14 Rapportering av överträdelser till behöriga myndigheter

Instituten bör informera all personal om dessa policyer, mekanismer och förfaranden, samt informera varje gång väsentliga förändringar av dessa har gjorts.

Vid genomförandet av ramverket för internkontroll bör instituten säkerställa en tillräcklig åtskillnad mellan arbetsuppgifterna – till exempel genom att anförtro verksamheter inom transaktionskedjan eller i fråga om tjänster som kan innebära en intressekonflikt till olika personer eller genom att anförtro övervakningen och rapporteringen av sådana verksamheter till olika personer – och upprätta informationsbarriärer, t.ex. genom en fysisk åtskillnad mellan vissa avdelningar.

De interna kontrollfunktionerna bör kontrollera att de policyer, mekanismer och förfaranden som fastställs i ramverket för internkontroll genomförs på ett korrekt sätt inom deras respektive kompetensområden.

De interna kontrollfunktionerna bör regelbundet överlämna skriftliga rapporter till ledningsorganet om de väsentliga brister som har upptäckts. Rapporterna bör, för varje ny identifierad större brist, innehålla beskrivningar av relevanta risker, en konsekvensanalys, rekommendationer samt korrigerande åtgärder som ska vidtas. Ledningsorganet bör följa upp de interna kontrollfunktionernas slutsatser i god tid och på ett effektivt sätt och ska utfärda krav om lämpliga korrigerande åtgärder. Ett formellt uppföljningsförfarande för slutsatser och korrigerande åtgärder som har vidtagits bör etableras.

Som en del av det övergripande ramverket för internkontroll bör instituten ha ett heltäckande ramverk för riskhantering som innefattar hela institutet och som sträcker sig över samtliga affärsområden och interna enheter, inbegripet de interna kontrollfunktionerna, där den ekonomiska innebörden av samtliga riskexponeringar beaktas fullt ut. Ramverket för riskhantering bör göra det möjligt för institutet att fatta väl underbyggda beslut om risktagande. Ramverket för riskhantering bör innefatta risker inom och utanför balansräkningen såväl som faktiska risker och framtida risker som institutet kan komma att utsättas för. Riskbedömningar bör göras nedifrån och upp och uppifrån och ned, inom och mellan affärsområden, med en konsekvent terminologi och kompatibla metoder inom hela EBA Regular Use

institutet och på grupp- och undergruppsnivå. Alla relevanta risker bör omfattas av ramverket för riskhantering med lämplig hänsyn till både ekonomiska och icke-ekonomiska risker, inbegripet kredit-, marknads-, likviditets- och koncentrationsrisker, operativa risker, it- och anseenderisker, juridiska risker, uppföranderisker, efterlevnadsrisker i fråga om penningtvätt, finansiering av terrorism och övrig ekonomisk brottslighet, risker som rör miljö, samhällsansvar och bolagsstyrning samt strategiska risker.

Institutets ramverk för riskhantering bör innefatta policyer, förfaranden, riskgränser och riskkontroller som säkerställer en tillfredsställande, skyndsam och kontinuerlig identifiering, mätning eller bedömning, övervakning, hantering, reducering och rapportering av riskerna på affärsområdes-, institut- och grupp- eller undergruppsnivå.