5.5. Interne Kontrollfunktionen

Bei der Beurteilung der internen Kontrollfunktionen des Instituts sollten die zuständigen Behörden die Einhaltung der EBA-Leitlinien zur internen Governance und der einschlägigen Bestimmungen der Verordnung (EU) 2022/2554 (DORA) 20F²¹ durch das Institut bewerten. In diesem Zusammenhang sollten die zuständigen Behörden unter anderem prüfen, ob

• a. das Institut über einen angemessenen internen Kontrollrahmen verfügt, der alle Bereiche abdeckt und mit dem Modell der „drei Verteidigungslinien“ in Einklang steht, einschließlich gut funktionierender, wirksamer und unabhängiger Funktionen für Risikomanagement, Compliance und Interne Revision;
• b. die Leiter der internen Kontrollfunktionen i) auf einer hinreichenden Hierarchiestufe angesiedelt sind, die ihnen angemessene Befugnisse und ausreichendes Gewicht verleiht, die für die Erfüllung ihrer Zuständigkeiten notwendig sind, ii) direkten Zugang zum Leitungsorgan in seiner Aufsichtsfunktion haben und diesem Bericht erstatten können und iii) über alle für die Wahrnehmung ihrer Aufgaben erforderlichen Ressourcen verfügen;
• c. das Institut über angemessene schriftliche niedergelegte interne Kontrollverfahren verfügt, die wirksam umgesetzt werden, sowie über eine klare Zuordnung der Zuständigkeiten für die Umsetzung Rahmens, eine Funktionstrennung, solide Verwaltungs- und Rechnungslegungsverfahren und solide Berichtsmodalitäten.

²¹ DORA – Verordnung (EU) Nr. 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014, (EU) Nr. 909/2014 und (EU) 2016/1011 (ABl. L 333 vom 27.12.2022, S. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

Die zuständigen Behörden sollten prüfen, ob die Risikomanagementfunktion das gesamte Institut abdeckt, eine ganzheitliche Betrachtung aller Risiken bietet, aktiv und frühzeitig an der Entwicklung der Risikostrategie des Instituts beteiligt ist und deren wirksame Umsetzung überwacht. Die zuständigen Behörden sollten außerdem prüfen, ob die Risikomanagementfunktion dem Leitungsorgan vollständige, aktuelle und relevante risikobezogene Informationen zur Verfügung stellt, um die Festlegung des Grades des Risikoappetits des Instituts und der zugehörigen Risikolimits zu ermöglichen. Darüber hinaus sollten die zuständigen Behörden die Bewertung der Risikomanagementfunktion hinsichtlich der Stabilität und Nachhaltigkeit der Risikostrategie und des Risikoappetits sowie deren Einbeziehung in die Bewertung der Auswirkungen wesentlicher Änderungen oder außergewöhnlicher Transaktionen auf das Gesamtrisiko des Instituts und (gegebenenfalls) der Gruppe berücksichtigen.

Die zuständigen Behörden sollten prüfen, ob die Compliance-Funktion die Compliance-Risiken, die sich aus der Nichteinhaltung geltender rechtlicher und regulatorischer Anforderungen, vertraglicher Verpflichtungen oder interner Regeln und Verhaltenskodexe – einschließlich Ethik-Vorschriften – ergeben, wirksam bewertet und mindert und sicherstellt, dass diese Risiken bei allen wesentlichen Entscheidungen im Bereich des Risikomanagements angemessen berücksichtigt werden.

Die zuständigen Behörden sollten beurteilen, ob die Interne Revision gemäß dem Prüfungsplan und dem detaillierten Arbeitsprogramm unabhängig die Angemessenheit und Wirksamkeit der Richtlinien, Verfahren und internen Kontrollen des Instituts sowie die Einhaltung der rechtlichen und regulatorischen Anforderungen bei allen Tätigkeiten des Instituts, einschließlich der von Drittdienstleistern erbrachten Tätigkeiten, überprüft und eine objektive Gewähr dafür bietet. Sofern zutreffend sollten die zuständigen Behörden beurteilen, ob die gruppenweite Interne Revision unabhängig ist, über einen gruppenweiten, risikobasierten Prüfungsplan sowie über angemessene Ressourcen und ausreichende Autorität verfügt und direkt an das Leitungsorgan des konsolidierenden Instituts berichtet.