18 Nieuwe producten en ingrijpende wijzigingen

De risicobeheerfunctie en de nalevingsfunctie dienen te worden betrokken bij de goedkeuring van nieuwe producten of bij ingrijpende wijzingen van bestaande producten, processen en systemen. Hun bijdrage dient onder andere te bestaan uit een volledige en objectieve beoordeling van risico’s die uit nieuwe activiteiten voortvloeien onder verschillende scenario’s, van potentiële tekortkomingen in de kaders voor risicobeheer en interne controle van de instelling, en van het vermogen van de instelling om nieuwe risico’s doeltreffend te beheren. De risicobeheerfunctie dient ook een duidelijk overzicht te hebben van de uitrol van nieuwe producten (of van ingrijpende wijzigingen in bestaande producten, processen en systemen) binnen verschillende bedrijfsonderdelen en portefeuilles. Voorts dient hij of zij bevoegd te zijn om te vereisen dat wijzigingen van bestaande producten eerst behandeld worden in een formele procedure in het kader van het beleid voor de goedkeuring van nieuwe producten.

De interne controlefuncties dienen een risicobeheerfunctie (zie hoofdstuk 20), een nalevingsfunctie (zie hoofdstuk 21) en een interne auditfunctie (zie hoofdstuk 22) te omvatten. De risicobeheer- en de nalevingsfunctie dienen te worden gecontroleerd door de interne auditfunctie. De controlefuncties zijn er onder meer verantwoordelijk voor te waarborgen dat de AML/CFT-vereisten worden nageleefd.

De operationele taken van de interne controlefuncties kunnen, rekening houdend met de evenredigheidscriteria die worden genoemd in titel I, worden uitbesteed aan de consoliderende instelling of een andere entiteit binnen of buiten de groep met instemming van de leidinggevende organen van de betrokken instellingen. Zelfs wanneer operationele taken op het gebied van interne controle geheel of gedeeltelijk zijn uitbesteed, zijn het hoofd van de betrokken interne controlefunctie en het leidinggevend orgaan nog steeds verantwoordelijk voor deze activiteiten en voor de instandhouding van een interne controlefunctie binnen de instelling.

Onverminderd het nationale recht waarin Richtlijn 2015/849/EU wordt omgezet, dienen instellingen een personeelslid (bijv. het hoofd naleving) aan te wijzen dat verantwoordelijk is voor naleving, door de instelling, van de vereisten van die richtlijn en van haar eigen beleid en procedures. Instellingen kunnen een afzonderlijke AML/CTF-nalevingsfunctie instellen die als zelfstandige controlefunctie fungeert³⁸ . De voor AML/CTF verantwoordelijke dient zo nodig rechtstreeks te kunnen rapporteren aan het leidinggevend orgaan in zijn bestuursfunctie en zijn toezichtfunctie.

³⁸ Raadpleeg ook de EBA-richtsnoeren inzake de AML/CTF-nalevingsfunctie (in ontwikkeling).

Hoofden van interne controlefuncties dienen op een zodanig hiërarchisch niveau te worden aangesteld dat zij het gezag en de status krijgen die nodig zijn om hun verantwoordelijkheden te vervullen. Niettegenstaande de algemene verantwoordelijkheid van het leidinggevend orgaan, dienen hoofden van interne controlefuncties onafhankelijk te zijn van de bedrijfsonderdelen of eenheden die zij controleren. Daartoe dienen de hoofden van de risicobeheer-, nalevings- en interne auditfuncties te rapporteren en rechtstreeks verantwoording af te leggen aan het leidinggevend orgaan, en dienen hun prestaties te worden getoetst door het leidinggevend orgaan.

Waar nodig kunnen de hoofden van internecontrolefuncties toegang krijgen tot en rechtstreeks rapporteren aan het leidinggevend orgaan in zijn toezichtfunctie om punten van zorg aan te kaarten en de toezichtfunctie, waar nodig, te waarschuwen wanneer specifieke ontwikkelingen gevolgen hebben of kunnen hebben voor de instelling. Dit dient de hoofden van interne controlefuncties er niet van te weerhouden eveneens te rapporteren binnen de reguliere rapportagelijnen.

Instellingen dienen te beschikken over gedocumenteerde processen voor de toewijzing van de functie van hoofd interne controlefunctie en voor de intrekking van zijn of haar verantwoordelijkheden. In ieder geval dienen de hoofden interne controlefuncties – en krachtens artikel 76, lid 5, van Richtlijn 2013/36/EU het hoofd van de risicobeheerfunctie – niet zonder voorafgaande goedkeuring van het leidinggevend orgaan in diens toezichtfunctie uit hun functie te worden verwijderd. In significante instellingen dienen bevoegde autoriteiten direct geïnformeerd te worden over de goedkeuring en de belangrijkste redenen voor de verwijdering van een hoofd van een interne controlefunctie uit zijn functie.

Om als onafhankelijk te worden aangemerkt, dienen de interne controlefuncties aan de volgende voorwaarden te voldoen:

• a. hun personeelsleden verrichten geen operationele taken die vallen onder de activiteiten die de interne controlefuncties behoren te monitoren en controleren;
• b. ze zijn organisatorisch gescheiden van de activiteiten die zij dienen te monitoren en controleren;
• c. niettegenstaande de algemene verantwoordelijkheid van de leden van het leidinggevend orgaan voor de instelling, is het hoofd van een interne controlefunctie niet ondergeschikt aan een persoon die verantwoordelijk is voor het beheer van de activiteiten die de interne controlefunctie monitort en controleert;
• d. de beloning van personeel van de interne controlefunctie mag niet gekoppeld zijn aan de prestaties van de activiteiten die door de interne controlefunctie worden gemonitord en gecontroleerd, of anderszins zijn of haar objectiviteit denkelijk ondermijnen³⁹ .

³⁹ Zie ook de EBA-richtsnoeren betreffende een beheerst beloningsbeleid, beschikbaar op .

Rekening houdend met de evenredigheidscriteria die worden genoemd in titel I, kunnen de risicobeheerfunctie en de nalevingsfunctie worden gecombineerd. De interne auditfunctie dient niet te worden gecombineerd met een andere interne controlefunctie.

Interne controlefuncties dienen over voldoende personele middelen te beschikken. Zij dienen te beschikken over een toereikend aantal gekwalificeerde personeelsleden (zowel bij het moederbedrijf als bij een dochteronderneming). Het personeel dient continu gekwalificeerd te blijven en zo nodig te worden opgeleid.

Interne controlefuncties dienen te beschikken over passende IT-systemen en ondersteuning en toegang te hebben tot de interne en externe informatie die nodig zijn om hun verantwoordelijkheden na te komen. Zij dienen toegang te hebben tot alle benodigde informatie over alle bedrijfsonderdelen en relevante risicodragende dochterondernemingen, met name die welke potentieel belangrijke risico’s voor de instellingen kunnen voortbrengen.