6.3 Komplexa strukturer och verksamheter som inte är standardmässiga eller som inte medger insyn

Ledningsorganet för ett konsoliderande institut bör se till att de olika företagen i koncernen (inbegripet institutet självt) får tillräcklig information för att skapa sig en tydlig bild av koncernens övergripande mål, strategier och riskprofil samt hur det berörda koncernföretaget är införlivat i koncernens struktur och operativa funktionssätt. Sådana uppgifter, liksom alla ändringar av dem, bör dokumenteras och göras tillgängliga för alla relevanta funktioner, inbegripet ledningsorganet, affärsområdena och de interna kontrollfunktionerna. Ledamöterna i ledningsorganet för ett konsoliderande institut bör hålla sig informerade om de risker som koncernens struktur medför, med beaktande av de kriterier som anges i avsnitt 7 i riktlinjerna. I detta ingår att ta emot

• a. information om viktiga riskfaktorer,
• b. regelbundna rapporter om bedömningen av institutets övergripande struktur och utvärderingen av överensstämmelsen mellan enskilda enheters verksamhet och den godkända strategin för koncernen som helhet och
• c. regelbundna rapporter om ämnen där regelverket kräver efterlevnad på individuell nivå, undergruppsnivå och gruppnivå. EBA Regular Use

Instituten bör undvika att inrätta komplexa strukturer som kan försvåra insynen. Instituten bör i sitt beslutsfattande ta hänsyn till resultaten av en riskanalys som utförts för att undersöka huruvida de aktuella strukturerna skulle kunna utnyttjas i samband med penningtvätt eller annan ekonomisk brottslighet samt till de kontroller som inrättats och den lagstiftning som finns på området²³ . I detta syfte bör instituten åtminstone beakta följande:

• a. I vilken utsträckning den jurisdiktion där strukturen ska inrättas effektivt efterlever EU-standarder och internationella standarder för skattetransparens, bekämpning av penningtvätt och motverkande av finansiering av terrorism²⁴ ;
• b. I vilken utsträckning strukturen fyller ett uppenbart ekonomiskt och lagligt syfte.
• c. I vilken utsträckning strukturen skulle kunna användas för att dölja en slutlig faktisk betalningsmottagares identitet.
• d. I vilken utsträckning den kundbegäran som eventuellt ger upphov till att en struktur inrättas ger anledning till oro.
• e. Huruvida strukturen skulle kunna göra det svårare för institutets ledningsorgan att skaffa sig den överblick som krävs eller för institutet att hantera den tillhörande risken.
• f. Huruvida strukturen reser hinder i vägen för en effektiv övervakning från behöriga myndigheters sida.

²³ Instituten kan även se mer detaljerad information om bedömning av risken i det aktuella landet och den risk som förknippas med enskilda produkter och kunder i de gemensamma riktlinjerna för riskfaktorer för penningtvätt och finansiering av terrorism (EBA GL JC/2017/37) som för närvarande håller på att granskas.

²⁴ Se även: https://eba.europa.eu/regulation-and-policy/anti-money-laundering-and-e-money/rts-on-the-implementation-of-group-wide-aml/cft-policies-in-third-countries

Oavsett ovanstående får instituten inte inrätta några otydliga eller onödigt komplicerade strukturer om dessa saknar tydlig ekonomisk motivering eller lagligt syfte eller om instituten hyser farhågor om att strukturerna skulle kunna användas i syften kopplade till ekonomisk brottslighet.

Om sådana strukturer inrättas bör ledningsorganet förstå strukturerna och deras syfte och de särskilda risker som de medför samt säkerställa att de interna kontrollfunktionerna deltar på lämpligt sätt. Sådana strukturer får endast godkännas och upprätthållas om de har ett tydligt definierat syfte som de berörda förstår och om ledningsorganet är övertygat om att alla betydande risker, inbegripet anseenderisker, har identifierats, att alla risker kan hanteras effektivt och rapporteras på lämpligt sätt samt att en effektiv övervakning har säkerställts. Ju EBA Regular Use

mer komplex och otydlig den organisatoriska och operativa strukturen är och ju större riskerna är desto noggrannare bör strukturen övervakas.

Instituten bör dokumentera sina beslut och kunna motivera dem inför behöriga myndigheter.

Ledningsorganen bör se till att lämpliga åtgärder vidtas för att undanröja eller minska riskerna av den verksamhet som bedrivs inom sådana strukturer. I detta ingår att säkerställa att

• a. institutet har lämpliga policyer och förfaranden och dokumenterade processer (till exempel tillämpliga riskgränser, informationskrav) för bedömning, efterlevnad, godkännande och riskhantering av sådan verksamhet med beaktande av följderna för koncernens organisatoriska och operativa struktur, dess riskprofil och anseenderisk,
• b. information om verksamheten och dess risker är tillgänglig för det konsoliderande institutet och för interna och externa revisorer och att den rapporteras till ledningsorganet i dess tillsynsfunktion och till den behöriga myndighet som beviljat tillstånd samt
• c. att institutet regelbundet utvärderar behovet av att ha kvar strukturerna.

Dessa strukturer och verksamheter, inbegripet deras förenlighet med gällande lagstiftning och branschstandarder, bör regelbundet ses över av internrevisionsfunktionen i enlighet med en riskbaserad metod.