9.4 Internkontrollramen

De behöriga myndigheterna bör bedöma om det ansökande kreditinstitutet har ett lämpligt ramverk för intern kontroll som står i proportion till kreditinstitutets planerade verksamhet, affärsmodell, komplexitet och därmed förknippade risker (t.ex. ombordstigning av kunder online, cybersäkerhetsskydd och cybersäkerhetsarrangemang). De behöriga myndigheterna bör försäkra sig om att de tilldelade personalresurserna är tillräckliga både i fråga om antalet heltidsekvivalenter och kvalifikationer, om systemen och budgeten är lämpliga för att stödja utförandet av uppgifterna.

De behöriga myndigheterna bör granska ansökningshandlingarna och vara förvissade om att fördelningen av uppgifter och ansvarsområden kommer att göra det möjligt för ledningsorganet att vara ordentligt insatt i och förstå kreditinstitutets struktur⁴⁹ och ”säkerställa att de interna kontrollfunktionerna är oberoende av de affärsområden som de kontrollerar, inbegripet en lämplig åtskillnad mellan arbetsuppgifterna, och att de har tillräckliga ekonomiska resurser och personalresurser samt tillräckliga befogenheter för att effektivt fullgöra sin roll. Rapporteringsvägarna och ansvarsfördelningen inom institutet, särskilt mellan personer som innehar nyckelpositioner, bör vara tydliga, väldefinierade, sammanhängande, verkställbara och vederbörligen dokumenterade”⁵⁰ .

⁴⁹ Punkt 71 i EBA:s riktlinjer för intern styrning.

⁵⁰ Punkt 68 i EBA:s riktlinjer för intern styrning.

De behöriga myndigheterna bör uppnå en tydlig uppfattning om att ramverket för intern kontroll omfattar institutets alla områden och återspeglar de tre linjerna i försvarsmodellen för identifiering av funktionerna för att hantera och möta risker.

I detta syfte bör de behöriga myndigheterna kontrollera att det finns arrangemang för att säkerställa att affärs- och stödenheterna, som utgör första försvarslinjen, i första hand kommer att ansvara för att identifiera och hantera de risker som de ådrar sig i sin verksamhet och för att inrätta och upprätthålla lämpliga processer och kontroller för att säkerställa att sådana risker analyseras, mäts, övervakas, rapporteras och hålls inom gränserna för kreditinstitutets riskaptit och att de uppfyller interna och externa lagstadgade krav.

Riskhanteringsfunktionen och funktionen för regelefterlevnad, den andra försvarslinjen, tillsammans med internrevisionsfunktionen, som är den tredje försvarslinjen, utgör de interna kontrollfunktionerna inom ramverket för internkontrollen. De behöriga myndigheterna bör kontrollera att de kommer att inrättas, med beaktande av de proportionalitetskriterier som anges i punkterna 17–21, och att de kommer att ges lämplig och tillräcklig befogenhet, ställning och direkt tillgång till ledningsorganet för att kunna fullgöra sitt uppdrag.

För att säkerställa att de interna kontrollfunktionerna uppfyller kraven på oberoende⁵¹ bör de behöriga myndigheterna, på grundval av ansökningshandlingarna, kontrollera följande:

• (a) Att deras personal inte utför några operativa uppgifter som faller inom ramen för den verksamhet som de interna kontrollfunktionerna ska övervaka och kontrollera.
• (b) Att de är organisatoriskt åtskilda från den verksamhet som de ska övervaka och kontrollera.
• (c) Oaktat det övergripande ansvar som vilar på ledamöterna i institutets ledningsorgan bör chefen för en intern kontrollfunktion inte vara underordnad en person som har ett ledningsansvar för den verksamhet som den interna kontrollfunktionen övervakar och kontrollerar.
• (d) Ersättningen till de interna kontrollfunktionernas personal bör inte vara kopplad till den verksamhet som respektive kontrollfunktion ska övervaka och kontrollera och inte heller på annat sätt kunna äventyra deras objektivitet.

⁵¹ Se punkt 175 i EBA:s riktlinjer för intern styrning.

De behöriga myndigheterna bör kontrollera att cheferna för internkontrollfunktionerna uppfyller följande krav:

• a) Chefspositionen inrättas på en lämplig nivå i hierarkin som ger cheferna för kontrollfunktionerna tillräcklig befogenhet och ställning för att kunna fullgöra sina uppgifter.
• b) Chefspositionen är oberoende av de affärsområden eller enheter som cheferna kontrollerar.
• c) Cheferna rapporterar till och är direkt redovisningsskyldiga inför ledningsorganet, och chefernas resultat bör granskas av ledningsorganet.
• d) Cheferna har vid behov tillgång till och rapporterar direkt till ledningsorganet i dess tillsynsfunktion så att cheferna kan påtala problem och i den mån det är lämpligt varna tillsynsfunktionen när specifika skeenden påverkar eller kan påverka institutet.

För att säkerställa att de interna kontrollfunktionerna kan utövas effektivt bör de behöriga myndigheterna vara övertygade om att de tilldelas tillräckliga budget- och personalresurser med lämpliga kvalifikationer, med beaktande av de typer av riktad verksamhet det gäller, samt ett lämpligt IKT-system och stöd som står till deras förfogande.

9.4.2 Riskhanteringsfunktion

De behöriga myndigheterna bör vara förvissade om att kreditinstitutet, som en del av ramverket för intern kontroll, kommer att ha ett övergripande ramverk för riskhantering som omfattar hela kreditinstitutet och fullt ut erkänner den ekonomiska substansen i alla kreditinstitutets riskexponeringar.

De behöriga myndigheterna bör vara förvissade om att riskhanteringsfunktionen kommer att främja genomförandet av ett sunt ramverk för riskhantering i hela institutet och att dess roll inom kreditinstitutet inbegriper deltagande i a) riskstrategi och riskbeslut, b) utvärdering av väsentliga förändringar, c) identifiering, mätning, bedömning, hantering och reducering av risker samt övervakning av och rapportering om risker, d) bedömning av överskridanden av riskaptit eller riskgränser och rekommendationer om avhjälpande åtgärder. I detta syfte bör de behöriga myndigheterna också se över och bedöma huvuddragen i strategin för hantering av sådana risker och inkludera en risktolerans- och riskaptitförklaring och åtgärder för att anpassa den bedömda risken till riskaptiten.

När det gäller riskhanteringsfunktionens roll i riskstrategin och beslutsfattandet bör de behöriga myndigheternas granskning syfta till att kontrollera att ansökan anger att riskhanteringsfunktionen i ett tidigt skede aktivt deltar i arbetet med att utarbeta kreditinstitutets riskstrategi, att säkerställa att kreditinstitutet har effektiva riskhanteringsprocesser och att förse ledningsorganet med all relevant riskrelaterad information som gör det möjligt att fastställa kreditinstitutets riskaptit. De behöriga myndigheterna bör säkerställa att riskhanteringsfunktionen avser att bedöma riskstrategins och riskaptitens robusthet och hållbarhet och att den senare på lämpligt sätt omvandlas till specifika riskgränser, även på affärsenhetsnivå, och involveras innan ledningsorganet fattar beslut om riskstrategier.

När det gäller riskhanteringsfunktionens roll i utvärderingen av väsentliga förändringar bör de behöriga myndigheterna kontrollera att riskhanteringsfunktionens medverkan säkerställs innan beslut om exceptionella transaktioner fattas, för att utvärdera effekterna av sådana förändringar och exceptionella transaktioner på kreditinstitutets övergripande risk, och rapportera sina resultat direkt till ledningsorganet innan ett beslut fattas.

När det gäller riskhanteringsfunktionens roll beträffande att identifiera, mäta, övervaka, begränsa och rapportera risker och tillhörande riskkoncentrationer som ska godkännas av ledningsorganet, bör de behöriga myndigheterna se till att det finns riktlinjer och rutiner och att riskhanteringsfunktionen kommer att ha tillgång till alla affärsområden och andra enheter som har potential att medföra risker.

Riskhanteringsfunktionen bör även göra självständiga bedömningar av överskridanden av riskaptit eller riskgränser (som innefattar att fastställa orsaken och genomföra en rättslig och ekonomisk analys av de faktiska kostnaderna för att eliminera, reducera eller säkra exponeringen i förhållande till de potentiella kostnaderna för att behålla den). Riskhanteringsfunktionen bör informera de berörda affärsenheterna och ledningsorganet samt rekommendera möjliga avhjälpande åtgärder. Riskhanteringsfunktionen bör i detta avseende kunna rapportera direkt till ledningsorganet i dess tillsynsfunktion när överskridandet är betydande, utan att detta påverkar riskhanteringsfunktionens rapportering till andra interna funktioner och kommittéer.

9.4.3 Ersättningspolicy

När det gäller utformningen av ersättningspolicyn bör de behöriga myndigheterna, utöver att bedöma efterlevnaden av kraven på könsneutralitet enligt artikel 92.2 aa i kapitalkravsdirektivet, särskilt beakta att riktlinjerna för policyn för anställda vars yrkesutövning har en väsentlig inverkan på kreditinstitutets riskprofil⁵² överensstämmer med artikel 94 i kapitalkravsdirektivet och EBA:s riktlinjer för ersättningspolicy.

⁵² Lämnas in i enlighet med de tekniska tillsynsstandarderna om information för auktorisation.

I synnerhet ska de bedöma huruvida a) riktlinjerna i ersättningspolicyn överensstämmer med institutets beräknade riskaptit, dess affärsstrategi och dess långsiktiga intressen, och att policyn avses upprättas, godkännas och övervakas av ledningsorganet, b) den personal som har en väsentlig inverkan på institutets riskprofil kommer att vederbörligen identifieras enligt artiklarna 92.3 och 94.3 i kapitalkravsdirektivet, c) den fastställer specifika ersättningskrav för denna personal, däribland i) en kvot mellan rörlig och fast ersättning enligt artikel 94.1 g i kapitalkravsdirektivet och ii) utbetalningsinstrument och uppskovsförfaranden, inbegripet malus- och återkravsförfaranden, enligt artikel 94.1 l, m och n i kapitalkravsdirektivet⁵³ .

9.4.4 Funktion för regelefterlevnad

⁵³ Med särskild hänsyn till de undantag som anges i artikel 94.3 och 94.4 i kapitalkravsdirektivet.

De behöriga myndigheterna bör kontrollera att funktionen för regelefterlevnad planerar att hantera efterlevnadsrisker, ge råd till ledningsorganet om åtgärder som ska vidtas för att säkerställa efterlevnad av tillämpliga lagar, regler, föreskrifter och standarder och under ledningsorganets överinseende genomföra riktlinjer och processer för att hantera efterlevnadsrisker och säkerställa efterlevnad. De behöriga myndigheterna bör kontrollera att funktionen för regelefterlevnad är lämplig för verksamhetens typ och geografiska fördelning (t.ex. efterlevnad av tillämplig nationell lagstiftning i olika jurisdiktioner när det gäller verksamhet som bedrivs över gränserna), risker och komplexitet enligt affärsmodellen och den bedömning av affärsplanen som utförts enligt avsnitt 7 i dessa riktlinjer.

Funktionen för regelefterlevnad bör se till att efterlevnaden övervakas med hjälp av ett strukturerat och väldefinierat program för efterlevnadsövervakning och att efterlevnadspolicyn följs. Funktionen för regelefterlevnad och riskhanteringsfunktionen bör även samarbeta och utbyta information på ett lämpligt sätt så att de kan fullgöra sina respektive uppgifter.

De behöriga myndigheterna bör också kontrollera att funktionen för regelefterlevnad, i nära samarbete med riskhanteringsfunktionen och den juridiska avdelningen, kommer att säkerställa att nya produkter och nya förfaranden följer gällande lagstiftning och, i tillämpliga fall, alla kända kommande ändringar av lagar, förordningar och tillsynskrav.

De behöriga myndigheterna bör kontrollera att en funktion för efterlevnad av den specifika förordningen om penningtvätt och finansiering av terrorism och interna policyer planeras inrättas, antingen inom eller utanför funktionen för regelefterlevnad.

9.4.5 Policy för bekämpning av penningtvätt och finansiering av terrorism

De behöriga myndigheterna bör kontrollera att policyn för bekämpning av penningtvätt och finansiering av terrorism, som lämnats av det ansökande kreditinstitutet i enlighet med led iii artikel 5.1 c i de tekniska tillsynsstandarderna om information för auktorisation, ger en översikt över de centrala riktlinjer och förfaranden som, enligt artikel 8.3 i direktivet mot penningtvätt, kommer att införas för att motverka risken för penningtvätt och finansiering av terrorism. I detta avseende ska de behöriga myndigheterna beakta de proportionalitetskriterier som anges i punkterna 17–21.

De behöriga myndigheterna bör kontrollera att policyn omfattar alla aspekter som anges i artikel 8.4⁵⁴ i direktivet mot penningtvätt och styrka hur det ansökande kreditinstitutet kommer att säkerställa att det kan minska och effektivt hantera de risker för penningtvätt och finansiering av terrorism som det är exponerat för från och med dagen för marknadstillträdet.

9.4.6 Internrevisionsfunktion

⁵⁴ Artikeln har följande lydelse: ”De riktlinjer, kontroller och förfaranden som avses i punkt 3 ska omfatta följande: (a) Utveckling av interna riktlinjer, kontroller och förfaranden, inbegripet rutiner för modellriskhantering, åtgärder för kundkännedom, rapportering, registerhållning, intern kontroll, efterlevnadskontroll inbegripet utnämning av en efterlevnadsansvarig på ledningsnivå om det motiveras av verksamhetens storlek och natur samt bakgrundskontroll av personal. (b) En oberoende granskningsfunktion för att granska de interna riktlinjer, kontroller och förfaranden som avses i led a, om det motiveras av verksamhetens storlek och natur.”

De behöriga myndigheterna bör, med beaktande av de proportionalitetskriterier som anges i punkterna 17–21, bedöma den oberoende och effektiva internrevisionsfunktion som inrättats av det ansökande kreditinstitutet. De behöriga myndigheterna bör få en tydlig uppfattning om att internrevisionsfunktionen, enligt en riskbaserad metod, kommer att kunna göra en oberoende översyn och ge objektiva garantier för att kreditinstitutets samtliga verksamheter och enheter, inklusive utkontrakterad verksamhet, överensstämmer med institutets riktlinjer och förfaranden och med andra externa (icke-tillsynsmässiga) krav.

För detta ändamål bör de behöriga myndigheterna bedöma om internrevisionsfunktionen har organisatoriskt oberoende och om internrevisorernas objektivitet skyddas genom direkt rapportering till ledningsorganet och tillräckliga resurser för att utföra sina uppgifter. I detta syfte bör det också säkerställas att internrevisionsfunktionen har obegränsad institutstäckande tillgång till institutets alla register, handlingar, information och byggnader för att den ska kunna fullgöra sina uppgifter.

De behöriga myndigheterna bör också bedöma huruvida internrevisionsfunktionen har anförtrotts åtminstone följande uppgifter:

• (a) Den interna kontrollramens lämplighet, inbegripet lämpligheten i policyer och förfaranden och efterlevnad av rättsliga och tillsynsmässiga krav.
• (b) Utarbetande av en revisionsplan minst en gång om året vilken bygger på de årliga målen för internrevisionskontrollen och ska godkännas av ledningsorganet.
• (c) Framläggande av rekommendationer på grundval av resultaten av dess verksamhet.

De bör också kontrollera att huvuddragen i metoden och den interna revisionsplanen för de tre första verksamhetsåren, inklusive revisionen av tjänster som läggs ut på entreprenad, är förenliga med den organisationsstruktur, verksamhetstyp och riskprofil som följer av den affärsplan som bedömts i enlighet med avsnitt 7.

9.4.7 Operativ motståndskraft och driftskontinuitetspolicy och driftskontinuitetsplan

Huvuddragen i policyn och planen för driftskontinuitet bör säkerställa att den sökande har en sund plan för hantering av driftskontinuitet för att säkerställa sin förmåga att bedriva verksamhet fortlöpande och begränsa förlusterna i händelse av allvarliga driftsavbrott. Den bör säkerställa att policyn och planen för driftskontinuitet innehåller en analys av de huvudsakliga riskerna för avbrott i verksamheten och en översikt över riskreducerande åtgärder samt säkerställa regelbundna tester av planen för driftskontinuitet.

9.4.8 IKT-policy och IKT-system

De behöriga myndigheterna bör bedöma huruvida IKT-policyn kommer att förse kreditinstitutet med tillförlitliga informations- och kommunikationssystem och huruvida IKT-systemen fullt ut kommer att kunna stödja aggregeringen av riskdata både vid normala tidpunkter och under perioder av stress. De behöriga myndigheterna bör särskilt bedöma om institutet åtminstone kommer att kunna

• (a) generera korrekta och tillförlitliga riskdata,
• (b) samla in och sammanställa alla väsentliga riskdata i hela institutet,
• (c) inom skälig tid generera sammanställda och aktuella riskdata,
• (d) generera sammanställda riskdata för att tillgodose en stor mängd och varierande förfrågningar från ledningsorganet eller behöriga myndigheter,
• (e) se till att de informations- och kommunikationssystem som stödjer institutens riktade verksamhet fungerar på ett sunt, tillförlitligt och säkert sätt.

När det gäller IKT-risker och säkerhetsrisker⁵⁵ bör de behöriga myndigheterna vara förvissade om att ramverket kommer att säkerställa en sund, tillförlitlig och säker funktion hos de informations- och kommunikationssystem som stödjer kreditinstitutens verksamhet samt att IKT-risker under normala tider och under stressperioder förebyggs, övervakas och reduceras på ett tillfredsställande sätt. De behöriga myndigheterna bör särskilt bedöma

• (a) huruvida ledningsorganet har en övergripande ansvarsskyldighet när det gäller att fastställa, godkänna och övervaka genomförandet av finansinstitutens IKT-strategi, som bör anpassas till finansinstitutens övergripande affärsstrategi,
• (b) en tydlig definition och fördelning av nyckelroller och ansvarsområden, och relevanta rapporteringsvägar, för att ramverket för hantering av IKT-risker och säkerhetsrisker ska vara effektivt, inbegripet tilldelning av lämplig budget för att på ett adekvat sätt stödja IKT-operativa behov och hanteringen av IKT-risker och säkerhetsrisker,
• (c) huruvida hanteringen och tillsynen av IKT-risker och säkerhetsrisker anförtros en oberoende och objektiv kontrollfunktion, på lämpligt sätt åtskild från IKT-operativa processer och inte ansvarar för någon internrevision, och en oberoende internrevisionsfunktion,
• (d) arrangemang för att säkerställa identifiering, inrättande och underhåll av uppdaterad kartläggning av verksamhetsfunktioner, roller och stödprocesser för att identifiera betydelsen av var och en av dem och deras ömsesidiga beroenden i förhållande till IKT-risker och säkerhetsrisker,
• (e) i den mån informationen lagras i IKT-system, huruvida kraven på informationssäkerhet kommer att vara uppfyllda,
• (f) omfattningen, komplexiteten och betydelsen av IKT-relaterade beroenden, om man planerar utkontraktering av IKT-tjänsternas operativa funktioner och IKT-systemens verksamhet – även till koncernenheter – eller användning av tredje part i samband med sådana funktioner och verksamheter.

⁵⁵ Enligt definitionen i EBA:s riktlinjer för hantering av IKT-risker och säkerhetsrisker har ”IKT-risk och säkerhetsrisk” följande innebörd: ”Risk för förlust som beror på sekretessbrott, på att integriteten hos system och data inte fungerar, på att system och data är olämpliga eller otillgängliga, eller på oförmåga att ändra på det inom rimlig tid och till rimliga kostnader när miljö- eller verksamhetskraven förändras (dvs. smidighet). Detta inkluderar säkerhetsrisker till följd av otillräckliga eller icke-funktionella interna processer eller externa händelser, bl.a. IT-attacker, eller otillräcklig fysisk säkerhet.”