5.4 Intern kultur, kapacitet og kontrol

Institutterne bør løbende udvikle deres evne til at identificere, vurdere, overvåge, styre og afbøde ESG-risici efter behov. Institutterne bør som en del af deres uddannelsespolitik sikre, at deres ledelsesorgan og medarbejdere er tilstrækkeligt uddannet til at forstå konsekvenserne af ESG-faktorer og ESG-risici med henblik på at varetage deres ansvarsområder effektivt. Politikkerne og procedurerne for uddannelsesaktiviteter bør holdes ajour og tage højde for videnskabelig og lovgivningsmæssig udvikling. Proceduren for ledere bør tage højde for, at viden om ESG-faktorer og ESG-risici er relevant for vurderingen af egnetheden af medlemmer af ledelsesorganet og for indehavere af nøglefunktioner i overensstemmelse med EBA's og ESMA's fælles retningslinjer for egnethedsvurderinger¹² .

¹² ESMA's og EBA's fælles retningslinjer for egnethedsvurdering af medlemmer af ledelsesorganet og personer med nøglefunktioner i henhold til direktiv 2013/36/EU og direktiv 2014/65/EU (EBA/GL/2021/06).

Den sunde og konsekvente risikokultur, der tager højde for ESG-risici, og som er gennemført i instituttet i overensstemmelse med afsnit IV i EBA's retningslinjer vedrørende intern ledelse¹³ , bør omfatte klar kommunikation fra ledelsesorganet ("tone from the top") og passende foranstaltninger til at fremme kendskabet til ESG-faktorer og ESG-risici i hele instituttet samt bevidsthed om instituttets strategiske ESG-mål og -tilsagn.

¹³ Del IV – Risikokultur og forretningsadfærd

Med henblik på afsnit V i EBA's retningslinjer vedrørende intern ledelse¹⁴ bør institutterne indarbejde ESG-risici i deres interne kontrolrammer på tværs af de tre forsvarslinjer. Den interne kontrolramme bør omfatte en klar definition og tildeling af ESG-risikoansvar og rapporteringslinjer.

¹⁴ Del V – Rammer og mekanismer for intern kontrol

Den første forsvarslinje bør være ansvarlig for at vurdere ESG-risici under hensyntagen til væsentlighed og proportionalitet i forbindelse med kundens onboarding, kreditansøgning, kreditvurdering og, hvor det er relevant, investeringsprocesser samt i forbindelse med løbende overvågning af og engagement med eksisterende kunder. Medarbejderne i den første forsvarslinje bør have tilstrækkelig forståelse og viden til at kunne identificere potentielle ESG-risici.

Som en del af aktiviteterne i den anden forsvarslinje:

• a) Risikostyringsfunktionen bør være ansvarlig for at foretage ESG-risikovurdering og - overvågning uafhængigt af den første forsvarslinje, herunder ved at sikre overholdelse af risikogrænserne, stille spørgsmålstegn ved og om nødvendigt udfordre de forretningsansvarliges indledende vurdering
• b) compliancefunktionen bør føre tilsyn med, hvordan den første forsvarslinje sikrer overholdelse af gældende retlige ESG-risikokrav og interne politikker, og bør rådgive ledelsesorganet og andre relevante medarbejdere om de foranstaltninger, der skal træffes for at sikre denne overholdelse. I forbindelse med instituttet bæredygtighedskrav og/eller -tilsagn bør det desuden yde rådgivning om de omdømme- og adfærdsmæssige risici, der er forbundet med gennemførelsen eller den manglende gennemførelse af sådanne krav og/eller tilsagn.
• c) compliancefunktionen og risikostyringsfunktionen bør konsulteres i forbindelse med godkendelse af nye produkter med ESG-karakteristika eller i forbindelse med væsentlige ændringer af eksisterende produkter med henblik på at integrere ESG-aspekter.

Som tredje forsvarslinje bør den interne revisionsfunktion (IAF) give en uafhængig gennemgang og objektiv sikkerhed for kvaliteten og effektiviteten af den overordnede interne kontrolramme og -systemer i relation til ESG-risici, herunder første og anden forsvarslinje og ESG-risikostyringsrammen.