18 Nya produkter och väsentliga förändringar

Policyn för godkännande av nya produkter bör ange de viktigaste frågorna som bör beaktas innan ett beslut fattas. Exempel på sådana frågor är regelefterlevnad, redovisning, prissättningsmodeller, påverkan på riskprofil, kapitalkrav och lönsamhet, tillgång till tillräckliga front-, back- och middle office-resurser samt till interna verktyg och sakkunskaper som gör att man kan förstå och övervaka de medföljande riskerna. För att fullgöra sina skyldigheter enligt direktiv (EU) 2015/849 bör instituten vidare identifiera och bedöma den risk för penningtvätt och finansiering av terrorism som förknippas med den nya produkten eller affärsmetoden samt fastställa de åtgärder som bör vidtas för att minska dessa risker. Vilken affärsenhet och vilka personer som ansvarar för att lansera en ny verksamhet bör framgå tydligt av lanseringsbeslutet. Ingen ny verksamhet bör inledas förrän det finns tillräckliga resurser för att förstå och hantera de risker den medför.

Riskhanterings- och efterlevnadsfunktionerna bör delta i godkännandet av nya produkter eller väsentliga förändringar av befintliga produkter, processer och system. De bör bland annat göra en fullständig och objektiv bedömning av riskerna med ny verksamhet i en mängd olika scenarier, av potentiella brister i institutets ramverk för riskhantering och internkontroll samt av institutets förmåga att hantera nya risker på ett effektivt sätt. Riskhanteringsfunktionen bör även ha en god bild av införandet av nya produkter (eller väsentliga förändringar av befintliga produkter, processer och system) inom olika affärsområden och i olika portföljer samt befogenhet att kräva att ändringar i befintliga produkter genomförs enligt den formella policyn för godkännande av nya produkter. EBA Regular Use

De interna kontrollfunktionerna bör omfatta en riskhanteringsfunktion (se avsnitt 20), en efterlevnadsfunktion (se avsnitt 21) och en internrevisionsfunktion (se avsnitt 22). Riskhanterings- och efterlevnadsfunktionerna bör granskas av internrevisionsfunktionen. Kontrollfunktionernas ansvar inkluderar även säkerställande av efterlevnad av kraven på bekämpning av penningtvätt och finansiering av terrorism.

Om de proportionalitetskriterier som anges i avdelning I beaktas får de interna kontrollfunktionernas operativa uppgifter, inom ramen för utkontraktering, anförtros det konsoliderande institutet eller en annan enhet inom eller utanför koncernen, förutsatt att ledningsorganen för de berörda instituten godkänner detta. Även om de operativa uppgifterna för internkontroll helt eller delvis utkontrakteras är det chefen för den berörda interna kontrollfunktionen och ledningsorganet som har ansvaret för uppgifterna och för att upprätthålla en funktion för internkontroll inom institutet.

Utan att det påverkar den nationella lagstiftningen för införlivande av direktiv 2015/849/EU bör instituten tilldela ansvaret för säkerställande av institutets efterlevnad av kraven enligt detta direktiv och institutets policyer och förfaranden till en anställd (t.ex. chefen för efterlevnadsfunktionen). Instituten kan inrätta en separat efterlevnadsfunktion för bekämpning av penningtvätt och finansiering av terrorism som en självständig kontrollfunktion.³⁸ Den ansvariga personen för bekämpning av penningtvätt och finansiering av terrorism bör vid behov kunna rapportera direkt till ledningsorganet i sin lednings- och tillsynsfunktion.

³⁸ Se även EBA:s riktlinjer om efterlevnadsfunktionen för bekämpning av penningtvätt och finansiering av terrorism (under utarbetande)

Befattningen som chef för en intern kontrollfunktion bör inrättas på en lämplig nivå i hierarkin som ger cheferna tillräcklig auktoritet och tyngd för att kunna utöva sitt ansvar. Oaktat ledningsorganets övergripande ansvar bör cheferna för de interna kontrollfunktionerna vara oberoende i förhållande till de affärsområden eller enheter som de kontrollerar. Därför bör cheferna för riskhanterings-, efterlevnads- och internrevisionsfunktionerna rapportera till och vara direkt ansvariga inför ledningsorganet, och deras arbete bör granskas av ledningsorganet.

Cheferna för interna kontrollfunktioner bör i tillämpliga fall ha tillgång och rapportera direkt till ledningsorganet inom funktionens tillsynsenhet, i syfte att kunna lyfta frågor och problem samt varna tillsynsenheten när specifika skeenden påverkar eller kan komma att påverka institutet. Detta bör inte hindra cheferna för de interna kontrollfunktionerna från att också rapportera enligt ordinarie rapporteringsvägar. EBA Regular Use

Institutet bör ha dokumenterade processer för hur en chef för en intern kontrollfunktion tillsätts och hur han eller hon befrias från sina ansvarsområden. Under alla omständigheter bör cheferna för interna kontrollfunktioner inte kunna avsättas utan att ledningsorganet i sin tillsynsfunktion först godkänt detta. När det gäller chefen för riskhanteringsfunktionen är det enligt artikel 76.5 i direktiv 2013/36/EU obligatoriskt att inhämta ett sådant godkännande. När det gäller betydande institut bör behöriga myndigheter skyndsamt informeras om godkännandet och de huvudsakliga skälen till att chefen för en intern kontrollfunktion avsatts.

För att de interna kontrollfunktionerna ska betraktas som oberoende bör följande villkor vara uppfyllda:

• a. Deras personal utför inga operativa uppgifter som rör den verksamhet som den aktuella interna kontrollfunktionen ska övervaka och kontrollera.
• b. De är organisatoriskt åtskilda från de verksamheter som de ska övervaka och kontrollera.
• c. Oaktat det övergripande ansvar som vilar på ledamöterna i institutets ledningsorgan bör chefen för en intern kontrollfunktion inte vara underordnad någon person som har ett ledningsansvar för den verksamhet som den interna kontrollfunktionen övervakar och kontrollerar.
• d. Ersättningen till de interna kontrollfunktionernas personal bör inte vara kopplad till den verksamhet som respektive kontrollfunktion ska övervaka och kontrollera och inte heller på annat sätt kunna äventyra deras objektivitet³⁹ .

³⁹ Se även EBA:s riktlinjer för en sund ersättningspolicy, som finns tillgängliga på https://www.eba.europa.eu/regulation-and-policy/remuneration/guidelines-on-sound-remuneration-policies.

Med beaktande av de proportionalitetskriterier som anges i avdelning I får riskhanterings- och efterlevnadsfunktionerna kombineras. Internrevisionsfunktionen får inte kombineras med någon annan intern kontrollfunktion.

De interna kontrollfunktionerna bör ha tillräckliga resurser. De bör ha en kvalificerad och tillräckligt stor personalstyrka (både på moderföretags- och dotterföretagsnivå). Personalens kvalifikationer bör upprätthållas och de bör få lämplig utbildning efter behov.