5.5 Ram och funktioner för intern kontroll

De behöriga myndigheterna bör bedöma huruvida värdepappersföretaget har en ram för intern kontroll som är lämplig med hänsyn till arten, omfattningen och komplexiteten i värdepappersföretagens verksamhet, i enlighet med bestämmelserna i EBA:s riktlinjer för intern styrning. Denna bedömning bör åtminstone omfatta huruvida

• a. värdepappersföretag tillämpar en ram för intern kontroll som omfattar hela organisationen, inbegripet ledningsorganets ansvar och uppgifter, och verksamheten inom alla affärsområden och interna enheter, inbegripet interna kontrollfunktioner, utkontrakterad verksamhet och distributionskanaler,
• b. värdepappersföretag inför, upprätthåller och regelbundet uppdaterar lämpliga skriftliga policyer, mekanismer och förfaranden för intern kontroll, vilka bör godkännas av ledningsorganet,
• c. värdepappersföretags affärsområden ansvarar för att hantera de risker de ådrar sig när de bedriver sin verksamhet och har infört kontroller som syftar till att säkerställa efterlevnad av interna och externa krav,
• d. ledningsorganet ansvarar för att fastställa och övervaka att ramen, processerna och mekanismerna för intern kontroll är lämpliga och effektiva och för att övervaka alla affärsområden och interna enheter, inbegripet interna kontrollfunktioner,
• e. värdepappersföretagets ram för intern kontroll, i tillämpliga fall, anpassas individuellt till dess verksamhets särdrag, komplexitet och tillhörande risker, med beaktande av koncernsammanhanget,
• f. det finns en tydlig, transparent och dokumenterad beslutsprocess och en tydlig fördelning av ansvar och befogenheter inom ramen för intern kontroll, inbegripet affärsområden, interna enheter och interna kontrollfunktioner,
• g. det sker ett utbyte av nödvändig information, inbegripet riktlinjer, mekanismer och förfaranden och uppdateringar av dessa, i god tid som säkerställer att ledningsorganet, varje affärsområde och intern enhet, inklusive varje intern oberoende kontrollfunktion, kan utföra sina uppgifter,
• h. interna kontrollfunktioner regelbundet och i god tid överlämnar korrekta, koncisa, heltäckande, tydliga och användbara skriftliga rapporter om större identifierade brister till ledningsorganet, och att sådana rapporter för varje ny identifierad större

38 brist innehåller en konsekvensbedömning, rekommendationer och korrigerande åtgärder som ska vidtas,

• i. interna kontrollfunktioner har tillgång till och kan rapportera direkt till ledningsorganet i dess tillsynsfunktion, för att vid behov ta upp farhågor,
• j. ledningsorganet följer upp de interna kontrollfunktionernas iakttagelser i god tid och på ett effektivt sätt och kräver lämpliga korrigerande åtgärder och ett formellt uppföljningsförfarande för iakttagelser och korrigerande åtgärder som vidtagits.

5.5.2 Interna kontrollfunktioner

De behöriga myndigheterna bör bedöma om värdepappersföretaget har en effektiv och permanent intern funktion för regelefterlevnad och, när så är lämpligt och proportionellt, en riskhanteringsfunktion och en internrevisionsfunktion med tillräckliga resurser och tillräcklig auktoritet, ställning och, vid behov, direkt tillgång till ledningsorganet i dess tillsynsfunktion och till dess kommittéer, om sådana inrättats, i synnerhet inbegripet riskkommittén.

De behöriga myndigheterna bör bedöma om värdepappersföretagets funktion för regelefterlevnad och, i förekommande fall riskhanteringsfunktion och internrevisionsfunktion, följer bestämmelserna i avdelning 5 i EBA:s riktlinjer för intern styrning.