9.4 Marco de control interno

Las autoridades competentes evaluarán si la entidad de crédito solicitante dispone de un marco de control interno adecuado acorde con las actividades previstas, el modelo de negocio, la complejidad y los riesgos asociados de la entidad de crédito (por ejemplo, el alta en línea de los clientes, la protección y los dispositivos de ciberseguridad). Las autoridades competentes deben estar convencidas de que los recursos humanos asignados son adecuados, tanto en términos de número de FTE como de cualificaciones, así como de la idoneidad de los sistemas y del presupuesto para dar soporte a la realización de las tareas.

Las autoridades competentes revisarán los documentos de solicitud y deben estar convencidas de que la asignación de tareas y responsabilidades permitirá al órgano de dirección conocer plenamente la estructura de su entidad de crédito⁴⁹ y «deberían velar por que las funciones de control interno sean independientes de las líneas de negocio que controlan, con una separación de funciones adecuada, y con los recursos financieros y humanos y las competencias apropiadas para desempeñar eficazmente sus funciones. Los canales de información y la asignación de responsabilidades de una entidad, en particular entre los titulares de funciones clave, deberían estar bien definidos, ser claros, coherentes y exigibles y estar debidamente documentados»⁵⁰ .

⁴⁹ Apartado 71 de las Directrices de la ABE sobre gobierno interno .

⁵⁰ Apartado 68 de las Directrices de la ABE sobre gobierno interno .

Las autoridades competentes deberían lograr una visión clara de que el marco de control interno cubre todas las áreas de la entidad y refleja el modelo de tres líneas de defensa para la identificación de las funciones para abordar y gestionar los riesgos.

A tal efecto, las autoridades competentes verificarán que existen mecanismos para garantizar que las unidades de negocio y de apoyo, la primera línea de defensa, sean responsables en primera instancia de identificar y gestionar los riesgos en los que incurren en la realización de sus actividades y de establecer y mantener procesos y controles adecuados para garantizar que dichos riesgos se analicen, midan, supervisen, comuniquen debidamente y se mantengan dentro de los límites del apetito de riesgo de la entidad de crédito y que cumplan los requisitos regulatorios internos y externos.

La función de gestión de riesgos y la función de cumplimiento, la segunda línea de defensa, junto con la función de auditoría interna, que es la tercera línea de defensa, conforman las funciones de control interno dentro del marco de control interno. Las autoridades competentes verificarán que se establecerán, teniendo en cuenta los criterios de proporcionalidad establecidos en los apartados 17-21, y que estarán dotadas de una autoridad, una envergadura y acceso directo al órgano de dirección adecuados y suficientes para cumplir su misión.

Para garantizar que las funciones de control interno cumplen con los requisitos de independencia⁵¹ , las autoridades competentes verificarán que, sobre la base de los documentos de solicitud, se prevé que:

• (a) su personal no realice ninguna tarea operativa incluida en el ámbito de las actividades de cuyo seguimiento y control se ocupen las propias funciones de control interno;
• (b) estén separadas a nivel organizativo de las actividades cuyo seguimiento y control le han sido encomendados;
• (c) sin perjuicio de la responsabilidad general de los miembros del órgano de dirección de la entidad, el responsable de una función de control interno no dependa de una persona que tenga la responsabilidad de gestionar las actividades que la función de control interno supervisa y controla; y
• (d) la remuneración del personal de las funciones de control interno no esté vinculada a los resultados de las actividades de cuyo seguimiento y control se ocupe la propia función de control interno, ni a otras circunstancias que puedan comprometer su objetividad.

⁵¹ Véase el apartado 175 de las Directrices de la ABE sobre gobierno interno .

Las autoridades competentes comprobarán que los responsables de las funciones de control interno cumplen los siguientes requisitos:

• a) se establecerán a un nivel jerárquico adecuado que proporcione al responsable de la función de control la autoridad y el rango adecuados para cumplir sus responsabilidades.
• b) serán independientes de las líneas de negocio o de las unidades que controlan;
• c) informarán y rendirán cuentas directamente al órgano de dirección, y este evaluará su desempeño.
• d) cuando sea necesario, accederán e informarán directamente al órgano de dirección en su función de supervisión para plantear inquietudes y advertir a dicha función, si procede, cuando sucesos específicos afecten o puedan afectar a la entidad.

Para garantizar que las funciones de control interno puedan ejercerse de forma eficaz, las autoridades competentes deben estar convencidas de que se les asignan suficientes recursos presupuestarios y humanos con las cualificaciones adecuadas, teniendo en cuenta los tipos de actividades que se van a desarrollar, y de que disponen de un sistema y un soporte de TIC apropiados. 9.4.2 Función de gestión de riesgos

Las autoridades competentes deben estar convencidas de que, como parte del marco de control interno, la entidad de crédito dispondrá de un marco integral de gestión de riesgos en toda la entidad, que reconozca plenamente el contenido económico de todas las exposiciones al riesgo de la entidad de crédito.

Las autoridades competentes deben estar convencidas de que la función de gestión de riesgos facilitará la aplicación de un marco sólido de gestión de riesgos en toda la entidad y de que su papel dentro de la entidad de crédito abarca su participación en: a) la estrategia de riesgos y la toma de decisiones al respecto; b) la evaluación de los cambios importantes; c) la identificación, medición, evaluación, gestión, mitigación, seguimiento e información de los riesgos; d) la evaluación de los incumplimientos del apetito de riesgo o de los límites de riesgo y la recomendación de soluciones. Para ello, las autoridades competentes también revisarán y evaluarán el esquema de la estrategia de gestión de dichos riesgos e incluirán una declaración de tolerancia y apetito de riesgo y medidas para alinear el riesgo evaluado con dicho apetito.

En cuanto al papel de la función de gestión de riesgos en la estrategia de riesgos y la toma de decisiones al respecto, el examen de las autoridades competentes tendrá por objeto verificar que la solicitud prevé que esta función participe en una fase temprana del negocio en funcionamiento en la elaboración de la estrategia de riesgo de la entidad de crédito, en la corroboración de que la entidad de crédito dispondrá de procesos eficaces de gestión de riesgos y en el suministro al órgano de dirección de toda la información pertinente relacionada con los riesgos que permita establecer el nivel de apetito de riesgo de la entidad de crédito. Las autoridades competentes se asegurarán de que la función de gestión de riesgos se encarga de evaluar la solidez y la sostenibilidad de la estrategia de riesgo y el apetito de riesgo, y que este último aspecto se traduce adecuadamente en límites de riesgo específicos, incluido a nivel de las unidades de negocio, y de que se involucra antes de que el órgano de dirección tome una decisión sobre las estrategias de riesgo.

Con respecto al papel de la función de gestión de riesgos en la evaluación de los cambios importantes, las autoridades competentes verificarán que está prevista la involucración de esta función antes de que se tomen las decisiones sobre las operaciones excepcionales, de modo que pueda evaluar el impacto de dichos cambios y operaciones excepcionales en el riesgo global de la entidad de crédito, e informar de sus conclusiones directamente al órgano de dirección antes de que se tome una decisión.

En lo que respecta al papel de la función de gestión de riesgos en la identificación, medición, seguimiento, mitigación y comunicación del riesgo y de las concentraciones de riesgo asociadas que deben ser aprobadas por el órgano de dirección, las autoridades competentes se asegurarán de que se han establecido políticas y procedimientos y de que esta función tendrá acceso a todas las líneas de negocio y a otras unidades que puedan generar riesgos.

La función de gestión de riesgos también evaluará de forma independiente los incumplimientos de la tolerancia al riesgo o de los límites de riesgo (incluyendo la verificación de su causa y la realización de un análisis jurídico y económico del coste real de cerrar, reducir

• o cubrir la exposición, frente al coste potencial de mantenerla). La función de gestión de riesgos tendrá asignada la tarea de informar a las unidades de negocio involucradas y al órgano de dirección y de recomendar posibles soluciones. A estos efectos, la función de gestión de riesgos informará directamente al órgano de dirección en su función de supervisión cuando el incumplimiento sea significativo, sin perjuicio de que también informe a otras funciones y comités internos.

9.4.3 Política de remuneración

En lo que respecta a las líneas generales de la política de remuneración, además de evaluar el cumplimiento de los requisitos de imparcialidad en cuanto al género previstos en el artículo 92, apartado 2, letra a bis ), de la DRC, las autoridades competentes prestarán especial atención a la comprobación de que las líneas generales de la política relativas a los miembros del personal cuyas actividades profesionales tienen una repercusión importante en el perfil de riesgo de la entidad de crédito⁵² se ajustan a lo dispuesto en el artículo 94 de la DRC y en las Directrices de la ABE sobre políticas de remuneración adecuadas .

⁵² Presentado en virtud de las NTR sobre la información para la autorización .

En particular, evaluarán si: a) el diseño de la política de remuneración está en consonancia con el apetito de riesgo previsto por la entidad, su estrategia de negocio y sus intereses a largo plazo, y se prevé que el órgano de dirección la mantenga, apruebe y supervise; b) prevé que el personal que tenga una incidencia importante en el perfil de riesgo de la entidad esté debidamente identificado en consonancia con el artículo 92, apartado 3, y el artículo 94, apartado 3, de la DRC; c) prevé requisitos específicos de remuneración para ese personal en particular, entre otras cosas i) una proporción entre la remuneración variable y la fija, de acuerdo con al artículo 94, apartado 1, letra g), de la DRC, y ii) el pago en instrumentos y las disposiciones de aplazamiento, incluyendo a través de cláusulas de penalización o de recuperación de las remuneraciones ya satisfechas, de acuerdo con del artículo 94, apartado 1, letras l), m) y n), de la DRC⁵³ .

9.4.4 Función de cumplimiento

⁵³ En lo que respecta específicamente a las excepciones previstas en el artículo 94, apartados 3 y 4, de la DRC.

Las autoridades competentes verificarán que está previsto que la función de cumplimiento gestione el riesgo de cumplimiento, asesore al órgano de dirección sobre las medidas que deben adoptarse para garantizar el cumplimiento de las leyes, reglas, reglamentos y normas aplicables, y aplique, bajo la supervisión del órgano de dirección, políticas y procesos para gestionar los riesgos de cumplimiento y garantizar el cumplimiento. Las autoridades competentes verificarán que la función de cumplimiento es adecuada para los tipos y la distribución geográfica de las actividades (por ejemplo, el cumplimiento de las leyes nacionales aplicables de varias jurisdicciones en el caso de las actividades transfronterizas), los riesgos y la complejidad en consonancia con el modelo de negocio y la evaluación del plan de negocio realizada de conformidad con la sección 7 de estas Directrices.

La función de cumplimiento garantizará que la vigilancia del cumplimiento se lleve a cabo mediante un programa de vigilancia del cumplimiento estructurado y bien definido y que se respete la política de cumplimiento. Estará contemplado que la función de cumplimiento y la función de gestión de riesgos cooperen e intercambien información según corresponda para realizar sus tareas respectivas.

Las autoridades competentes también comprobarán que la función de cumplimiento se encargue de verificar, en estrecha cooperación con la función de gestión de riesgos y la unidad jurídica, que los nuevos productos y procedimientos cumplen el marco jurídico actual y, cuando corresponda, son conformes con cualquier cambio futuro conocido en la legislación, las disposiciones reglamentarias y los requisitos de supervisión.

Las autoridades competentes verificarán que se prevé la creación de una función de cumplimiento en materia de PBC/FT, ya sea dentro de la función de cumplimiento o separada de ella que velará por la observancia de la normativa específica en materia de blanqueo de capitales y financiación del terrorismo y de las políticas internas.

9.4.5 Política de prevención del blanqueo de capitales y la financiación del terrorismo

Las autoridades competentes verificarán que la política de PBC/FT, presentada por la entidad de crédito solicitante de conformidad con el artículo 5, apartado 1, letra c), inciso iii), de las NTR sobre la información para la autorización , proporciona una visión general de las políticas y procedimientos clave, según lo establecido en el artículo 8, apartado 3, de la Directiva antiblanqueo, que se establecerán para contrarrestar el riesgo de blanqueo de capitales y financiación del terrorismo. Para ello, las autoridades competentes tendrán en cuenta los criterios de proporcionalidad establecidos en los apartados 17-21.

Las autoridades competentes verificarán que el esquema cubre todos los elementos establecidos en el artículo 8, apartado 4⁵⁴ , de la Directiva antiblanqueo y justificarán cómo la entidad de crédito solicitante garantizará, desde el día que acceda al mercado, que puede mitigar y gestionar eficazmente los riesgos de blanqueo de capitales y financiación del terrorismo a los que está expuesta.

9.4.6 Función de auditoría interna

⁵⁴ La disposición reza: «Las políticas, controles y procedimientos a que se refiere el apartado 3 deberán incluir, como mínimo: (a) la elaboración de políticas, controles y procedimientos internos, que comprendan modelos de prácticas de gestión de riesgos, diligencia debida con respecto al cliente, comunicación, conservación de datos, control interno, gestión del cumplimiento (incluido, cuando resulte apropiado debido al tamaño y la naturaleza de la empresa, el nombramiento de un responsable del cumplimiento a nivel de dirección) y escrutinio de los empleados; (b) cuando proceda, habida cuenta del tamaño y la naturaleza de la empresa, una función de auditoría independiente para examinar las políticas, controles y procedimientos internos a que se refiere la letra a)».

Las autoridades competentes, teniendo en cuenta los criterios de proporcionalidad establecidos en los apartados 17-21, evaluará la función de auditoría interna independiente y eficaz establecida por la entidad de crédito solicitante. Las autoridades competentes tendrán una visión clara de que la función de auditoría interna, sobre la base de un enfoque basado en el riesgo, podrá revisar de forma independiente y proporcionar una garantía objetiva del cumplimiento de todas las actividades y unidades de la entidad de crédito, incluidas las actividades externalizadas, con las políticas y procedimientos y con otros requisitos externos (de carácter no prudencial) de la entidad.

Para ello, las autoridades competentes evaluarán si la función de auditoría interna tiene su independencia organizativa, si la objetividad de los auditores internos está protegida porque informan directamente al órgano de dirección y si los recursos para realizar sus tareas son adecuados. Para ello, también debería garantizarse que la función de auditoría interna tenga acceso sin restricciones a todos los registros, documentos, información y edificios de la entidad para el desempeño de su función.

Las autoridades competentes también evaluarán si la función de auditoría interna está encargada de, al menos, lo siguiente:

• (a) la idoneidad del marco de control interno, incluida la adecuación de la política y los procedimientos y el cumplimiento de los requisitos legales y reglamentarios;
• (b) la elaboración de un plan de auditoría, al menos una vez al año, sobre la base de los objetivos anuales de control de la auditoría interna y que debe ser aprobado por el órgano de dirección;
• (c) la presentación de recomendaciones basadas en los resultados de sus actividades.

También verificarán que el esquema de la metodología y el plan de auditoría interna que cubren los tres primeros años de actividad, incluida la auditoría de los servicios externalizados, sean coherentes con la estructura organizativa, los tipos de actividades y el perfil de riesgo resultante del plan de negocio evaluado de acuerdo con la sección 7.

9.4.7 Resiliencia operativa y política y plan de continuidad de la actividad

Las líneas generales de la política y el plan de continuidad de la actividad garantizarán que la entidad solicitante disponga de un plan sólido de gestión de la continuidad de la actividad, con el fin de asegurar su capacidad para operar de forma continuada y de limitar las pérdidas en caso de interrupciones graves de la actividad. También se garantizará que la política y el plan de continuidad de la actividad incluyan un análisis de los principales riesgos de interrupción de la actividad y una visión general de las medidas de mitigación, y prevean la comprobación periódica del plan de continuidad de la actividad.

9.4.8 Política y sistemas de TIC

Las autoridades competentes evaluarán si la política de TIC proporcionará a la entidad de crédito sistemas de información y comunicación fiables y si los sistemas de TIC podrán respaldar plenamente las capacidades de agregación de datos de riesgos en momentos normales y en momentos de tensión. En particular, las autoridades competentes evaluarán si la entidad de crédito estará como mínimo en condiciones de:

• (a) generar datos de riesgos precisos y fiables;
• (b) capturar y agregar todos los datos de riesgos materiales en toda la entidad;
• (c) generar datos de riesgos agregados y actualizados de manera oportuna;
• (d) generar datos de riesgos agregados para satisfacer una amplia gama de solicitudes a petición del órgano de dirección o de las autoridades competentes;
• (e) garantizar el funcionamiento sólido, fiable y seguro de los sistemas de información y comunicación que soportan las actividades previstas de las entidades.

En lo que respecta a los riesgos de TIC y de la seguridad⁵⁵ , las autoridades competentes deben estar convencidas de que el marco de gestión garantizará el funcionamiento sólido, fiable y seguro de los sistemas de información y comunicación que soportan las actividades de las entidades de crédito, así como la adecuada prevención, supervisión y mitigación de los riesgos de las TIC en momentos normales y de tensión. Las autoridades competentes evaluarán, en particular:

• (a) si el órgano de dirección tiene la responsabilidad general de establecer, aprobar y supervisar la aplicación de la estrategia de TIC de las entidades financieras, que debe estar alineada con la estrategia general de negocio de dichas entidades;
• (b) la definición y atribución claras de las funciones y responsabilidades clave, así como de los canales de información pertinentes, para que el marco de gestión de riesgos en materia de TIC y de seguridad sea eficaz, incluida la asignación de un presupuesto apropiado para apoyar adecuadamente las necesidades operativas de las TIC y la gestión de riesgos en materia de TIC y de seguridad;
• (c) si la gestión y la supervisión de los riesgos de TIC y de seguridad se confían a una función de control independiente y objetiva, debidamente segregada de los procesos operativos de TIC y no responsable de ninguna auditoría interna, y a una función de auditoría interna independiente;
• (d) los mecanismos para garantizar la identificación, el establecimiento y el mantenimiento de relaciones actualizadas entre las funciones de negocio, las responsabilidades y los procesos de apoyo para determinar la importancia de cada uno y sus interdependencias en relación con los riesgos en materia de TIC y de seguridad;
• (e) en la medida en que la información se conserve en sistemas de TIC, si se cumplirán los requisitos de seguridad de la información;
• (f) la escala, la complejidad y la importancia de las dependencias relacionadas con las TIC, si se prevé la externalización de las funciones operativas de los servicios de TIC y de cualquier actividad de los sistemas de TIC —incluido a entidades del grupo— o el uso de terceros en relación con dichas funciones y actividad.

⁵⁵ Tal y como se define en las Directrices de la ABE sobre gestión de riesgos de TIC y de seguridad , se entiende por «Riesgo de TIC y de seguridad»: «Riesgo de pérdida debido a la violación de la confidencialidad, al fallo de la integridad de los sistemas y los datos, a la inadecuación o indisponibilidad de los sistemas y los datos o a la imposibilidad de cambiar las tecnologías de la información (TI) en unos plazos y con unos costes razonables cuando cambian las necesidades del entorno o del negocio (es decir, la agilidad). Este riesgo incluye riesgos de seguridad resultantes de la inadecuación o el fallo de procesos internos o de sucesos externos, incluido el riesgo de ciberataques o el riesgo derivado de una seguridad física inadecuada».