20 Riskhanteringsfunktion

De interna kontrollfunktionerna bör ha tillgång till lämpliga it-system och stödtjänster samt den interna och externa information som krävs för att utföra arbetsuppgifterna. De bör ha EBA Regular Use

tillgång till all nödvändig information om alla affärsområden och relevanta riskbärande dotterföretag, särskilt sådana som skulle kunna generera betydande risker för instituten.

Varje institut bör inrätta en riskhanteringsfunktion som omfattar hela institutet. Riskhanteringsfunktionen bör ha tillräcklig auktoritet och tyngd och tillräckliga resurser, med beaktande av de proportionalitetskriterier som anges avdelning I, för att genomföra institutets riskpolicyer och ramverket för riskhantering i enlighet med avsnitt 17.

Vid behov bör riskhanteringsfunktionen ha direkt tillgång till ledningsorganet i dess tillsynsfunktion och i förekommande fall dess kommittéer, särskilt riskkommittén.

Riskhanteringsfunktionen bör ha tillgång till alla affärsområden och andra interna enheter vars verksamheter kan medföra risker, såväl som till relevanta dotterföretag och närstående företag.

Riskhanteringsfunktionens personal bör i tillräcklig utsträckning besitta kunskaper, färdigheter och sakkunskap om metoder och förfaranden för riskhantering och om marknader och produkter, och de bör ha tillgång till regelbunden utbildning.

Riskhanteringsfunktionen bör vara oberoende av de affärs- och stödenheter vars risker den kontrollerar, men inte förhindras från att samverka med dem. De operativa funktionerna och riskhanteringsfunktionen bör samverka med målet att hela institutets personal ska ta ansvar för riskhanteringen.

Riskhanteringsfunktionen bör vara ett centralt inslag i institutets organisation och ha en struktur som möjliggör för funktionen att genomföra riskpolicyer och kontrollera ramverket för riskhantering. Riskhanteringsfunktionen bör spela en viktig roll när det gäller att se till att institutet har effektiva riskhanteringsprocesser. Riskhanteringsfunktionen bör vara aktivt delaktig i alla betydande riskhanteringsbeslut.

Betydande institut kan överväga att inrätta särskilda riskhanteringsfunktioner för alla större affärsområden. Det bör dock finnas en central riskhanteringsfunktion, inbegripet en koncerngemensam funktion i det konsoliderande institutet, som kan ge en heltäckande, koncernövergripande bild av alla risker och se till att riskstrategin följs.