9.4 Quadro di controllo interno

Le autorità competenti dovrebbero valutare se l’ente creditizio richiedente dispone di un quadro di controllo interno adeguato, commisurato alle attività previste, al modello di business, alla complessità e ai rischi associati dell’ente creditizio (ad esempio, acquisizione online di clienti, protezione e disposizioni in materia di sicurezza informatica). Le autorità competenti dovrebbero accertare l’adeguatezza delle risorse umane assegnate, in termini

(⁴⁷ ) EBA/GL/2015/18, disponibile all’indirizzo: https://www.eba.europa.eu/guidelines-on-product-oversight-and-governance-arrangements-for-retail-banking-products. tanto di numero di ETP quanto di qualifiche, nonché l’adeguatezza dei sistemi e del bilancio destinati a sostenere lo svolgimento dei compiti.

Le autorità competenti dovrebbero esaminare i documenti della domanda e assicurarsi che l’assegnazione dei compiti e delle responsabilità consentirà all’organo di gestione di conoscere e comprendere pienamente la struttura del loro ente creditizio (⁴⁸ ) e di «garantire che le funzioni di controllo interno siano indipendenti dalle linee di business soggette al loro controllo, il che include un’adeguata separazione delle funzioni oltre a risorse finanziarie e umane idonee, nonché poteri per esercitare il proprio ruolo in modo efficace. Le linee di segnalazione e la ripartizione delle responsabilità, in particolare fra il personale che riveste ruoli chiave, all’interno di un ente creditizio dovrebbero essere chiare, ben definite, coerenti, applicabili e debitamente documentate» (⁴⁹ ).

Le autorità competenti dovrebbero disporre di una visione chiara del fatto che il quadro di controllo interno copre tutti i settori dell’ente e riflette le tre linee del modello di difesa per l’individuazione delle funzioni incaricate di affrontare e gestire i rischi.

A tal fine, le autorità competenti dovrebbero verificare che siano predisposti dispositivi destinati ad assicurare che le unità operative e di sostegno, ossia la prima linea di difesa, siano competenti in prima battuta per l’individuazione e la gestione dei rischi in cui incorrono nello svolgimento delle loro attività, nonché per l’istituzione e il mantenimento di processi e controlli adeguati per assicurare che tali rischi siano analizzati, misurati, monitorati, debitamente segnalati e mantenuti entro i limiti della propensione al rischio dell’ente creditizio e che siano conformi ai requisiti normativi interni ed esterni.

La funzione di gestione del rischio e la funzione di conformità, ossia la seconda linea di difesa, unitamente alla funzione di audit interno, che costituisce la terza linea di difesa, rappresentano le funzioni di controllo interno nel contesto del quadro di controllo interno. Le autorità competenti dovrebbero verificare che saranno stabilite, tenendo conto dei criteri di proporzionalità di cui ai punti da 17 a 21 e che saranno dotate di autorità, peso e accesso diretto adeguati e sufficienti all’organo di gestione al fine di svolgere la loro missione.

Per garantire che le funzioni di controllo interno siano conformi ai requisiti di indipendenza (⁵⁰ ), le autorità competenti dovrebbero verificare che, sulla base dei documenti della domanda, si preveda che:

• a) il loro personale non svolge compiti operativi che rientrano nell’ambito delle attività che le funzioni di controllo interno sono tenute a monitorare e controllare;
• b) dal punto di vista organizzativo, tali funzioni siano separate dalle attività che sono tenute a monitorare e controllare;

(⁴⁸ ) Punto 71 degli orientamenti dell’ABE sulla governance interna.

(⁴⁹ ) Punto 68 degli orientamenti dell’ABE sulla governance interna.

(⁵⁰ ) Cfr. punto 175 degli orientamenti dell’ABE sulla governance interna.

• c) fatta salva la responsabilità generale dei membri dell’organo di gestione per l’ente, il responsabile di una funzione di controllo interno non dovrebbe essere subordinato a una persona responsabile di gestire le attività che la funzione di controllo interno monitora e controlla;
• d) la remunerazione del personale adibito alla funzione di controllo interno non dovrebbe essere legata ai risultati delle attività che la funzione di controllo interno monitora e controlla, né ad altro che ne comprometta l’obiettività.

Le autorità competenti dovrebbero verificare che i responsabili delle funzioni di controllo interno soddisfino i seguenti requisiti:

• a) siano posti a un livello gerarchico adeguato che fornisca al responsabile della funzione di controllo l’autorità appropriata e la levatura necessaria per adempiere alle proprie responsabilità;
• b) siano indipendenti dalle linee di attività o dalle unità soggette al loro controllo;
• c) riferiscano e rispondano direttamente all’organo di gestione che ne dovrebbe riesaminare le prestazioni;
• d) laddove necessario, abbiano accesso e riferiscano direttamente all’organo di supervisione strategica, al fine di sollevare dubbi e avvisare tale funzione, laddove opportuno, in merito a sviluppi specifici che interessano o possano interessare l’ente.

Al fine di assicurare che le funzioni di controllo interno possano essere esercitate in maniera efficace, le autorità competenti dovrebbero accertare che a tali funzioni siano assegnate risorse economiche e umane sufficienti, con qualifiche adeguate, tenendo conto dei tipi di attività interessate, nonché di un sistema ICT adeguato e di un sostegno a loro disposizione.

9.4.2 Funzione di gestione dei rischi

Le autorità competenti dovrebbero accertare che, nel contesto del quadro di controllo interno, l’ente creditizio disporrà di un quadro olistico per la gestione dei rischi a livello dell’ente, che riconosca pienamente la sostanza economica di tutte le esposizioni al rischio dell’ente creditizio.

Le autorità competenti dovrebbero accertare che la funzione di gestione dei rischi faciliterà l’attuazione di un solido quadro di gestione dei rischi in tutto l’ente e che il suo ruolo all’interno dell’ente creditizio comprenda il suo coinvolgimento nel contesto: a) della strategia e delle decisioni in materia di rischi; b) della valutazione di modifiche sostanziali; c) dell’individuazione, della misurazione, della valutazione, della gestione, dell’attenuazione, del monitoraggio e della rendicontazione di rischi; d) della valutazione di violazioni della propensione al rischio o dei limiti e delle raccomandazione di rimedi. A tal fine, le autorità competenti dovrebbero riesaminare e valutare altresì la descrizione della strategia per la gestione di tali rischi, includendo una dichiarazione sulla tolleranza al rischio e sulla propensione al rischio nonché misure destinate ad allineare il rischio valutato alla propensione al rischio.

Per quanto concerne il ruolo della funzione di gestione dei rischi nella strategia e nel processo decisionale in materia di rischi, l’esame delle autorità competenti dovrebbe mirare a verificare che la domanda preveda il coinvolgimento attivo della funzione di gestione dei rischi in una fase iniziale in condizioni di continuità operativa nell’elaborazione della strategia in materia di rischi dell’ente creditizio, nell’assicurare che l’ente creditizio disponga di processi efficaci di gestione dei rischi e nel fornire all’organo di gestione tutte le informazioni pertinenti relative ai rischi per consentire la determinazione del livello di propensione al rischio dell’ente creditizio. Le autorità competenti dovrebbero assicurare che sia previsto che la funzione di gestione dei rischi valuti la solidità e la sostenibilità della strategia in materia di rischi e della propensione al rischio e che quest’ultima si traduca adeguatamente in limiti specifici di rischio, anche a livello di unità operative, e che tale funzione sia coinvolta prima che l’organo di gestione prenda una decisione circa le strategie in materia di rischi.

Per quanto concerne il ruolo della funzione di gestione dei rischi nella valutazione delle modifiche sostanziali, le autorità competenti dovrebbero verificare che il coinvolgimento di tale funzione sia previsto prima dell’adozione di decisioni in merito ad operazioni eccezionali, in maniera da consentirle di valutare l’impatto di tali modifiche e operazioni eccezionali sul rischio complessivo dell’ente creditizio e di comunicare le sue conclusioni direttamente all’organo di gestione prima dell’adozione di una decisione.

Per quanto concerne il ruolo della funzione di gestione dei rischi nell’individuare, nel misurare, nel monitorare, nell’attenuare e nel segnalare i rischi e le concentrazioni di rischio associati, che devono essere approvati dall’organo di gestione, le autorità competenti dovrebbero assicurarsi che siano in atto politiche e procedure e che la funzione di gestione dei rischi abbia accesso a tutte le linee di attività e ad altre unità capaci potenzialmente di generare rischi.

Il ruolo della funzione di gestione dei rischi dovrebbe comprendere altresì la valutazione indipendente di violazioni della propensione al rischio o dei limiti di rischio (anche accertando la causa ed eseguendo un’analisi giuridica ed economica dei costi effettivi di eliminazione, riduzione o copertura dell’esposizione rispetto al costo potenziale del suo mantenimento). È opportuno prevedere che la funzione di gestione dei rischi informerà le unità operative interessate e l’organo di gestione e raccomanderà possibili misure correttive. A tale fine la funzione di gestione dei rischi dovrebbe essere in grado di segnalare direttamente eventuali violazioni gravi all’organo di gestione nella sua funzione di supervisione strategica, fatta salva la possibilità per la funzione di gestione dei rischi di informare altre funzioni e comitati interni. 9.4.3 Politica di remunerazione

Per quanto concerne la descrizione della politica di remunerazione, oltre a valutare il rispetto dei requisiti di neutralità rispetto al genere di cui all’articolo 92, paragrafo 2, lettera a) bis , CRD, le autorità competenti dovrebbero prestare particolare attenzione alla verifica che la descrizione della politica relativa ai membri del personale le cui attività professionali incidono in maniera sostanziale sul profilo di rischio dell’ente creditizio (⁵¹ ) sia in linea con l’articolo 94 CRD e con gli orientamenti dell’ABE in materia di politica di remunerazione .

In particolare, dovrebbero valutare se: a) la descrizione della politica di remunerazione è in linea con la propensione al rischio prevista dall’ente, la sua strategia aziendale e i suoi interessi a lungo termine, e se si prevede che sia gestita, approvata e supervisionata dall’organo di gestione; b) prevede che il personale che incide in maniera significativa sul profilo di rischio dell’ente sia individuato adeguatamente in linea con l’articolo 92, paragrafo 3, e l’articolo 94, paragrafo 3, CRD; c) prevede requisiti specifici in materia di remunerazione per tali membri specifici del personale, tra l’altro i) un rapporto tra remunerazione variabile e fissa in linea con l’articolo 94, paragrafo 1, lettera g), CRD; e ii) il pagamento in strumenti, meccanismi di differimento, compresi malus e restituzione, in linea con l’articolo 94, paragrafo 1, lettere l),

• m) e n), CRD (⁵² ).

9.4.4 Funzione di conformità

Le autorità competenti dovrebbero verificare che sia previsto che la funzione di conformità gestirà il rischio di conformità, fornirà consulenza all’organo di gestione sulle misure da adottare per assicurare la conformità rispetto a leggi, norme, regolamenti e standard applicabili e attuerà, sotto la supervisione dell’organo di gestione, politiche e processi destinati a gestire i rischi di conformità e assicurare la conformità. Le autorità competenti dovrebbero verificare che la funzione di conformità sia adeguata per le tipologie e la distribuzione geografica delle attività (ad esempio rispetto del diritto nazionale applicabile dei vari paesi nel caso di attività svolte su base transfrontaliera), i rischi e la complessità in linea con la valutazione del modello di business e del piano aziendale effettuata conformemente alla sezione 7 dei presenti orientamenti.

La funzione di conformità dovrebbe garantire che il monitoraggio della conformità sia eseguito mediante un programma di monitoraggio della conformità strutturato e ben definito a tale scopo e che la politica di conformità sia rispettata. È inoltre opportuno prevedere che la funzione di conformità e la funzione di gestione dei rischi coopereranno e si scambieranno le informazioni necessarie per svolgere i rispettivi compiti.

Le autorità competenti dovrebbero altresì verificare che la funzione di conformità sarà incaricata di verificare, in stretta cooperazione con la funzione di gestione dei rischi e con l’ufficio legale, che i nuovi prodotti e le nuove procedure rispettino il quadro normativo vigente

(⁵¹ ) Presentato ai sensi della norma tecnica di regolamentazione sulle informazioni per l’autorizzazione.

(⁵² ) Con particolare riguardo alle deroghe previste all’articolo 94, paragrafi 3 e 4, CRD. e, laddove appropriato, qualunque modifica imminente della legislazione, dei regolamenti e degli obblighi di vigilanza.

Le autorità competenti dovrebbero verificare che sia prevista l’istituzione di una funzione di conformità AML/CTF per la conformità rispetto alla normativa specifica in materia di riciclaggio e finanziamento del terrorismo e alle politiche interne, all’interno della funzione di conformità

• o separatamente dalla stessa.

9.4.5 Politica AML/CFT

Le autorità competenti dovrebbero verificare che la politica AML/CTF, presentata dall’ente creditizio richiedente a norma dell’articolo 5, paragrafo 1, lettera c), punto iii), della norma tecnica di regolamentazione sulle informazioni per l’autorizzazione , fornisca una panoramica delle politiche e procedure principali, di cui all’articolo 8, paragrafo 3, della direttiva antiriciclaggio, che saranno messe in atto per contrastare il rischio di riciclaggio/finanziamento del terrorismo. A tal fine, le autorità competenti terranno conto dei criteri di proporzionalità di cui ai punti da 17 a 21.

Le autorità competenti dovrebbero verificare che la descrizione comprenda tutti gli elementi di cui all’articolo 8, paragrafo 4 (⁵³ ), della direttiva antiriciclaggio e dimostrare in che modo l’ente creditizio richiedente garantirà di poter attenuare e gestire efficacemente i rischi di riciclaggio/finanziamento del terrorismo ai quali è esposto a partire dal giorno in cui accede al mercato.

9.4.6 Funzione di audit interno

Le autorità competenti, tenendo conto dei criteri di proporzionalità di cui ai punti da 17 a 21, dovrebbero valutare la funzione di audit interno indipendente ed efficace istituita dall’ente creditizio richiedente. Le autorità competenti dovrebbero acquisire una visione chiara del fatto che, secondo un approccio basato sul rischio, la funzione di audit interno sarà in grado di esaminare in modo indipendente e offrire una garanzia obiettiva della conformità di tutte le attività e le unità dell’ente creditizio, incluse le attività esternalizzate, alle politiche e alle procedure dell’ente e ad altri requisiti esterni (non prudenziali).

A tal fine, le autorità competenti dovrebbero valutare se la funzione di audit interno disponga di una propria indipendenza organizzativa e l’obiettività dei revisori interni sia tutelata da comunicazioni dirette all’organo di gestione e da risorse adeguate per lo svolgimento dei suoi compiti. Con questo obiettivo, si dovrebbe altresì garantire che la funzione di audit interno

(⁵³ ) Tale disposizione recita: «[l]e politiche, i controlli e le procedure di cui al paragrafo 3 includono:

• a) l’elaborazione di politiche, controlli e procedure interni, tra cui pratiche di riferimento per la gestione dei rischi, adeguata verifica della clientela, segnalazione, conservazione dei documenti, controllo interno, gestione della conformità ivi inclusa, se adeguata rispetto alle dimensioni e alla natura dell’attività economica, la nomina di un responsabile della conformità a livello dirigenziale, e indagine sui dipendenti;
• b) se del caso, in funzione delle dimensioni e della natura dell’attività economica, una funzione di revisione indipendente per la verifica delle politiche, dei controlli e delle procedure interni di cui alla lettera a)». disponga di libero accesso a tutti gli archivi, a tutti i documenti, a tutte le informazioni e a tutti gli edifici dell’ente per la prestazione delle sue funzioni.

Le autorità competenti dovrebbero inoltre valutare se alla funzione di audit interno sono affidati quanto meno i seguenti compiti:

• a) adeguatezza del quadro di controllo interno, compresa l’adeguatezza di politica e procedure e la conformità ai requisiti giuridici e normativi;
• b) elaborazione di un piano di audit almeno una volta l’anno sulla base degli obiettivi annuali di controllo dell’audit interno e che deve essere approvato dall’organo di gestione;
• c) presentazione di raccomandazioni basate sulle risultanze delle sue attività.

Le autorità competenti dovrebbero altresì verificare che la descrizione della metodologia e del piano di audit interno per i primi tre anni di attività, compreso l’audit dei servizi esternalizzati, sia coerente con la struttura organizzativa, le tipologie di attività e il profilo di rischio risultanti dal piano aziendale valutato conformemente alla sezione 7.

9.4.7 Politica e piano in materia di resilienza operativa e di continuità operativa

Le descrizioni della politica e del piano in materia di continuità operativa dovrebbero assicurare che il richiedente disponga di un solido piano di gestione della continuità operativa per garantire la sua capacità di operare su base continuativa e limitare le perdite in caso di grave interruzione dell’attività. Dovrebbero assicurare che la politica e il piano in materia di continuità operativa includano un’analisi dei rischi principali di interruzione dell’attività e una panoramica delle misure di attenuazione, nonché assicurare la verifica periodica del piano di continuità operativa.

9.4.8 Politica in materia di ICT e sistemi corrispondenti

Le autorità competenti dovrebbero valutare se la politica in materia di ICT fornirà all’ente creditizio sistemi di informazione e comunicazione affidabili e se i sistemi ICT saranno in grado di sostenere pienamente le capacità di aggregazione dei dati sui rischi in condizioni normali nonché durante periodi di stress. In particolare, le autorità competenti dovrebbero valutare se l’ente creditizio sarà almeno in grado di:

• a) generare dati su rischi precisi e affidabili;
• b) acquisire e aggregare tutti i dati rilevanti sui rischi all’interno dell’ente;
• c) generare in modo tempestivo dati aggregati e aggiornati sui rischi; nonché
• d) generare dati aggregati sui rischi per soddisfare una vasta gamma di richieste puntuali da parte dell’organo di amministrazione o delle autorità competenti;
• e) garantire un funzionamento robusto, affidabile e sicuro dei sistemi di informazione e comunicazione a sostegno delle attività interessate degli enti.

Per quanto concerne i rischi ICT e di sicurezza (⁵⁴ ), le autorità competenti dovrebbero accertarsi che il quadro di gestione garantirà il funzionamento robusto, affidabile e sicuro dei sistemi di informazione e comunicazione a sostegno delle attività degli enti creditizi, nonché una prevenzione, un monitoraggio e un’attenuazione adeguati dei rischi ICT in condizioni normali e durante periodi di stress. Le autorità competenti dovrebbero valutare, in particolare:

• a) se l’organo di gestione sia investito di una assunzione di responsabilità generale per quanto riguarda la definizione, l’approvazione e la supervisione dell’attuazione della strategia ICT degli enti finanziari, che dovrebbe essere allineata alla strategia aziendale complessiva di tali enti;
• b) la definizione e l’attribuzione in maniera chiara di ruoli e responsabilità principali, nonché le linee di segnalazione pertinenti, affinché il quadro di gestione dei rischi ICT e di sicurezza sia efficace, compresa l’assegnazione di un bilancio adeguato per sostenere adeguatamente le esigenze operative in materia di ICT e la gestione dei rischi ICT e di sicurezza;
• c) se la gestione e la sorveglianza dei rischi ICT e di sicurezza siano attribuite a una funzione di controllo indipendente e obiettiva, adeguatamente separata dai processi operativi ICT e non responsabile di alcun audit interno, nonché a una funzione di audit interno indipendente;
• d) i dispositivi destinati ad assicurare l’individuazione, l’istituzione e la gestione della mappatura aggiornata delle funzioni aziendali, dei ruoli e dei processi di sostegno per determinare l’importanza e le interdipendenze di ciascuno di essi in relazione ai rischi ICT e di sicurezza;
• e) nella misura in cui le informazioni sono detenute su sistemi ICT, se saranno in vigore i requisiti in materia di sicurezza delle informazioni;
• f) la portata, la complessità e l’importanza delle dipendenze connesse alle ICT, se si prevede l’esternalizzazione di funzioni operative di servizi ICT e di qualsiasi attività dei sistemi ICT, anche a entità di gruppo, o il ricorso a terzi in relazione a tali funzioni e attività.

(⁵⁴ ) Secondo la definizione di cui agli orientamenti dell’ABE sulla gestione dei rischi ICT e di sicurezza , per «rischio ICT e di sicurezza» si intende: «[i]l rischio di perdita dovuta alla violazione della riservatezza, la carente integrità dei sistemi e dei dati, l’inadeguatezza o l’indisponibilità dei sistemi e dei dati o l’incapacità di sostituire la tecnologia dell’informazione (IT) entro ragionevoli limiti di tempo e costi nel caso di modifica dei requisiti del contesto esterno o dell’attività (ossia l’agilità). Questo comprende i rischi di sicurezza derivanti da processi interni inadeguati o errati o da eventi esterni, compresi gli attacchi informatici o una sicurezza fisica inadeguata».