14 Ram för intern kontroll

Värdepappersföretag ska utveckla och bibehålla en kultur som uppmuntrar en positiv inställning till riskkontroll och efterlevnad inom företaget samt en robust och heltäckande ram för intern kontroll. Enligt denna ram ska värdepappersföretagens affärsområden ansvara för att hantera de risker de ådrar sig i sin verksamhet och ha kontroller som syftar till att säkerställa efterlevnad av interna och externa krav. Som ett led i denna ram ska värdepappersföretag ha en permanent och effektiv intern funktion för regelefterlevnad²⁷ som har lämplig och tillräcklig auktoritet, ställning och tillgång till ledningsorganet för att kunna fullgöra sitt uppdrag, samt en ram för riskhantering. När det är proportionellt med hänsyn till de kriterier som anges i avdelning I ska värdepappersföretag också ha en intern riskhanterings- och revisionsfunktion.

²⁷ Utan att det påverkar tillämpningen av artikel 22 i kommissionens delegerade förordning (EU) 2017/565.

Ramen för intern kontroll hos det berörda värdepappersföretaget ska anpassas i varje enskilt fall efter särdragen i företagets verksamhet, dess komplexitet och de förknippade riskerna, med beaktande av koncernens egenskaper. Det berörda värdepappersföretaget ska organisera utbytet av nödvändig information på ett sätt som säkerställer att varje ledningsorgan, affärsområde och intern enhet, inklusive varje intern kontrollfunktion, kan fullgöra sina uppgifter. Detta innebär bland annat ett nödvändigt utbyte av lämplig information mellan affärsområdena och funktionen för regelefterlevnad, och funktionen för bekämpning av penningtvätt och finansiering av terrorism om denna är en separat kontrollfunktion, på gruppnivå, samt mellan cheferna för de interna kontrollfunktionerna på gruppnivå och värdepappersföretagens ledningsorgan.

Värdepappersföretag ska införa lämpliga processer och förfaranden för att säkerställa att de fullgör sina skyldigheter när det gäller bekämpning av penningtvätt och finansiering av terrorism. Värdepappersföretag ska bedöma sin exponering för risken att de kan komma att nyttjas för penningtvätt och finansiering av terrorism och, när så är lämpligt, vidta åtgärder för att minska dessa risker samt de operativa risker och anseenderisker som följer därav. Värdepappersföretag ska vidta åtgärder som säkerställer att deras personal är medvetna om riskerna för penningtvätt och finansiering av terrorism samt den inverkan som penningtvätt och finansiering av terrorism har på värdepappersföretaget och det finansiella systemets integritet.

Ramen för intern kontroll ska omfatta hela organisationen, inklusive ledningsorganets ansvarsområden och uppgifter, samt verksamheten i alla affärsområden och interna enheter, inbegripet interna kontrollfunktioner, utkontrakterade verksamheter och distributionskanaler.

Ett värdepappersföretags ram för intern kontroll ska säkerställa

• a. ändamålsenlig och effektiv verksamhet,
• b. tillbörlig identifiering, mätning och reducering av risker,
• c. tillförlitligheten i finansiell och icke-finansiell information som rapporteras både internt och externt,
• d. sunda rutiner för administration och redovisning,
• e. efterlevnad av lagar, förordningar och tillsynskrav samt värdepappersföretagets interna policyer, processer, regler och beslut.