14 Rikkomusten ilmoittaminen toimivaltaisille viranomaisille

Pannessaan täytäntöön sisäistä valvontajärjestelmää laitosten tulee varmistaa tehtävien asianmukainen erillään pitäminen – esimerkiksi antamalla liiketoimien käsittelyssä tai palveluiden tarjoamisessa keskenään ristiriidassa olevat tehtävät eri henkilöille tai antamalla ristiriidassa olevien tehtävien valvontaa ja raportointia koskevat velvollisuudet eri henkilöille

• – sekä asettaa esteitä tiedonkululle esimerkiksi erottamalla tietyt osastot toisistaan fyysisesti.

Sisäisten valvontatoimintojen tulee tarkistaa, että sisäisessä valvontajärjestelmässä määritetyt käytännöt, mekanismit ja menettelyt pannaan täytäntöön oikealla tavalla niiden toimivaltuuksiin kuuluvilla osa-alueilla.

Sisäisten valvontatoimintojen on toimitettava ylimmälle hallintoelimelle säännöllisesti kirjallisia raportteja havaitsemistaan keskeisistä puutteista. Näiden raporttien tulee sisältää kunkin uuden havaitun puutteen osalta siihen liittyvät keskeiset riskit, vaikutusten arviointi, suositukset ja suoritettavat korjaavat toimenpiteet. Ylimmän hallintoelimen on suoritettava sisäisten valvontatoimintojen havaintojen pohjalta oikea-aikaista ja tehokasta seurantaa ja vaadittava asianmukaisia korjaavia toimia. Havaintoja ja suoritettuja korjaavia toimenpiteitä varten on luotava muodollinen seurantamenettely.

Laitoksilla tulisi osana yleistä sisäistä valvontajärjestelmää olla kokonaisvaltainen laitoksen laajuinen riskienhallintajärjestelmä, joka kattaa kaikki sen liiketoiminta-alueet ja sisäiset yksiköt, kuten sisäiset valvontatoiminnot, ja jonka avulla voidaan täysin tunnistaa kaikkien riskialtistusten taloudellinen sisältö. Riskienhallintajärjestelmän on autettava laitosta tekemään riskinottamista koskevia tietoon perustuvia päätöksiä. Riskienhallintajärjestelmän tulee kattaa taseeseen kuuluvat ja taseen ulkopuoliset riskit sekä olemassa olevat ja tulevat riskit, joille laitos voi altistua. Riskejä tulisi arvioida alhaalta ylöspäin ja ylhäältä alaspäin liiketoiminta-alueiden sisällä ja niiden välillä käyttämällä johdonmukaista terminologiaa ja yhteensopivia menetelmiä koko laitoksessa sekä konsolidoidulla ja alakonsolidointiryhmän tasolla. Riskienhallintajärjestelmän tulisi kattaa kaikki keskeiset riskit siten, että huomioidaan sekä taloudelliset että muut kuin taloudelliset riskit, kuten luotto-, markkina-, likviditeetti-, keskittymä- ja maineriskit sekä operatiiviset, tietotekniset, oikeudelliset ja menettelytapoja koskevat riskit, rahanpesuun ja terrorismin torjuntaan sekä muihin talousrikoksiin liittyvien säännösten noudattamista koskevat riskit, ympäristöön, yhteiskuntaan ja hallintotapaan liittyvät riskit sekä strategiset riskit.

Laitoksen riskienhallintajärjestelmän tulee sisältää käytännöt, menettelyt, riskirajat ja riskien valvontatoimet, joilla varmistetaan riittävä, oikea-aikainen ja jatkuva riskien havaitseminen, mittaaminen tai arviointi, valvonta, hallinta, lieventäminen ja ilmoittaminen liiketoiminta-alueen tasolla, laitoksen tasolla, konsolidoidulla tasolla tai alakonsolidointiryhmän tasolla.

Laitoksen riskienhallintajärjestelmässä on annettava yksityiskohtaiset ohjeet sen strategioiden täytäntöönpanosta. Ohjeissa on tarvittaessa asetettava ja ylläpidettävä sisäisiä rajoja, jotka vastaavat laitoksen riskinottohalua ja jotka on suhteutettu sen järkevään hoitoon, taloudelliseen vahvuuteen, pääomapohjaan ja strategisiin tavoitteisiin. Laitoksen riskiprofiilin tulee pysyä näiden asetettujen rajojen sisällä. Riskienhallintajärjestelmän avulla on varmistettava, että mikäli riskirajojen ylityksiä tapahtuu, käytössä ovat määritellyt menettelyt, joiden avulla niistä ilmoitetaan ja niihin puututaan asianmukaisella seurantamenettelyllä.