Bekendtgørelse om ledelse og styring af pengeinstitutter m.fl.

Stk. 2 Virksomheder omfattet af stk. 1, der kun har tilladelse til at udføre visse nærmere afgrænsede tjenesteydelser, skal følge bekendtgørelsens regler på de områder, som virksomheden har tilladelse til.

Stk. 3 § 2, stk. 1, § 3, stk. 1, nr. 5-7, 10 og 12, og stk. 2, § 4, stk. 2, nr. 6 og 8, § 16, bilag 5 og bilag 7, nr. 1-9, 11, 12, 14, 16-19, 22 og 24, finder anvendelse på fælles datacentraler.

Stk. 4 § 4, stk. 2, nr. 7, § 5, stk. 3, nr. 4, og bilag 8 finder ikke anvendelse for virksomheder omfattet af stk. 1, nr. 5-7.

Stk. 5 Bilag 5, nr. 70, finder anvendelse på filialer af penge- og realkreditinstitutter, der er udpeget som operatører af væsentlige tjenester i medfør af § 307 a, stk. 1, 2. pkt., i lov om finansiel virksomhed.

Stk. 6 § 16 finder ikke anvendelse på finansielle holdingvirksomheder.

Stk. 7 §§ 16 og 17 finder ikke anvendelse på virksomheder, der alene har tilladelse som fondsmæglerselskab.

Stk. 8 § 25 finder alene anvendelse på virksomheder omfattet af stk. 1, nr. 1, 2, 4, 6 og 7, og securitiseringsenheder med særligt formål, jf. artikel 2, stk. 1, nr. 2, i Europa-Parlamentets og Rådets forordning 2017/2402/EU af 12. december 2017.

Stk. 9 § 5, stk. 3, nr. 5, finder ikke anvendelse for virksomheder omfattet af § 1, stk. 1, nr. 5 og 6.

Stk. 10 § 26, stk. 1, 2. pkt., § 26, stk. 2, og bilag 5 finder anvendelse på it-operatører af detailbetalingssystemers it-drift og it-risikostyring af detailbetalingssystemer, for så vidt angår den del af deres virksomhed som er omfattet af deres tilladelse som it-operatør.

Stk. 2 Bestyrelsen henholdsvis direktionen i de virksomheder, der er omfattet af § 1, stk. 1, nr. 1-6, og som har datterselskaber, skal træffe foranstaltninger, der er tilstrækkelige til, at koncernen drives på betryggende vis.

Stk. 3 Bestyrelsen henholdsvis direktionen i de virksomheder, der er omfattet af § 1, stk. 1, nr. 1 og 2, og som i medfør af §§ 308 eller 310 i lov om finansiel virksomhed er udpeget som systemisk vigtige finansielle institutter (SIFI) eller globalt systemisk vigtige finansielle institutter (G-SIFI), skal ved vurderingen efter stk. 1 inddrage hensynet til opretholdelsen af en stabil finansiel sektor ved vurdering af risikostyringsområdet og hensynet til opretholdelsen af en stabil finansiel infrastruktur ved vurdering af it-sikkerhedsområdet.

Stk. 2 Bestyrelsen skal sikre, at den har det fornødne informationsgrundlag til at træffe beslutninger som nævnt i stk. 1.

Stk. 2 Politikkerne skal, hvor det er relevant, omfatte følgende:

• 1) Kreditpolitik, jf. bilag 1.

• 2) Markedsrisikopolitik, jf. bilag 2.

• 3) Politik for operationelle risici, jf. bilag 3.

• 4) Politik for forsikringsmæssig afdækning af risici.

• 5) Likviditetspolitik, herunder en beredskabsplan i tilfælde af utilstrækkelig eller manglende likviditet, jf. bilag 4.

• 6) It-strategi, it-risikostyringspolitik og it-sikkerhedspolitik, jf. bilag 5.

• 7) Politik for risikoen for overdreven gearing, jf. bilag 8.

• 8) Øvrige risikoområder, som bestyrelsen vurderer, er af betydning for virksomheden.

Stk. 3 Virksomhedens politikker, jf. stk. 2, nr. 1-3, samt i relevant omfang nr. 4-8, skal udover virksomhedens overordnede strategiske mål for de pågældende risikoområder indeholde retningslinjer for de risici, der udspringer af miljømæssige, sociale og ledelsesmæssige forhold, som virksomheden ønsker at påtage sig.

Stk. 4 Virksomhedens politikker skal være forsvarlige i forhold til virksomhedens indtjening og kapitalgrundlag.

Stk. 2 Vurderingen efter stk. 1 skal foretages i forhold til

• 1) hvilke risici virksomheden er udsat for, herunder forretningsmodellens indflydelse på risici og risikoniveauer,

• 2) hvilke aktiviteter de pågældende risici er tilknyttet,

• 3) omfanget af de enkelte risici, og

• 4) hvordan risikotyperne påvirker hinanden, hvis dette er relevant.

Stk. 3 Vurderingen efter stk. 1 skal i fornødent omfang desuden indeholde en stillingtagen til

• 1) om virksomheden har et betryggende antal medarbejdere og kompetencer på risikobehæftede aktiviteter,

• 2) om virksomheden har betryggende it-systemer,

• 3) om virksomheden har betryggende procedurer for hurtig og effektiv kommunikation på tværs af virksomheden og koncernen,

• 4) om virksomheden har betryggende processer til identifikation, styring og overvågning af overdreven gearingsrisiko, jf. bilag 8, og

• 5) om virksomheden har et betryggende antal medarbejdere, kompetencer, politikker, retningslinjer og processer for styring af nødlidende eksponeringer (non-performing exposures) og eksponeringer med kreditlempelser (forborne exposures), jf. artikel 47a og artikel 47b, i Europa-Parlamentets og Rådets forordning (EU) nr. 2019/630 af 17. april 2019 for så vidt angår krav til minimumsdækning af tab for misligholdte eksponeringer, herunder om virksomheden har et passende beredskab til at håndtere en eventuel væsentlig forringelse af kvaliteten i kreditporteføljen.

Stk. 4 Den risikoansvarliges rapport, jf. bilag 7, skal indgå i bestyrelsens samlede vurderingsgrundlag, jf. stk. 1.

Stk. 2 Retningslinjerne efter stk. 1 skal angive, hvilke dispositioner direktionen kan foretage som led i dens stilling, og hvilke beslutninger direktionen eventuelt kan træffe med efterfølgende orientering af bestyrelsen.

Stk. 3 Bestyrelsen kan ikke henlægge beføjelser til direktionen, der hører til bestyrelsens overordnede ledelsesopgaver, jf. §§ 3-5, eller i øvrigt er af usædvanlig art eller af stor betydning for virksomheden, herunder følgende beføjelser:

• 1) Beslutning om rammer og betingelser for outsourcing af kritiske og vigtige processer, tjenesteydelser eller aktiviteter.

• 2) Bevilling af usædvanlige eller betydende eksponeringer, jf. dog § 117, stk. 1, 3. og 4. pkt., i selskabsloven, og eksponeringer omfattet af § 78 i lov om finansiel virksomhed og § 88 i lov om fondsmæglerselskaber og investeringsservice og -aktiviteter.

• 3) Den årlige gennemgang af større aktiver og passiver, jf. principperne i § 115, nr. 1, i selskabsloven.

• 4) Ansættelse af direktion og revisionschef.

• 5) Beslutning om principper for opgørelse af risici, jf. § 7, stk. 1, nr. 2, herunder anvendelse af interne modeller, der ikke er omfattet af nr. 6.

• 6) Beslutning om ansøgning om godkendelse af IRB-, VaR-, AMA- og EPE-modeller og andre interne modeller til opgørelse af virksomhedens solvens, jf. Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber og Europa-Parlamentets og Rådets forordning (EU) 2019/2033 af 27. november 2019 om tilsynsmæssige krav til investeringsselskaber.

• 7) Beslutning om virksomhedens individuelle solvensbehov, jf. § 124, stk. 2, og § 126 a, stk. 1, i lov om finansiel virksomhed og § 120, stk. 2, i lov om fondsmæglerselskaber og investeringsservice og -aktiviteter.

Stk. 2 Retningslinjernes grænser på kreditrisiko-, markedsrisiko- og likviditetsrisikoområdet, jf. bilag 1, 2 og 4, skal utvetydigt angive størrelsen af den enkelte fastsatte grænse for risiko for eksempel som absolutte tal, eller ved at risikoen sættes i forhold til virksomhedens kapitalgrundlag.

Stk. 3 Retningslinjerne kan kun undtagelsesvis give mulighed for, at direktionen kan disponere risici i en størrelsesorden, der ligger udenfor den fastlagte risikoprofil og retningslinjernes grænser og da kun, hvis forudsætningerne herfor fremgår af retningslinjerne. Kan disse forudsætninger ikke fastlægges, kan forudgående beføjelser til overskridelser af retningslinjernes grænser ikke gives til direktionen.

Stk. 4 Bestyrelsen skal ved udformningen af retningslinjerne til direktionen være betrygget i, at direktøren eller direktionens medlemmer tilsammen besidder den fornødne viden og erfaring til at anvende de beføjelser, som retningslinjerne indeholder, på en for virksomheden betryggende måde.

Stk. 5 Det skal fremgå af retningslinjerne, hvordan og hvor hyppigt rapportering til bestyrelsen skal ske. Herunder skal det fremgå, hvordan og hvor hyppigt direktionen skal rapportere på de områder, hvor bestyrelsen har fastsat grænser for direktionen, eller hvor der er fastsat grænser i lovgivningen.

Stk. 2 Direktionen skal sikre, at de politikker og retningslinjer, som er vedtaget af bestyrelsen, implementeres i virksomhedens daglige drift.

Stk. 3 Direktionen er forpligtet til at videregive information til bestyrelsen, som bestyrelsen har anmodet om samt information, som direktionen vurderer, kan være af betydning for bestyrelsens arbejde.

Stk. 4 Direktionen er forpligtet til at videregive information til den risikoansvarlige og den complianceansvarlige, som direktionen vurderer kan være af betydning for den risikoansvarlige og den complianceansvarliges arbejde.

Stk. 5 Direktionen har det daglige ledelsesmæssige ansvar for, at virksomheden kun træffer dispositioner, som direktionen og medarbejdere i fornødent omfang kan vurdere risiciene ved og konsekvenserne af.

Stk. 6 Direktionen skal sikre, at der er forretningsgange for dokumentation af væsentlige beslutninger i organisationen, herunder oplysninger om, hvem der har truffet en given beslutning, hvornår den er truffet, og under hvilken beføjelse og på hvilket grundlag den er truffet.

Stk. 7 Direktionen skal godkende virksomhedens forretningsgange, jf. § 13, stk. 1, eller udpege en eller flere personer eller organisatoriske enheder med den nødvendige faglige viden til at gøre dette.

Stk. 8 Direktionen skal sikre, at der er anvisninger for, hvilke tiltag der skal iværksættes i forbindelse med alvorlige driftsforstyrrelser, it-nedbrud, øvrige driftsforstyrrelser samt for nøglemedarbejderes fratrædelse.

Stk. 9 Direktionen skal godkende virksomhedens retningslinjer for udvikling og godkendelse af nye tjenesteydelser og produkter, der kan medføre væsentlige risici for virksomheden, modparter eller kunder, herunder ændringer i eksisterende produkter, hvorved produktets risikoprofil ændres væsentligt.

Stk. 10 Direktionen i virksomheder omfattet af § 1, stk. 1, nr. 1-3, skal mindst én gang om året udarbejde en rapport med en opgørelse og vurdering af virksomhedens likviditetsposition og likviditetsrisici.

Stk. 11 Direktionen skal mindst én gang om året vurdere kvaliteten af data, som er væsentlige for virksomhedens styring, samt iværksætte nødvendige tiltag, hvis direktionen finder kvaliteten utilstrækkelig.

Stk. 12 Direktionen skal løbende overvåge, udfordre og føre tilsyn med, at ledende medarbejderes arbejde i organisationen udføres i overensstemmelse med de retningslinjer, som er givet, herunder at der sker betryggende rapportering, jf. §§ 20 og 21.

Stk. 13 Direktionen skal foretage en tilstrækkelig undersøgelse af forholdene, hvis den får mistanke om medarbejderes samarbejde med kunder, leverandører eller andre eksterne parter om deltagelse i kriminalitet eller får mistanke om medarbejderes kendskab til kunders, leverandørers eller andre eksterne parters kriminalitet. Direktionen skal i denne situation vurdere tildelingen af opgaver til pågældende medarbejdere.

Stk. 2 De organisatoriske enheder skal være bemandet ressource- og kompetencemæssigt således, at enhederne på betryggende vis kan løse de opgaver, det påhviler enhederne at udføre.

Stk. 3 Virksomheden skal have foranstaltninger, som sikrer, at eventuelt manglende overholdelse af politikker og forretningsgange indgår i ledelsens vurdering af de organisatoriske enheders og medarbejdernes løsning af deres respektive opgaver.

Stk. 2 Virksomhedens afvikling, udarbejdelse af resultat- og risikoopgørelser, kontrol og rapportering kan udføres i samme enhed, hvis dette kan anses for betryggende, jf. § 2, og under hensyntagen til arten af enhedens øvrige opgaver.

Stk. 3 I virksomheder, hvor der ikke opretholdes funktionsadskillelse i overensstemmelse med stk. 1, nr. 2, skal der, jf. § 2, indføres betryggende kompenserende foranstaltninger, der skal sikre, at der ikke påføres virksomheden unødige risici eller tab.

Stk. 2 Forretningsgangene skal som minimum

• 1) være lettilgængelige og overskuelige,

• 2) på fyldestgørende måde beskrive de aktiviteter, der skal udføres, herunder sikre at lovgivningen og anden relevant regulering samt de politikker og retningslinjer, som virksomhedens ledelse har vedtaget, efterleves og overholdes,

• 3) angive, hvilken organisatorisk enhed, personer eller grupper af personer der skal udføre de enkelte opgaver eller delopgaver, og

• 4) opdateres løbende ved ændring i interne forhold eller i relevant regulering.

Stk. 3 Forretningsgangene kan foreligge elektronisk. Direktionen skal dog sikre, at de er tilgængelige i tilfælde af systemnedbrud i virksomheden.

Stk. 2 Dokumentationen, jf. stk. 1, skal foreligge enten skriftligt eller elektronisk.

Stk. 2 Afskedigelse af den risikoansvarlige kræver bestyrelsens forudgående godkendelse.

Stk. 3 Direktionen skal følge op på den risikoansvarliges konklusioner og anbefalinger samt i relevant omfang gennemføre korrigerende foranstaltninger. Virksomheden skal have retningslinjer for opfølgning på den risikoansvarliges konklusioner.

Stk. 4 Advarsler og betænkeligheder afgivet af risikostyringsfunktionen skal dokumenteres, og virksomheden skal have procedurer til at sikre dette.

Stk. 2 Virksomheden skal have en compliancefunktion, der fungerer uafhængigt, og som skal kontrollere og vurdere, om metoderne og procedurerne efter stk. 1 og de foranstaltninger, der træffes for at afhjælpe eventuelle mangler, er effektive.

Stk. 3 I virksomheder, der er værdipapirhandlere, skal compliancefunktionen for den del af virksomheden, der vedrører handel med finansielle instrumenter, udføre compliance og yde rådgivning af og bistand til de personer, der har ansvaret for at yde investeringsservice og udføre investeringsaktiviteter i overensstemmelse med artikel 22, stk. 1-3, i Kommissionens delegerede forordning (EU) nr. 2017/565 af 25. april 2016 om supplerende regler til Europa-Parlamentets og Rådets direktiv 2014/65/EU for så vidt angår de organisatoriske krav til og vilkårene for drift af investeringsselskaber samt definitioner af begreber med henblik på nævnte direktiv.

Stk. 4 For at sikre at compliancefunktionen kan varetage sine ansvarsområder korrekt og uafhængigt, skal direktionen sikre, at følgende betingelser opfyldes:

• 1) Compliancefunktionen skal have de nødvendige ressourcer, den nødvendige kompetence og sagkundskab samt adgang til regelmæssig uddannelse og alle relevante oplysninger.

• 2) En medarbejder, der er udpeget af direktionen, skal være ansvarlig for compliancefunktionen og for rapportering til bestyrelsen og direktionen. Rapporteringen skal ske mindst én gang om året. Den complianceansvarlige skal i øvrigt have mulighed for at udtale sig direkte til bestyrelsen, hvis den complianceansvarlige skønner det nødvendigt.

• 3) Medarbejdere, der er involveret i compliancefunktionen, må ikke deltage i leveringen af de tjenesteydelser eller udførelsen af de aktiviteter, de kontrollerer.

• 4) Metoden til at fastsætte vederlag til medarbejdere i compliancefunktionen må ikke bringe deres uafhængighed i fare.

Stk. 5 Stk. 4, nr. 3 og 4, finder ikke anvendelse, hvis det kan godtgøres, at disse krav ikke står i rimeligt forhold til arten, omfanget og sammensætningen af virksomhedens aktiviteter.

Stk. 6 Vurderer direktionen, at virksomhedens størrelse eller sammensætningen af virksomhedens aktiviteter berettiger hertil, kan den samme person udpeges til at være complianceansvarlig og risikoansvarlig. Det skal dog altid sikres, at medarbejdere ikke er involveret i udførelsen af opgaver, som de kontrollerer som led i deres complianceopgaver.

Stk. 7 Direktionen skal følge op på den complianceansvarliges konklusioner og anbefalinger samt i relevant omfang gennemføre korrigerende foranstaltninger. Virksomheden skal have retningslinjer for opfølgning på den complianceansvarliges konklusioner.

Stk. 8 Advarsler og betænkeligheder afgivet af compliancefunktionen skal dokumenteres, og virksomheden skal have procedurer til at sikre dette.

Stk. 2 Videregivelse af beføjelser kan kun ske til medarbejdere, der har den fornødne viden, indsigt og erfaring til betryggende at kunne anvende beføjelserne.

Stk. 3 Videregivne beføjelser skal som minimum angive

• 1) arten og størrelsen af den eller de videregivne beføjelser,

• 2) principperne for opgørelse af udnyttelse af beføjelserne,

• 3) hvilke produkter eller handlinger beføjelsen omfatter,

• 4) eventuelle supplerende grænser for risiko samt principperne for opgørelse af sådanne beføjelser, der opfylder kravene i § 7, stk. 1, og

• 5) hvordan, hvor ofte og af hvilken person eller organisatorisk enhed rapportering skal foretages til afgiver af beføjelsen og eventuelle andre.

Stk. 4 Ingen kan videregive beføjelser, der går udover de beføjelser, den pågældende selv har modtaget. Summen af videregivne beføjelser, herunder beføjelser givet til grupper af medarbejdere, må ikke overstige de beføjelser, som fremgår af bestyrelsens retningslinjer til direktionen.

Stk. 5 Er der fastsat supplerende risikomål i forbindelse med videregivne beføjelser, skal den, der afgiver beføjelserne, sikre sig, at anvendelse af de supplerende risikomål finder sted på en måde, der sikrer, at der ikke sker overskridelse af øvrige tildelte beføjelser.

Stk. 2 Kontrol skal udføres af en anden enhed end den, der har udført opgaven, jf. § 11, stk. 1, medmindre kontrollen har karakter af afstemning, overvågning af om forretningsgange overholdes, fejlfinding eller lignende, og kontrollen i det konkrete tilfælde er betryggende.

Stk. 3 Kontroller omfattet af stk. 1 skal foretages med passende intervaller, afhængigt af virksomhedens størrelse, den enkelte risikos væsentlighed og størrelse set i forhold til virksomhedens forretningsmodel, aktivitetsområde, kompleksiteten af de pågældende risici og virksomhedens kapitalforhold. Kontrollerne skal, hvor der løbende sker dispositioner hen over dagen, omfatte overholdelse af grænser intra-dag. Intra-dag kontroller kan, hvor dette er betryggende, foretages på stikprøvebasis.

Stk. 4 Virksomheden skal have passende overvågning af, at administrative opgaver udføres på en betryggende og ensartet måde, og at forretningsgange m.v. bliver overholdt.

Stk. 2 Rapporteringen skal ske i overskuelig form og give bestyrelse, direktion og øvrige ledelsesniveauer, der har videregivet beføjelser, jf. § 18, oplysning om den aktuelle udnyttelse af de væsentlige grænser og om udnyttelsen over tid. Uanset 1. pkt. og stk. 1 skal der ske rapportering om overskridelse af samtlige grænser.

Stk. 3 Anvender virksomheden interne modeller til opgørelse af risici, skal rapporteringen desuden omfatte relevante back-tests til dokumentation af modellens pålidelighed.

Stk. 4 Rapportering om videregivne beføjelser, herunder overskridelse af disse, skal ske til den, der har afgivet beføjelserne med intervaller, der afspejler afgiverens involvering i den daglige disponering, og som fremgår af beføjelserne. Overskridelsen skal sædvanligvis rapporteres senest dagen efter, at overskridelsen er konstateret.

Stk. 2 Direktionen skal sikre, at virksomhedens forretningsgange i videst muligt omfang indeholder anvisninger om, hvilke forhold der skal eller bør rapporteres om, og til hvem rapporteringen skal foretages, herunder skal det fremgå, om rapportering i særlige tilfælde kan eller skal ske til andre end den pågældendes daglige leder eller dennes leder.

Stk. 2 Den risikoansvarlige og den complianceansvarlige skal høres i forbindelse med stillingtagen til, om ændring af eksisterende produkter har et omfang, der medfører, at ændringen skal være omfattet af kravene til udvikling og godkendelse af nye produkter. Den risikoansvarlige og den complianceansvarlige skal altid kunne kræve, at en ændring af et eksisterende produkt skal behandles som et nyt produkt.

Stk. 2 Ved overdreven gearingsrisiko forstås overdreven gearingsrisiko som defineret i artikel 4, stk. 1, nr. 94, i Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber.

Stk. 2 Virksomheder, der deltager i securitiseringsaktiviteter, skal have betryggende politikker og forretningsgange på området, som skal sikre, at virksomheden vurderer og håndterer risici forbundet med securitisering, herunder omdømmemæssige risici, der kan opstå i forbindelse med deltagelse i komplekse strukturer, og at securitiseringsaktiviteternes økonomiske indhold afspejles i risikovurderingen og ledelsesbeslutningerne.

Stk. 2 Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel.

Stk. 2 Bekendtgørelse nr. 788 af 1. juni 2022 om ledelse og styring af pengeinstitutter m.fl. ophæves.