9.4 Belső kontrollrendszer

Az illetékes hatóságoknak értékelniük kell, hogy a kérelmező hit elintézet rendelkezik-e olyan megfelelő belső kontrollrendszerrel, amely igazodik a hitelintézet tervezett tevékenységeihez, üzleti modelljéhez, összetettségéhez és a kapcsolódó kockázatokhoz (pl. az ügyfelek online beszállításához, kiberbiztonsági védelem hez és intézkedésekhez). Az illetékes hatóságoknak meg kell győződniük arról, hogy a hozzárendelt humán erőforrások megfelelőek mind a teljes munkaidős egyenértékek, mind a képesítések tekintetében, valamint arról, hogy a rendszerek és a költségvetés megfe lelő a feladatok elvégzésének támogatásához.

Az illetékes hatóságoknak felül kell vizsgálniuk a kérelem dokumentumait, és meg kell győződniük arról, hogy a feladatok és felelősségi körök megosztása lehetővé teszi a vezető testület számára, hogy teljes egészében ismerje hitelintézetük struktúráját⁴⁹ , és „[biztosítsa], hogy a belső kontroll funkciók függetlenek legyenek az általuk ellenőrzött üzletágaktól, a feladatok kellő mértékű elkülönítését, és azt is beleértve, hogy megfelelő pénzügyi és humán erőforrásokkal, valamint a feladataik hatékony végzéséhez szükséges hatáskörökkel rendelkezzenek. A hitelintézeten belüli jelentéstételi útvonalaknak és a felelősségi körök megállapításának egyértelműnek, jól körülhatároltnak, következetesnek, kikényszeríthetőnek és kellően dokumentáltnak kell lennie, különösen a kulcsfontosságú funkciót ellátó személyek esetében”⁵⁰ .

⁴⁹ Az EBH belső irányításról szóló iránymutatásának 71. bekezdése.

⁵⁰ Az EBH belső irányításról szóló iránymutatásának 68. bekezdése.

Az illetékes hatóságoknak világos képet kell alkotniuk arról, hogy a belső kontrollrendszer az intézmény valamennyi területét lefedi, és tükrözi a kockázatok kiküszöbölésére és kezelésére vonatkozó funkciók azonosítására szolgáló védelmi modell három irányvonalát.

E célból az illetékes hatóságoknak ellenőrizniük kell, hogy vannak -e olyan intézkedések, amelyek biztosítják, hogy az üzleti és támo gató egységek – az első védelmi vonal – elsősorban a tevékenységeik végzése során felmerülő kockázatok azonosításáért és kezeléséért, valamint a megfelelő eljárások és kontrollok létrehozásáért és fenntartásáért felelnek annak biztosítása céljából, hogy az ilyen kockázatokat elemzik, mérik, nyomon követik, megfelelően bejelentik, és azok a hitelintézet kockázatvállalási hajlandóságának keretein belül maradnak, valamint hogy megfelelnek a belső és külső szabályozási követelményeknek.

A második védelmi vonala t jelentő kockázatkezelési funkció és megfelelőség biztosítási funkció, valamint a belső ellenőrzési funkció, amely a harmadik védelmi vonal, jelenti a belső kontrollrendszeren belüli belső kontroll funkciókat. Az illetékes hatóságoknak ellenőrizniük kell, hogy e funkciók létrejönnek-e, figyelembe véve a 17–21. bekezdésben meghatározott arányossági kritériumokat, és hogy a feladataik ellátásához megfelelő és kellő önállósággal, kompetenciával és a vezető testülethez való hozzáféréssel rendelkeznek -e.

Annak biztosítása érdekében, hogy a belső ellenő rzési funkciók megfeleljenek a függetlenségi követelményeknek⁵¹ , az illetékes hatóságoknak ellenőrizniük kell, hogy a kérelem dokumentumai alapján a tervek szerint:

• (a) munkatársaik nem végeznek az olyan tevékenységek körébe tartozó operatív feladatot, amelyek et a belsőkontroll - funkciónak kell nyomon követnie és ellenőriznie;
• (b) szervezetileg külön vannak választva azoktól a tevékenységektől, amelyeket nyomon kell követniük és ellenőrizniük kell;
• (c) a vezető testület tagjainak az intézmény tekintetében fennálló általános felelőssége ellenére a belső kontroll funkció vezetője nem rendelhető alá olyan személynek, aki azoknak a tevékenységeknek az irányításáért felel, amelyeket a belső kontroll funkció nyomon követ és ellenőriz;
• (d) a belső kontroll funkció munkatársainak javadalmazása nem kötődhet azon tevékenységek teljesítményéhez, amelyeket a belső kontroll funkció nyomon követ és ellenőriz, és amelyek más módon veszélyeztethetik az objektivitásukat.

⁵¹ Lásd az EBH belső irányításról szóló iránymutatásának 175. bekezdését.

Az illetékes hatóságoknak ellenőrizniük kell, hogy a belső kontroll funkciók vezetői megfelelnek- e a következő követelményeknek:

• a) a hierarchia megfelelő, a kontroll funkció vezetőjének a feladatai ellátásához megfelelő felhatalmazást és kompetenciát biztosító szintjéről fogják kijelölni;
• b) függetlenek lesznek az ált aluk kontrollált üzletágaktól vagy szervezeti egységektől;
• c) a vezető testületnek tartoznak beszámolási kötelezettséggel és elszámolással, és teljesítményüket is a vezető testületnek kell vizsgálnia;
• d) szükség esetén kapcsolatba kerülhetnek a felügyeleti jogkö rrel rendelkező vezető testülettel és közvetlenül neki jelentenek, ha aggályaiknak kívánnak hangot adni, és figyelmeztetni kívánják a felügyeleti jogkörrel rendelkező testületet, adott esetben akkor, ha bizonyos fejlemények hatással vannak vagy lehetnek az intézményre.

A belső ellenőrzési funkciók hatékony gyakorlásának biztosítása érdekében az illetékes hatóságoknak meg kell győződniük arról, hogy elegendő költségvetési és megfelelő képzettséggel rendelkező emberi erőforrást különítettek el, figyelembe véve a célzott tevékenységek típusait, valamint a rendelkezésükre álló megfelelő IKT -rendszert és támogatást. 9.4.2 Kockázatkezelési funkció

Az illetékes hatóságoknak meg kell győződniük arról, hogy a hitelintézet a belső kontrollrendszer részeként át fogó, az egész hitelintézetre kiterjedő kockázatkezelési rendszerrel rendelkezik, amely teljes mértékben szem előtt tartja a hitelintézet valamennyi kockázati kitettségének gazdasági tartalmát.

Az illetékes hatóságoknak meg kell győződniük arról, hogy a ko ckázatkezelési funkció megkönnyíti a prudens kockázatkezelési rendszer egész intézményben történő megvalósítását, és hogy a hitelintézetben betöltött szerepe kiterjed a következőkben való részvételére: a) kockázati stratégia és döntés; b) jelentős változások értékelése; c) kockázatok azonosítása, mérése, értékelése, kezelése, mérséklése, nyomon követése és jelentése; d) a kockázatvállalási hajlandóság vagy limitek megsértése eseteinek értékelése és megoldásokra vonatkozó javaslat. E célból az illetékes hatóságoknak meg kell vizsgálniuk és értékelniük kell az ilyen kockázatok kezelésére vonatkozó stratégia tervezetét, beleértve a kockázati toleranciára és a kockázatvállalási hajlandóságra vonatkozó nyilatkozatot, valamint az értékelt kockázatnak a kockázatvál lalási hajlandósághoz való hozzáigazítását célzó intézkedéseket.

A kockázatkezelési funkció kockázati stratégiában és döntéshozatalban betöltött szerepét illetően az illetékes hatóságok vizsgálatának annak ellenőrzésére kell irányulnia, hogy a kérelem elői rányozza-e, hogy a kockázatkezelési funkció a tevékenység folytatásának korai szakaszában aktívan részt vesz a hitelintézet kockázatkezelési stratégiájának kidolgozásában, annak biztosításában, hogy a hitelintézet hatékony kockázatkezelési eljárásokkal ren delkezzen, valamint abban, hogy a vezető testület rendelkezésére álljon a kockázattal kapcsolatos minden olyan releváns információ, amely lehetővé teszi a hitelintézet kockázatvállalási hajlandóságszintjének megállapítását. Az illetékes hatóságoknak gondoskodniuk kell arról, hogy az kockázatkezelési funkciót oly módon dolgozzák ki, hogy az a kockázati stratégia és a kockázatvállalási hajlandóság megalapozottságának és fenntarthatóságának értékelésére fog irányulni, és hogy ez utóbbit megfelelően alakítsák á t egyedi kockázati korlátokká, többek között az üzleti egységek szintjén is, és hogy azt bevonják a kockázatkezelési stratégiákra vonatkozó döntés meghozatala előtti folyamatokba.

Ami a kockázatkezelési funkciónak a jelentős változások értékelésében betölt ött szerepét illeti, az illetékes hatóságoknak ellenőrizniük kell, hogy a rendkívüli ügyletekkel kapcsolatos döntések meghozatala előtt a kockázatkezelési funkció részvételét előírták -e annak érdekében, hogy értékeljék az ilyen változásoknak és rendkívüli ügyleteknek a hitelintézet általános kockázatára gyakorolt hatását, és hogy megállapításairól közvetlenül a vezető testületnek számoljon be a döntés meghozatala előtt.

Ami a kockázatkezelési funkciónak a kockázatok és a kockázatok kapcsolódó koncentrációinak azonosításában, mérésében, nyomon követésében, csökkentésében és jelentésében a vezető testület által jóváhagyandó szerepét illeti, az illetékes hatóságoknak gondoskodniuk kell arról, hogy szabályzatok és eljárások legyenek érvényben, és hogy a kockázatkezelési funkció hozzáférhessen minden olyan üzletághoz és más egységhez, amely kockázatot jelenthet.

A kockázatkezelési funkció szerepének a kockázatvállalási hajlandóság vagy limitek megsértése eseteinek (beleértve az ok megállapítását, valamint a kitett ség lezárásának, csökkentésének vagy fedezésének tényleges költségeivel és a kitettség fenntartásának esetleges költségeivel kapcsolatban végzett jogi és gazdasági elemzést) független értékelésére is ki kell terjednie. Azt is szem előtt kell tartani, hogy a kockázatkezelési funkciónak értesítenie kell az érintett üzletágakat és a vezető testületet, továbbá lehetséges megoldásokat kell javasolnia. Ennek érdekében a kockázatkezelési funkció közvetlenül a felügyeleti feladatot ellátó vezető testületnek jelent, ha a jogsértés jelentős, az egyéb belső funkcióknak és bizottságoknak való jelentéstételi lehetőségének sérelme nélkül.

9.4.3 Javadalmazási politika

A javadalmazási politika tervezete tekintetében a CRD 92. cikke (2) bekezdésének aa) pontja szerinti, nemek közötti semlegességre vonatkozó követelményeknek való megfelelés értékelése mellett az illetékes hatóságoknak különös figyelmet kell fordítaniuk annak ellenőrzésére, hogy az olyan munkavállalókra vonat kozó politika tervezete, akiknek szakmai tevékenységei jelentős hatást gyakorolnak a hitelintézet kockázati profiljára⁵² , összhangban van-e a CRD 94. cikkével és az EBH javadalmazási politikáról szóló iránymutatásával .

⁵² Az engedélyezéshez szükséges információkra vonatkozó szabályozástechnikai standard alapján nyújtották be.

Az illetékes hatóságoknak különös a k övetkezőket kell értékelniük: a) a javadalmazási politika tervezete összhangban van-e az intézmény tervezett kockázatvállalási hajlandóságával, üzleti stratégiájával és hosszú távú érdekeivel, és azt a tervek szerint a vezető testület fogja -e kezelni, jóvá hagyni és felügyelni; b) a javadalmazási politika előírja -e, hogy a hitelintézet kockázati profiljára jelentős hatást gyakorló munkavállalókat a CRD 94. cikke (3) bekezdésével összhangban megfelelően azonosítsák; a javadalmazási politika e konkrét munkavál lalók esetében előír - e konkrét javadalmazási követelményeket: többek között i. a javadalmazás változó és fix összetevője közötti arányt a CRD 94. cikke (1) bekezdésének g) pontjával összhangban és ii. instrumentumok formájában történő kifizetést, halasztás i szabályokat, beleértve a malust és a visszakövetelést, a CRD 94. cikke (1) bekezdésének l), m) és n) pontjával összhangban⁵³ .

9.4.4 Megfelelőség biztosítási funkció

⁵³ Különös tekintettel a CRD 94. cikkének (3) és (4) bekezdésében előírt eltérésekre.

Az illetékes hatóságoknak ellenőrizniük kell, hogy a megfelelőség biztosítási funkció a tervek szerint kezelni fogja- e a megfelelőségi kockázatot, tanácsot ad - e a vezető testület számára az alkalmazandó jogszabályoknak, szabályoknak, rendeleteknek és szabványoknak való megfelelést biztosító intézkedések meghozataláról, és a vezető testület felügyele te mellett végre hajtja- e a megfelelési kockázatok kezelésére és a megfelelés biztosítására irányuló politikákat és eljárásokat. Az illetékes hatóságoknak ellenőrizniük kell, hogy a megfelelőség biztosítási funkció megfelel - e a tevékenységek típusának és f öldrajzi eloszlásának (pl. a határokon átnyúló tevékenységek esetében a különböző joghatóságok alkalmazandó nemzeti jogszabályainak való megfelelés), a kockázatoknak és az összetettségnek, összhangban az üzleti modellel és az üzleti terv ezen iránymutatás 7. szakaszával összhangban végzett értékelésével.

A megfelelőség biztosítási funkciónak biztosítania kell, hogy a megfelelés nyomon követését strukturált és jól meghatározott megfelelés- nyomonkövetési program segítségével végezzék, és hogy a megfelelőségi politikát betartsák. Azt is szem előtt kell tartani, hogy a megfelelőség biztosítási funkció és a kockázatkezelési funkció saját feladatai elvégzése érdekében együttműködik, és adott esetben információt cserél.

Az illetékes hatóságoknak azt is ellenőrizniük kell, hogy a megfelelőség biztosítási funkciót megbízzák -e azzal, hogy kockázatkezelési funkcióval és a jogi területtel szoros együttműködésben ellenőrzi, hogy az új termékek és új eljárások megfelelnek -e az aktuális jogi keretnek, és adott esetben a jogszabályok, rendeletek és felügyeleti követelmények várható változásainak.

Az illetékes hatóságoknak ellenőrizniük kell, hogy – akár a megfelelőség biztosítási funkción belül, akár attól elkülönülve – létrehoznak egy, a pénzmosás és terrorizmusfinanszírozás elleni küzdelemmel kapcsolatos megfelelőség biztosítási funkciót a pénzmosás és a terrorizmus finanszírozása elleni küzdelemre vonatkozó adott rendeletnek és belső politikáknak való megfelelés érdekében.

9.4.5 A pénzmosás és terrorizmusfinanszírozás elleni politika

Az illetékes hatóságoknak ellenőrizniük kell, hogy a kérelmező hitelintézet által az engedélyezéshez szükséges információkra vonatkozó szabályozástechnikai standard 5. cikke (1) bekezdése c) pontjának iii. alpontja alapján benyújtott, pénzmosás és ter rorizmusfinanszírozás elleni küzdelemre vonatkozó politika áttekintést nyújt -e a pénzmosási irányelv 8. cikkének (3) bekezdésében meghatározott azon főbb politikákról és eljárásokról, amelyeket a pénzmosási és terrorizmusfinanszírozási kockázat kezelésére fogadnak el. E célból az illetékes hatóságok figyelembe veszik a 17–21. bekezdésben meghatározott arányossági kritériumokat.

Az illetékes hatóságoknak ellenőrizniük kell, hogy a tervezet kiterjed -e a pénzmosási irányelv 8. cikkének (4) bekezdésében⁵⁴ meghatározott valamennyi elemre, és megindokolja-e, hogy a kérelmező hitelintézet hogyan fogja biztosítani azon pénzmosási és terrorizmusfinanszírozási kockázatok csökkentését és hatékony kezelését, amelyeknek a piacra jutás időpontjától ki van téve. 9.4.6 Bels ő ellenőrzési feladatkör

⁵⁴ Ez a rendelkezés a következőképpen szól: „A (3) bekezdésben említett politikák, kontrollmechanizmusok és eljárás ok közé tartoznak a következők: (a) belső eljárásrend, kontrollmechanizmusok és eljárások kialakítása, ideértve a kockázatkezelési gyakorlatok modelljét, az ügyfél- átvilágítást, bejelentést, nyilvántartást, belső kontrollt, a jogszabályoknak való megfelelést, többek között, amennyiben a vállalkozás mérete és jellege indokolja, a jogszabályoknak való megfelelésért felelős vezető kinevezését és a munkavállalók átvilágítását; (b) amennyiben a vállalkozás mérete és jellege indokolja, független ellenőrzési funkció, ame lynek célja az a) pontban említett belső eljárásrend, kontrollmechanizmusok és eljárások tesztelése”.

Az illetékes hatóságoknak – a 17–21. bekezdésben meghatározott arányossági kritériumok figyelembevételével — értékelniük kell a kérelmező hitelintézet által létrehozott független és hatékony belső ellenőrzési funkciót. Kockázat - alapú megközelítés alapján az illetékes ható ságoknak világos képet kell kapniuk arról, hogy a belső ellenőrzési funkció képes lesz -e függetlenül felülvizsgálni és objektív biztosítékot nyújtani arról, hogy az intézmény összes tevékenysége és szervezeti egységei megfelelnek az intézmény politikáinak és eljárásainak, valamint az egyéb külső (nem prudenciális) követelményeknek.

E célból az illetékes hatóságoknak értékelniük kell, hogy a belső ellenőrzési funkció rendelkezik-e szervezeti függetlenséggel, valamint, hogy a belső ellenőrök objektivitása véd ve van- e a vezető testületnek való közvetlen jelentéstétellel és a feladatai ellátásához szükséges megfelelő erőforrásokkal. E célból azt is biztosítani kell, hogy a feladatainak ellátása érdekében a belső ellenőrzési funkció korlátlan, az egész intézményre kiterjedő hozzáféréssel rendelkezzen az intézmény összes nyilvántartásához, dokumentumához, információjához és épületéhez.

Az illetékes hatóságoknak azt is értékelniük kell, hogy a belső ellenőrzési funkció megbízást kap- e legalább a következőkre:

• (a) a bels ő kontrollrendszer megfelelősége, beleértve a politikák és eljárások megfelelőségét, valamint a jogi és szabályozási követelményeknek való megfelelést;
• (b) az ellenőrzési terv összeállítása évente legalább egyszer, az éves belső ellenőrzési kontrollcélok alapj án és annak a vezető testület általi jóváhagyási kötelezettsége;
• (c) a tevékenységeinek eredményein alapuló ajánlások benyújtása.

Azt is ellenőrizniük kell, hogy a tevékenység első három évére vonatkozó módszertan és belső ellenőrzési terv tervezete – beleértve a kiszervezett szolgáltatások ellenőrzését is – összhangban van-e a 7 . szakasznak megfelelően értékelt üzleti tervből eredő szervezeti struktúrával, tevékenységtípusokkal és kockázati profillal.

9.4.7 Működési reziliencia és üzletmenet -folytonossági politika és terv

Az üzletmenet- folytonossági politika és terv tervezetének biztosítania kell, hogy a kérelmező megbízható üzletmen et- folytonossági irányítási tervvel rendelkezzen a folyamatos működésének, valamint a súlyos üzletviteli fennakadások esetén bekövetkező veszteségek mérséklésének biztosítására. Biztosítania kell, hogy az üzletmenet -folytonossági politika és terv tartalmaz za az üzleti zavarok fő kockázatainak elemzését és a kockázatcsökkentő intézkedések áttekintését, valamint biztosítania kell az üzletmenet -folytonossági terv rendszeres tesztelését. 9.4.8 IKT-politika és -rendszerek

Az illetékes hatóságoknak értékelniük kell, hogy az IKT- politika megbízható információs és kommunikációs rendszereket biztosít -e a hitelintézet számára, és hogy az IKT-rendszerek képesek lesznek-e teljes mértékben támogatni a kockázatiadat- összesítési képességeket mind rendes körülmények között, mind stresszhelyzetben. Az illetékes hatóságoknak különösen azt kell értékelniük, hogy a hitelintézet képes- e legalább:

• (a) pontos és megbízható kockázati adatokat létrehozni;
• (b) az intézmény minden lényeges kockázati adatát begyűjteni és összesíteni;
• (c) időben összesített és naprakész kockázati adatokat létrehozni;
• (d) összesített kockázati adatokat létrehozni, hogy teljesítse a vezető testület vagy az illetékes hatóságok lekérhető kérelmeit;
• (e) az intézmények célzott tevékenységeit támogató információs és kommunikációs rendsze rek hiteles, megbízható és biztonságos működését biztosítani.

Az IKT- és biztonsági kockázatok⁵⁵ tekintetében az illetékes hatóságoknak meg kell győződniük arról, hogy a kezelési keretrendszer biztosítani fogja a hitelintézetek tevékenységét támogató infor mációs és kommunikációs rendszerek szilárd, megbízható és biztonságos működését, valamint az IKT- kockázatok megfelelő megelőzését, nyomon követését és csökkentését rendes körülmények között és stresszhelyzetekben. Az illetékes hatóságoknak különösen a köve tkezőket kell értékelniük:

• (a) a vezető testület általánosan elszámoltatható -e a pénzügyi intézmény azon IKT-stratégiájának kidolgozásáért, jóváhagyásáért és végrehajtásának felügyeletéért, amelyet össze kell hangolni a pénzügyi intézmények általános üzleti st ratégiájával;
• (b) egyértelmű meghatározták -e és kiosztották-e az IKT- és biztonságikockázat-kezelési keret eredményessége érdekében a kulcsfontosságú szerepeket és felelősségeket, valamint a vonatkozó jelentési útvonalakat, beleértve az IKT operatív igényeinek , valamint az IKT- és biztonsági kockázatkezelés megfelelő támogatására szolgáló megfelelő költségvetés elkülönítését;
• (c) az IKT- és biztonsági kockázatok kezelésével és felügyeletével egy független és objektív kontroll funkciót bíznak -e meg, amely megfelelően elkülönül az IKT működési folyamataitól, és nem felel semmilyen belső ellenőrzésért, valamint egy független belső kontroll funkciót;
• (d) az üzleti funkciók, szerepkörök és támogató folyamatok áttekintő táblája meghatározásának, létrehozásának és fo lyamatos frissítésnek biztosítását szolgáló rendelkezések, hogy azonosítsák ezek mindegyikének fontosságát és az IKT - és biztonsági kockázatokkal kapcsolatos kölcsönös függőségeiket;
• (e) amennyiben az információkat IKT-rendszerekben tárolják, érvényben lesznek-e az információbiztonsági követelmények;
• (f) az IKT- hoz kapcsolódó függőségek nagyságrendje, összetettsége és jelentősége, amennyiben az IKT- szolgáltatások operatív funkcióinak és az IKT -rendszerek bármely tevékenységének – ideértve a csoporthoz tartozó vállalkozásokat is – kiszervezését, vagy harmadik felek ilyen funkciókkal és tevékenységgel kapcsolatos igénybevételét tervezik.

⁵⁵ Az IKT- és biztonsági kockázatkezelésére vonatkozó EBH iránymutatások meghatározása szerint az „IKT- és biztonsági kockázat”: „A bizalmasság megsértéséből, a rendszerek és adatok sértetlenségének sérüléséből, a rendszerek és adatok megfelelőségének vagy elérhetetlenségének hiányából, illetve a környezeti vagy üzleti követelmények változása esetén az információs technológia (IT) észszerű időn belül és költségekkel járó megváltoztatására való (agilitás) képtelenségből adódó veszteség kockázata. Ide tartoznak a nem megfelelő vagy rosszul működő belső folyamatokból vagy külső eseményekből eredő biztonsági kockázatok, beleértve a kibertámadásokat vagy a nem megfelelő fizikai biztonságot is.