncernen især vedrørende databeskyttelse og udveksling af oplysninger inden for koncernen med henblik på AML/CFT i overensstemmelse med de nationale lovbestemmelser
• g) sikre, at koncernens enheder har passende procedurer for indberetning af mistænkelige transaktioner og udveksler oplysninger korrekt, herunder oplysninger om, at der er indgivet en indberetning om mistænkelige transaktioner (uden at dette berører nationale fortrolighedsregler, hvor sådanne findes).

¹⁶ Se også til ESA's samlede reguleringsmæssige tekniske standarder for gennemførelsen af koncerndækkende AML/CFT-politikker i tredjelande af 6. december 2017: JC 2017 25

Koncernens AML/CFT-compliance officer bør udarbejde en aktivitetsindberetning mindst en gang om året og forelægge den for koncernledelsen. Ud over de punkter, der er nævnt i punkt 50, bør indberetningen fra koncernens AML/CFT-compliance officer som minimum indeholde følgende punkter fra AML/CFT-compliance officererne i filialerne og datterselskaberne:

• a) statistikker konsolideret på koncernniveau, navnlig vedrørende risikoeksponering og mistænkelige aktiviteter
• b) overvågning af iboende risici, der er opstået i ét datterselskab eller én filial og på tværs af andre datterselskaber og filialer, samt analyse af virkningen af resterende risici
• c) tilsynskontrol, intern eller ekstern revision af kredit- eller finansieringsinstituttets datterselskaber eller filialer, herunder de alvorlige svagheder, der er konstateret i kredit- eller finansieringsinstituttets AML/CFT-politikker og -procedurer, og foranstaltninger eller henstillinger vedrørende korrigerende foranstaltninger
• d) oplysninger om styring af og tilsyn med datterselskaber og filialer med særligt fokus på dem, der er beliggende i højrisikolande, hvis det er relevant.

AML/CFT-compliance officeren i et datterselskab eller en filial bør indberette direkte til koncernens AML-CFT-compliance officer.

Koncernen bør sikre, at de politikker og procedurer, som enhederne indfører, er i overensstemmelse med koncernens procedurer og politikker i det omfang, det er tilladt i henhold til gældende national ret. På grundlag af proportionalitetskriterierne bør kredit- eller finansieringsinstitutter, hvor det er relevant, nedsætte udvalg (herunder et complianceudvalg) under ledelsesorganet i dets tilsynsfunktion som fastsat i afdeling 5 i EBA's reviderede retningslinjer vedrørende intern ledelse.¹⁷

¹⁷ EBA's reviderede retningslinjer vedrørende intern ledelse i henhold til direktiv 2013/36/EU: EBA/GL/2021/05