14 Melding van inbreuken aan bevoegde autoriteiten

Bij de implementatie van het kader voor interne controle dienen instellingen een adequate scheiding van taken tot stand te brengen – waarbij bijvoorbeeld conflicterende activiteiten binnen de verwerking van transacties of bij het verlenen van diensten, alsmede toezichts- en rapportageverantwoordelijkheden in verband met conflicterende activiteiten aan verschillende personen worden toegewezen – en informatiebarrières op te stellen, bijvoorbeeld door middel van de fysieke scheiding van bepaalde afdelingen.

De interne controlefuncties dienen te controleren of het beleid, de mechanismen en de procedures die worden uiteengezet in het kader voor interne controle, correct ten uitvoer worden gelegd in hun respectieve bevoegdheidsgebieden.

Interne controlefuncties dienen regelmatig schriftelijk verslag uit te brengen aan het leidinggevend orgaan over grote vastgestelde gebreken. Deze verslagen dienen voor elk nieuw vastgesteld belangrijk gebrek de relevante betrokken risico’s, een effectbeoordeling, aanbevelingen en te nemen corrigerende maatregelen te bevatten. Het leidinggevend orgaan dient de bevindingen van de interne controlefuncties tijdig en doeltreffend op te volgen en toereikende herstelacties te vereisen. Er dient een formele follow-upprocedure voor bevindingen en corrigerende maatregelen te worden opgesteld.

Instellingen behoren als onderdeel van het algehele kader voor interne controle over een holistisch, instellingsbreed kader voor risicobeheer te beschikken dat zich uitstrekt over alle bedrijfsonderdelen en interne eenheden, met inbegrip van interne controlefuncties, waarin het economische belang van al haar risicoblootstellingen ten volle wordt erkend. Het kader voor risicobeheer dient de instelling in staat te stellen om geïnformeerde besluiten te nemen inzake het nemen van risico’s. Het kader voor risicobeheer dient risico’s binnen en buiten de balans te omvatten, evenals feitelijke risico’s en toekomstige risico’s waaraan de instelling mogelijk is, of kan worden, blootgesteld. Risico’s dienen bottom-up en top-down te worden beoordeeld, binnen elk bedrijfsonderdeel en over alle bedrijfsonderdelen heen, waarbij gebruik wordt gemaakt van consistente terminologie en onderling verenigbare methodieken binnen de gehele instelling en op geconsolideerd en gesubconsolideerd niveau. Het kader voor risicobeheer omvat alle relevante risico’s, waarbij zowel financiële als niet-financiële risico’s op passende wijze in aanmerking worden genomen, met inbegrip van krediet-, markt-, liquiditeits-, concentratie-, operationele, IT-, reputatie-, juridische en gedragsrisico’s, nalevingsrisico’s in verband met AML/CTF en andere financiële misdrijven, ESG-risico’s en strategische risico’s.

Het kader voor risicobeheer van een instelling dient beleid, procedures, risicolimieten en risicocontroles te bevatten die zorgen voor adequate, tijdige en permanente identificatie, meting of beoordeling, monitoring, beheer, beperking en rapportage van de risico’s op het niveau van het bedrijfsonderdeel, de instelling en op geconsolideerd of gesubconsolideerd niveau.

Dit kader dient specifieke sturing te geven aan de uitvoering van de strategieën van de instelling. Dit betekent dat zo nodig interne limieten dienen te worden vastgesteld en gehandhaafd die stroken met de risicobereidheid van de instelling, en overeenstemmen met het deugdelijk functioneren, de financiële kracht en de strategische doelstellingen van de instelling. Het risicoprofiel van een instelling dient binnen deze vastgestelde limieten te worden gehouden. Het kader voor risicobeheer behoort te waarborgen dat, wanneer risicolimieten worden overschreden, er een vaste procedure is om daar melding van te doen en er zorg wordt gedragen voor een passende follow-upprocedure.