18 Uudet tuotteet ja merkittävät muutokset

Riskienhallintatoiminnon ja säännösten noudattamista valvovan toiminnon tulee osallistua uusien tuotteiden tai olemassa oleviin tuotteisiin, prosesseihin ja järjestelmiin tehtävien merkittävien muutosten hyväksymiseen. Niiden tehtävänä on muun muassa arvioida kattavasti ja objektiivisesti uusista toiminnoista eri skenaarioissa aiheutuvia riskejä, laitoksen riskienhallintajärjestelmässä ja sisäisessä valvontajärjestelmässä mahdollisesti ilmeneviä puutteita sekä laitoksen kykyä hallita tehokkaasti uusia riskejä. Riskienhallintatoiminnolla on myös oltava selkeä yleiskäsitys uusien tuotteiden markkinoille saattamisesta (tai merkittävien muutosten tekemisestä olemassa oleviin tuotteisiin, prosesseihin ja järjestelmiin) eri liiketoiminta-alueilla ja salkuissa sekä valtuudet edellyttää, että muutokset olemassa oleviin tuotteisiin käsitellään uusien tuotteiden hyväksymistä koskevien käytäntöjen mukaisessa virallisessa menettelyssä.

Sisäisten valvontatoimintojen tulee sisältää riskienhallintatoiminto (ks. 20 jakso), säännösten noudattamista valvova toiminto (ks. 21 jakso) ja sisäisen tarkastuksen toiminto (ks. 22 jakso). Sisäisen tarkastuksen toiminnon on tarkastettava riskienhallintatoiminnon ja säännösten noudattamista valvovan toiminnon toiminta. Valvontatoimintojen vastuulla on myös varmistaa rahapesun ja terrorismin rahoituksen torjuntaan liittyvien vaatimusten noudattaminen.

Sisäisen valvonnan toimintojen operatiiviset tehtävät voidaan ulkoistaa I osastossa luetellut suhteellisuusperiaatteen mukaiset kriteerit huomioon ottaen konsolidoivalle laitokselle tai muulle konserniin kuuluvalle tai sen ulkopuoliselle yksikölle kyseessä olevien laitosten ylimpien hallintoelinten suostumuksella. Vaikka sisäisen valvonnan operatiiviset tehtävät ulkoistettaisiin osittain tai kokonaisuudessaan, kyseisen sisäisen valvontatoiminnon päällikkö ja ylin hallintoelin ovat edelleen vastuussa näistä toimista sekä sisäisen valvontatoiminnon ylläpidosta laitoksen sisällä.

Rajoittamatta direktiivin 2015/849/EU täytäntöönpanevan kansallisen lainsäädännön soveltamista laitosten olisi annettava henkilöstön jäsenelle (esim. säännösten noudattamista valvovan toiminnon päällikkö) vastuu siitä, että laitos noudattaa kyseisen direktiivin vaatimuksia sekä laitoksen omia käytäntöjä ja menettelyjä. Laitokset voivat perustaa erillisen riippumattoman valvontatoiminnon, joka vastaa rahanpesuun ja terrorismin torjuntaan liittyvien säännösten noudattamisen valvonnasta.³⁸ Rahanpesun ja terrorismin rahoituksen torjunnasta vastaavan henkilön on tarvittaessa voitava raportoida suoraan johtotehtäväänsä hoitavalle ylimmälle hallintoelimelle ja valvontatehtäväänsä hoitavalle ylimmälle hallintoelimelle.

³⁸ Ks. myös EPV:n ohjeet rahanpesuun ja terrorismin torjuntaan liittyvien säännösten noudattamista valvovasta toiminnosta (laadittavana).

Sisäisten valvontatoimintojen päälliköiden tehtävät tulee perustaa sopivalle hierarkian tasolle, joka tarjoaa sisäisen valvontatoiminnon päällikölle asianmukaisen toimivallan ja painoarvon velvollisuuksiensa suorittamiseen. Ylimmän hallintoelimen kokonaisvastuusta huolimatta sisäisten valvontatoimintojen päälliköiden tulee olla riippumattomia valvomistaan liiketoiminta-alueista ja -yksiköistä. Tästä syystä riskienhallintatoiminnon, sääntöjen noudattamista valvovan toiminnon ja sisäisen tarkastuksen toiminnon päälliköiden tulee toimia suoraan ylimmän hallintoelimen alaisuudessa ja olla niille tilintekovelvollisia. Ylimmän hallintoelimen tulee myös arvioida päälliköiden suoriutumista.

Tarvittaessa sisäisten valvontatoimintojen päälliköillä tulee olla suora yhteys valvontatehtäväänsä hoitavaan ylimpään hallintoelimeen tuodakseen esiin ongelmia ja varoittaakseen tarvittaessa valvontatehtäväänsä hoitavaa ylintä hallintoelintä, mikäli jotkin tapahtumat vaikuttavat tai saattavat vaikuttaa laitokseen. Tämän ei tulisi estää sisäisten valvontatoimintojen päälliköitä raportoimasta myös säännönmukaisten raportointisuhteiden kautta.

Laitoksilla tulee olla käytössään dokumentoidut menettelyt sisäisen valvontatoiminnon päällikön nimittämiseksi ja tämän velvollisuuksien peruuttamiseksi. Joka tapauksessa sisäisten valvontatoimintojen päälliköitä ei tulisi erottaa tehtävästään ilman valvontatehtäväänsä hoitavan ylimmän hallintoelimen etukäteen antamaa suostumusta, eikä tätä direktiivin 2013/36/EU 76 artiklan 5 kohdan mukaisesti myöskään saa tehdä. Merkittävien laitosten osalta toimivaltaisille viranomaisille on ilmoitettava viipymättä suostumuksesta sisäisen valvontatoiminnon päällikön erottamiseen sekä erottamisen pääasiallisista perusteista.

Sisäisiä valvontatoimintoja voidaan pitää riippumattomina, jos ne täyttävät seuraavat edellytykset:

• a. Valvontatoimintojen henkilöstö ei hoida niiden toimien piiriin kuuluvia operatiivisia tehtäviä, joita sisäisten valvontatoimintojen on tarkoitus seurata ja valvoa.
• b. Valvontatoiminnot on organisaatiossa erotettu toimista, joiden seuraaminen ja valvonta on annettu niiden tehtäväksi.
• c. Huolimatta laitoksen ylimmän hallintoelimen jäsenten kokonaisvastuusta sisäisen valvontatoiminnon päällikön ei tule olla alaissuhteessa henkilöön, jonka vastuulla on kyseisen sisäisen valvontatoiminnon seuraamien ja valvomien toimien johtaminen.
• d. Sisäisten valvontatoimintojen henkilöstön palkkaus ei saa olla sidoksissa niiden toimien tulokseen, joita sisäinen valvonta seuraa ja valvoo, eikä sen yleensäkään pidä olla omiaan heikentämään henkilöstön objektiivisuutta³⁹ .

³⁹ Ks. myös EPV:n ohjeet moitteettomista palkitsemisjärjestelmistä, jotka ovat saatavilla osoitteessa https://www.eba.europa.eu/regulation-and-policy/remuneration/guidelines-on-sound-remuneration-policies.

Riskienhallintatoiminto ja säännösten noudattamista valvova toiminto voidaan yhdistää, kunhan siinä otetaan huomioon I osastossa määritellyt suhteellisuusperiaatteen mukaiset kriteerit. Sisäisen tarkastuksen toimintoa ei tule yhdistää minkään toisen sisäisen valvontatoiminnon kanssa.

Sisäisillä valvontatoiminnoilla tulee olla riittävät resurssit. Niillä tulee olla riittävä määrä pätevää henkilöstöä (sekä emoyrityksen että tytäryrityksen tasolla). Henkilöstön on ylläpidettävä pätevyyttään jatkuvasti, ja sille on annettava tarvittaessa koulutusta.

Sisäisten valvontatoimintojen käytettävissä on oltava asianmukaiset tietojärjestelmät ja tietotekninen tuki, ja niillä on oltava pääsy kaikkiin valvontatehtävien hoitamiseen tarvittaviin sisäisiin ja ulkoisiin tietoihin. Niillä tulee olla pääsy kaikkeen tarvittavaan tietoon, joka koskee kaikkia liiketoiminta-alueita ja keskeisiä riskejä kantavia tytäryrityksiä, erityisesti niitä, jotka saattavat aiheuttaa laitokselle olennaisia riskejä.