6.5. Bedömning av ränterisk och kreditspreadrisk som uppstår till följd av verksamhet utanför handelslagret

Vid bedömningen av institutets interna kontrollfunktioner bör de behöriga myndigheterna bedöma institutets efterlevnad av EBA:s riktlinjer för intern styrning och de relevanta bestämmelserna i förordning (EU) 2022/2554 (DORA-förordningen)²¹ . I detta sammanhang bör de behöriga myndigheterna bland annat överväga om:

• a. om institutet har ett lämpligt ramverk för intern kontroll som omfattar alla områden, i enlighet med modellen för ”de tre försvarslinjerna”, inklusive välfungerande, effektiva och oberoende funktioner för riskhantering, efterlevnad och internrevision,
• b. cheferna för de interna kontrollfunktionerna i) har en lämplig hierarkisk nivå som ger dem den befogenhet och ställning som krävs för att de ska kunna fullgöra sina skyldigheter, ii) har direkt åtkomst till och kan rapportera direkt till ledningsorganet i dess tillsynsfunktion, och
• iii) har alla de resurser som krävs för att de ska kunna utföra sina uppgifter,
• c. institutet har lämpliga skriftliga policyer för intern kontroll som tillämpas på ett effektivt sätt och en tydlig ansvarsfördelning för genomförandet av ramverket, åtskillnad mellan arbetsuppgifter, sunda förvaltnings- och redovisningsförfaranden samt robusta rapporteringsrutiner.

²¹ DORA-förordningen, Europaparlamentets och rådets förordning (EU) 2022/2554 av den 14 december 2022 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011 (EUT L 333, 27.12.2022, s. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

De behöriga myndigheterna bör bedöma om riskhanteringsfunktionen omfattar hela institutet och har en helhetssyn på alla risker, deltar aktivt i ett tidigt skede av utarbetandet av institutets riskstrategi och övervakar dess effektiva genomförande. De behöriga myndigheterna bör också fastställa om riskhanteringsfunktionen förser ledningsorganet med fullständig, uppdaterad och relevant riskrelaterad information, för att göra det möjligt att fastställa institutets nivå av riskaptit och tillhörande risklimiter. De behöriga myndigheterna bör också beakta riskhanteringsfunktionens bedömning av riskstrategins och riskaptitens robusthet och hållbarhet samt dess deltagande i utvärderingen av effekterna av väsentliga förändringar eller exceptionella transaktioner på institutets och koncernens (i tillämpliga fall) totala risk.

De behöriga myndigheterna bör bedöma om regelefterlevnadsfunktionen på ett effektivt sätt bedömer och minskar efterlevnadsrisker som uppstår på grund av bristande efterlevnad av tillämpliga rättsliga och tillsynsmässiga krav, avtalsenliga skyldigheter eller interna regler och uppförandekoder, inklusive etiska regler, och säkerställer att alla väsentliga riskhanteringsbeslut tar tillräcklig hänsyn till dessa risker.

De behöriga myndigheterna bör bedöma om internrevisionsfunktionen genomför oberoende granskningar och tillhandahåller objektiva garantier, i enlighet med revisionsplanen och det detaljerade arbetsprogrammet, om lämpligheten och effektiviteten i institutets policyer, förfaranden och interna kontroller och om efterlevnaden av rättsliga och tillsynsmässiga krav för institutets hela verksamhet, inklusive verksamhet som tillhandahålls av tjänsteleverantörer. I tillämpliga fall bör de behöriga myndigheterna bedöma om den koncerngemensamma interna revisionsfunktionen är oberoende, har en koncernövergripande riskbaserad revisionsplan, har lämpliga resurser och ställning samt har en direkt rapporteringsväg till det konsoliderande institutets ledningsorgan.