§ 1.§-link ↗
Denne bekendtgørelse finder anvendelse på følgende virksomheder, jf. dog stk. 2: 1) Pengeinstitutter. 2) Fondsmæglerselskaber, jf. dog § 23. 3) Investeringsforvaltningsselskaber, dog ikke investeringsforvaltningsselskabers administration af investeringsforeninger, specialforeninger, hedgeforeninger, godkendte fåmandsforeninger og professionelle foreninger. 4) Filialer her i landet af kreditinstitutter, investeringsselskaber og administrationsselskaber, der er meddelt tilladelse i et land uden for den Europæiske Union, som Unionen ikke har indgået aftale med på det finansielle område, og som ikke har indgået aftale med Færøerne i medfør af § 30, stk. 1, i lov om finansiel virksomhed, som sat i kraft for Færøerne ved kongelig anordning, med de afvigelser, som filialforholdet nødvendiggør, eller som er fastsat i eller i henhold til international aftale.
Stk. 2. Virksomheder omfattet af stk. 1, der kun har tilladelse til at udføre visse nærmere afgrænsede tjenesteydelser, skal følge bekendtgørelsens regler på de områder, virksomheden har tilladelse til.
Stk. 3. Hvis bestyrelse og direktion kan godtgøre, at bestemmelser i denne bekendtgørelse enten ikke er relevante for virksomheden som helhed eller for de berørte risikoområder, eller at virksomheden eller risikoområdet på trods af en fravigelse fortsat kan drives på forsvarlig vis, kan virksomheden fravige bestemmelser i bekendtgørelsen medmindre andet fremgår. Fravigelse kan f.eks. ske som følge af 1) ringe eller ukompliceret aktivitet på et eller flere aktivitets- eller risikoområder, 2) virksomhedens størrelse, 3) virksomhedens struktur eller 4) strukturen i en eventuel koncern, hvori virksomheden indgår.
Stk. 4. I virksomheder med omfattende eller meget komplekse aktiviteter på et eller flere risikoområder skal virksomhedens bestyrelse og direktion løbende vurdere, om det er nødvendigt at supplere bekendtgørelsens krav med yderligere tiltag.
§ 2.§-link ↗
Som led i varetagelsen af den overordnede og strategiske ledelse af virksomheden skal bestyrelsen 1) træffe beslutning om virksomhedens forretningsmodel, 2) vurdere om virksomhedens risikoprofil og politikker, jf. § 5, samt retningslinjerne til direktionen, jf. §§ 6 og 7, er forsvarlige i forhold til virksomhedens forretningsmæssige aktiviteter, organisation og ressourcer samt de markedsforhold, som virksomhedens aktiviteter drives under, 3) vurdere og tage stilling til virksomhedens budgetter, kapital, likviditet, væsentlige dispositioner, særlige risici og overordnede forsikringsforhold, 4) overvåge, at direktionen varetager sine opgaver på en betryggende måde og i overensstemmelse med den fastlagte risikoprofil, de fastlagte politikker samt retningslinjerne til direktionen, 5) sikre, at direktionens rapportering til og information af bestyrelsen er fyldestgørende for bestyrelsens arbejde, 6) overvåge, at virksomheden har effektive former for virksomhedsstyring samt 7) når påkrævet og mindst én gang årligt træffe beslutning om virksomhedens individuelle solvensbehov, jf. lov om finansiel virksomhed, som sat i kraft for Færøerne ved kongelig anordning § 124, stk. 4, og § 125, stk. 7.
§ 3.§-link ↗
Bestyrelsen skal løbende vurdere, om dens medlemmer tilsammen besidder den fornødne viden og erfaring om virksomhedens risici til at sikre en forsvarlig drift af virksomheden. Dette gælder særligt ved virksomhedens ibrugtagning af modeller til brug for risikoberegning, ved indførelse af nye produkter, jf. § 28, og andre tiltag, der kan medføre væsentligt øgede risici for virksomheden eller i væsentlig grad kan påvirke den måde, hvorpå risici opgøres og rapporteres i virksomheden.
§ 4.§-link ↗
Bestyrelsen skal, når virksomhedens forhold, markedsforhold eller andre relevante forhold tilsiger dette, dog mindst en gang om året, foretage en vurdering af virksomhedens risici.
Stk. 2. Vurderingen skal foretages på grundlag af en af direktionen udarbejdet redegørelse vedrørende virksomhedens risici. Redegørelsen skal som minimum indeholde en beskrivelse af 1) de risikotyper, som virksomheden er udsat for, herunder en vurdering af forretningsmodellens indflydelse på risici og risikoniveauer, 2) til hvilke aktiviteter de pågældende risici er knyttet, 3) omfanget af de enkelte typer af risici og 4) hvorledes risikotyperne påvirker hinanden, hvis dette er relevant
Stk. 3. Hvis der foreligger nogle af de i § 1, stk. 3 og 4, nævnte forhold, der begrunder, at virksomheden fraviger eller supplerer bestemmelserne i denne bekendtgørelse, skal redegørelsen efter stk. 2 indeholde en beskrivelse af, hvori fravigelsen eller de supplerende tiltag består eller skal bestå samt en begrundelse for fravigelsen eller de supplerende tiltag. Det skal fremgå af bestyrelsens forhandlingsprotokol, at bestyrelsen har taget stilling til de i redegørelsen beskrevne fravigelser eller de supplerende tiltag.
Stk. 4. Redegørelsen efter stk. 2 skal endvidere indeholde et grundlag for bestyrelsens vurdering af, om virksomheden har passende medarbejderressourcer, såvel hvad angår kompetencer som antal, passende it-systemer og -support, herunder i forbindelse med risikostyring, samt om virksomheden har passende procedurer for hurtig og effektiv kommunikation på tværs af virksomheden.
§ 5.§-link ↗
På grundlag af den i henhold til § 4, stk. 1, foretagne risikovurdering skal bestyrelsen vedtage relevante politikker og beredskabsplaner m.v., herunder: 1) Kreditpolitik, herunder for virksomhedens eventuelle deltagelse i securitiseringsaktiviteter, jf. bilag 1. 2) Markedsrisikopolitik, jf. bilag 2. 3) Politik for håndtering af operationelle risici, jf. bilag 3. 4) Politik for forsikringsmæssig afdækning af risici. 5) Likviditetspolitik, herunder en beredskabsplan i tilfælde af utilstrækkelig eller manglende likviditet, jf. bilag 4. 6) It-sikkerhedspolitik, jf. bilag 5, herunder en it-beredskabsplan. 7) Beredskabsplaner for øvrige alvorlige driftsforstyrrelser.
Stk. 2. Politikkernes indhold skal fastlægges under hensyntagen til virksomhedens art, størrelse, forretningsmodel, kompleksiteten i de forretningsmæssige aktiviteter, samspillet mellem de enkelte risikoområder, virksomhedens overordnede risikovillighed, virksomhedens kapitalforhold, lovgivningen samt markedsforholdene. Politikkerne skal indeholde virksomhedens overordnede strategiske mål for det pågældende risikoområde og anvisninger om, hvordan disse mål nås i form af angivelser af metoder eller midler. Endelig skal politikkerne m.v. indeholde bestemmelser om, hvor ofte og i hvilken form bestyrelsen skal orienteres om manglende overholdelse af de i de enkelte politikker m.v. omhandlede forhold og strategiske mål.
Stk. 3. De i medfør af stk. 1, nr. 1-2 og 4-6, udarbejdede politikker m.v. skal som minimum indeholde bestemmelser om virksomhedens risikoprofil og det ønskede risikoniveau på det enkelte risikoområde, jf. § 2, stk. 1, nr. 2.
Stk. 4. Bestyrelsen skal tilpasse de vedtagne politikker ved væsentlige forandringer i de forudsætninger, der ligger til grund for disse. Bestyrelsen skal dog mindst én gang årligt vurdere og eventuelt ajourføre de vedtagne politikker.
§ 6.§-link ↗
På grundlag af den i henhold til § 4, stk. 1, foretagne risikovurdering og de i henhold til § 5 vedtagne politikker skal bestyrelsen give direktionen skriftlige retningslinjer.
Stk. 2. Retningslinjerne efter stk. 1 skal angive, hvilke dispositioner direktionen kan foretage som led i dens stilling, hvilke beslutninger direktionen eventuelt kan træffe med efterfølgende orientering af bestyrelsen og hvilke dispositioner der kræver bestyrelsens stillingtagen.
Stk. 3. Bestyrelsen kan ikke henlægge beføjelser til direktionen, der hører til bestyrelsens overordnede ledelsesopgaver eller i øvrigt er af usædvanlig art eller af stor betydning for virksomheden, jf. lagtingslov om aktieselskaber og anpartsselskaber (vinnufelagslógin) § 117, stk. 1. For en virksomhed omfattet af denne bekendtgørelse kan blandt andet følgende beføjelser ikke henlægges til direktionen: 1) Beslutning om outsourcing af væsentlige aktivitetsområder. 2) Bevilling af usædvanlige eller betydende engagementer, jf. dog lagtingslov om aktieselskaber og anpartsselskaber (vinnufelagslógin) § 117, stk. 1, 4. og 5. punktum, og engagementer omfattet af § 78 i lov om finansiel virksomhed, som sat i kraft for Færøerne ved kongelig anordning. 3) Den årlige gennemgang af større aktiver og passiver, jf. principperne i lagtingslov om aktieselskaber og anpartsselskaber (vinnufelagslógin) § 115, nr. 1. 4) Ansættelse af direktion og revisionschef. 5) Beslutning om principper for opgørelse af risici, jf. § 7, stk. 1, nr. 4, herunder anvendelse af interne modeller, der ikke er omfattet af nr. 6. 6) Beslutning om ansøgning om godkendelse af interne modeller til opgørelse af virksomhedens solvens, herunder: a) VaR-modeller, jf. bekendtgørelse for Færøerne om kapitaldækning § 40. b) AMA-modeller, jf. bekendtgørelse for Færøerne om kapitaldækning § 57. c) EPE-modeller, jf. bekendtgørelse for Færøerne om kapitaldækning § 49. d) Anvendelse af IRB-metoden, jf. bekendtgørelse for Færøerne om kapitaldækning § 19. 7) Beslutning om virksomhedens individuelle solvensbehov, jf. §§ 124, stk. 4 og 125, stk. 7, i lov om finansiel virksomhed, som sat i kraft for Færøerne ved kongelig anordning.
§ 7.§-link ↗
Retningslinjerne efter § 6, stk. 1 og 2, skal 1) være i overensstemmelse med de af bestyrelsen vedtagne politikker og risikoprofilen på de enkelte risikoområder, 2) iagttage begrænsninger fastsat i lovgivningen, 3) indeholde kontrollerbare grænser for størrelsen af de risici, som direktionen er bemyndiget til at tage på virksomhedens vegne, 4) fastlægge principperne for, hvordan udnyttelse af grænserne for hver type af risiko opgøres, herunder for hvordan risiko hidrørende fra finansielle instrumenter og midler, der på virksomhedens vegne forvaltes af eksterne porteføljeforvaltere, indgår i den samlede risikoopgørelse, 5) tage stilling til i hvilket omfang og eventuelt til hvem direktionen kan videregive de i retningslinjerne givne beføjelser og 6) fastlægge, hvor ofte og i hvilken form bestyrelsen ønsker at modtage rapportering i henhold til stk. 6.
Stk. 2. Retningslinjernes grænser skal utvetydigt angive størrelsen af den enkelte fastsatte grænse for risiko, for eksempel som absolutte tal, eller ved at risikoen sættes i forhold til virksomhedens egen- eller basiskapital.
Stk. 3. Retningslinjerne kan kun undtagelsesvis give mulighed for, at direktionen kan disponere risici i en størrelsesorden, der ligger uden for den fastlagte risikoprofil og retningslinjernes grænser og da kun, hvis forudsætningerne herfor fremgår af retningslinjerne. Kan disse forudsætninger ikke fastlægges, kan forudgående beføjelser til overskridelser af retningslinjernes grænser ikke gives til direktionen.
Stk. 4. Bestyrelsen skal ved udformningen af retningslinjerne til direktionen sikre, at direktøren eller direktionens medlemmer tilsammen besidder den fornødne viden og erfaring til at anvende de i retningslinjerne indeholdte beføjelser på en for virksomheden forsvarlig måde.
Stk. 5. Hvis politikker m.v. i henhold til § 5 og retningslinjerne i henhold til stk. 1 indeholdes i samme dokument, skal det tydeligt fremgå, hvilke bestemmelser der vedrører politikken på et risikoområde, og hvilke der vedrører retningslinjerne til direktionen.
Stk. 6. Det skal fremgå af retningslinjerne, at rapportering til bestyrelsen skal ske på alle de områder, hvor bestyrelsen har fastsat grænser for direktionen, eller hvor der er fastsat grænser i lovgivningen. Det skal således fremgå af rapporteringen, om grænser fastsat i lovgivningen er overholdt. Det skal fremgå, i hvilket omfang de af bestyrelsen fastsatte grænser for risici er udnyttet såvel aktuelt som over tid, herunder om der har været overskridelser af grænserne. Endelig skal rapporteringen, hvis dette er relevant, omfatte et grundlag for bestyrelsens vurdering af anvendte modellers pålidelighed. Bestyrelsens stillingtagen til den modtagne rapportering skal protokolleres.
Stk. 7. Rapporteringen efter stk. 6, skal også omfatte midler og risici hidrørende fra midler, der forvaltes af eksterne porteføljeforvaltere, idet det, jf. § 2, stk. 2, sidste punktum, i bekendtgørelse for Færøerne om outsourcing af væsentlige aktivitetsområder, fortsat er bestyrelsens ansvar, at midler, der forvaltes af eksterne porteføljeforvaltere, og øvrige midler tilsammen placeres inden for de af bestyrelsen udstukne retningslinjer og i overensstemmelse med lovgivningen.
§ 8. · Bestyrelsens tilrettelæggelse af arbejdet§-link ↗
Bestyrelsen skal tilrettelægge sit arbejde i overensstemmelse med lovgivningen og således, at der sikres en forsvarlig og hensigtsmæssig ledelse af virksomheden, jf. bilag 6.
§ 9.§-link ↗
Direktionen skal forestå den daglige ledelse af virksomheden i overensstemmelse med lovgivningens bestemmelser, herunder lagtingslov om aktieselskaber og anpartsselskaber (vinnufelagslógin) og lov om finansiel virksomhed, som sat i kraft for Færøerne ved kongelig anordning, de af bestyrelsen vedtagne politikker m.v., jf. § 5, de af bestyrelsen givne retningslinjer, jf. §§ 6 og 7, og eventuelle andre mundtlige eller skriftlige anvisninger fra bestyrelsen.
Stk. 2. Direktionen skal endvidere sikre, at virksomheden er indrettet i overensstemmelse med kravene i denne bekendtgørelse.
Stk. 3. Direktionen skal sikre, at de af bestyrelsen vedtagne politikker og retningslinjer implementeres i virksomhedens daglige drift.
Stk. 4. Direktionen er forpligtet til at videregive al relevant information til bestyrelsen.
Stk. 5. Direktionen har det daglige ledelsesmæssige ansvar for, at virksomheden kun påtager sig risici, som ledelse og medarbejdere i fornødent omfang kan vurdere konsekvensen af.
Stk. 6. Direktionen skal godkende virksomhedens forretningsgange eller udpege en eller flere personer eller organisatoriske enheder med den nødvendige faglige viden til at gøre dette, jf. § 17. Hvis godkendelse af virksomhedens forretningsgange foretages af flere personer eller organisatoriske enheder, er direktionen eller en af direktionen udpeget person eller organisatorisk enhed ansvarlig for, at alle relevante aktiviteter er beskrevet i forretningsgange, jf. § 18.
Stk. 7. Direktionen skal fastsætte en politik for, hvilke tiltag der skal iværksættes i forbindelse med nøglemedarbejderes fratræden.
Stk. 8. Direktionen skal godkende virksomhedens retningslinjer for udvikling og godkendelse af nye produkter, der kan medføre væsentlige risici for virksomheden, modparter eller kunder, herunder ændringer i eksisterende produkter, hvorved produktets risikoprofil ændres væsentligt, jf. § 28.
§ 10. · Opgaver og ressourcer§-link ↗
Virksomheden skal være indrettet i organisatoriske enheder med klart definerede arbejdsopgaver, herunder skal alle medarbejdere have klare beføjelser, ansvarsområder og referencelinjer.
Stk. 2. Hver organisatorisk enhed skal være bemandet med medarbejdere med relevante kompetencer på et passende niveau. Antallet af medarbejdere skal sammen med disses kompetencer sikre, at enheden på betryggende vis kan løse de opgaver, det påhviler enheden at udføre.
Stk. 3. Hvis organisatoriske enheder på grund af virksomhedens eller ansvarsområdets størrelse ikke kan have et tilstrækkeligt antal medarbejdere til at dække opgaveløsningen i tilfælde af ordinært eller ekstraordinært fravær, kan opgaveløsningen foretages af medarbejdere i andre organisatoriske enheder. Det skal i videst muligt omfang fremgå af forretningsgangene, arbejdsbeskrivelser eller lignende for de involverede organisatoriske enheder, hvilke medarbejdere, grupper af medarbejdere eller eventuelle andre organisatoriske enheder, der løser hvilke opgaver for den pågældende enhed, og under hvilke betingelser dette skal ske.
§ 11. · Information af bestyrelsen og øvrige ledelsesniveauer m.v.§-link ↗
Virksomheden skal være indrettet således, at al relevant information tilgår bestyrelse og ledelse på øvrige organisatoriske niveauer indenfor tidsmæssige rammer og i en form, der sikrer, at nødvendige foranstaltninger kan sættes i værk uden unødigt ophold.
§ 12. · Funktionsadskillelse§-link ↗
Virksomheden skal organisatorisk indrettes således, at disponerende enheder ikke refererer til en leder med ansvar for enheder, der udfører afvikling, resultat- og risikoopgørelser, kontrol eller rapportering.
§ 13. · Funktionsadskillelse§-link ↗
Virksomhedens organisation skal være indrettet sådan, at der er klart definerede rapporteringslinjer.
Stk. 2. Afvikling, udarbejdelse af resultat- og risikoopgørelser, kontrol eller rapportering kan udføres i samme enhed, medmindre dette i konkrete tilfælde ikke kan anses for betryggende, for eksempel som følge af arten af enhedens øvrige opgaver.
§ 14. · Funktionsadskillelse§-link ↗
I virksomheder, hvor der ikke opretholdes funktionsadskillelse i overensstemmelse med §§ 12 og 13, jf. § 1, stk. 3, skal der indføres betryggende kompenserende foranstaltninger, der skal sikre, at der ikke påføres virksomheden unødige risici eller tab.
§ 15. · Administrativ praksis§-link ↗
Virksomheden skal være indrettet således, at de enkelte enheder og medarbejderne har de forretningsgange, arbejdsbeskrivelser, beredskabsplaner, systemer og øvrige redskaber til rådighed, der er nødvendige for udførelsen af deres opgaver, jf. §§ 17 og 18.
Stk. 2. Det skal være klart, 1) hvilke opgaver der skal udføres, 2) hvordan opgaverne skal udføres, 3) i hvilket omfang udførte opgaver skal dokumenteres, 4) i hvilken form dokumentationen skal ske, 5) hvor dokumentationen skal opbevares, 6) hvor længe dokumentationen skal opbevares, 7) til hvem dokumentationen skal videregives, hvis relevant, og 8) hvor tidligere udarbejdet dokumentation kan findes.
Stk. 3. Arbejdet i den enkelte enhed skal planlægges således, at det sikres, at frister overholdes, hvad enten disse er interne eller følger af den for virksomheden gældende regulering.
§ 16. · Regnskabsmæssig praksis§-link ↗
Virksomheden skal have en god regnskabsmæssig praksis. Dette indebærer blandt andet, 1) at virksomheden kan dokumentere, at offentliggjorte års- og delårsrapporter, herunder alle enkeltposter og noter, er udarbejdet i overensstemmelse med det regelsæt, der gælder for den pågældende rapport, og 2) at virksomheden indhenter nødvendig information til brug for udarbejdelse af års- og delårsrapporter, herunder al relevant information til brug for fastlæggelse af regnskabsposter, der baseres på regnskabsmæssige skøn.
§ 17.§-link ↗
Virksomheden skal have forretningsgange eller arbejdsbeskrivelser m.v., der på alle væsentlige aktivitetsområder er godkendt i henhold til § 9, stk. 6. Aktiviteter, der vedrører virksomheden i dens egenskab af finansiel virksomhed, anses som udgangspunkt for væsentlige.
§ 18.§-link ↗
Forretningsgange, arbejdsbeskrivelser, m.v. skal som minimum 1) være lettilgængelige og overskuelige, 2) på fyldestgørende måde beskrive de aktiviteter, der skal udføres, herunder sikre at lovgivningen og anden relevant regulering samt de af virksomhedens ledelse besluttede politikker og retningslinjer efterleves og overholdes, 3) angive, hvilken organisatorisk enhed, personer eller grupper af personer der skal udføre de enkelte opgaver eller delopgaver, 4) hvis relevant angive, inden for hvilke tidsmæssige rammer opgaver skal udføres, 5) indeholde bestemmelser om, hvilke forhold der skal rapporteres om og til hvem, 6) indeholde bestemmelser om, hvorledes medarbejderne skal forholde sig i tilfælde, hvor en medarbejder måtte blive opmærksom på ikke beskrevne risici knyttet til den pågældendes arbejdsopgave eller andre aktivitetsområder, 7) indeholde bestemmelser om, hvordan medarbejdere skal forholde sig i tilfælde af driftsforstyrrelser, herunder systemnedbrud, 8) henvise til relevante manualer eller mere detaljerede arbejdsbeskrivelser, 9) angive, hvem der er ansvarlig for udarbejdelse og opdatering af forretningsgangen, 10) opdateres løbende ved ændring i interne forhold eller i relevant regulering, samt 11) være daterede.
Stk. 2. Forretningsgangene skal i relevant omfang afspejle de af bestyrelsen vedtagne politikker, jf. § 5, stk. 1.
Stk. 3. Uanset opbygningen af forretningsgangene skal det sikres, at alle relevante forhold er beskrevet, og at det fremgår, hvem der har ansvaret for at udføre de enkelte opgaver korrekt. Således kan en forretningsgang vedrøre opgaverne i en enkelt organisatorisk enhed, dække samtlige opgaver i forbindelse med et eller flere produkter eller vedrøre tværgående arbejdsopgaver, der kræver flere organisatoriske enheders medvirken.
Stk. 4. Forretningsgangene kan foreligge elektronisk. Er dette tilfældet, skal det sikres, at medarbejderne har adgang til tilstrækkelige oplysninger og forretningsgange, herunder i form af beredskabsplaner, til at udføre nødvendige opgaver i de tilfælde, hvor de elektroniske forretningsgange ikke måtte være tilgængelige.
§ 19. · Risikoansvarlig og risikostyringsfunktion§-link ↗
Direktionen skal udpege en risikoansvarlig, der skal være ansvarlig for, at risikostyring i virksomheden sker på betryggende vis, herunder for at skabe et overblik over virksomhedens risici og det samlede risikobillede. Den risikoansvarlige skal referere direkte til direktionen. Afskediges den risikoansvarlige, skal bestyrelsen orienteres om afskedigelsen og begrundelsen for denne. Den risikoansvarlige kan i mindre virksomheder være medlem af direktionen.
Stk. 2. Hvis virksomhedens direktion vurderer, at virksomhedens størrelse, organisation eller karakteren af dens aktiviteter gør det urimeligt eller unødvendigt at udpege en medarbejder uden andre ansvarsområder end risikostyring og dermed etablere en selvstændig risikostyringsfunktion, kan en medarbejder med ansvar for intern kontrol på et eller flere risikoområder udpeges som risikoansvarlig. Direktionen skal overfor bestyrelsen informere om og begrunde fravalget af en selvstændig risikostyringsfunktion og kunne godtgøre, at risikostyringen i virksomheden kan ske på betryggende vis.
Stk. 3. I de i stk. 2 omhandlede tilfælde skal det fremgå tydeligt, for eksempel af funktionsbeskrivelser og forretningsgange, hvilke opgaver der henhører under den risikoansvarliges funktion som risikoansvarlig.
§ 20. · Risikoansvarlig og risikostyringsfunktion§-link ↗
Den risikoansvarliges ansvarsområde omfatter virksomhedens risikobehæftede aktiviteter på tværs af risikoområder og organisatoriske enheder samt risici hidrørende fra outsourcede funktioner.
Stk. 2. Den risikoansvarlige skal have tilstrækkelig viden og uafhængighed til at kunne vurdere virksomhedens risici.
Stk. 3. Den risikoansvarlige skal have mulighed for at udtale sig om risikoen i forbindelse med større og usædvanlige påtænkte dispositioner. Hvis den risikosansvarlige fraråder en disposition, skal den risikoansvarlige straks skriftligt informere direktionen herom.
Stk. 4. Hvis direktionen ønsker at gennemføre en disposition på trods af den risikoansvarliges vurdering, skal direktionen straks informere bestyrelsen om den risikoansvarliges udtalelse med henblik på at opnå bestyrelsens stillingtagen, medmindre bestyrelsens beslutning ikke kan afventes uden væsentlig ulempe for virksomheden. Bestyrelsen skal i så fald snarest muligt underrettes om den foretagne disposition og den risikoansvarliges vurdering.
Stk. 5. Den risikoansvarlige skal som minimum have mulighed for at udtale sig i forbindelse med udarbejdelsen af det i § 4, stk. 2, omhandlede grundlag for bestyrelsens beslutninger om virksomhedens risikoprofil m.v.
§ 21. · Risikoansvarlig og risikostyringsfunktion§-link ↗
Den risikoansvarlige skal kunne råde over et tilstrækkeligt antal personer med kompetencer og beføjelser, der gør det muligt for den risikoansvarlige at identificere, vurdere, følge op på og forholde sig til virksomhedens risikoprofil, principper for opgørelse af risici, anvendte modeller samt risikoeksponeringen samlet set og på de enkelte risikoområder.
Stk. 2. Hvis virksomheden vælger at have risikostyringen for enkelte risikoområder placeret i organisatoriske enheder udenfor risikostyringsfunktionen, påhviler det direktionen at påse, at virksomheden har procedurer og forretningsgange, m.v., der sikrer, at al relevant information om det pågældende risikoområde videregives til risikostyringsfunktionen, eller i de i § 19, stk. 2, omhandlede tilfælde den risikoansvarlige, til brug for dennes løbende vurdering af og opfølgning på virksomhedens samlede risici. Det skal endvidere være klart afgrænset i funktionsbeskrivelser og forretningsgange mv., hvilke opgaver der varetages af risikostyringsfunktionen, og hvilke der henhører under det enkelte aktivitets- eller risikoområdes risikostyring.
§ 22. · Compliance§-link ↗
Virksomheden skal have metoder og procedurer, der er egnede til at opdage og mindske risikoen for, at virksomheden bliver pålagt sanktioner, lider tab af omdømme, eller at virksomheden eller virksomhedens kunder lider væsentlige økonomiske tab som følge af manglende overholdelse af den for virksomheden gældende lovgivning, markedsstandarder eller interne regelsæt (compliancerisici). Virksomheden kan ved opfyldelsen af 1. pkt. tage hensyn til arten, omfanget og sammensætningen af virksomhedens aktiviteter.
Stk. 2. Virksomheden skal have en compliancefunktion, der fungerer uafhængigt, og som skal kontrollere og vurdere, om metoderne og procedurerne efter stk. 1, 1. pkt., og de foranstaltninger, der træffes for at afhjælpe eventuelle mangler, er effektive.
Stk. 3. I virksomheder, der er værdipapirhandlere, og som ikke er omfattet af § 23, skal compliancefunktionen for den del af virksomheden, der vedrører værdipapirhandel, udføre compliance og yde rådgivning af og bistand til de personer, der har ansvaret for at yde investeringsservice og udføre investeringsaktiviteter, i overensstemmelse med § 4, stk. 1-3 i bekendtgørelse for Færøerne om de organisatoriske krav til og betingelserne for drift af virksomhed som værdipapirhandler.
Stk. 4. For at sikre, at compliancefunktionen kan varetage sine ansvarsområder korrekt og uafhængigt, skal virksomheden sørge for, at følgende betingelser opfyldes: 1) Compliancefunktionen skal have de nødvendige ressourcer, den nødvendige kompetence og sagkundskab samt adgang til alle relevante oplysninger. 2) En medarbejder skal være ansvarlig for compliancefunktionen og rapportering til bestyrelsen og direktionen mindst en gang årligt om de i denne bestemmelse omhandlede forhold. 3) Medarbejdere, der er involveret i compliancefunktionen, må ikke deltage i leveringen af de tjenesteydelser eller udførelsen af de aktiviteter, de kontrollerer. 4) Metoden til at fastsætte vederlag til medarbejdere i compliancefunktionen må ikke bringe deres uafhængighed i fare.
Stk. 5. Bestemmelserne i stk. 4, nr. 3 og 4, finder ikke anvendelse, hvis det kan godtgøres, at disse krav ikke står i rimeligt forhold til arten, omfanget og sammensætningen af virksomhedens aktiviteter.
Stk. 6. I mindre virksomheder eller virksomheder med ukomplicerede aktiviteter kan den samme person være risikoansvarlig, jf. § 19, stk. 1, og ansvarlig for compliancefunktionen. Det skal dog altid sikres, at medarbejdere ikke er involveret i udførelsen af opgaver, de kontrollerer som led i deres complianceopgaver.
§ 23. · Compliance§-link ↗
Bestemmelserne i §§ 19-22 finder ikke anvendelse på virksomheder, der alene har tilladelse som fondsmæglerselskaber.
§ 24. · Videregivelse af beføjelser§-link ↗
Hvis direktionen i overensstemmelse med de fra bestyrelsen modtagne retningslinjer, jf. §§ 6 og 7, videregiver beføjelser, skal dette ske skriftligt eller elektronisk.
Stk. 2. Hvis de af direktionen videregivne beføjelser giver mulighed for det, kan modtageren af beføjelser fra direktionen ligeledes skriftligt eller elektronisk videregive disse beføjelser helt eller delvist.
Stk. 3. Videregivelse af beføjelser kan kun ske til medarbejdere, der har den fornødne viden, indsigt og erfaring til at kunne anvende de modtagne beføjelser betryggende, jf. § 10, stk. 2.
Stk. 4. Afgives beføjelser ved anvendelse af elektroniske medier, skal afgiver og modtager, tidspunkt for, omfang af afgivelse samt modtagelse af beføjelser kunne dokumenteres. Proceduren herfor skal fremgå af forretningsgangene.
Stk. 5. Videregivne beføjelser skal som minimum angive 1) arten og størrelsen af den eller de videregivne beføjelser, 2) principperne for opgørelse af udnyttelse af beføjelserne, 3) hvilke produkter eller handlinger beføjelsen omfatter, 4) eventuelle supplerende grænser for risiko samt principperne for opgørelse af sådanne beføjelser, der opfylder kravene i § 7, stk.1, nr. 3 og 4, og 5) hvordan, hvor ofte og af hvilken person eller organisatorisk enhed rapportering skal foretages til afgiver af beføjelsen og eventuelle andre.
Stk. 6. Ingen kan videregive beføjelser, der går ud over de beføjelser, den pågældende selv har modtaget. Summen af videregivne beføjelser, herunder beføjelser givet til grupper af medarbejdere, må endvidere ikke overstige de i bestyrelsens retningslinjer til direktionen indeholdte beføjelser.
Stk. 7. Hvis der er fastsat supplerende risikomål i forbindelse med videregivne beføjelser, skal den der afgiver beføjelserne, sikre sig, at anvendelse af de supplerende risikomål finder sted på en måde, der sikrer, at der ikke sker overskridelse af øvrige tildelte beføjelser.
§ 25. · Kontroller§-link ↗
Virksomheden skal foretage kontrol af alle væsentlige risikobehæftede opgaver, herunder af: 1) Overholdelse af samtlige grænser fastsat af bestyrelsen i henhold til § 7, stk. 1, nr. 3, i de til direktionen givne retningslinjer og grænser i lovgivningen. 2) Overholdelse af videregivne beføjelser. 3) Dispositioner, hvor virksomheden handler i henhold til fuldmagt fra kunder eller modparter og hvor virksomheden har forpligtet sig til at overholde grænser for risici, herunder placeringsgrænser. 4) Dispositioner, hvor virksomheden har forpligtet sig til at overholde grænser for risici aftalt med modparter, for eksempel i rammeaftaler om handel med finansielle instrumenter. 5) Andre opgaver, som af anden årsag kan medføre væsentlige økonomiske eller andre væsentlige risici for virksomheden, herunder disponering af virksomhedens konti og opgaver i forbindelse med fremskaffelse eller udarbejdelse af grundlag for regnskab og fastsættelse af virksomhedens individuelle solvensbehov.
Stk. 2. Kontrol skal udføres af en anden enhed end den, der har udført opgaven, jf. § 12. § 12 finder dog ikke anvendelse på kontroller, der har karakter af afstemning, overvågning af om forretningsgange overholdes, fejlfinding eller lignende. Sådanne kontroller kan derfor foretages af personer i samme organisatoriske enhed, med mindre dette i det konkrete tilfælde ikke er betryggende.
Stk. 3. Kontroller omfattet af stk. 1 og 2 skal foretages med passende intervaller, afhængigt af virksomhedens størrelse, den enkelte risikos væsentlighed og størrelse set i forhold til virksomhedens forretningsmodel, aktivitetsområde, kompleksiteten af de pågældende risici og virksomhedens kapitalforhold. Kontrollerne skal, hvor der løbende sker dispositioner hen over dagen, omfatte overholdelse af grænser intra-dag. Intra-dag kontroller kan, hvor dette er forsvarligt, foretages på stikprøvebasis.
Stk. 4. Virksomheden skal have passende overvågning af, at administrative opgaver udføres på en betryggende og ensartet måde, og at forretningsgange, arbejdsbeskrivelser m.v. bliver overholdt.
§ 26. · Rapportering§-link ↗
Der skal løbende ske skriftlig rapportering på alle relevante ledelsesmæssige niveauer om overholdelsen og udnyttelsen af samtlige grænser for risikotagning indeholdt i de i medfør af § 6 givne retningslinjer eller i den videregivne beføjelse. Der skal endvidere ske rapportering om overholdelse af de i lovgivningen fastsatte grænser for risiko på de områder, hvor dette er relevant for den pågældende virksomhed. Rapporteringen skal også omfatte risici, der styres på virksomhedens vegne af porteføljeforvaltere.
Stk. 2. Rapporteringen skal ske i overskuelig form og give bestyrelse, direktion og øvrige medarbejdere, der har videregivet beføjelser, jf. § 24, oplysning såvel om den aktuelle udnyttelse af de fastsatte grænser som om udnyttelsen over tid.
Stk. 3. Anvender virksomheden interne modeller til opgørelse af risici, skal rapporteringen desuden omfatte relevante back-tests til dokumentation af modellens pålidelighed.
Stk. 4. Rapportering til bestyrelsen skal ske med de i retningslinjerne angivne intervaller, jf. dog bilag 1, pkt. 24. Endvidere skal overskridelser som minimum rapporteres på hvert bestyrelsesmøde, ligesom rapportering skal ske, hvis de forhold, der ligger til grund for fastsættelsen af de enkelte grænser for risiko, ændres væsentligt for eksempel som følge af markedsuro, ekstraordinære tab, ændrede kapitalforhold m.v.
Stk. 5. Rapportering om videregivne beføjelser, herunder overskridelse af disse, skal ske til den, der har afgivet beføjelserne, med intervaller, der afspejler afgiverens involvering i den daglige disponering, og som fremgår af beføjelserne. Overskridelsen skal sædvanligvis rapporteres senest dagen efter, at overskridelsen er konstateret.
§ 27. · Rapportering§-link ↗
Der skal ske rapportering om andre væsentlige forhold, der ikke måtte være omfattet af beføjelser fastsat i retningslinjerne eller i videregivne beføjelser, jf. stk. 2. Det kan for eksempel dreje sig om rapportering vedrørende afstemningsfejl, uregelmæssigheder, tab som følge af operationelle forhold, fejl i regnskab eller budgetter, nøglepersoners fratræden etc.
Stk. 2. Virksomhedens forretningsgange skal i videst muligt omfang indeholde anvisninger om, hvilke forhold der skal eller bør rapporteres om og til hvem, herunder skal det fremgå, om rapportering i særlige tilfælde kan eller skal ske til andre end den pågældendes daglige leder eller dennes leder.
§ 28. · Nye produkter§-link ↗
De af direktionen godkendte retningslinjer for udvikling og godkendelse af nye tjenesteydelser og produkter, herunder ændringer i eksisterende tjenesteydelser og produkter, hvorved tjenesteydelsernes og produkternes risikoprofil ændres væsentligt, jf. § 9, stk. 8, skal som minimum, 1) afgrænse, hvornår der er tale om et nyt produkt eller tjenesteydelse, i det omfang det er muligt, 2) angive, hvilken eller hvilke organisatoriske enheder, udvalg eller ad hoc udvalg der skal forestå udviklingsprocessen, eventuelt opdelt pr. risikoområde, 3) indeholde retningslinjer for, hvem der som minimum skal inddrages i udviklingsprocessen, således at det sikres, at alle relevante forhold belyses, 4) indeholde retningslinjer for, hvilke overordnede forhold der skal analyseres og dokumenteres, herunder arten, størrelsen og opgørelsen af risici for virksomheden, påvirkning af virksomhedens omkostninger og indtjening, virksomhedens muligheder for at agere på nye markeder, påvirkning af virksomhedens solvens, regnskabsmæssig behandling, 5) indeholde krav om, at analysen skal godtgøre, at virksomheden har tilstrækkelig ekspertise, systemer, kapital og ressourcer i øvrigt til at håndtere det nye produkt eller tjenesteydelsen på betryggende vis, og 6) indeholde bestemmelse om retningslinjer for, at nye produkter og tjenesteydelser, der kan medføre væsentlige nye risici for virksomheden eller kunderne, skal forelægges bestyrelsen med henblik på dennes stillingtagen til, om anvendelsen af det nye produkt giver anledning til ændring af de i henhold til § 5 vedtagne politikker eller de i medfør af §§ 6 og 7 givne retningslinjer, herunder til fastsættelse af særlige principper for opgørelse af de til produktet knyttede risici.
§ 29. · Nye produkter§-link ↗
Den risikoansvarlige skal deltage eller som minimum høres i forbindelse med udvikling og godkendelse af nye produkter. Den risikoansvarlige skal løbende være informeret om forløbet af godkendelsesprocessen.
Stk. 2. Den risikoansvarlige skal høres i forbindelse med stillingtagen til, om ændring af eksisterende produkter har et omfang, der medfører, at ændringen skal være omfattet af kravene til udvikling og godkendelse af nye produkter. Den risikoansvarlige skal altid kunne kræve, at en ændring af et eksisterende produkt skal behandles som et nyt produkt.
§ 30.§-link ↗
Overtrædelse af §§ 2-8, § 9, stk. 3 og 4, stk. 6, 1. pkt. og stk. 7 og 8, § 10, stk. 1 og 2, og stk. 3, 2. pkt., §§ 12-16, § 17, 1. pkt., § 18, stk. 1 og 2, stk. 3, 1. pkt., og stk. 4, 2. pkt., § 19, stk. 1, 1-3. pkt., stk. 2, 2. pkt., og stk. 3, § 20, stk. 2-5, § 21, § 22, stk. 1, 1. pkt., stk. 2-4, og stk. 6, 2. pkt., § 24, stk. 1 og 3-7, § 25, stk. 1, stk. 2, 1. pkt., stk. 3, 1. og 2. pkt., og stk. 4, § 26, § 27, stk. 1, 1. pkt., og stk. 2, § 28 og § 29 straffes med bøde.
Stk. 2. Der kan pålægges selskaber mv. (juridiske personer) strafansvar efter reglerne i den for Færøerne gældende straffelovs kapitel 5.
§ 31.§-link ↗
Bekendtgørelsen træder i kraft 1. maj 2012.