18 Nuevos productos y cambios significativos

La función de gestión de riesgos y la función de cumplimiento deberían involucrarse en la aprobación de nuevos productos o de cambios significativos en productos, procesos y sistemas existentes. Su aportación debería incluir una evaluación completa y objetiva de los riesgos derivados de las nuevas actividades en diversos escenarios, de posibles deficiencias en los marcos de gestión de riesgos y de control interno de la entidad, y de la capacidad de la entidad para gestionar los nuevos riesgos con eficacia. La función de control de riesgos debería tener asimismo una visión general clara del proceso de implantación de nuevos productos (o de los cambios significativos en los productos, procesos y sistemas existentes) en las diferentes líneas de negocio y carteras, así como la facultad de exigir que los cambios en productos existentes se sometan al proceso formal de aprobación de nuevos productos.

Las funciones de control interno deberían incluir una función de gestión de riesgos (véase la sección 20), una función de cumplimiento (véase la sección 21) y una función de auditoría interna (véase la sección 22). Las funciones de gestión de riesgos y de cumplimiento deberían estar sujetas a revisión por parte de la función de auditoría interna. Las responsabilidades de las funciones de control incluyen también la de garantizar el cumplimiento de los requisitos de prevención del blanqueo de capitales y de la financiación del terrorismo.

Las tareas operativas de las funciones de control interno pueden externalizarse, teniendo en cuenta los criterios de proporcionalidad enumerados en el título I, a la entidad en base consolidada o a otra entidad dentro o fuera del grupo con el consentimiento de los órganos de dirección de las entidades afectadas. Incluso cuando las tareas operativas de control interno se externalicen total o parcialmente, el responsable de la función de control interno correspondiente y el órgano de dirección seguirán siendo responsables de estas actividades y de mantener una función de control interno dentro de la entidad.

Sin perjuicio de lo dispuesto en la legislación nacional de transposición de la Directiva 2015/849/UE, las entidades deberían asignar a un miembro del personal (por ejemplo, el responsable de cumplimiento) la responsabilidad de asegurar el cumplimiento de los requisitos de la citada directiva por parte de la entidad y de sus políticas y procedimientos. Las entidades pueden establecer una función separada de cumplimiento de la normativa sobre prevención del blanqueo de capitales y de la financiación del terrorismo como una función de control independiente³⁸ . En caso necesario, la persona responsable de la prevención del blanqueo de capitales y de la financiación del terrorismo debería poder informar directamente al órgano de dirección en sus funciones de dirección y de supervisión.

³⁸ Véanse también las Directrices de la ABE sobre la función de cumplimiento de la normativa sobre prevención del blanqueo de capitales y de la financiación del terrorismo (actualmente en elaboración).

Los responsables de las funciones de control interno deberían establecerse a un nivel jerárquico adecuado que proporcione al responsable de dicha función la autoridad y el rango adecuados para cumplir sus responsabilidades. Sin perjuicio de la responsabilidad general del órgano de dirección, los responsables de las funciones de control interno serán independientes de las líneas de negocio o de las unidades que controlan. Con este fin, los responsables de las funciones de gestión de riesgos, de cumplimiento y de auditoría interna deberían informar y rendir cuentas directamente al órgano de dirección, y este evaluará su desempeño.

Cuando sea necesario, los responsables de las funciones de control interno deberían poder acceder e informar directamente al órgano de dirección en su función de supervisión para plantear inquietudes y advertir a dicha función, si procede, cuando sucesos específicos afecten o puedan afectar a la entidad. Esto no debería impedir que los responsables de las funciones de control interno informen también dentro de los canales de comunicación ordinarios.

Las entidades deberían tener establecidos procesos documentados para nombrar y cesar al responsable de una función de control interno. En cualquier caso, los responsables de las funciones de control interno no deberían ser destituidos sin la aprobación previa del órgano de dirección en su función de supervisión, y en virtud del artículo 76, apartado 5, de la Directiva 2013/36/UE, el responsable de la función de gestión de riesgos no podrá ser cesado sin dicha aprobación. En las entidades significativas, las autoridades competentes deberían ser informadas con prontitud de esta aprobación y de las principales razones para la destitución del responsable de una función de control interno.

Para que las funciones de control interno sean consideradas independientes, deberían cumplirse las siguientes condiciones:

• a. su personal no realizará ninguna tarea operativa incluida en el ámbito de las actividades de cuyo seguimiento y control se ocupen las propias funciones de control interno;
• b. estarán separadas, a nivel organizativo, de las actividades cuyo seguimiento y control le han sido encomendados;
• c. sin perjuicio de la responsabilidad general de los miembros del órgano de dirección de la entidad, el responsable de una función de control interno no debería depender de una persona que tenga la responsabilidad de gestionar las actividades que la función de control interno supervisa y controla, y
• d. la remuneración del personal de las funciones de control interno no debería estar vinculada a los resultados de las actividades de cuyo seguimiento y control se ocupa la propia función de control interno, ni a otras circunstancias que puedan comprometer su objetividad³⁹ .

³⁹ Véanse también las Directrices de la ABE sobre políticas de remuneración adecuadas, disponibles en: https://www.eba.europa.eu/sites/default/documents/files/documents/10180/1504751/5db4e2ef-7e07-4d7f-a8a9-7f09da5fa86a/EBA-GL-2015-22%20GLs%20on%20Sound%20Remuneration%20Policies_ES.pdf?retry=1.

Teniendo en cuenta los criterios de proporcionalidad establecidos en el título I, la función de gestión de riesgos y la función de cumplimiento pueden combinarse. La función de auditoría interna no debería combinarse con ninguna otra función de control interno.

Las funciones de control interno deberían disponer de recursos suficientes. Deberían contar con un número adecuado de empleados cualificados (tanto a nivel de la empresa matriz como de filial). El personal debería estar cualificado en todo momento y recibir la formación necesaria.

Las funciones de control interno deberían tener a su disposición sistemas de TI y de apoyo apropiados, con acceso a la información interna y externa necesaria para cumplir sus responsabilidades. Tendrán acceso a toda la información necesaria relativa a todas las líneas de negocio y a las filiales relevantes en la asunción riesgos, en particular aquellas que potencialmente pueden generar riesgos importantes para las entidades.