5.3 Kontrollramverk

Ledningsorganet bör vara ansvarigt för att fastställa och övervaka det interna kontrollramverkets lämplighet och effektivitet. I synnerhet bör effektiva interna kontrollprocesser implementeras inom ramen för omförhandlingar av nödlidande exponeringar, i syfte att säkerställa fullständig överensstämmelse mellan strategin och den operativa planen för nödlidande exponeringar och kreditinstitutets övergripande affärsstrategi (vilken inbegriper strategin och verksamhetsplanen för nödlidande exponeringar), samt överensstämmelse mellan strategin/planen och institutets riskaptit.

De interna kontrollfunktionerna bör regelbundet lämna in skriftliga rapporter om hanteringen av nödlidande exponeringar, inbegripet redogörelser för identifierade större brister, till ledningsorganet. Rapporterna bör, för varje ny identifierad större brist, innehålla beskrivningar av relevanta risker, en konsekvensanalys, rekommendationer samt korrigerande åtgärder som ska vidtas. Cheferna för interna kontrollfunktioner bör i tillämpliga fall ha tillgång och rapportera direkt till styrelsen, i syfte att kunna lyfta frågor och problem samt varna styrelsen när specifika skeenden påverkar eller kan komma att påverka institutet. Detta bör emellertid inte utgöra ett hinder för chefer för interna kontrollfunktioner att även rapportera via de sedvanliga rapporteringskanalerna.

Ledningsorganet bör följa upp de interna kontrollfunktionernas slutsatser i god tid och på ett effektivt sätt och ska utfärda krav om lämpliga korrigerande åtgärder. Ett formellt uppföljningsförfarande för slutsatser och korrigerande åtgärder som har vidtagits bör etableras.

Det interna kontrollramverket bör inbegripa samtliga tre försvarslinjer i enlighet med EBA:s riktlinjer för intern styrning²⁴ . Rollerna som ingår i de olika relevanta funktionerna bör tilldelas och dokumenteras på ett tydligt sätt i syfte att förebygga funktionsluckor eller -överlappningar. Huvudsakliga utfall av verksamheten inom den andra och tredje linjen, samt definierade mildrande åtgärder och framstegen inom dessa, bör regelbundet rapporteras till ledningsorganet.

²⁴ Riktlinjer för intern styrning enligt direktiv 2013/36/EU (EBA/GL/2017/11).

När stora och mer komplexa kreditinstitut implementerar detta kontrollramverk bör samtliga tre försvarslinjer tillämpas. Den andra försvarslinjen behöver inte vara specifik för nödlidande exponeringar och får utföras av kreditriskenheten/kontrollfunktionen.

När små och mindre komplexa kreditinstitut (t.ex. de som klassificeras inom ÖuP-kategori 3 eller 4) implementerar detta kontrollramverk behöver de inte införliva tre fullständiga försvarslinjer som är specifika för nödlidande exponeringar. Dessa institut måste emellertid säkerställa att eventuella intressekonflikter förebyggs på erforderligt sätt.

5.3.1 Kontroller i första försvarslinjen

5.3.2 Kontroller i andra försvarslinjen

5.3.3 Kontroller i tredje försvarslinjen