9.4 Kader voor interne controle

De bevoegde autoriteiten moeten beoordelen of de aanvragende kredietinstelling over een passend kader voor interne controle beschikt, dat in verhouding staat tot de beoogde activiteiten, het bedrijfsmodel, de complexiteit en de daaraan verbonden risico’s van de kredietinstelling (bijvoorbeeld de online inschrijving van nieuwe cliënten, bescherming en regelingen op het gebied van cyberbeveiliging). De bevoegde autoriteiten moeten kunnen vaststellen dat de toegewezen personele middelen toereikend zijn, zowel wat het aantal vte’s als wat de kwalificaties betreft, en dat de systemen en de begroting toereikend zijn voor de uitvoering van de taken.

De bevoegde autoriteiten moeten met behulp van de aanvraagdocumenten kunnen vaststellen dat het leidinggevend orgaan door de daaruit blijkende verdeling van taken en verantwoordelijkheden in staat is om de structuur van hun kredietinstelling ten volle te kennen⁴⁹ en “ervoor te zorgen dat de interne controlefuncties onafhankelijk zijn van de bedrijfsonderdelen die zij controleren, wat onder meer inhoudt dat er een adequate scheiding van taken is, en dat zij over de passende financiële en personele middelen en bevoegdheden beschikken om hun taak naar behoren te vervullen. De rapportagelijnen en de toewijzing van verantwoordelijkheden binnen een instelling, met name die tussen medewerkers met een sleutelfunctie, behoren helder, welomschreven, samenhangend en afdwingbaar, en adequaat gedocumenteerd te zijn”.⁵⁰

⁴⁹ Lid 71 van de EBA-richtsnoeren inzake interne governance.

⁵⁰ Lid 68 van de EBA-richtsnoeren inzake interne governance.

De bevoegde autoriteiten moeten kunnen vaststellen dat het interne controlekader alle terreinen van de instelling bestrijkt en een gebaseerd is op het concept van de drie verdedigingslinies voor het bepalen van de functies voor het aanpakken en beheersen van risico’s.

Daartoe moeten de bevoegde autoriteiten nagaan of er regelingen zijn getroffen om ervoor te zorgen dat de bedrijfsonderdelen en ondersteunende afdelingen, de eerste verdedigingslinie, in eerste instantie verantwoordelijk zijn voor het onderkennen en beheersen van de risico’s die zij bij de uitvoering van hun activiteiten lopen, en voor het instellen en in stand houden van adequate processen en controles om ervoor te zorgen dat deze risico’s worden geanalyseerd, gemeten, gemonitord, naar behoren gerapporteerd en binnen de grenzen van de risicobereidheid van de kredietinstelling worden gehouden, en dat zij voldoen aan de interne en externe voorschriften in de regelgeving.

De risicomanagementfunctie en de nalevingsfunctiefunctie, de tweede verdedigingslinie, vormen samen met de interne-auditfunctie, die de derde verdedigingslinie vormt, de internecontrolefuncties binnen het internecontrolekader. De bevoegde autoriteiten moeten nagaan of deze zullen worden ingesteld, waarbij rekening wordt gehouden met de evenredigheidscriteria van de paragrafen 17 tot en met 21, en of zij voldoende gezag, aanzien en directe toegang tot het leidinggevend orgaan zullen krijgen om hun taak te vervullen.

Om ervoor te zorgen dat de internecontrolefuncties voldoen aan de onafhankelijkheidsvereisten⁵¹ , moeten de bevoegde autoriteiten op basis van de aanvraagdocumenten nagaan of het volgende zal worden geregeld:

• a) hun personeelsleden verrichten geen operationele taken die vallen onder de activiteiten die de interne controlefuncties behoren te monitoren en controleren;
• b) ze zijn organisatorisch gescheiden van de activiteiten die zij moeten monitoren en controleren;
• c) niettegenstaande de algemene verantwoordelijkheid van de leden van het leidinggevend orgaan voor de instelling, is het hoofd van een interne controlefunctie niet ondergeschikt aan een persoon die verantwoordelijk is voor het beheer van de activiteiten die de interne controlefunctie monitort en controleert;
• d) De beloning van personeel van de interne controlefunctie mag niet gekoppeld zijn aan de prestaties van de activiteiten die door de interne controlefunctie worden gemonitord en gecontroleerd, of anderszins zijn of haar objectiviteit denkelijk ondermijnen.

⁵¹ Zie lid 175 van de EBA-richtsnoeren betreffende interne governance.

De bevoegde autoriteiten moeten nagaan of de hoofden van de interne controlefuncties aan de volgende eisen voldoen:

• a) zij moeten op een zodanig hiërarchisch niveau worden aangesteld dat zij het gezag en de status krijgen die nodig zijn om hun verantwoordelijkheden te vervullen.
• b) zij zijn onafhankelijk van de bedrijfsactiviteiten of -eenheden die zij controleren;
• c) zij rapporteren en zijn rechtstreeks verantwoording verschuldigd aan het leidinggevend orgaan, en hun prestaties moeten door het leidinggevend orgaan worden beoordeeld;
• d) waar nodig kunnen zij toegang krijgen tot en rechtstreeks rapporteren aan het leidinggevend orgaan in zijn toezichthoudende functie om punten van zorg aan te kaarten en de toezichthoudende functie, waar nodig, te waarschuwen wanneer specifieke ontwikkelingen gevolgen hebben of kunnen hebben voor de instelling.

Als waarborg dat de internecontrolefuncties doeltreffend kunnen worden uitgeoefend, moeten de bevoegde autoriteiten kunnen vaststellen dat deze functies over voldoende budgettaire en personele middelen met de nodige kwalificaties beschikken, waarbij rekening wordt gehouden met de aard van de activiteiten waar men zich op richt, en dat deze functies over een passend ICT-systeem en passende ondersteuning beschikken.

9.4.2 Risicobeheerfunctie

De bevoegde autoriteiten moeten zich ervan overtuigen dat de kredietinstelling, als onderdeel van het internecontrolekader, een holistisch, instellingsbreed kader voor risicobeheersing heeft, waarin het economische belang van alle risicoblootstellingen van de kredietinstelling ten volle wordt erkend.

De bevoegde autoriteiten moeten zich ervan overtuigen dat de risicobeheerfunctie de invoering van een goed functionerend kader voor risicobeheersing in de gehele instelling zal vergemakkelijken en dat de rol ervan binnen de kredietinstelling betrokkenheid omvat bij: a) risicostrategie en -beslissingen; b) de evaluatie van wezenlijke veranderingen; c) het opsporen, meten, beoordelen, beheersen, beperken, en bewaken van en rapporteren over risico’s; d) het beoordelen van overschrijdingen van de risicobereidheid of -limieten en het aanbevelen van corrigerende maatregelen. Daartoe moeten de bevoegde autoriteiten ook de opzet van de strategie voor het beheer van dergelijke risico’s onderzoeken en beoordelen, waaronder een verklaring inzake risicotolerantie en risicobereidheid en maatregelen om het beoordeelde risico af te stemmen op de risicobereidheid.

Wat de rol van de risicobeheerfunctie in de risicostrategie en de besluitvorming betreft, moet het onderzoek door de bevoegde autoriteiten erop gericht zijn na te gaan of de aanvraag voorziet in de actieve betrokkenheid van de risicobeheerfunctie in een vroeg stadium, in het kader van het continuïteitsbeginsel, bij de uitwerking van de risicostrategie van de kredietinstelling, bij het waarborgen dat de kredietinstelling over effectieve risicomanagementprocessen zal beschikken en bij het verstrekken van alle relevante risicogerelateerde informatie aan het leidinggevend orgaan om het niveau van de risicobereidheid van de kredietinstelling te kunnen vaststellen. De bevoegde autoriteiten moeten zich ervan vergewissen dat de risicobeheerfunctie tot taak heeft om de degelijkheid en duurzaamheid van de risicostrategie en -bereidheid te beoordelen en dat de risicobereidheid op passende wijze wordt vertaald in specifieke risicolimieten, ook op het niveau van de bedrijfseenheden, en dat de risicobeheerfunctie bij besluiten van het leidinggevend orgaan over de risicostrategieën wordt betrokken voordat deze worden genomen.

Wat de rol van de risicobeheerfunctie bij de evaluatie van grote veranderingen betreft, moeten de bevoegde autoriteiten nagaan of in de betrokkenheid van de risicobeheerfunctie is voorzien voordat besluiten over uitzonderlijke transacties worden genomen, zodat de risicobeheerfunctie de gevolgen van dergelijke veranderingen en uitzonderlijke transacties voor het totale risico van de kredietinstelling kan beoordelen, en de bevindingen voordat een besluit wordt genomen rechtstreeks aan het leidinggevend orgaan kan rapporteren.

Wat betreft de rol van de risicobeheerfunctie bij het vaststellen, meten, monitoren, beperken en rapporteren van risico’s en bijbehorende risicoconcentraties die door het leidinggevend orgaan moeten worden goedgekeurd, moeten de bevoegde autoriteiten ervoor zorgen dat er beleidsmaatregelen en procedures zijn vastgesteld en dat de risicobeheerfunctie toegang heeft tot alle bedrijfsonderdelen en andere eenheden die risico’s kunnen genereren.

De rol van de risicobeheerfunctie moet daarnaast ook zijn om overschrijdingen van risicobereidheid of risicolimieten op onafhankelijke wijze te beoordelen (met inbegrip van het vaststellen van de oorzaak en het maken van een juridische en economische analyse van de werkelijke kosten van beëindiging, beperking of afdekking van de blootstelling, afgezet tegen de potentiële kosten van handhaving ervan). Geregeld moet zijn dat de risicobeheerfunctie de betrokken bedrijfseenheden en het leidinggevend orgaan informeert, en mogelijke oplossingen aanbeveelt. Daartoe moet de risicobeheerfunctie, wanneer de inbreuk significant is, rechtstreeks aan het leidinggevend orgaan in zijn toezichthoudende functie rapporteren, onverminderd de verplichting van de risicobeheerfunctie om aan andere interne functies en comités te rapporteren.

9.4.3 Beloningsbeleid

Wat de beschrijving van het beloningsbeleid betreft moeten de bevoegde autoriteiten niet alleen nagaan of aan de in artikel 92, lid 2, punt aa), van de CRD neergelegde vereisten inzake genderneutraliteit is voldaan, maar ook of de beschrijving van het beleid ten aanzien van medewerkers wier beroepsactiviteiten het risicoprofiel van de kredietinstelling materieel beïnvloeden⁵² , in overeenstemming is met artikel 94 van de CRD en de EBA-richtsnoeren betreffende het beloningsbeleid.

⁵² Ingediend overeenkomstig de RTS betreffende informatie voor het toekennen van een vergunning.

Zij moeten met name beoordelen: a) of de opzet van het beloningsbeleid strookt met de beoogde risicobereidheid van de instelling, haar bedrijfsstrategie en haar belangen op lange termijn, en of het de bedoeling is dat het beloningsbeleid wordt gehandhaafd, goedgekeurd en gecontroleerd door het leidinggevend orgaan; b) of het erin voorziet dat voldoende wordt vastgesteld welke personeelsleden een wezenlijke invloed hebben op het risicoprofiel van de instelling, in overeenstemming met artikel 92, lid 3, en artikel 94, lid 3, van de CRD; c) of het voorziet in specifieke beloningsvereisten voor deze specifieke personeelsleden, onder meer i) een verhouding tussen variabele en vaste beloning overeenkomstig artikel 94, lid 1, punt g), van de CRD en ii) de uitbetaling in instrumenten, de uitstelregelingen inclusief malus en terugvordering overeenkomstig artikel 94, lid 1, punten l), m) en n), van de CRD⁵³ .

9.4.4 Nalevingsfunctie

⁵³ Met bijzondere aandacht voor de afwijkingen waarin artikel 94, leden 3 en 4, van de CRD voorziet.

De bevoegde autoriteiten moeten vaststellen dat het de bedoeling is dat de nalevingsfunctie het nalevingsrisico beheert, advies verstrekt aan het leidinggevend orgaan over de maatregelen die moeten worden genomen om de naleving van de toepasselijke wetten, regels, voorschriften en normen te garanderen, en onder toezicht van het leidinggevend orgaan beleidsmaatregelen en processen implementeert om nalevingsrisico’s te beheren en de naleving te garanderen. De bevoegde autoriteiten moeten vaststellen dat de nalevingsfunctie in overeenstemming is met de soorten en de geografische spreiding van de activiteiten (bijvoorbeeld naleving van de toepasselijke nationale wetgeving van verschillende rechtsgebieden in het geval van activiteiten die grensoverschrijdend worden uitgevoerd), de risico’s en de complexiteit in overeenstemming met het bedrijfsmodel en de beoordeling van het bedrijfsplan overeenkomstig afdeling 7 van deze richtsnoeren.

De nalevingsfunctie moet ervoor zorgen dat naleving wordt bewaakt door middel van een gestructureerd en duidelijk gedefinieerd programma voor toezicht op de naleving en dat het nalevingsbeleid wordt nageleefd. De nalevingsfunctie en de risicobeheerfunctie moeten samenwerken en de nodige informatie uitwisselen om hun respectieve taken te kunnen uitvoeren.

De bevoegde autoriteiten moeten ook onderzoeken of de nalevingsfunctie de taak krijgt om in nauwe samenwerking met de risicobeheerfunctie en de juridische afdeling om na te gaan of nieuwe producten en nieuwe procedures voldoen aan het geldende juridische kader en, wanneer van toepassing, aan bekendgemaakte, aanstaande wijzigingen in wetten, regelingen en toezichtvereisten.

De bevoegde autoriteiten moeten vaststellen dat het de bedoeling is een AML/CTF-nalevingsfunctie voor de naleving van de specifieke regelgeving inzake het witwassen van geld of de financiering van terrorisme en het interne beleid op te zetten, hetzij binnen de nalevingsfunctie, hetzij los daarvan.

9.4.5 AML/CFT-beleid

De bevoegde autoriteiten moeten vaststellen dat het AML/CTF-beleid dat door de aanvragende kredietinstelling ingevolge artikel 5, lid 1, onder c), nr. (iii), van de RTS on information for authorisation is ingediend, een overzicht bevat van de belangrijkste beleidsmaatregelen en procedures, als bepaald in artikel 8, lid 3, van de antiwitwasrichtlijn, die zullen worden ingevoerd om het risico op het witwassen van geld of de financiering van terrorisme tegen te gaan. Daartoe zullen de bevoegde autoriteiten rekening houden met de in de paragrafen 17 tot en met 21 opgenomen evenredigheidscriteria.

De bevoegde autoriteiten moeten vaststellen dat de beschrijving alle in artikel 8, lid 4⁵⁴ , van de antiwitwasrichtlijn genoemde elementen bestrijkt en of erin wordt onderbouwd hoe de aanvragende kredietinstelling ervoor zal zorgen dat zij de risico’s op het witwassen van geld of de financiering van terrorisme waaraan zij vanaf de dag van toegang tot de markt blootstaat, doeltreffend kan beperken en beheersen.

9.4.6 Interne-auditfunctie

⁵⁴ Het luidt als volgt: “De in lid 3 bedoelde gedragslijnen, controlemaatregelen en procedures omvatten: a) de ontwikkeling van interne gedragslijnen, controlemaatregelen en procedures, daaronder begrepen model-risicobeheerpraktijken, cliëntenonderzoek, rapportage, bewaring van bewijsstukken, interne controle, nalevingsbeheer (daaronder begrepen, voor zover passend gezien de omvang en de aard van het bedrijf, de aanstelling van een nalevingsfunctionaris op managementniveau) en doorlichting van medewerkers; b) voor zover passend gezien de omvang en de aard van het bedrijf, een onafhankelijke auditfunctie om de onder a) bedoelde interne gedragslijnen, controlemaatregelen en procedures te testen”.

De bevoegde autoriteiten moeten, rekening houdend met de in de paragrafen 17 tot en met 21 vervatte evenredigheidscriteria, de onafhankelijke en effectieve interne-auditfunctie (“IAF”) beoordelen die door de aanvragende kredietinstelling is opgezet. De bevoegde autoriteiten moeten duidelijk kunnen vaststellen dat de IAF met behulp van een op risico’s gebaseerde benadering op onafhankelijke wijze kan onderzoeken en op objectieve wijze zekerheid kan verschaffen dat alle activiteiten en eenheden van een instelling, waaronder uitbestede activiteiten, het beleid en de procedures van de instelling en andere externe (niet-prudentiële) vereisten naleven.

Daartoe moeten de bevoegde autoriteiten beoordelen of de IAF organisatorisch onafhankelijk is en of de objectiviteit van de interne controleurs wordt beschermd door rechtstreekse rapportage aan het leidinggevend orgaan en door toereikende middelen voor de taakuitvoering. Daartoe moet ook zijn gewaarborgd dat de IAF voor de uitoefening van haar functie instellingsbreed onbelemmerde toegang heeft tot alle stukken, documenten, informatie en gebouwen van de instelling.

De bevoegde autoriteiten moeten ook beoordelen of de IAF ten minste met het volgende is belast:

• a) de geschiktheid van het interne controlekader, waaronder de toereikendheid van het beleid en de procedures en de naleving van wettelijke voorschriften en regelgeving;
• b) de opstelling van een auditplan, ten minste eenmaal per jaar, op basis van de doelstellingen voor de jaarlijkse interne-auditcontrole, en dat door het leidinggevend orgaan moet worden goedgekeurd;
• c) het doen van aanbevelingen op basis van de uitkomst van hun werkzaamheden.

Zij moeten ook nagaan of de beschrijvingen van de methodiek en het interne-auditplan voor de eerste drie jaar na aanvang van de activiteiten, waaronder de audit van uitbestede diensten, in overeenstemming zijn met de organisatiestructuur, de soorten activiteiten en het risicoprofiel die voortvloeien uit het overeenkomstig afdeling 7 beoordeelde bedrijfsplan.

9.4.7 Beleid en plan inzake operationele veerkracht en bedrijfscontinuïteit

De beschrijvingen van het bedrijfscontinuïteitsbeleid en het bedrijfscontinuïteitsplan moeten de waarborg bevatten dat de aanvrager over een degelijk bedrijfscontinuïteitsbeheersplan beschikt om ervoor te zorgen dat hij zijn activiteiten doorlopend kan uitoefenen en verliezen in geval van ernstige bedrijfsstoringen beperkt kan houden. Gewaarborgd moet zijn dat het bedrijfscontinuïteitsbeleid en het bedrijfscontinuïteitsplan een analyse bevatten van de voornaamste risico’s van verstoring van de bedrijfsvoering en een overzicht van de risicobeperkende maatregelen, en dat het bedrijfscontinuïteitsplan regelmatig wordt getest.

9.4.8 ICT-beleid en -systemen

De bevoegde autoriteiten moeten beoordelen of het ICT-beleid zal leiden tot betrouwbare informatie- en communicatiesystemen voor de kredietinstelling of de ICT-systemen zowel in normale tijden als in tijden van stress de mogelijkheden op het gebied van de aggregatie van risicogegevens ten volle kunnen ondersteunen. Bevoegde autoriteiten beoordelen met name of de kredietinstelling ten minste in staat zal zijn om:

• a) nauwkeurige en betrouwbare risicogegevens te genereren;
• b) alle wezenlijke risicogegevens uit de gehele instelling te verzamelen en samen te voegen;
• c) samengevoegde en actuele risicogegevens tijdig te genereren;
• d) samengevoegde risicogegevens te genereren om te voldoen aan een breed scala verzoeken van het leidinggevend orgaan of van bevoegde autoriteiten;
• e) te zorgen voor een deugdelijke, betrouwbare en veilige werking van de informatie- en communicatiesystemen die de beoogde activiteiten van instellingen kunnen verwerken.

Wat ICT- en beveiligingsrisico’s betreft⁵⁵ , moeten de bevoegde autoriteiten kunnen vaststellen dat het beheerskader een degelijke, betrouwbare en veilige werking waarborgt van de informatie- en communicatiesystemen die de activiteiten van de kredietinstellingen verwerken, en voor een adequate preventie, bewaking en beperking van ICT-risico’s in normale tijden en in tijden van stress. De bevoegde autoriteiten moeten met name beoordelen:

• a) of het leidinggevend orgaan de algehele verantwoordelijkheid draagt voor het bepalen, goedkeuren en overzien van de uitvoering van de ICT-strategie van de financiële instelling, die moet zijn afgestemd op de algehele bedrijfsstrategie van de financiële instelling;
• b) de duidelijke omschrijving en toewijzing van de belangrijkste taken en verantwoordelijkheden, en relevante rapportagelijnen, zodat een doeltreffend kader kan worden geschapen voor risicobeheersing op ICT- en beveiligingsgebied, waaronder de toewijzing van een passend budget om de operationele behoeften op ICT-gebied en de risicobeheersing op ICT- en beveiligingsgebied naar behoren te ondersteunen;
• c) of het beheer van en het toezicht op ICT- en beveiligingsrisico’s zijn toevertrouwd aan een onafhankelijke en objectieve controlefunctie, die naar behoren is gescheiden van de operationele ICT-processen en niet verantwoordelijk is voor enige interne audit, en aan een onafhankelijke interne-auditfunctie;
• d) regelingen ter waarborging van het in kaart brengen, opstellen en doorlopend actualiseren van in kaart gebrachte bedrijfsfuncties, taken en ondersteunende processen om het belang van elk onderdeel vast te stellen, evenals de afhankelijkheden daarvan met betrekking tot ICT- en beveiligingsrisico’s;
• e) of, voor zover de informatie op ICT-systemen wordt bewaard, aan de vereisten inzake informatiebeveiliging zal worden voldaan;
• f) de omvang, de complexiteit en het belang van ICT-gerelateerde afhankelijkheden, indien de uitbesteding, ook aan entiteiten binnen de groep, van operationele functies van ICT-diensten en activiteiten van ICT-systemen of het inschakelen van derden voor zulke functies en activiteiten wordt overwogen.

⁵⁵ Zoals gedefinieerd in de EBA-richtsnoeren inzake ICT en risicobeheer op het gebied van veiligheid wordt onder “ICT- en beveiligingsrisico” verstaan: “het risico van verliezen als gevolg van inbreuken op de geheimhouding, falende integriteit van systemen en data, ongeschiktheid of onbeschikbaarheid van systemen en data, of onvermogen om IT aan te passen binnen een redelijke termijn en met redelijke kosten wanneer de omgeving of de bedrijfsvereisten veranderen (d.w.z. flexibiliteit). Dit omvat beveiligingsrisico’s die voortvloeien uit ontoereikende of falende interne processen of externe gebeurtenissen inclusief cyberaanvallen of ontoereikende fysieke beveiliging”.