18 Uued tooted ja olulised muudatused

Uute toodete või olemasolevates toodetes, protsessides ja süsteemides oluliste muudatuste heakskiitmisse tuleks kaasata riskijuhtimise funktsiooni ning vastavuskontrolli funktsiooni. Muu hulgas peaksid nad täielikult ja objektiivselt hindama uuest tegevusest tulenevaid riske erinevate stsenaariumide alusel, mis tahes võimalikke puudusi krediidiasutuse või investeerimisühingu riskijuhtimise ja sisekontrolli raamistikes ning krediidiasutuse või investeerimisühingu suutlikkust võimalikke uusi riske tõhusalt juhtida. Lisaks peaks riskijuhtimise funktsioonil olema selge ülevaade uute toodete arendamisest (või olemasolevates toodetes, protsessides ja süsteemides oluliste muudatuste tegemisest) erinevate äriliinide ja portfellide lõikes ning õigus nõuda, et olemasolevate toodete muutmine toimuks uute toodete heakskiitmise protsessi kaudu.

Sisekontrolli funktsioonid peaksid hõlmama riskijuhtimise funktsiooni (vt jagu 20), vastavuskontrolli funktsiooni (vt jagu 21) ja siseauditi funktsiooni (vt jagu 22). Riskijuhtimise ja vastavuskontrolli funktsiooni peaks kontrollima siseauditi funktsioon. Kontrollifunktsioonide kohustused peaksid hõlmama ka rahapesu ja terrorismi rahastamise tõkestamise alaste nõuete täitmise tagamist.

Sisekontrolli funktsioonide ülesannete täitmise võib I jaotises loetletud proportsionaalsuse kriteeriumeid arvesse võttes asjaomaste krediidiasutuste või investeerimisühingute juhtorganite nõusolekul edasi anda konsolideerivale krediidiasutusele või investeerimisühingule või muule konsolideerimisgrupi sisesele või välisele üksusele. Ka siis, kui sisekontrolli ülesannete täitmine antakse osaliselt või täielikult edasi, on vastavate tegevuste ja krediidiasutuse või investeerimisühingu sisekontrolli funktsiooni alal hoidmise eest vastutavad siiski vastava sisekontrolli funktsiooni juht ja juhtorgan.

Krediidiasutused ja investeerimisühingud peaksid ilma, et see mõjutakse riiklikku direktiivi 2015/849/EL rakendamise alast õigust, määrama ühele personali liikmele (nt vastavuskontrolli juhile) kohustuse tagada krediidiasutuse või investeerimisühingu vastavus selle direktiivi nõuetele ja krediidiasutuse või investeerimisühingu poliitikale ning kordadele. Krediidiasutused ja investeerimisühingud võivad luua sõltumatu kontrollifunktsioonina eraldiseisva rahapesu ja terrorismi rahastamise tõkestamise alase võitluse nõuetele vastavuse kontrolli funktsiooni.³⁸ Rahapesu ja terrorismi rahastamise tõkestamise alase võitluse eest vastutav isik peaks vajaduse korral otse juhtimis- ja järelevalvefunktsiooni täitvale juhtorganile raporteerima.

³⁸ Vt ka EBA suuniseid rahapesu ja terrorismi rahastamise tõkestamise alastele nõuetele vastavuse tagamise funktsiooni kohta (praegu väljatöötamisel).

Sisekontrolli funktsioonide juhid tuleks ametisse määrata sobival hierarhiatasemel, mis annab kontrollifunktsiooni juhile kohustuste täitmiseks asjakohase võimu ja kaalu. Juhtorgani üldisest vastutusest olenemata peaksid sisekontrolli funktsioonide juhid olema juhitavatest äriliinidest või -üksustest sõltumatud. Selles kontekstis peaksid riskijuhtimise, vastavuskontrolli ja siseauditi funktsioonide juhid andma aru juhtorganile ja olema juhtorgani ees otseselt vastutavad ning juhtorgan peaks vaatama üle nende töötulemused.

Vajaduse korral peaks sisekontrolli funktsioonide juhtidel olema võimalus pääseda ligi ja otseselt raporteerida järelevalve funktsiooni täitvale juhtorganile, et osutada probleemidele ja hoiatada järelevalve funktsiooni, kui krediidiasutust või investeerimisühingut ohustavad või võivad ohustada teatud suundumused. Seejuures peaksid sisekontrolli funktsioonide juhid saama siiski kasutada aruandmiseks ka tavapäraseid aruandlusahelaid.

Krediidiasutused ja investeerimisühingud peaksid olema kehtestanud dokumenteeritud protsessid sisekontrolli funktsiooni juhi ametisse määramiseks ja tema volituste tühistamiseks. Ühelgi juhul ei tohiks sisekontrolli funktsioonide juhte ja direktiivi 2013/36/EL artikli 76 lõike 5 kohaselt ka riskijuhtimise funktsiooni juhti ametist kõrvaldada järelevalve funktsiooni täitva juhtorgani eelneva heakskiiduta. Kui tegu on oluliste krediidiasutuste ja investeerimisühingutega, tuleks pädevaid asutusi viivitamatult teavitada sisekontrolli funktsiooni juhi kõrvaldamise kinnitamisest ja selle peamistest põhjustest.

Et sisekontrolli funktsioone saaks pidada sõltumatuks, peaksid olema täidetud järgmised tingimused:

• a. nende töötajad ei tohiks täita ühtegi ülesannet, mis kuulub valdkonda, mida sisekontrolli funktsioonid peavad jälgima ja kontrollima;
• b. sisekontrolli funktsioonid peaksid olema organisatsiooniliselt lahutatud tegevusest, mida nad on määratud jälgima ja kontrollima;
• c. krediidiasutuse või investeerimisühingu juhtorgani liikmete üldisest vastutusest olenemata ei tohiks sisekontrolli funktsiooni juht olla allutatud isikule, kes vastutab sisekontrolli funktsioonide jälgitava ja kontrollitava tegevuse juhtimise eest; ja
• d. sisekontrolli funktsioonide töötajate tasustamine ei tohiks olla seotud selle tegevuse tulemuslikkusega, mida sisekontrolli funktsioon jälgib ja kontrollib, ning see ei tohiks ka muul viisil nende objektiivsust ohustada³⁹ .

³⁹ Vt ka EBA suunised usaldusväärse tasustamispoliitika kohta, mis on veebilehel https://www.eba.europa.eu/regulation-and-policy/remuneration/guidelines-on-sound-remuneration-policies.

Riskijuhtimise funktsiooni ja vastavuskontrolli funktsiooni võib I jaotises sätestatud proportsionaalsuse kriteeriumeid arvestades kombineerida. Siseauditi funktsiooni ei tohiks teiste sisekontrolli funktsioonidega kombineerida.

Sisekontrolli funktsioonide käsutuses peaksid olema piisavad ressursid. Sisekontrolli funktsioonidel peaks olema piisavalt kvalifitseeritud töötajaid (nii emaettevõtja kui ka tütarettevõtja tasandil). Personali kvalifikatsioon peaks olema järjepidevalt tagatud ja personalile tuleks vastavalt vajadusele pakkuda asjakohaseid koolitusi.

Sisekontrolli funktsioonidel peaksid olema asjakohased IT-süsteemid, nende käsutuses peaks olema vastav tugi ning neil peaks olema juurdepääs kohustuste täitmiseks vajalikule asutusesisesele ja välisele teabele. Sisekontrolli funktsioonidel peaks olema juurdepääs vajalikule teabele kõigi äriliinide ja vastavate riskantsete tütarettevõtjate kohta, eeskätt kui need võivad põhjustada krediidiasutusele või investeerimisühingule olulisi riske.