Bekendtgørelse om ledelse og styring af pengeinstitutter m.fl.

§ 1. Denne bekendtgørelse finder anvendelse på følgende virksomheder, jf. dog stk. 4:

1. Pengeinstitutter.
2. Realkreditinstitutter.
3. Danmarks Skibskredit A/S.
4. Fondsmæglerselskaber, jf. dog § 18.
5. Investeringsforvaltningsselskaber, dog ikke investeringsforvaltningsselskabers administration af danske UCITS.
6. Finansielle holdingvirksomheder med de tilpasninger, som koncernforholdet nødvendiggør.
7. Filialer her i landet af kreditinstitutter, investeringsselskaber og administrationsselskaber, der er meddelt tilladelse i et land udenfor den Europæiske Union, som Unionen ikke har indgået aftale med på det finansielle område, med de afvigelser, som filialforholdet nødvendiggør, eller som er fastsat i eller i henhold til international aftale. Stk. 2. Virksomheder omfattet af stk. 1, der kun har tilladelse til at udføre visse nærmere afgrænsede tjenesteydelser, skal følge bekendtgørelsens regler på de områder, virksomheden har tilladelse til. Stk. 3. Bilag 5 finder ligeledes anvendelse på fælles datacentraler, jf. § 343 r, stk. 1, i lov om finansiel virksomhed. Stk. 4. § 4, stk. 2, nr. 7, § 5, stk. 3, nr. 4 og bilag 8 finder ikke anvendelse for virksomheder omfattet af § 1, stk. 1, nr. 5-7. Stk. 5. § 5, stk. 3, nr. 5 finder ikke anvendelse for virksomheder omfattet af § 1, stk. 1, nr. 5-6.

§ 2. Bestyrelsen henholdsvis direktionen i de af § 1, stk. 1, omfattede virksomheder skal træffe foranstaltninger, der er tilstrækkelige til, at virksomheden drives betryggende. Bestyrelsen henholdsvis direktionen skal herunder tage stilling til, hvilke foranstaltninger, der er tilstrækkelige til, at bestemmelserne overholdes. Hvilke foranstaltninger, der er tilstrækkelige, vil afhænge af virksomhedens forretningsmodel, herunder

1. virksomhedens størrelse,
2. virksomhedens struktur samt strukturen af den koncern, hvori virksomheden måtte indgå,
3. de forretningsmæssige og geografiske områder, som virksomheden opererer på,
4. de finansielle tjenesteydelser, som virksomheden tilbyder, og
5. de finansielle produkter, som virksomheden handler med. Stk. 2. Bestyrelsen og direktionen i de af § 1, stk. 1, nr. 1-6, omfattede virksomheder, der har datterselskaber, skal træffe foranstaltninger, der er tilstrækkelige til, at koncernen drives på betryggende vis. Stk. 3. Bestyrelsen henholdsvis direktionen i de af § 1, stk. 1, nr. 1, 2 og 4, omfattede virksomheder, der i medfør af §§ 308 eller 310 i lov om finansiel virksomhed er udpeget som systemisk vigtige finansielle institutter (SIFI) eller globalt systemisk vigtige finansielle institutter (G-SIFI), skal ved vurderingen efter stk. 1 inddrage hensynet til opretholdelsen af en stabil finansiel sektor ved vurdering af risikostyringsområdet, og hensynet til opretholdelsen af en stabil finansiel infrastruktur ved vurdering af it-sikkerhedsområdet.

§ 3. Bestyrelsen skal som led i varetagelsen af den overordnede og strategiske ledelse af virksomheden

1. træffe beslutning om virksomhedens forretningsmodel, herunder målsætninger for de forhold, der er nævnt under § 2, stk. 1, nr. 1-5,
2. på grundlag af forretningsmodellen træffe beslutning om virksomhedens politikker, jf. § 4,
3. løbende, dog mindst én gang årligt, foretage en vurdering af virksomhedens enkelte og samlede risici, jf. § 5, herunder tage stilling til, om risiciene er acceptable,
4. vurdere og træffe beslutning om virksomhedens budgetter, kapital, likviditet, væsentlige dispositioner, særlige risici og overordnede forsikringsforhold,
5. vurdere, om direktionen varetager sine opgaver på en betryggende måde og i overensstemmelse med den fastlagte risikoprofil, de fastlagte politikker samt retningslinjerne til direktionen,
6. træffe beslutning om frekvensen for og omfanget af direktionens rapportering til og information af bestyrelsen således, at bestyrelsen har et indgående overblik over virksomheden og dens risici, og at rapporteringen i øvrigt er fyldestgørende for bestyrelsens arbejde,
7. løbende og mindst én gang årligt træffe beslutning om virksomhedens individuelle solvensbehov, jf. lov om finansiel virksomhed §§ 124, stk. 2, 125, stk. 2, og § 126 a, stk. 1,
8. tilrettelægge sit arbejde således, at ledelsen af virksomheden er betryggende, jf. bilag 6,
9. vurdere, om virksomheden har en betryggende offentliggørelses- og kommunikationsproces, og
10. godkende den rapport, som direktionen har pligt til at udarbejde med en opgørelse og vurdering af virksomhedens likviditetsposition og likviditetsrisici, jf. § 8, stk. 9.

§ 4. Virksomhedens politikker, jf. § 3, nr. 2, skal indeholde virksomhedens overordnede strategiske mål for de pågældende risikoområder, herunder identifikation og afgrænsning af de risici, som virksomheden ønsker at påtage sig på de pågældende områder, og anvisninger på, hvorledes de strategiske mål opnås. Stk. 2. Politikkerne skal, hvor det er relevant, omfatte følgende:

1. Kreditpolitik, jf. bilag 1.
2. Markedsrisikopolitik, jf. bilag 2.
3. Politik for operationelle risici, jf. bilag 3.
4. Politik for forsikringsmæssig afdækning af risici.
5. Likviditetspolitik, herunder en beredskabsplan i tilfælde af utilstrækkelig eller manglende likviditet, jf. bilag 4.
6. It-sikkerhedspolitik og it-risikostyringspolitik, jf. bilag 5.
7. Politik for risikoen for overdreven gearing, jf. bilag 8.
8. Øvrige risikoområder, som bestyrelsen skønner, er af betydning for virksomheden. Stk. 3. Virksomhedens politikker, jf. stk. 2, nr. 1-3, samt i relevant omfang nr. 4-8, skal udover virksomhedens overordnede strategiske mål for de pågældende risikoområder, jf. stk. 1, indeholde retningslinjer for de risici, der udspringer af miljømæssige, sociale og ledelsesmæssige forhold, som virksomheden ønsker at påtage sig. Stk. 4. Virksomhedens politikker skal være forsvarlige i forhold til virksomhedens indtjening og kapitalgrundlag.

§ 5. Ved opfyldelse af § 3, nr. 3, skal bestyrelsen løbende vurdere, om virksomhedens politikker, jf. § 4, samt retningslinjerne til direktionen, jf. §§ 6 og 7, er betryggende i forhold til virksomhedens forretningsmæssige aktiviteter, organisation og ressourcer samt de markedsforhold, som virksomhedens aktiviteter drives under. Stk. 2. Vurderingen efter stk. 1 skal foretages i forhold til

1. hvilke risici, som virksomheden er udsat for, herunder forretningsmodellens indflydelse på risici og risikoniveauer,
2. hvilke aktiviteter de pågældende risici er tilknyttet,
3. omfanget af de enkelte risici, og
4. hvorledes risikotyperne påvirker hinanden, hvis dette er relevant. Stk. 3. Vurderingen efter stk. 1 skal i fornødent omfang desuden indeholde en stillingtagen til
5. om virksomheden har et betryggende antal medarbejdere og kompetencer på risikobehæftede aktiviteter,
6. om virksomheden har betryggende it-systemer,
7. om virksomheden har betryggende procedurer for hurtig og effektiv kommunikation på tværs af virksomheden og koncernen,
8. om virksomheden har betryggende processer til identifikation, styring og overvågning af overdreven gearingsrisiko, jf. bilag 8, og
9. om virksomheden har et betryggende antal medarbejdere, kompetencer, politikker, retningslinjer og processer for styring af nødlidende eksponeringer (non-performing exposures) og eksponeringer med kreditlempelser (forborne exposures), jf. artikel 47a og artikel 47b, i Europa-Parlamentets og Rådets forordning (EU) nr. 2019/630 af 17. april 2019 for så vidt angår krav til minimumsdækning af tab for misligholdte eksponeringer, herunder om virksomheden har et passende beredskab til at håndtere en eventuel væsentlig forringelse af kvaliteten i kreditporteføljen. Stk. 4. Den risikoansvarliges rapport, jf. bilag 7, skal indgå i bestyrelsens samlede vurderingsgrundlag, jf. stk. 1.

§ 6. På grundlag af risikovurderingen, jf. § 5, og i henhold til de i § 4 besluttede politikker skal bestyrelsen udstede skriftlige retningslinjer til direktionen. Stk. 2. Retningslinjerne efter stk. 1 skal angive, hvilke dispositioner direktionen kan foretage som led i dens stilling, og hvilke beslutninger direktionen eventuelt kan træffe med efterfølgende orientering af bestyrelsen. Stk. 3. Bestyrelsen kan ikke henlægge beføjelser til direktionen, der hører til bestyrelsens overordnede ledelsesopgaver, jf. §§ 3-5, eller i øvrigt er af usædvanlig art eller af stor betydning for virksomheden. Blandt andet kan følgende beføjelser ikke henlægges til direktionen:

1. Beslutning om rammer og betingelser for outsourcing af kritiske og vigtige processer, tjenesteydelser eller aktiviteter.
2. Bevilling af usædvanlige eller betydende eksponeringer, jf. dog lov om aktie- og anpartsselskaber (selskabsloven) § 117, stk. 1, 3. og 4. pkt., og eksponeringer omfattet af lov om finansiel virksomhed § 78.
3. Den årlige gennemgang af større aktiver og passiver, jf. principperne i lov om aktie- og anpartsselskaber (selskabsloven) § 115, nr. 1.
4. Ansættelse af direktion og revisionschef.
5. Beslutning om principper for opgørelse af risici, jf. § 7, stk. 1, nr. 2, herunder anvendelse af interne modeller, der ikke er omfattet af nr. 6.
6. Beslutning om ansøgning om godkendelse af interne modeller til opgørelse af virksomhedens solvens, herunder: a) VaR-modeller, jf. Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber. b) AMA-modeller, jf. Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber. c) EPE-modeller, jf. Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber. d) Anvendelse af IRB-metoden, jf. Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber.
7. Beslutning om virksomhedens individuelle solvensbehov, jf. §§ 124, stk. 2, 125, stk. 2 og § 126 a, stk. 1, i lov om finansiel virksomhed.

§ 7. Retningslinjerne efter § 6, stk. 1 og 2, skal

1. indeholde kontrollerbare grænser for størrelsen af de risici, som direktionen er bemyndiget til at tage på virksomhedens vegne, og
2. fastlægge principperne for, hvordan udnyttelse af grænserne for hver type af risiko opgøres, herunder for hvordan risiko hidrørende fra finansielle instrumenter og midler, der på virksomhedens vegne forvaltes af eksterne porteføljeforvaltere, indgår i den samlede risikoopgørelse. Stk. 2. Retningslinjernes grænser på kreditrisiko-, markedsrisiko- og likviditetsrisikoområdet, jf. bilag 1, 2 og 4, skal utvetydigt angive størrelsen af den enkelte fastsatte grænse for risiko for eksempel som absolutte tal, eller ved at risikoen sættes i forhold til virksomhedens kapitalgrundlag. Stk. 3. Retningslinjerne kan kun undtagelsesvis give mulighed for, at direktionen kan disponere risici i en størrelsesorden, der ligger udenfor den fastlagte risikoprofil og retningslinjernes grænser og da kun, hvis forudsætningerne herfor fremgår af retningslinjerne. Kan disse forudsætninger ikke fastlægges, kan forudgående beføjelser til overskridelser af retningslinjernes grænser ikke gives til direktionen. Stk. 4. Bestyrelsen skal ved udformningen af retningslinjerne til direktionen være betrygget i, at direktøren eller direktionens medlemmer tilsammen besidder den fornødne viden og erfaring til at anvende de i retningslinjerne indeholdte beføjelser på en for virksomheden betryggende måde. Stk. 5. Det skal fremgå af retningslinjerne, hvorledes og hvor hyppigt rapportering til bestyrelsen skal ske. Herunder skal det fremgå, hvorledes og hvor hyppigt direktionen skal rapportere på de områder, hvor bestyrelsen har fastsat grænser for direktionen, eller hvor der er fastsat grænser i lovgivningen.

§ 8. Direktionen skal forestå den daglige ledelse af virksomheden i overensstemmelse med lovgivningens bestemmelser, herunder lov om aktie- og anpartsselskaber (selskabsloven) og lov om finansiel virksomhed, de af bestyrelsen vedtagne politikker, jf. § 4, de af bestyrelsen givne retningslinjer, jf. §§ 6 og 7, og eventuelle andre mundtlige eller skriftlige beslutninger og anvisninger fra bestyrelsen. Stk. 2. Direktionen skal sikre, at de af bestyrelsen vedtagne politikker og retningslinjer implementeres i virksomhedens daglige drift. Stk. 3. Direktionen er forpligtet til at videregive information til bestyrelsen, som bestyrelsen har anmodet om, samt information, som direktionen vurderer, kan være af betydning for bestyrelsens arbejde. Stk. 4. Direktionen er forpligtet til at videregive den information til den risikoansvarlige og den complianceansvarlige, som direktionen vurderer, kan være af betydning for disses arbejde. Stk. 5. Direktionen har det daglige ledelsesmæssige ansvar for, at virksomheden kun træffer dispositioner, som direktionen og medarbejdere i fornødent omfang kan vurdere risiciene ved og konsekvenserne af. Stk. 6. Direktionen skal godkende virksomhedens forretningsgange, jf. § 13, stk. 1, eller udpege en eller flere personer eller organisatoriske enheder med den nødvendige faglige viden til at gøre dette. Stk. 7. Direktionen skal sikre, at der er anvisninger for, hvilke tiltag der skal iværksættes i forbindelse med alvorlige driftsforstyrrelser, it-nedbrud, øvrige driftsforstyrrelser samt for nøglemedarbejderes fratræden. Stk. 8. Direktionen skal godkende virksomhedens retningslinjer for udvikling og godkendelse af nye tjenesteydelser og produkter, der kan medføre væsentlige risici for virksomheden, modparter eller kunder, herunder ændringer i eksisterende produkter, hvorved produktets risikoprofil ændres væsentligt. Stk. 9. Direktionen i virksomheder omfattet af § 1, stk. 1, nr. 1-3, skal mindst én gang årligt udarbejde en rapport med en opgørelse og vurdering af virksomhedens likviditetsposition og likviditetsrisici, jf. bilag 4.

§ 9. Virksomheden skal være indrettet i organisatoriske enheder med klart definerede arbejdsopgaver, herunder skal alle medarbejdere have klare beføjelser, ansvarsområder og referencelinjer. Det skal herunder være klart for de enkelte enheder og medarbejdere, hvilke opgaver der skal udføres og hvordan opgaverne skal udføres. Stk. 2. De organisatoriske enheder skal være bemandet ressource- og kompetencemæssigt således, at enhederne på betryggende vis kan løse de opgaver, det påhviler enhederne at udføre.

Information af bestyrelsen og øvrige ledelsesniveauer m.v.

§ 11. Virksomheden skal sikre, at

1. der foreligger procedurer med henblik på forebyggelse, identifikation og håndtering af interessekonflikter,
2. virksomheden er indrettet således, at der er betryggende funktionsadskillelse, herunder at disponerende medarbejdere, medarbejdere, der udfører afvikling, og medarbejdere, der udfører resultat- og risikoopgørelser samt kontrol og rapportering, refererer til hver sin leder, og
3. virksomheden er indrettet således, at der er klart definerede rapporteringslinjer. Stk. 2. Virksomhedens afvikling, udarbejdelse af resultat- og risikoopgørelser, kontrol og rapportering kan udføres i samme enhed, hvis dette kan anses for betryggende, jf. § 2, og under hensyntagen til arten af enhedens øvrige opgaver. Stk. 3. I virksomheder, hvor der ikke opretholdes funktionsadskillelse i overensstemmelse med stk. 1, nr. 2, skal der, jf. § 2, indføres betryggende kompenserende foranstaltninger, der skal sikre, at der ikke påføres virksomheden unødige risici eller tab.

§ 13. Virksomheden skal have forretningsgange på alle væsentlige aktivitetsområder. Aktiviteter, der vedrører virksomheden i dens egenskab af finansiel virksomhed, anses som udgangspunkt for væsentlige. Stk. 2. Forretningsgangene skal som minimum

1. være lettilgængelige og overskuelige,
2. på fyldestgørende måde beskrive de aktiviteter, der skal udføres, herunder sikre at lovgivningen og anden relevant regulering samt de af virksomhedens ledelse besluttede politikker og retningslinjer efterleves og overholdes,
3. angive hvilken organisatorisk enhed, personer eller grupper af personer, der skal udføre de enkelte opgaver eller delopgaver, og
4. opdateres løbende ved ændring i interne forhold eller i relevant regulering. Stk. 3. Forretningsgangene kan foreligge elektronisk. Direktionen skal dog sikre, at de er tilgængelige i tilfælde af systemnedbrud i virksomheden.

§ 14. Direktionen skal sikre, at der er fornøden dokumentation for virksomhedens aktiviteter, herunder at der er forretningsgange for

1. i hvilket omfang beslutninger, beføjelser, udførte opgaver og forretninger samt opståede hændelser skal dokumenteres,
2. i hvilken form dokumentationen skal ske,
3. hvorledes der sikres tilgængelighed til dokumentationen,
4. hvor længe dokumentationen skal opbevares, og
5. hvis relevant, til hvem dokumentationen kan og skal videregives. Stk. 2. Dokumentationen, jf. stk. 1, skal foreligge enten skriftligt eller elektronisk.

Regnskabsmæssig praksis

§ 15. Virksomheden skal have en god regnskabsmæssig praksis. Dette indebærer blandt andet,

1. at virksomheden, jf. § 14, kan dokumentere, at offentliggjorte års- og delårsrapporter, herunder alle enkeltposter og noter, er udarbejdet i overensstemmelse med det regelsæt, der gælder for den pågældende rapport, og
2. at virksomheden indhenter nødvendig information til brug for udarbejdelse af års- og delårsrapporter, herunder al relevant information til brug for fastlæggelse af regnskabsposter, der baseres på regnskabsmæssige skøn.

§ 16. Direktionen skal sikre, at virksomheden har en risikostyringsfunktion og en risikoansvarlig, jf. bilag 7. Direktionen skal sikre, at risikostyringsfunktionen i nødvendigt omfang kan rette henvendelse og rapportere direkte til bestyrelsen uafhængigt af direktionen, og at risikostyringsfunktionen kan give udtryk for betænkeligheder og advare bestyrelsen i de tilfælde, hvor specifikke risikoudviklinger påvirker eller kan påvirke virksomheden, uden at dette berører det ansvar, som bestyrelsen har, jf. § 70 i lov om finansiel virksomhed og Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber. Stk. 2. Afskedigelse af den risikoansvarlige kræver bestyrelsens forudgående godkendelse. Stk. 3. Stk. 1 og 2 finder ikke anvendelse på en finansiel holdingvirksomhed, jf. § 1, stk. 1, nr. 6, som ikke er en finansiel virksomhed.

Compliance

§ 17. Virksomheden skal have metoder og procedurer, der er egnede til at opdage og mindske risikoen for virksomhedens manglende overholdelse af den for virksomheden gældende lovgivning, markedsstandarder eller interne regelsæt (compliancerisici). Stk. 2. Virksomheden skal have en compliancefunktion, der fungerer uafhængigt, og som skal kontrollere og vurdere, om metoderne og procedurerne efter stk. 1 og de foranstaltninger, der træffes for at afhjælpe eventuelle mangler, er effektive. Stk. 3. I virksomheder, der er værdipapirhandlere, og som ikke er omfattet af § 18, skal compliancefunktionen for den del af virksomheden, der vedrører værdipapirhandel, udføre compliance og yde rådgivning af og bistand til de personer, der har ansvaret for at yde investeringsservice og udføre investeringsaktiviteter, i overensstemmelse med artikel 22, stk. 1-3 i Kommissionens delegerede forordning (EU) nr. 2017/565 af 25. april 2016 om supplerende regler til Europa-Parlamentets og Rådets direktiv 2014/65/EU for så vidt angår de organisatoriske krav til og vilkårene for drift af investeringsselskaber samt definitioner af begreber med henblik på nævnte direktiv. Stk. 4. For at sikre at compliancefunktionen kan varetage sine ansvarsområder korrekt og uafhængigt, skal direktionen sikre, at følgende betingelser opfyldes:

1. Compliancefunktionen skal have de nødvendige ressourcer, den nødvendige kompetence og sagkundskab samt adgang til alle relevante oplysninger.
2. En medarbejder, der er udpeget af direktionen, skal være ansvarlig for compliancefunktionen og rapportering til bestyrelsen og direktionen. Rapportering om de i denne bestemmelse omhandlede forhold til bestyrelsen og direktionen skal ske mindst én gang årligt. Den complianceansvarlige skal i øvrigt have mulighed for at udtale sig direkte til bestyrelsen, hvis den complianceansvarlige skønner det nødvendigt.
3. Medarbejdere, der er involveret i compliancefunktionen, må ikke deltage i leveringen af de tjenesteydelser eller udførelsen af de aktiviteter, de kontrollerer.
4. Metoden til at fastsætte vederlag til medarbejdere i compliancefunktionen må ikke bringe deres uafhængighed i fare. Stk. 5. Bestemmelserne i stk. 4, nr. 3 og 4, finder ikke anvendelse, hvis det kan godtgøres, at disse krav ikke står i rimeligt forhold til arten, omfanget og sammensætningen af virksomhedens aktiviteter. Stk. 6. Hvis virksomhedens direktion vurderer, at virksomhedens størrelse eller sammensætningen af virksomhedens aktiviteter berettiger hertil, kan den samme person udpeges til at være complianceansvarlig og risikoansvarlig. Det skal dog altid sikres, at medarbejdere ikke er involveret i udførelsen af opgaver, som de kontrollerer som led i deres complianceopgaver.

§ 19. Videregivelse af beføjelser fra bestyrelse, direktion og øvrige ledelsesniveauer skal kunne dokumenteres, jf. § 14, og proceduren herfor skal fremgå af forretningsgangene, jf. § 13. Stk. 2. Videregivelse af beføjelser kan kun ske til medarbejdere, der har den fornødne viden, indsigt og erfaring til at kunne anvende de modtagne beføjelser betryggende. Stk. 3. Videregivne beføjelser skal som minimum angive

1. arten og størrelsen af den eller de videregivne beføjelser,
2. principperne for opgørelse af udnyttelse af beføjelserne,
3. hvilke produkter eller handlinger beføjelsen omfatter,
4. eventuelle supplerende grænser for risiko samt principperne for opgørelse af sådanne beføjelser, der opfylder kravene i § 7, stk. 1, og
5. hvordan, hvor ofte og af hvilken person eller organisatorisk enhed rapportering skal foretages til afgiver af beføjelsen og eventuelle andre. Stk. 4. Ingen kan videregive beføjelser, der går udover de beføjelser, den pågældende selv har modtaget. Summen af videregivne beføjelser, herunder beføjelser givet til grupper af medarbejdere, må ikke overstige de i bestyrelsens retningslinjer til direktionen indeholdte beføjelser. Stk. 5. Hvis der er fastsat supplerende risikomål i forbindelse med videregivne beføjelser, skal den, der afgiver beføjelserne, sikre sig, at anvendelse af de supplerende risikomål finder sted på en måde, der sikrer, at der ikke sker overskridelse af øvrige tildelte beføjelser.

Kontroller

§ 20. Direktionen skal sikre, at der foretages kontrol af alle væsentlige risikobehæftede opgaver, herunder

1. overholdelse af samtlige grænser fastsat af bestyrelsen i henhold til § 7, stk. 1, nr. 1, i de til direktionen givne retningslinjer og grænser i lovgivningen,
2. overholdelse af videregivne beføjelser,
3. dispositioner, hvor virksomheden handler i henhold til fuldmagt fra kunder eller modparter, og hvor virksomheden har forpligtet sig til at overholde grænser for risici, herunder placeringsgrænser,
4. dispositioner, hvor virksomheden har forpligtet sig til at overholde grænser for risici aftalt med modparter, for eksempel i rammeaftaler om handel med finansielle instrumenter, og
5. andre opgaver, som af anden årsag kan medføre væsentlige økonomiske eller andre væsentlige risici for virksomheden, herunder disponering af virksomhedens konti og opgaver i forbindelse med fremskaffelse eller udarbejdelse af grundlag for regnskab og fastsættelse af virksomhedens individuelle solvensbehov. Stk. 2. Kontrol skal udføres af en anden enhed end den, der har udført opgaven, jf. § 11, stk. 1, medmindre kontrollen har karakter af afstemning, overvågning af om forretningsgange overholdes, fejlfinding eller lignende, og dette i det konkrete tilfælde er betryggende. Stk. 3. Kontroller omfattet af stk. 1 skal foretages med passende intervaller, afhængigt af virksomhedens størrelse, den enkelte risikos væsentlighed og størrelse set i forhold til virksomhedens forretningsmodel, aktivitetsområde, kompleksiteten af de pågældende risici og virksomhedens kapitalforhold. Kontrollerne skal, hvor der løbende sker dispositioner hen over dagen, omfatte overholdelse af grænser intra-dag. Intra-dag kontroller kan, hvor dette er betryggende, foretages på stikprøvebasis. Stk. 4. Virksomheden skal have passende overvågning af, at administrative opgaver udføres på en betryggende og ensartet måde, og at forretningsgange m.v. bliver overholdt.

Intern rapportering

§ 21. Direktionen skal sikre, at der løbende sker skriftlig og betryggende rapportering på alle relevante ledelsesmæssige niveauer om overholdelsen og udnyttelsen af væsentlige grænser for risikotagning indeholdt i de i medfør af § 6 givne retningslinjer eller i den videregivne beføjelse. Der skal endvidere ske rapportering om overholdelse af de i lovgivningen fastsatte grænser for risiko på de områder, hvor dette er relevant for den pågældende virksomhed. Rapporteringen skal også omfatte risici, der styres på virksomhedens vegne af porteføljeforvaltere. Stk. 2. Rapporteringen skal ske i overskuelig form og give bestyrelse, direktion og øvrige ledelsesniveauer, der har videregivet beføjelser, jf. § 19, oplysning såvel om den aktuelle udnyttelse af de væsentlige grænser som om udnyttelsen over tid. Uanset 1. punktum og stk. 1 skal der ske rapportering om overskridelse af samtlige grænser. Stk. 3. Anvender virksomheden interne modeller til opgørelse af risici, skal rapporteringen desuden omfatte relevante back-tests til dokumentation af modellens pålidelighed. Stk. 4. Rapportering om videregivne beføjelser, herunder overskridelse af disse, skal ske til den, der har afgivet beføjelserne med intervaller, der afspejler afgiverens involvering i den daglige disponering, og som fremgår af beføjelserne. Overskridelsen skal sædvanligvis rapporteres senest dagen efter, at overskridelsen er konstateret.

§ 22. Direktionen skal sikre, at der sker rapportering om andre væsentlige forhold, der ikke måtte være omfattet af beføjelser fastsat i retningslinjerne eller i videregivne beføjelser, jf. stk. 2. Det kan for eksempel dreje sig om rapportering vedrørende afstemningsfejl, uregelmæssigheder, tab som følge af operationelle forhold, fejl i regnskab eller budgetter, nøglepersoners fratræden etc. Stk. 2. Direktionen skal sikre, at virksomhedens forretningsgange i videst muligt omfang indeholder anvisninger om, hvilke forhold der skal eller bør rapporteres om og til hvem rapporteringen skal foretages, herunder skal det fremgå, om rapportering i særlige tilfælde kan eller skal ske til andre end den pågældendes daglige leder eller dennes leder.

Nye tjenesteydelser og produkter

§ 23. Direktionen skal sikre, at der udarbejdes retningslinjer for udvikling og godkendelse af nye tjenesteydelser og produkter, herunder ændringer i eksisterende tjenesteydelser og produkter, hvorved tjenesteydelsernes og produkternes risikoprofil ændres væsentligt, jf. § 8, stk. 8. Retningslinjerne skal som minimum

1. afgrænse, hvornår der er tale om et nyt produkt eller tjenesteydelse, i det omfang det er muligt,
2. angive, hvilken eller hvilke organisatoriske enheder, udvalg eller ad hoc-udvalg, der skal forestå udviklingsprocessen, eventuelt opdelt pr. risikoområde,
3. indeholde retningslinjer for, hvem der som minimum skal inddrages i udviklingsprocessen, således at det sikres, at alle relevante forhold belyses,
4. indeholde retningslinjer for, hvilke overordnede forhold der skal analyseres og dokumenteres, herunder arten, størrelsen og opgørelsen af risici for virksomheden, påvirkning af virksomhedens omkostninger og indtjening, virksomhedens muligheder for at agere på nye markeder, påvirkning af virksomhedens solvens og regnskabsmæssig behandling,
5. indeholde krav om, at analysen skal godtgøre, at virksomheden har tilstrækkelig ekspertise, systemer, kapital og ressourcer i øvrigt til at håndtere det nye produkt eller tjenesteydelsen på betryggende vis, og
6. indeholde bestemmelse om retningslinjer for, at nye produkter og tjenesteydelser, der kan medføre væsentlige nye risici for virksomheden eller virksomhedens kunder, skal forelægges bestyrelsen med henblik på dennes stillingtagen til, om anvendelsen af det nye produkt giver anledning til ændring af de i henhold til § 4 vedtagne politikker eller de i medfør af §§ 6 og 7 givne retningslinjer, herunder til fastsættelse af særlige principper for opgørelse af de til produktet knyttede risici.

§ 24. Den risikoansvarlige og den complianceansvarlige skal deltage eller som minimum høres i forbindelse med udvikling og godkendelse af nye tjenesteydelser og produkter. Den risikoansvarlige og den complianceansvarlige skal løbende være informeret om forløbet af godkendelsesprocessen. Stk. 2. Den risikoansvarlige og den complianceansvarlige skal høres i forbindelse med stillingtagen til, om ændring af eksisterende produkter har et omfang, der medfører, at ændringen skal være omfattet af kravene til udvikling og godkendelse af nye produkter. Den risikoansvarlige og den complianceansvarlige skal altid kunne kræve, at en ændring af et eksisterende produkt skal behandles som et nyt produkt.

Gearingsrisiko

§ 25. Ved gearing forstås i denne bekendtgørelse gearing som defineret i artikel 4, stk. 1, nr. 93, i Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber. Stk. 2. Ved overdreven gearingsrisiko forstås overdreven gearingsrisiko som defineret i artikel 4, stk. 1, nr. 94, i Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber.

Risici forbundet med securitisering

§ 26. Denne bestemmelse finder anvendelse på virksomheder omfattet af § 1, nr. 1, 2, 6 og 7, i denne bekendtgørelse og fondsmæglerselskaber I, jf. § 5, stk. 1, nr. 35, i lov om finansiel virksomhed. Stk. 2. Ved securitisering forstås i denne bekendtgørelse, securitisering som defineret i artikel 4, stk. 1, nr. 61, i Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber. Stk. 3. Deltagelse i securitiseringsaktiviteter kan ske ved, at

1. virksomheden eksponeres mod securitiseringspositioner, herunder eksponeringer hidrørende fra investering i securitiseringspositioner eller udbud af kreditrisikoafdækning, eller
2. virksomheden selv eller i samarbejde med andre etablerer eller arrangerer securitiseringstransaktioner, programmer for kortfristede gældsbreve eller ABCP-programmer, jf. artikel 242, nr. 9, i Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber. Stk. 4. Virksomheder, der deltager i securitiseringsaktiviteter, skal have betryggende politikker og forretningsgange på området, som skal sikre, at virksomheden vurderer og håndterer risici forbundet med securitisering, herunder omdømmemæssige risici, der kan opstå i forbindelse med deltagelse i komplekse strukturer, og at securitiseringsaktiviteternes økonomiske indhold afspejles i risikovurderingen og ledelsesbeslutningerne.

§ 27. Overtrædelse af §§ 3-7, § 8, stk. 2-4 og stk. 6-9, § 9, § 11, stk. 1 og stk. 3, § 12, § 13, stk. 1, 1. pkt., stk. 2 og 3, §§ 14 og 15, § 16, stk. 1, § 17, stk. 1-4, og stk. 6, 2. pkt., § 19, § 20, stk. 1 og 2, stk. 3, 1. og 2. pkt., og stk. 4, § 21, § 22, stk. 1, 1. pkt., og stk. 2, §§ 23 og 24, § 26, stk. 4, og bilag 1-8 straffes med bøde. Med bøde straffes endvidere den, der ikke efterkommer et påbud om at foretage eller undlade at foretage handlinger med henblik på at overholde bekendtgørelsens bestemmelser med tilhørende bilag. Stk. 2. Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens kapitel 5.

§ 28. Bekendtgørelsen træder i kraft den 28. december 2020. Stk. 2. Bekendtgørelse nr. 1026 af 30. juni 2016 om ledelse og styring af pengeinstitutter m.fl., ophæves.

Finanstilsynet /Jesper Berg / Tobias Thygesen/

Bilag 1 Kreditområdet

Bestyrelsens opgaver og ansvar på kreditområdet Kreditpolitikken

1. Bestyrelsen skal efter et princip om forsigtighed vedtage en kreditpolitik, jf. § 4, stk. 2, nr. 1. Kreditpolitikken skal, afhængigt af den finansielle virksomheds type og størrelse, bestyrelsens, direktionens og medarbejdernes kompetencer, de anvendte it-systemer m.v. samt kompleksiteten af virksomhedens kreditrisikobehæftede aktiviteter, indeholde stillingtagen til, hvilken kreditrisikoprofil bestyrelsen ønsker, at virksomheden skal have. 2) Kreditpolitikken skal indeholde principper for typen og omfanget af kreditrisici, herunder principper for: a) Ønskede kundetyper (for eksempel erhvervskunder, privatkunder, formuende kunder, helkunder m.fl.). b) Kundernes ønskede risikoprofil, for eksempel

• hvad karakteriserer en person eller virksomhed m.v., man ønsker henholdsvis ikke ønsker som ny kunde, - hvad karakteriserer eksisterende privat- og erhvervskunder m.v., hvor man ønsker henholdsvis at forøge, opretholde, reducere eller afvikle eksponeringen. a) De typer af produkter, der ønskes udbudt af virksomheden, herunder ønsker til rente- og afviklingsprofil og lån i fremmed valuta. b) I hvilket omfang og under hvilke forudsætninger virksomheden ønsker store eksponeringer, der for eksempel overstiger 2 eller 5 pct. af virksomhedens kapitalgrundlag. c) Omfanget af øvrige koncentrationsrisici, herunder maksimale samlede eksponeringer indenfor forskellige brancher og indenfor andre ensartede typer af risici, hvor virksomhedens risikokoncentration er væsentlig. d) Geografisk eksponering, herunder virksomhedens maksimale eksponering indenfor udvalgte geografiske områder, herunder udenlandske aktiviteter. e) Hvilken rentefølsomhed virksomheden ønsker at acceptere for kunder med boligfinansiering, øvrige privatkunder, landbrugskunder og forskellige typer af andre erhvervskunder samt for den samlede portefølje på erhvervsområdet. f) Hvordan det sikres, at kreditbeslutninger i tilstrækkeligt omfang baseres på robustheden af kundens fremtidige indtjening og likviditet og ikke i for høj grad baseres på stillede sikkerheder, som kan falde i værdi. g) Hvordan det sikres, at kreditbeslutninger i tilstrækkeligt omfang tager højde for kundens eventuelle risici, der udspringer af miljømæssige, sociale og ledelsesmæssige forhold. h) De typer af sikkerheder, som virksomheden vil lade indgå i sine kreditbeslutninger, herunder virksomhedens maksimale samlede eksponeringer hvor udvalgte typer af sikkerheder indgår i kreditbeslutningen. i) Den finansielle virksomheds ønskede indtjening i forhold til den valgte risikoprofil, herunder prisfastsættelse af produkter m.v.

1. Kreditpolitikken skal endvidere indeholde principper for følgende områder: a) Klassifikation af kunder ud fra den skønnede kreditrisiko. b) Konsolidering af eksponeringer med indbyrdes forbundne kunder. c) Værdiansættelse af sikkerheder. d) Håndtering af nødlidende eksponeringer og eksponeringer med kreditlempelse samt øvrige eksponeringer med højere risiko end ønsket, herunder fastlæggelse af handlingsplaner for det videre forløb. Principperne skal blandt andet angive, hvilke typer af kreditlempelser virksomheden ønsker af anvende, og i hvilket omfang samt under hvilke omstændigheder virksomheden ønsker at anvende sådanne. e) Medarbejderes habilitet så eventuelle interessekonflikter håndteres betryggende. f) Det interne kontrolsystem på kreditområdet. g) Hvilken rapportering bestyrelsen skal modtage på kreditområdet, jf. nr. 36-41.

1. Hvis de faktiske forhold på de områder, der dækkes af virksomhedens kreditpolitik, afviger markant fra kreditpolitikken, skal bestyrelsen godkende en plan for nødvendige ændringer for at gennemføre den vedtagne kreditpolitik. Bestyrelsens retningslinjer til direktionen på kreditområdet
2. Retningslinjerne til direktionen på kreditområdet skal udover opfyldelsen af de generelle krav i § 6 udmønte kreditpolitikken i konkrete retningslinjer til direktionen. Eksponeringer omfattet af § 6, stk. 3, nr. 2, kan ikke bevilges af andre end bestyrelsen. Tilsvarende gælder som udgangspunkt eksponeringer, som udgør over 2 pct. af virksomhedens kapitalgrundlag, medmindre bestyrelsen har fastsat en lavere grænse. Den del af eksponeringen, som bevilges med pant i ubetinget gode sikkerheder, indgår ikke i opgørelsen af 2 pct. grænsen. Ubetinget gode sikkerheder består af indlån, garantier og kautioner stillet af stater, regioner eller kommuner, anfordringsgarantier fra pengeinstitutter, statsobligationer og real- og skibskreditobligationer samt pant i ejerboliger til helårsbrug indenfor maksimalt 50 pct. af dagsværdien. Forhøjelser af eksponeringer, hvor bestyrelsen indenfor de sidste 18 måneder har bevilget en eksponering, og hvor forhøjelsen maksimalt udgør 25 pct. af beløbet bevilget af bestyrelsen, er undtaget fra 2 pct. grænsen. Hvis en grænse på 2 pct. medfører, at bestyrelsen ikke får et betryggende indblik i eksponeringernes samlede kreditkvalitet, skal bestyrelsen fastsætte en lavere grænse. Grænsen kan i større virksomheder, der har tilladelse til at anvende IRB metoden til kapitaldækningsformål, sættes højere, hvis bestyrelsen får en rapportering om udviklingen i virksomhedens kreditrisici, som overstiger minimumskravene i nr. 36-41. For øvrige virksomheder kan grænsen ligeledes sættes højere, i det omfang eksponeringer over 2 pct. af virksomhedens kapitalgrundlag er ukomplicerede, som for eksempel privatkundeeksponeringer, eller hvor en grænse på 2 pct. vil medføre, at bestyrelsen skal bevilge uforholdsmæssigt mange eksponeringer. De virksomheder, der har en grænse over 2 pct., skal være særligt opmærksomme på, at rapporteringen på områderne nævnt i nr. 36-41 sammen med de eksponeringer, som bestyrelsen skal bevilge, rapporteringen fra den risikoansvarlige til bestyrelsen samt øvrige oplysninger om kreditrisici til bestyrelsen skal sikre, at bestyrelsen har et betryggende grundlag for at træffe de beslutninger, som fremgår af nr. 41. Dette omfatter beslutninger om forretningsmodellen, kreditpolitikken og retningslinjerne til direktionen samt direktionens opgavevaretagelse på kreditområdet.
3. Retningslinjerne til direktionen skal indeholde bestemmelser om: a) Størrelsen af de eksponeringer, som direktionen kan bevilge uden bestyrelsens deltagelse. b) Hvorledes eksponeringen opgøres i henhold til retningslinjernes grænser. c) Direktionens beføjelser til at bevilge eksponeringer i presserende tilfælde (hastesager som efterfølgende forelægges bestyrelsen til efterretning). d) Beføjelser til at bevilge kreditlempelser, herunder akkord/moratorium, nedsat rente og omlægning af betalinger, samt til at frigive sikkerheder, fastsætte nedskrivninger på udlån, hensættelser på finansielle garantier, lånetilsagn og tabsafskrivninger (regnskabsmæssigt ophør med indregning). e) Grænsen for eksponeringer, som direktionen kan bevilge, men som efterfølgende forelægges bestyrelsen til orientering.

Årlig gennemgang af de væsentligste eksponeringer 7) Bestyrelsen skal i forbindelse med den årlige gennemgang af større aktiver og passiver, jf. § 6, stk. 3, nr. 3, gennemgå virksomhedens væsentligste eksponeringer. Bestyrelsen skal ved gennemgangen blandt andet vurdere risikoen og den lagte strategi for den enkelte eksponering, herunder tage stilling til behovet for opfølgning. Ved gennemgangen skal bestyrelsen tillige vurdere, om foretagne nedskrivninger m.v. er tilstrækkelige. Direktionens ansvar ved ændringer i kreditpolitikken 8) Direktionen skal sikre, at der ved bestyrelsens beslutning om ændringer i kreditpolitikken, jf. nr. 1-4, sker en betryggende indførelse heraf i virksomhedens organisation, herunder i virksomhedens forretningsgange, risikostyring, interne kontroller og rapportering. Funktionsadskillelse på kreditområdet 9) På kreditområdet skal der, jf. § 11, som hovedregel være etableret funktionsadskillelse mellem på den ene side en person, grupper af personer og organisatoriske enheder med ansvar for bevilling og etablering af kreditfaciliteter og på den anden side en person, grupper af personer og organisatoriske enheder med ansvar for kontrol og rapportering. Hvis virksomheden er et SIFI eller G-SIFI, skal opgørelse af og beslutning om nedskrivninger og hensættelser endvidere som udgangspunkt foretages af en person, grupper af personer eller organisatoriske enheder, der ikke har medvirket ved bevilling af kreditfaciliteten. Der er ikke krav om funktionsadskillelse på direktionsniveau. 10) Hvis der jf. § 11, stk. 3, ikke opretholdes funktionsadskillelse på kreditområdet, skal virksomhedens kompenserende foranstaltninger omfatte uafhængige kontroller udført af en person, gruppe af personer eller organisatorisk enhed udenfor kreditområdet. 11) Virksomheden skal sikre, at kvaliteten af uafhængige kontroller som kompenserende foranstaltning er betryggende. Det indebærer for eksempel, at de uafhængige kontroller skal udføres af personer med indgående erfaring på kreditområdet. 12) Uafhængige kontroller af kreditområdet kan være stikprøvebaseret, hvis virksomheden kan godtgøre, at stikprøverne er repræsentative og tilvejebringer en høj grad af sikkerhed for, at opgavevaretagelsen er betryggende givet den valgte organisering af området. 13) En virksomhed, hvor det henset til virksomhedens begrænsede størrelse ikke er muligt at etablere fyldestgørende uafhængige kontroller i virksomhedens organisation, kan etablere andre kompenserende foranstaltninger, hvis den kan godtgøre, at opgavevaretagelsen er betryggende. Det kan for eksempel omfatte en øget involvering af virksomhedens bestyrelse. Forretningsgange på kreditområdet Forretningsgange for bevilling af eksponeringer 14) Et pengeinstitut skal have forretningsgange, som fastlægger principper for bevilling af eksponeringer. Forretningsgangene skal sikre, at virksomheden har en passende viden om risiciene, herunder kundernes økonomiske forhold og de stillede sikkerheder. Forretningsgangene skal desuden sikre, at kreditbeslutninger i tilstrækkeligt omfang baseres på robustheden af kundens fremtidige indtjening og likviditet og ikke i for høj grad baseres på stillede sikkerheder, medmindre tilbagebetalingen af lånet ifølge låneaftalen er baseret på salg af sikkerheder. Forretningsgangene skal dog samtidig sikre, at risikoen i relevant omfang nedbringes ved, at virksomheden tager sikkerheder, bl.a. i form af pant samt kautioner fra hovedaktionærer.

a) Et betryggende beslutningsgrundlag ved bevillinger vil almindeligvis som minimum indeholde følgende elementer:

• Vurdering af robustheden af kundens fremtidige indtjening og likviditet samt kundens evne og vilje til at overholde indgåede forpligtelser, herunder ved en eventuel forværring af kundens økonomiske forhold. - For privatkunder oplysninger om bl.a. kundens reelle formue, gældsfaktor samt rådighedsbeløb under forudsætning af traditionel fast forrentet finansiering med afvikling. - For privatkunder, der køber fast ejendom, oplysninger om kundens økonomi efter købet. - For erhvervskunder oplysninger om bl.a. kundens nuværende og skønnede fremtidige indtjenings- og likviditetsforhold samt de reelle kapitalforhold og relevante koncernsammenhænge. - Beskrivelse og vurdering af stillede sikkerheder. - Oplysninger om, hvordan eksponeringen skal tilbagebetales og forrentes. - Analyse af låntagers muligheder for at overholde en hurtigere tilbagebetaling. - Analyse af låntagers følsomhed over for rentestigninger, hvis låntager ønsker variabel rente. - Analyse af kundens eventuelle risici, der udspringer af miljømæssige, sociale og ledelsesmæssige forhold. - Andre oplysninger, der er relevante for virksomhedens vurdering af eksponeringens risiko og afvikling. - Virksomhedens samlede vurdering samt stillingtagen til, om den forventede indtjening står i et forsvarligt forhold til den risiko, virksomheden påtager sig ved bevillingen. b) I de situationer, hvor det er relevant, vil et beslutningsgrundlag almindeligvis videre som minimum indeholde:
• En samlet risikovurdering af enhver form for projekter, for eksempel risikoen ved ledelse, styring, finansiering, udførelse, færdiggørelse, udlejning og salg. - Oplysninger om relevante kautionisters nuværende og skønnede fremtidige indtjenings- og likviditetsforhold samt de reelle kapitalforhold. c) Der skal foreligge dokumentation af enhver bevilling af kreditfaciliteter i form af et beslutningsgrundlag, jf. litra a og b.

1. Et pengeinstitut kan som udgangspunkt kun belåne ejendomme, hvor låntagers hensigt med ejendommen hovedsageligt er udlejning til koncerneksterne parter, hvis ejendommen genererer positiv likviditet. Der skal her forudsættes traditionel fast forrentning og afvikling. Pengeinstituttet kan dog i særlige tilfælde belåne ejendomme uden positiv likviditet, hvis det kan godtgøre, at det er kreditmæssigt forsvarligt. I disse tilfælde skal forretningsgangene indeholde principper for, hvilke kompenserende krav eller foranstaltninger der skal foreligge for at sikre, at belåningen er kreditmæssig forsvarlig. De kompenserende krav eller foranstaltninger vil almindeligvis som minimum indeholde krav om, at a) låntager er velindtjenende med en god likviditet og soliditet, b) instituttet vurderer, at låntager har erfaring og kompetencer indenfor det pågældende område, c) låntager stiller med en passende egenfinansiering, og d) der foreligger sandsynliggørelse af, at likviditeten i ejendommen indenfor maksimalt 3 år bliver positiv, eller at ejendommen bliver solgt.

Litra d vil dog i en række tilfælde ikke gælde for finansiering af grundstykker. 16) Forretningsgangene for bevilling af eksponeringer vil endvidere almindeligvis indeholde principper for: a) I hvilke tilfælde virksomheden stiller krav om sikkerhedsstillelse, herunder de typer af sikkerhedsstillelser, som virksomheden kræver, for eksempel krav om pantsikkerhed ved finansiering af aktiver og kaution af hovedaktionær. b) Hvordan sikkerheder skal værdiansættes, således at disse værdiansættes forsigtigt i lyset af de gældende markedsforhold, herunder principper for: - Valg af værdiansættelsesmetode i form af interne eller eksterne vurderingseksperter eller af databaserede modeller eller anden standardiseret metode. Ved valg af metode skal pengeinstituttet tage hensyn til særlige egenskaber og kompleksitet ved forskellige typer af sikkerheder. - Udpegning af interne og eksterne vurderingseksperter. Principperne skal sikre tilstrækkelig ekspertise og imødegå mulige interessekonflikter i forhold til udfaldet af værdiansættelsen eller af kreditbevillingen. - Inddragelse af miljømæssige, sociale og ledelsesmæssige forhold, som må antages at påvirke værdien af sikkerheden. c) I hvilket omfang anvendelsen af rating eller kreditscoring kan reducere kravene til det øvrige beslutningsgrundlag i de tilfælde, hvor virksomheden anvender ratings eller kreditscoremodeller i forbindelse med kreditvurderingen af låntager. d) Hvorledes eksponeringerne opgøres, herunder konsolidering af eksponeringer med indbyrdes forbundne kunder samt eksponeringer i form af markeds- og modpartsrisici. 17) I det omfang det er relevant for virksomheden, vil forretningsgangene for bevilling af eksponeringer endvidere almindeligvis indeholde principper for: a) Byggelånsfinansiering, herunder krav til et kvalificeret byggetilsyn, og hvorledes betalinger af byggerater skal ske i takt med byggeriets færdiggørelse. b) Hvorledes stop-loss klausuler fastsættes ved bevilling af eksponeringer, der indeholder sikkerhedsstillelse i værdipapirer eller positioner i afledte finansielle instrumenter. c) Hvorledes der tages højde for kreditrisikoen ved lån i fremmed valuta. 18) Et realkreditinstitut skal have forretningsgange, som fastlægger principper for bevilling af eksponeringer. Forretningsgangene skal sikre, at virksomheden har en passende viden om risiciene ved eksponeringerne, herunder kundernes økonomiske forhold og de stillede sikkerheder. Forretningsgangene skal desuden sikre, at kreditbeslutninger i tilstrækkeligt omfang baseres på robustheden af kundens fremtidige indtjening og likviditet og ikke i for høj grad baseres på stillede sikkerheder, medmindre tilbagebetalingen af lånet ifølge låneaftalen er baseret på salg af sikkerheder. a) Et betryggende beslutningsgrundlag ved bevillinger vil almindeligvis som minimum indeholde følgende:

• Vurdering af robustheden af kundens fremtidige indtjening og likviditet samt kundens evne og vilje til at overholde indgåede forpligtelser, herunder ved en forværring af kundens økonomiske forhold. - For privatkunder oplysninger om bl.a. kundens reelle formue, gældsfaktor samt rådighedsbeløb under forudsætning af traditionel fast forrentet finansiering med afvikling. - For privatkunder, der køber fast ejendom, oplysninger om kundens økonomi efter købet. - For erhvervskunder oplysninger om bl.a. kundens nuværende og skønnede fremtidige indtjenings- og likviditetsforhold samt de reelle kapitalforhold og relevante koncernsammenhænge. - Beskrivelse og vurdering af stillede sikkerheder. - Analyse af kundens eventuelle risici, der udspringer af miljømæssige, sociale og ledelsesmæssige forhold. - Værdiansættelse af den faste ejendom i overensstemmelse med lovregler herom.

• Analyse af låntagers følsomhed over for rentestigninger, hvis låntager ønsker variabel rente. - Beskrivelse af anvendelse af rating og kreditscoring, hvor dette er relevant. - Hvorledes eksponeringerne opgøres, herunder konsolidering af eksponeringer med indbyrdes forbundne kunder. - I hvilke tilfælde virksomheden stiller krav om yderligere sikkerhedsstillelse, herunder kaution af hovedaktionær. b) Der skal foreligge dokumentation ved enhver bevilling af kreditfaciliteter i form af et beslutningsgrundlag.

1. Et realkreditinstitut kan som udgangspunkt kun belåne ejendomme, hvor låntagers hensigt med ejendommen hovedsageligt er udlejning til koncerneksterne parter, hvis ejendommen genererer positiv likviditet. Der skal her forudsættes traditionel fast forrentning og afvikling. Realkreditinstituttet kan dog i særlige tilfælde belåne ejendomme uden positiv likviditet, hvis instituttet kan godtgøre, at det er kreditmæssigt forsvarligt. I disse tilfælde skal forretningsgangene indeholde principper for, hvilke kompenserende krav eller foranstaltninger der skal foreligge for at sikre, at belåningen er kreditmæssig forsvarlig. De kompenserende krav eller foranstaltninger vil almindeligvis som minimum indeholde krav om, at a) låntager er velindtjenende med en god likviditet og soliditet, b) instituttet vurderer, at låntager har erfaring og kompetencer indenfor det pågældende område, c) låntager stiller med en passende egenfinansiering, og d) der foreligger sandsynliggørelse af, at likviditeten i ejendommen indenfor maksimalt 3 år bliver positiv, eller at ejendommen bliver solgt. Litra d vil dog i en række tilfælde ikke gælde for finansiering af grundstykker. Forretningsgange for løbende overvågning af eksponeringer og kreditrisici i øvrigt
2. Et pengeinstitut skal have forretningsgange, som fastlægger principper for den løbende overvågning af eksponeringer og kreditrisici i øvrigt. Forretningsgangene skal sikre, at virksomheden på kunde- og porteføljeniveau har et opdateret overblik over udviklingen i virksomhedens påtagne kreditrisici. Virksomheden vil dermed have et betryggende grundlag for at træffe beslutninger, som skal reducere kreditrisikoen. a) En betryggende overvågning af virksomhedens kreditrisici vil almindeligvis som minimum omfatte følgende elementer:

• Korrekt løbende klassifikation ud fra den skønnede kreditrisiko, jf. nr. 23, herunder en test én gang årligt af, om virksomheden er i stand til at risikoklassificere kunderne korrekt. - Identifikation, overvågning og håndtering af nødlidende eksponeringer og eksponeringer med kreditlempelse samt øvrige eksponeringer med højere risiko end ønsket, og at der fastlægges handlingsplaner for det videre forløb for disse eksponeringer. - Opfølgning på virksomhedens koncentrationer af risici, herunder koncentrationer indenfor specifikke brancher, koncentrationer indenfor specifikke typer af sikkerheder og koncentrationer i form af store eksponeringer, der for eksempel overstiger 2 eller 5 pct. af virksomhedens kapitalgrundlag. - Løbende overvågning af grænserne for renterisici fastsat af virksomheden, jf. nr. 2, litra g.

b) En betryggende overvågning af virksomhedens enkelte eksponeringer vil almindeligvis som minimum omfatte følgende elementer:

• En forsvarlig overtræksadministration, der sikrer, at virksomheden hurtigst muligt får identificeret og håndteret de kunder, hvor overtrækket eller restancen skyldes en forværring af kundens økonomi. - Både retningslinjer for en daglig behandling af overtræk og restancer og retningslinjer for en periodevis behandling af større eller gentagne overtræk og restancer, hvor gentagne overtræk og restancer som udgangspunkt er en indikation for kreditforringelse, jf. punkt 37 i bilag 10 til bekendtgørelse om finansielle rapporter for kreditinstitutter og fondsmæglerselskaber m.fl. - Gennemgang af regnskabsmateriale, årsopgørelser og budgetter m.v. fra låntagere og kautionister m.fl. - Løbende fyldestgørende, opdateret og forsigtig værdiansættelse af sikkerheder. c) Overvågning af eksponeringer med højere risiko end ønsket kræver virksomhedens særlige bevågenhed og vil almindeligvis som minimum omfatte følgende elementer:
• En handlingsplan, der konkretiserer virksomhedens fremadrettede tiltag over for kunden, med henblik på tabsminimering eller reduktion af virksomhedens risiko på kunden. En handlingsplan tager udgangspunkt i, om virksomheden ønsker at fastholde eller afvikle eksponeringen med kunden. Typisk vil handlingsplanen indeholde en stillingtagen til anvendelse af kreditlempelser, realisering af sikkerheder, etablering af nye sikkerheder, udvidelse eller opsigelse af kundens eksponering, løbende opfølgning af kundens drift, mødefrekvens m.v. - Retningslinjer for hvornår virksomheden skal indhente opdateret og revideret materiale om kundens økonomiske forhold samt hyppigheden af denne rapportering. - En stillingtagen til kundens reelle kapitalforhold. Vurderingen omfatter både de aktiver, som virksomheden har pant i, og andre aktiver, hvis disse har væsentlig betydning for kundens kapitalforhold. - Retningslinjer for anvendelse og registrering af og opfølgning på kreditlempelser samt retningslinjer for vurdering af, hvorvidt anvendelsen af kreditlempelser vil føre til, at eksponeringen skal omklassificeres til nødlidende. Anvendelsen af kreditlempelser skal så vidt muligt tilstræbe en varig løsning af kundens økonomiske vanskeligheder ved at kombinere kortvarige og længerevarende kreditlempelser. Ved en kundes åbenlyst forbigående økonomiske vanskeligheder, eller hvor det midlertidigt ikke er muligt at etablere en varig løsning, bør virksomheden overveje at anvende kreditlempelser med en tidshorisont på højst to år, forudsat at kunden forud for hændelsen har demonstreret evne og vilje til at overholde sine forpligtelser og til at samarbejde med virksomheden. - Retningslinjer for ophør af eksponeringers klassifikation som nødlidende og for ophør af kreditlempelser. - Overvågning af at anvendte kreditlempelser medfører de ønskede forbedringer, og at der ikke anvendes gentagne kreditlempelser på den samme eksponering. d) Det skal fremgå, hvorledes den årlige gennemgang af eksponeringer, som ikke er omfattet af bestyrelsens gennemgang, jf. § 6, stk. 3, nr. 3, skal foregå, herunder hvilke eksponeringer der skal gennemgås, på hvilke niveauer i organisationen gennemgangen skal foregå, og hvorledes rapportering af resultatet heraf skal ske.

e) I de situationer, hvor det er relevant, vil overvågningen af virksomhedens eksponeringer almindeligvis videre omfatte:

• Overvågning af byggelånsfinansiering, herunder ved et kvalificeret byggetilsyn og ved betalinger af byggerater i takt med byggeriets færdiggørelse. - Overvågning af enhver form for projekter, herunder af risikoen ved ledelse, styring, finansiering, udførelse, færdiggørelse, udlejning og salg. - Den løbende værdiansættelse af belånte pantebreve, herunder reguleringer for misligholdte pantebreve, overvågning af den fastsatte belåningsprocent, som er gældende for eksponeringen, samt pantebrevenes spredning, prioritetsstilling, udformning, øvrige indhold, omsættelighed og om den løbende administration af de belånte pantebreve. - Overvågning af kunders positioner i værdipapirer, afledte finansielle instrumenter og lån i fremmed valuta, herunder overholdelse af stop-loss klausuler. f) Forretningsgangene skal indeholde krav til hyppigheden for udførelsen af virksomhedens overvågning.

1. Et pengeinstitut, der har tilladelse til at udstede særligt dækkede obligationer, skal tillige have forretningsgange om løbende overvågning af LTV og om beregning og stillelse af supplerende sikkerhed i overensstemmelse med lovgivningen. 22) Et realkreditinstitut skal have forretningsgange, der fastlægger principper for en løbende overvågning. En betryggende overvågning af realkreditinstituttets eksponeringer vil almindeligvis indeholde følgende elementer: a) Behandling af restancer. b) Hvorledes der skal ske opfølgning på enkelteksponeringer, herunder gennemgang af regnskabsmateriale, årsopgørelser og budgetter m.v. fra låntagere og kautionister m.fl. c) Løbende overvågning af LTV. d) Løbende overvågning af værdien af pantsatte ejendomme i overensstemmelse med artikel 208, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber, herunder principper for:

• hyppigheden af overvågning af værdierne under hensyntagen til typen af ejendomme, ejendommens stand, dens værdi, kreditkvaliteten af lånet, belåningsgraden og udviklingen i markedsforholdene. Sikkerheder i boligejendomme skal overvåges mindst hvert tredje år, og sikkerheder i erhvervsejendomme skal overvåges mindst årligt. - metoder til overvågning. Valg af metode skal være afpasset typen af ejendom og ejendommens værdi. Metoderne skal omfatte en passende validering af estimerede værdier. - forhold der skal udløse en revurdering af sikkerheder på grundlag af overvågningen eller andre omstændigheder. e) Realkreditinstituttets anvendelse af databaserede modeller til værdiansættelse og overvågning af værdien af sikkerheder. Principperne skal omfatte tilstrækkelig overvågning og styring af modelrisiko og modelusikkerhed. f) Løbende overvågning af grænserne for renterisici fastsat af virksomheden, jf. nr. 2, litra g. g) Beregning og stillelse af supplerende sikkerhed i overensstemmelse med lovgivningen. h) Korrekt løbende klassifikation ud fra den skønnede kreditrisiko, jf. nr. 23, herunder en test én gang årligt af, om virksomheden er i stand til at risikoklassificere kunderne korrekt.

i) Identifikation, overvågning og håndtering af nødlidende eksponeringer, eksponeringer med kreditlempelser samt øvrige eksponeringer med højere risiko end ønsket, og at der fastlægges handlingsplaner for det videre forløb for disse eksponeringer. Uanset realkreditinstituttets generelle valg af metode skal værdiansættelse af sikkerheder for nødlidende eksponeringer over 2 mio. kr. foretages af en intern eller ekstern vurderingsekspert mindst hvert tredje år for boligejendomme og mindst årligt for erhvervsejendomme. j) Retningslinjer for anvendelse og registrering af og opfølgning på kreditlempelser samt retningslinjer for vurdering af, hvorvidt anvendelsen af kreditlempelser vil føre til, at eksponeringen skal omklassificeres til nødlidende. Anvendelsen af kreditlempelser skal så vidt muligt tilstræbe en varig løsning af kundens økonomiske vanskeligheder ved at kombinere kortvarige og længerevarende kreditlempelser. Ved en kundes åbenlyst forbigående økonomiske vanskeligheder, eller hvor det midlertidigt ikke er muligt at etablere en varig løsning, bør virksomheden overveje at anvende kreditlempelser med en tidshorisont på højst to år, forudsat at kunden forud for hændelsen har demonstreret evne og vilje til at overholde sine forpligtelser og til at samarbejde med virksomheden. k) Retningslinjer for ophør af eksponeringers klassifikation som nødlidende og for ophør af kreditlempelser. l) Overvågning af, at anvendte kreditlempelser medfører de ønskede forbedringer, og at der ikke anvendes gentagne kreditlempelser på den samme eksponering. m) Opfølgning på virksomhedens koncentrationer af risici, herunder koncentrationer indenfor specifikke brancher, koncentrationer indenfor specifikke typer af belånte ejendomme og koncentrationer i form af store eksponeringer, der for eksempel overstiger 2 eller 5 pct. af virksomhedens kapitalgrundlag. Forretningsgange for risikoklassifikation af kunderne 23) En virksomhed skal have forretningsgange, som fastlægger principper for risikoklassifikation af virksomhedens kunder ved anvendelse af modeller eller på anden måde for porteføljer. Forretningsgangene skal sikre, at virksomheden risikoklassificerer sine kunder korrekt, hvilket medvirker til, at virksomheden har et overblik over de kreditrisici, der er forbundet med dens kunder. For porteføljer, der ikke er omfattet af en IRB-tilladelse fra Finanstilsynet, vil forretningsgange for risikoklassifikation af virksomhedens kunder almindeligvis som minimum indeholde følgende elementer: a) For de virksomheder, der ikke anvender modeller til klassifikation af kunderne: Angivelse af de karakteristika, der kendetegner kunder med forskellig type bonitet. Dette omfatter som minimum en klassifikation svarende til Finanstilsynets karaktersystem. b) For de virksomheder, der anvender modeller til klassifikation af kunderne: Præcise beskrivelser af såvel model som vedtagne regelsæt, herunder hvilken skala der beskriver kundernes klassifikation. c) Retningslinjer, der sikrer, at virksomhedens klassifikation af kunderne ikke giver et for positivt billede af risikoen. d) Retningslinjer, der sikrer, at virksomhedens løbende kontrol og regelmæssige tests af klassifikationen er grundige og veldokumenterede.

Særligt om forretningsgange i forbindelse med belåning af fast ejendom 24) Et pengeinstitut, som belåner fast ejendom, herunder pantebreve, skal have forretningsgange herfor. Forretningsgangene skal tage højde for de reduktioner i værdierne, som kan forekomme. Dette kan ske ved fradrag (haircuts), som afspejler mulige fremtidige fald i værdierne. Herunder skal der tages højde for erfaringerne med forskelle i prisfald på forskellige typer ejendomme, bl.a. som følge af forskelle i robustheden af den likviditet, som ejendommene skaber. Forretningsgangene skal fastlægge principper for: a) Forsigtig værdiansættelse af pant i fast ejendom, herunder løbende revurdering af værdiansættelsen set i lyset af de gældende markedsforhold. b) Hvorledes den forsigtige værdiansættelse af pant i fast ejendom opgøres, og hvilke aktuelle oplysninger der som minimum skal være til stede i virksomheden og indgå i vurderingen, herunder angående:

• Ejendommens adresse, postnummer samt ejendomskategori, herunder en kort beskrivelse af ejendommen (evt. BBR meddelelse). - Bygningsarealer (fordeling på kontor, lager, butik m.v.). - Ejendommens stand og beliggenhed. - Den løbende drift på udlejningsejendomme, herunder bruttoleje, nettoleje, afkastkrav, risikoen for lejenedsættelser, risikoen for yderligere tomgang samt aktuelle og forventede fremtidige driftsomkostninger. - Omkostninger til nødvendige investeringer. - Seneste købsdato og handelspris. - Realiserede salgspriser for sammenlignelige ejendomme. - Aktuel og reel handelspris, svarende til den pris, som ejendommen skønnes at kunne sælges til ved en aftale mellem en salgsinteresseret ejer og en uafhængig, villig køber på normale handelsvilkår. - Skønnede salgsomkostninger. - Foranstående prioriteter i form af aktuel restgæld og lånevilkår. c) Pengeinstituttets vurdering af risikoen for mulige fremtidige fald i ejendommens værdi, bl.a. i lyset af robustheden af den likviditet, som ejendommen skaber. d) Hvilke typer af omkostninger, der skal fradrages ved realisation af sikkerheder i fast ejendom. e) Løbende overvågning af værdien af pantsatte ejendomme i overensstemmelse med artikel 208, stk. (3), i Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber, herunder principper for: i) Hyppigheden af overvågning af værdierne under hensyntagen til typen af ejendomme, ejendommens stand, dens værdi, kreditkvaliteten af lånet, belåningsgraden og udviklingen i markedsforholdene. Værdien af sikkerheder i boligejendomme skal overvåges mindst hvert tredje år, og værdien af sikkerheder i erhvervsejendomme skal overvåges mindst årligt. ii) Metoder til overvågning. Valg af metode skal være afpasset typen af ejendom og ejendommens værdi. Metoderne skal omfatte en passende validering af estimerede værdier. iii) Hvad der skal udløse en revurdering af sikkerheder på grundlag af overvågningen eller andre omstændigheder. f) Pengeinstituttets anvendelse af databaserede modeller til værdiansættelse og overvågning af værdien af sikkerheder. Principperne skal omfatte tilstrækkelig overvågning og styring af modelrisiko og modelusikkerhed. I tillæg til kravene i artikel 208, stk. 3, i Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber skal værdiansættelsen for nødlidende eksponeringer over 2 mio. kr. foretages af en intern eller ekstern vurderingsekspert mindst hvert tredje år for boligejendomme og mindst årligt for erhvervsejendomme.

g) Løbende overvågning af belåningsprocenten ved belåning af pantebreve i fast ejendom, krav til pantebrevenes spredning, prioritetsstilling, udformning, øvrige indhold og omsættelighed samt bestemmelser om en betryggende løbende administration af de belånte pantebreve. Krav til håndtering af et særligt stort omfang af nødlidende eksponeringer 25) Senest når en virksomheds andel af nødlidende udlån udgør 5 pct. af de samlede udlån (opgjort som regnskabsmæssige bruttoværdier), skal den vedtage og gennemføre en strategi med en tidsplan for nedbringelse af nødlidende eksponeringer. Kravet gælder ved opgørelse af andelen på individuelt, delkonsolideret eller konsolideret niveau og anvendes på de enheder, hvor andelen af nødlidende udlån udgør 5 pct. eller mere, eller hvis virksomheden bliver pålagt krav herom fra Finanstilsynet. Gennemførelsen af strategien skal tage hensyn til relevante regler for forbrugerbeskyttelse. Ved fastlæggelse af strategien skal virksomheden forholde sig til følgende elementer: a) Årsager til omfanget af nødlidende eksponeringer. b) Inddeling af nødlidende eksponeringer i homogene grupper, som kan fremme målrettede indsatser. c) Erfaringer med hidtil anvendte foranstaltninger, herunder kreditlempelser, og effektiviteten af dem. d) De ressourcer, kompetencer, systemer, procedurer, mv., som er nødvendige for at gennemføre strategien, herunder til

• tidlig identifikation af nødlidende eksponeringer, - anvendelse af og opfølgning på kreditlempelser, - værdiansættelse af sikkerheder, - inddrivelse, retslige procedurer og tvangsrealisationer, - håndtering af aktiver, som virksomheden har overtaget som led i inddrivelsen, - opgørelse af nedskrivninger og tabsafskrivninger og - overvågning og rapportering. e) De økonomiske, markedsmæssige, retslige og andre vilkår, som er af væsentlig betydning for at fastlægge mål for strategien og for at gennemføre den. f) Behovet for opdeling af strategiens mål og indsatser på kort sigt (1 år), mellemlang sigt (1-3 år) og i relevant omfang også på lang sigt (over 3 år). g) De regnskabsmæssige, kapitalmæssige og likviditetsmæssige konsekvenser af strategiens gennemførelse.

1. Strategien, inklusive dens mål og plan for gennemførelse, skal godkendes af bestyrelsen. Bestyrelsen skal revurdere strategien mindst en gang årligt på grundlag af en rapport om fremdriften i nedbringelse af omfanget af nødlidende eksponeringer i forhold til de fastsatte mål. 27) Hvis virksomheden konstaterer, at gennemførelse af strategien ikke vil medføre den ønskede nedbringelse af nødlidende eksponeringer indenfor den planlagte tidshorisont, skal dette i fornødent omfang afspejles i den anvendte praksis for opgørelse af nedskrivninger og tabsafskrivninger. 28) Strategien og dens gennemførelse skal i relevant omfang indarbejdes i virksomhedens generelle ledelse, styring, kontroller, overvågning og rapportering, så strategiens konsekvenser inddrages i relevante sammenhænge, og der sikres fornøden fokus på dens gennemførelse. 29) Under hensyntagen til pkt. 28 samt til virksomhedens størrelse og kompleksitet skal virksomheden overveje etablering af særlige enheder eller andre organisatoriske tiltag, som kan fremme strategiens gennemførelse. Virksomhedens eventuelle tiltag skal ske under hensyntagen til bestemmelser om kontroller, imødegåelse af potentielle interessekonflikter og sikring af funktionsadskillelse.

Risikostyring på kreditområdet Risikoansvarlig og risikostyringsfunktion 30) Den risikoansvarlige skal udover de generelle krav i bilag 7 overvåge, at der i virksomheden sker en forsvarlig styring af kreditrisiciene, herunder overvåge, at: a) Bevilling af eksponeringer foregår på betryggende vis. b) Der løbende sker en vurdering af, om der i virksomheden er tilstrækkelige ressourcer, viden og it-systemer m.v. til en betryggende opfølgning på og håndtering af virksomhedens kreditrisici. c) Der sker en rettidig identifikation af nødlidende eksponeringer og eksponeringer med kreditlempelser samt øvrige eksponeringer med en højere risiko end ønsket, og at der fastlægges handlingsplaner for det videre forløb for disse eksponeringer. d) Der sker en konstatering af indikation for kreditforringelse og en opgørelse af nedskrivningsbehovet samt tabsafskrivning, i overensstemmelse med regnskabsreglerne. e) Der sker en rettidig og korrekt klassifikation af virksomhedens eksponeringer, herunder en test minimum en gang årligt af, om virksomheden er i stand til at risikoklassificere kunderne korrekt. f) Der løbende foretages en forsvarlig opfølgning på enkelteksponeringer, herunder særligt (hvor relevant), at der:

• Sker en rettidig behandling af overtræk og restancer. - Løbende foretages en opfølgning på værdiansættelsen af de stillede sikkerheder. - Sker en rettidig opfølgning på virksomhedens investeringseksponeringer. - Sker en vurdering af, hvorvidt anvendelsen af kreditlempelser vil føre til, at eksponeringen skal omklassificeres til nødlidende. - Løbende foretages en overvågning af byggelånsfinansiering og ejendomsudviklingsprojekter. - Løbende foretages en overvågning af udviklingen i belånte pantebreve. g) Der løbende foretages en vurdering af og stillingtagen til virksomhedens koncentrationer af risici. h) Kravene til håndtering af et særligt stort omfang af nødlidende eksponeringer, jf. pkt. 25-29 er overholdt. i) Der løbende foretages en vurdering af, om prisfastsættelsen af kreditrisici er forsvarlig i forhold til de påtagne kreditrisici.

1. Den risikoansvarlige skal endvidere udover de generelle krav i bilag 7 overvåge: a) At virksomhedens interne kontrolsystem på kreditområdet er betryggende, herunder at virksomheden har forretningsgange, der beskriver virksomhedens interne kontrolsystem på kreditområdet. b) At der i virksomheden er iværksat de fornødne kontrolprocedurer på kreditområdet, jf. § 20 samt nr. 33-35 i dette bilag. c) At rapportering, der udarbejdes til bestyrelsen og på andre niveauer, giver et retvisende billede af virksomhedens kreditrisici og aktiviteter på kreditområdet. d) At der i virksomheden sker en årlig gennemgang af eksponeringer, som ikke er omfattet af bestyrelsens gennemgang i henhold til § 6, stk. 3, nr. 3. e) At der løbende foreligger dokumentation af den risikoansvarliges arbejde på kreditområdet, herunder dokumentation om:

• Hvilke opgaver der løses af den risikoansvarlige eller risikostyringsfunktionen, og hvilke opgaver der løses af andre med rapportering til den risikoansvarlige. - Alle den risikoansvarliges væsentlige konklusioner og hvem de er rapporteret til.

Videregivelse af bevillingsbeføjelser 32) Videregivne kreditbeføjelser skal udover de generelle krav i § 19 som minimum indeholde: a) Konkrete grænser for, hvor store eksponeringer og hvilke produkttyper modtageren af beføjelsen må bevilge. b) Hvilke kundekategorier der er omfattet af bevillingsbeføjelsen. c) Hvorledes eksponeringen opgøres i henhold til beføjelsens grænser. d) Beskrivelse af beføjelser til at bevilge eksponeringer i presserende tilfælde (hastesager som efterfølgende forelægges bestyrelsen til efterretning), herunder at antallet af disse bevillinger skal begrænses mest muligt. e) Konkrete grænser for beføjelser til bevilling af kreditlempelser, herunder akkord/moratorium, nedsat rente og omlægning af betalinger, samt bevilling af tabsafskrivninger, frigivelse af sikkerheder, fastsættelse af nedskrivninger på udlån og hensættelser på finansielle garantier og lånetilsagn. f) Regler for bevilling af eksponeringer med højere risiko end ønsket, jf. nr. 2, litra b, herunder udlån med nedskrivning og garantier med hensættelse. g) Konkrete grænser for, hvilke af de bevilgede eksponeringer m.v. der skal rapporteres til den, der afgiver beføjelsen. Kontroller på kreditområdet 33) Virksomheden skal, jf. § 20, etablere uafhængige interne kontroller af alle væsentlige aktiviteter på kreditområdet og have forretningsgange herfor. Der skal som minimum foretages regelmæssig intern kontrol af, at: a) Kreditpolitikken efterleves af virksomhedens medarbejdere. b) Bevillingsbeføjelserne overholdes. c) Der er funktionsadskillelse eller betryggende kompenserende foranstaltninger. d) Bevillingsgrundlaget, jf. nr. 14-19, er til stede ved bevilling af kreditrisici. e) Eksponeringerne etableres korrekt, herunder med korrekte dokumenter, iagttagelse af sikringsakter m.v. f) Der sker betryggende værdiansættelse af sikkerheder. g) Der sker betryggende opfølgning på overtræk og restancer. h) Der sker betryggende identifikation og opfølgning på nødlidende eksponeringer, eksponeringer med kreditlempelser samt øvrige eksponeringer med en højere risiko end ønsket, herunder at der fastlægges handlingsplaner for det videre forløb af disse eksponeringer. i) Der sker regelmæssig vurdering af effekten af virksomhedens praksis for anvendelse af kreditlempelser og anvendelsen af de enkelte typer af kreditlempelser på aggregeret niveau og i enkeltsager. j) Der sker betryggende vurdering af, hvorvidt anvendelsen af kreditlempelser vil føre til, at eksponeringen skal omklassificeres til nødlidende, og hvorvidt omfanget af nødlidende eksponeringer er vurderet forsigtigt. k) Risikoklassifikationen af kunderne er opdateret og klassificerer kunderne korrekt. l) Der sker betryggende opfølgning på virksomhedens koncentrationer af risici, herunder indenfor specifikke brancher, koncentrationer indenfor specifikke typer af sikkerheder og koncentrationer i form af store eksponeringer, der for eksempel overstiger 2 eller 5 pct. af virksomhedens kapitalgrundlag. m) Der foretages de nødvendige nedskrivninger og tabsafskrivninger på udlån samt hensættelser på garantier i overensstemmelse med regnskabsreglerne.

1. Virksomhedens interne kontroller på kreditområdet kan ske ved stikprøvevise gennemgange, hvis disse giver tilstrækkelig sikkerhed for, at aktiviteterne på de kontrollerede områder sker på betryggende vis. 35) Virksomheden skal dokumentere de foretagne interne kontroller. Rapportering til bestyrelsen på kreditområdet
2. Bestyrelsen skal mindst hvert kvartal modtage rapportering på kreditområdet. Mindst to af rapporteringerne i løbet af et år skal i fuldt omfang opfylde kravene i nr. 37-41, mens de øvrige rapporteringer kan være mindre omfattende. 37) Rapporteringen til bestyrelsen skal belyse, hvordan virksomheden efterlever de enkelte elementer i kreditpolitikken, jf. nr. 2-4, samt bestyrelsens retningslinjer til direktionen på kreditområdet, jf. nr. 6. 38) Rapporteringen skal give bestyrelsen et dækkende overblik over virksomhedens samlede kreditrisici og relevante opdelinger heraf samt overblik over udviklingen i kreditrisici over tid. 39) Så vidt det er muligt, skal der i rapporteringen til bestyrelsen mindst én gang årligt være benchmarking til sammenlignelige pengeinstitutter eller realkreditinstitutter. I forbindelse hermed skal der, bl.a. baseret på Finanstilsynets offentliggjorte redegørelser, tages stilling til, i hvilket omfang disse institutter forekommer veldrevne. 40) I det omfang det er relevant for bestyrelsens forståelse af rapporteringen, gælder for alle dele heraf, at rapporteringen af talmateriale skal suppleres med understøttende beskrivelser, analyser og vurderinger. Dette gælder særligt ved indikationer af væsentligt forhøjede kreditrisici. 41) Formålet med rapporteringen er at bidrage til bestyrelsens grundlag for at træffe beslutninger om virksomhedens kreditrisici, herunder ændringer i forretningsmodellen, kreditpolitikken og retningslinjerne til direktionen. Tilsvarende skal rapporteringen bidrage til bestyrelsens grundlag for at vurdere, om direktionen løser opgaverne på kreditområdet tilfredsstillende. Regnskabsmæssig praksis
3. En virksomhed, der i medfør af regnskabsbestemmelser er forpligtet til at indregne beløb under regnskabsposten ”Nedskrivninger på udlån og tilgodehavender m.v.” i virksomhedens års- og/eller delårsrapport, skal have betryggende dokumentation for, hvordan nedskrivningerne er fremkommet. Kravene nedenfor skal ses som et supplement til kravene til dokumentation i bilag 10 til bekendtgørelse om finansielle rapporter for kreditinstitutter og fondsmæglerselskabet m.fl. a) Betryggende dokumentation omfatter som minimum følgende:

• For alle udlån skal der foreligge en nedskrivningsberegning. Beregningen skal lede frem til den nedskrivning, der er indregnet i regnskabet, hvilket kan være en nedskrivning på nul. - For de udlån, hvor der anvendes beregningsmodeller eller porteføljebaserede metoder til opgørelse af nedskrivninger, skal der foreligge beskrivelser af, hvordan de nedskrivninger, der er indregnet i regnskabet, er opgjort. - For alle svage udlån, hvor virksomheden vurderer, at der ikke er indtrådt indikation for kreditforringelse, skal det fremgå, hvorfor der ikke er indtrådt en indikation. Svage udlån omfatter i denne forbindelse som minimum udlån svarende til Finanstilsynets bonitetskategori 2c. - For alle udlån, hvor der er indtrådt indikation for kreditforringelse, og hvor virksomheden vurderer, at udlånet ikke er kreditforringet, skal det fremgå, hvorfor der ikke er indtrådt kreditforringelse. - For hvert udlån, som virksomheden i forhold til sidste regnskabsaflæggelse vurderer ikke længere er kreditforringet, skal der foreligge dokumentation for, at den pågældende kreditforringelse ikke længere er til stede.

b) Der skal foreligge dokumentation for, at bestyrelsen og direktionen har forholdt sig til de resultater, der er fremkommet ved de anvendte beregningsmodeller. Herunder dokumentation for at bestyrelsen og direktionen har korrigeret i forhold til de beregnede nedskrivninger, hvis det vurderes, at modellerne ikke eller ikke fuldt ud tager højde for alle relevante forhold i overensstemmelse med regnskabsreglerne.

Bilag 2 Markedsrisiko

Anvendelsesområder og definitioner

1. Ved markedsrisici forstås rente-, valuta-, aktie-, og råvarerisici, herunder relaterede risici, der er forbundet med afledte finansielle instrumenter, for eksempel optionsrisici. Renterisici omfatter blandt andet renterisici på alle balance- og ikke-balanceførte poster, herunder også på fastforrentede ind- og udlån og fastforrentet funding. Renterisici omfatter endvidere rentestrukturrisici. 2) Virksomheden skal have procedurer til at identificere, vurdere og styre risikoen som følge af ændringer i rentesatser, kurser, priser og øvrige mål og værdier på markedsrisikoområdet. 3) Virksomheden skal have procedurer til at identificere, vurdere, styre og afbøde de risici, som opstår som følge af potentielle ændringer af rentesatserne, der påvirker både den økonomiske værdi af en virksomheds kapitalgrundlag og nettorenteindtægterne fra virksomhedens ikke-handelsmæssige aktiviteter. 4) Virksomheden skal have procedurer til at vurdere og overvåge de risici, der opstår som følge af potentielle ændringer af kreditspænd, som påvirker både den økonomiske værdi af en virksomheds kapitalgrundlag og nettorenteindtægterne fra virksomhedens ikke-handelsmæssige aktiviteter. Bestyrelsens opgaver og ansvar Markedsrisikopolitikken
2. Politikken på markedsrisikoområdet skal udover de i § 4, stk. 1, indeholdte generelle krav som minimum indeholde relevante overordnede anvisninger om a) hvilke typer af risici, virksomheden henregner til markedsrisikoområdet, b) det ønskede eller acceptable risikoniveau samlet og for de enkelte typer af markedsrisiko, eksempelvis ved angivelse af, om risikoen kan være lav, mellem eller høj, c) angivelse af med hvilke formål de enkelte typer af markedsrisici må påtages, eksempelvis. risikoafdækning, aktiv risikotagning i forbindelse med investering af virksomhedens midler, herunder virksomhedens likviditetsplaceringer, eller handel for kunder, og d) principper for den organisatoriske ansvarsfordeling på markedsrisikoområdet, herunder for risikotagning, risikostyring, kontrol og rapportering.
3. Politikken skal tage højde for de markedsrisici, der følger af virksomhedens ind- og udlånsvirksomhed. 7) Politikken skal afspejle kompleksiteten af virksomhedens forretninger på markedsrisikoområdet, og skal samtidig afspejle markedsrisikoområdets betydning for virksomhedens samlede indtjening og risiko. Politikken skal særligt tage højde for de enkeltrisici, der kan have betydning for virksomhedens indtjening og solvens. Risici, der er ubetydelige i forhold til virksomhedens solvens og indtjening, kan afgrænses mere summarisk:

a) Eksempelvis skal en stor virksomhed med omfattende og/eller komplekse forretninger på markedsrisikoområdet have en tilsvarende omfattende politik. For de typer af markedsrisici, som bestyrelsen har besluttet, at virksomheden kan tage, men som er ubetydelige for virksomheden, kan bestyrelsen nøjes med at fastsætte, at disse skal holdes på et minimum. b) En mindre virksomhed, der eksempelvis placerer likviditet i danske statsobligationer og lignende instrumenter og ikke har andre aktiviteter på markedsrisikoområdet, kan omvendt have en relativt simpel politik, der kun omfatter renterisikoen. Har virksomheden renterisiko udenfor handelsbeholdningen, for eksempel fastforrentede ind- og udlån, skal dette dog afspejles i politikken. Bestyrelsens retningslinjer til direktionen på markedsrisikoområdet 8) På markedsrisikoområdet skal retningslinjerne opfylde de i § 7 fastsatte generelle krav, og i det omfang det er relevant for den finansielle virksomhed, indeholde a) grænser for den finansielle virksomheds samlede rente-, valuta-, aktie- og råvarerisici, b) hvorledes de enkelte risici opgøres, og hvorledes de enkelte instrumenter medregnes ved opgørelsen, c) grænser for særlige risici, der knytter sig til komplekse eller usædvanlige produkter, herunder risici ved strukturerede produkter, eller til virksomhedens aktiviteter på markedsrisikoområdet i øvrigt som for eksempel optionsrisici, rentekurverisici, spændrisici m.v., medmindre omfanget af disse risici er af uvæsentlig størrelse, d) angivelse af, med hvilket formål værdipapirer, valutaer og afledte finansielle instrumenter må handles, for eksempel risikoafdækning, aktiv risikotagning i forbindelse med investering af virksomhedens midler, herunder virksomhedens likviditetsplaceringer, eller handel for kunder, e) hvilke valutaer eller grupper af valutaer, der må handles eller tages positioner i, og til hvilke formål der må handles henholdsvis tages positioner, f) hvilke typer af finansielle instrumenter, der må handles eller tages positioner i, og g) bestemmelser om, på hvilke markeder eller handelspladser samt i hvilke lande eller grupper af lande der må handles. 9) For realkreditinstitutter og pengeinstitutter med tilladelse til at udstede SDO’er skal politikken og retningslinjerne på markedsrisikoområdet udformes under iagttagelse af de relevante bestemmelser i bekendtgørelse om obligationsudstedelse, balanceprincip og risikostyring. Interessekonflikter og funktionsadskillelse på markedsrisikoområdet 10) På markedsrisikoområdet skal der for at imødegå interessekonflikter som hovedregel være etableret funktionsadskillelse i overensstemmelse med § 11, stk. 1, nr. 2. 11) Afvikling, udarbejdelse af resultat- og risikoopgørelser, kontrol og rapportering kan udføres i samme enhed, jf. § 11, stk. 2, hvis virksomheden kan dokumentere, at dette kan anses for betryggende, jf. § 2. 12) For SIFI’er og G-SIFI’er samt for virksomheder med omfattende og/eller komplekse forretninger på markedsrisikoområdet skal der være etableret funktionsadskillelse på markedsrisikoområdet, jf. nr. 8. Er funktionsadskillelsen ikke etableret på direktionsniveau, skal virksomheden kunne dokumentere, at den etablerede funktionsadskillelse er betryggende, jf. § 2. 13) I mindre virksomheder, der kun har beskedne aktiviteter på markedsrisikoområdet, og hvor virksomhedens egen risikotagning er begrænset til placering af egne midler, herunder virksomhedens likviditetsplaceringer, i ikke-komplekse finansielle instrumenter, kan der være grundlag for ikke at etablere funktionsadskillelse på markedsrisikoområdet, jf. nr. 8. I sådanne tilfælde skal der indføres betryggende kompenserende foranstaltninger, jf. § 11, stk. 3, eksempelvis i form af uafhængige kontroller udført udenfor markedsrisikoområdet. Virksomheden skal kunne dokumentere, at kvaliteten af de kompenserende foranstaltninger er betryggende. 14) Funktionsadskillelse på markedsrisikoområdet indebærer også, at interne modeller til opgørelse af solvens til dækning af markedsrisiko, VaR-modeller, jf. Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber, skal underlægges uafhængig validering og/eller kompenserende foranstaltninger. Det samme gælder interne modeller til opgørelse af markedsrisici eller til værdiansættelse af finansielle instrumenter.

Risikoopgørelser og opgørelser af gevinst/tab m.v. 15) Såfremt virksomheden selv beregner risici og gevinst eller tab samt værdier af finansielle instrumenter og andre poster med markedsrisici, skal direktionen sikre, at virksomheden har betryggende metoder hertil, herunder at det kan kontrolleres, at det sker korrekt. 16) Såfremt virksomheden indhenter risikoopgørelser og opgørelser af gevinst eller tab samt værdier af finansielle instrumenter og andre poster med markedsrisici fra eksterne parter, skal direktionen sikre sig, at de pågældende udfører opgaven på en betryggende måde. Direktionen skal desuden sikre sig, at virksomheden løbende evaluerer, om de fra eksterne parter modtagne og anvendte kurser, parametre m.v. er korrekte og dermed sikrer et retvisende billede af virksomhedens risici samt korrekt opgjorte regnskabsposter. Konstatering af om risici ligger indenfor beføjelser 17) Det skal være muligt for disponerende medarbejdere at konstatere, om de handler, de har til hensigt at indgå, ligger indenfor deres beføjelser. Tilsvarende gælder ved kollektive beføjelser, hvor flere medarbejdere kan disponere indenfor en fælles beføjelse. 18) Nr. 15 gælder også, hvor medarbejdere disponerer i henhold til beføjelser modtaget fra kunder under en aftale om diskretionær porteføljepleje. Kontroller på markedsrisikoområdet 19) Kontrollerne af virksomhedens markedsrisikobehæftede aktiviteter vil afhænge af omfanget og kompleksiteten på området. Kontrollerne skal omfatte kontrol af a) om beføjelser overholdes, idet samtlige grænser og samtlige personer, der har beføjelser, skal være omfattet af kontrollen; det skal herunder kunne konstateres, om beføjelser overholdes indenfor dagen; virksomheder med en vis aktivitet på området skal foretage intra-dag kontrol, som minimum på stikprøvebasis, idet stikprøvens størrelse og hyppighed skal afspejle aktivitetsomfanget, b) om opgørelse af og rapportering om positioner og risici sker korrekt, c) om investeringsgrænser i porteføljeplejeaftaler med kunder overholdes, d) om handler indgås til korrekte kurser og priser, e) om gevinst eller tab på markedsrisikobehæftede dispositioner for egen og for kunders regning opgøres korrekt, f) afstemning af beholdninger af værdipapirer, finansielle instrumenter og konti, og g) om de fra eksterne parter modtagne og anvendte kurser, parametre m.v. er korrekte og dermed sikrer et retvisende billede af virksomhedens risici. 20) For realkreditinstitutter og pengeinstitutter med tilladelse til at udstede SDO’er skal kontrollerne på markedsrisikoområdet udformes, så de sikrer en iagttagelse af de relevante bestemmelser i bekendtgørelse om obligationsudstedelse, balanceprincip og risikostyring. Rapportering på markedsrisikoområdet Rapportering om overholdelse af grænser 21) For realkreditinstitutter og pengeinstitutter med tilladelse til at udstede SDO’er skal rapporteringen på markedsrisikoområdet udformes, med henblik på at sikre, at den også omfatter de grænser, der fremgår af bekendtgørelse om obligationsudstedelse, balanceprincip og risikostyring.

Rapportering til bestyrelsen 22) Rapporteringen på markedsrisikoområdet skal give bestyrelsen et dækkende overblik over virksomhedens væsentlige markedsrisici og understøtte bestyrelsens beslutninger på markedsrisikoområdet, herunder ændringer i forretningsmodellen, markedsrisikopolitikken og retningslinjerne til direktionen. Rapporteringen skal derudover bidrage til bestyrelsens grundlag for at vurdere, om direktionen løser opgaverne på markedsrisikoområdet tilfredsstillende. 23) Bestyrelsen skal mindst hvert kvartal modtage rapportering på markedsrisikoområdet. Dog kan rapporteringen i mindre virksomheder, der eksempelvis placerer likviditet i danske statsobligationer og lignende instrumenter og ikke har andre aktiviteter på markedsrisikoområdet, tilgå bestyrelsen med en lavere hyppighed. Rapporteringen om overholdelse af grænser for risikotagning fastsat i bestyrelsens retningslinjer skal foretages med den hyppighed, som bestyrelsen beslutter, men kan være en integreret del af rapporteringen efter 1. og 2. punktum. 24) Rapporteringen skal udformes på en sådan måde, at alle væsentlige markedsrisici og udviklingen indenfor disse fremhæves. I det omfang det er relevant for bestyrelsens forståelse af rapporteringen, gælder for alle dele heraf, at rapporteringen af talmateriale skal suppleres med understøttende beskrivelser, analyser og vurderinger. Dette gælder særligt i tilfælde af et ændret risikobillede på markedsrisikoområdet. 25) For SIFI’er, G-SIFI’er og virksomheder med omfattende og/eller komplekse forretninger på markedsrisikoområdet skal rapporteringen gøre det muligt for bestyrelsen at foretage en vurdering af, om indtjeningen på markedsrisikoområdet står mål med de markedsrisici, der er taget. 26) For virksomheder, der anvender interne modeller til opgørelse af solvens til dækning af markedsrisiko, VaR-modeller, jf. Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber og/eller interne metoder til opgørelse af markedsrisici, skal rapporteringen omfatte et grundlag for bestyrelsens vurdering af de anvendte metoders pålidelighed. 27) For virksomheder, der anvender eksterne porteføljeforvaltere, skal den løbende rapportering til bestyrelsen, omfatte rapportering om midler og risici hidrørende fra de midler, der forvaltes af den eksterne porteføljeforvalter.

Bilag 3 Operationelle risici

Anvendelsesområder og definitioner

1. Ved operationel risiko forstås risiko for tab som følge af uhensigtsmæssige eller mangelfulde interne procedurer, menneskelige fejl og systemmæssige fejl eller som følge af eksterne begivenheder, herunder juridiske risici og risici som følge af outsourcing. Omdømmerisiko og strategiske risici anses ikke for operationelle risici i denne bekendtgørelse, men skal i det omfang, det er relevant, behandles efter de samme principper som operationel risiko. 2) Ved modelrisiko forstås risiko for tab som følge af beslutninger, der hovedsagelig baseres på resultater fra interne modeller, på grund af fejl i udviklingen, gennemførelsen eller anvendelsen af sådanne modeller. 3) Ved risici som følge af outsourcing forstås risiko for tab som direkte eller indirekte kan henføres til virksomhedens eller leverandørens operationelle håndtering i forbindelse med outsourcing af processer, tjenesteydelser eller aktiviteter til en leverandør, herunder også ved koncernintern outsourcing. 4) Med tabshændelser forstås begivenheder, der kan medføre tab, har medført tab eller som kunne have medført tab, jf. nr. 1, for virksomheden.

Bestyrelsens opgaver og ansvar Politik for operationel risiko 5) Med udgangspunkt i virksomhedens forretningsmodel, aktiviteter og organisering skal bestyrelsen udarbejde en politik for operationel risiko, som afspejler virksomhedens størrelse og kompleksitet og som, udover de i § 4 indeholdte generelle krav, skal indeholde a) identifikation af, hvilke operationelle risici virksomheden kan være udsat for, herunder risici, der forventes at indtræde med lav sandsynlighed, men med store potentielle tab til følge, b) stillingtagen til, hvorledes virksomhedens operationelle risici nedbringes til et acceptabelt niveau, c) overordnede principper, som virksomheden skal indrettes efter med henblik på at holde operationelle risici på et for bestyrelsen acceptabelt niveau, d) stillingtagen til

• operationelle risici som følge af outsourcing, herunder afhængighed af underleverandører, - operationelle risici knyttet til virksomhedens produkter og/eller kundegrupper, - omfanget af manuelle rutiner, for eksempel i forbindelse med kontrol og afvikling af handler, - integrationen og egnetheden af virksomhedens it-systemer, - afhængighed af eksterne forhold, - operationelle risici knyttet til virksomhedens organisering, herunder manglende funktionsadskillelse, jf. § 11, - fysisk sikkerhed, - modelrisiko, e) overordnede principper for, hvordan virksomheden skal registrere og kategorisere tabshændelser, samt f) overordnede principper for rapportering om tabshændelser til bestyrelsen, der skal sikre, at bestyrelsen til enhver tid har et tilstrækkeligt indblik i virksomhedens operationelle risici og udviklingen heri.

1. Bestyrelsen skal ved udarbejdelse af politikken, i det omfang det er relevant, forholde sig til a) om tidligere indtrufne hændelser kan gentage sig i fremtiden, og b) om medarbejdernes generelle kompetenceniveau er tilstrækkeligt Bestyrelsens retningslinjer til direktionen på området for operationel risiko
2. Bestyrelsens retningslinjer til direktionen, jf. §§ 6 og 7, skal indeholde a) retningslinjer, for, hvordan operationelle tabshændelser identificeres, b) konkrete metoder, der sikrer, at direktionen løbende vurderer de tabshændelser, der er indtruffet, eller som forventes at indtræffe med lav sandsynlighed, men med store tab (halebegivenheder) til følge; disse metoder kan for eksempel indbefatte scenarioanalyser, der udarbejdes i samarbejde med de relevante ledere, eller for eksempel analyser af tabsregistreringer og risikoindikatorer, c) retningslinjer for, hvordan direktionen skal registrere tabshændelser, herunder hvilke oplysninger vedrørende tabshændelserne, der skal registreres, i hvilket omfang registrering skal foretages, samt eventuelle beløbsmæssige grænser for registreringen af hændelser, der har medført tab, såvel som hændelser, der kunne have medført tab, d) retningslinjer for, hvordan virksomheden skal kategorisere tabshændelser, e) retningslinjer for rapportering af tabshændelser. Disse retningslinjer skal som minimum indeholde nærmere angivelse af:

• eventuelle beløbsmæssige tærskelværdier for rapportering af tabshændelser, til bestyrelse, direktion og andre relevante medarbejdere, samt - rapporteringens indhold, omfang og frekvens. Direktionens opgaver og ansvar

1. Direktionen skal indrette den finansielle virksomhed således, at operationelle risici begrænses, særligt at de styres indenfor de principper, der er fastsat af bestyrelsen samt sikre, at alle relevante medarbejdere har kendskab til virksomhedens politik for operationelle risici. 9) Det påhviler direktionen at sikre, at a) oplysninger om tabshændelser i alle virksomhedens forretningsområder registreres i overensstemmelse med bestyrelsens politik for operationelle risici og retningslinjerne til direktionen, b) alle relevante medarbejdere har kendskab til virksomhedens politik for operationel risiko, c) alle medarbejdere har tilstrækkelig viden om operationelle risici til at løse deres opgaver på området, d) der er etableret effektive systemer og metoder til at identificere, registrere, kategorisere, rapportere og opbevare oplysninger om tabshændelser i virksomhedens væsentlige forretningsområder, e) der er forretningsgange for identificering, registrering og kategorisering af tabshændelser, f) der er forretningsgange for opgørelse og rapportering til bestyrelsen vedrørende operationelle tabshændelser.
2. Direktionen skal på forhånd vurdere om og i hvilket omfang, beslutninger kan medføre operationelle risici, der er i strid med den af bestyrelsen fastsatte politik og strategi på området. Dette gælder såvel for principielle beslutninger på de forretningsmæssige områder, herunder udførelsen af nye tjenesteydelser eller handel med nye finansielle instrumenter, som væsentlige beslutninger om virksomhedens drift og indretning. Dette kan kræve, at direktionen inddrager den risikoansvarlige, jf. § 16 samt bilag 7. 11) Direktionen skal løbende vurdere, om der er områder, hvor de operationelle risici skal søges minimeret og i givet fald foretage de fornødne foranstaltninger. Orientering af Finanstilsynet
3. Direktionen skal sikre, at virksomheden orienterer Finanstilsynet ved væsentlige tabshændelser.

Bilag 4 Likviditetsrisici

Anvendelsesområder og definitioner

1. Med likviditetsrisici forstås risikoen for a) at virksomhedens omkostninger til likviditetsfremskaffelse stiger uforholdsmæssigt meget, b) at manglende finansiering forhindrer virksomheden i at opretholde sin nuværende forretningsmodel og c) at virksomheden ultimativt ikke kan opfylde sine betalingsforpligtelser på grund af manglende finansiering.
2. Bestemmelserne i dette bilag er underlagt det generelle proportionalitetshensyn, som angivet i § 2. Udover de i § 2 angivne forhold, skal bestyrelse og direktion ved fastlæggelse af, hvilke foranstaltninger der er tilstrækkelige for at overholde de i bilag 4 angivne bestemmelser, også tage hensyn til instituttets likviditetsmæssige kompleksitet, risikoprofil og arbejdsområde. Desuden skal der tages højde for instituttets betydning i de lande, hvor det udøver aktiviteter, herunder identifikation som systemisk institut.

Bestyrelsens opgaver og ansvar på likviditetsområdet Likviditetspolitikken 3) Bestyrelsen skal vedtage en skriftlig likviditetspolitik, jf. § 4, stk. 2, nr. 5. Likviditetspolitikken skal afhængigt af den finansielle virksomheds størrelse og sammensætning på juridiske enheder, den overordnede risikoprofil og kompleksiteten af virksomhedens likviditetsrisiko angive, hvilken likviditetsrisikoprofil bestyrelsen ønsker, at virksomheden skal have. 4) Bestyrelsen skal sikre, at likviditetspolitikken er tilpas forsigtig og til enhver tid sikrer en forsvarlig likviditet, herunder en forsvarlig likviditetsreserve og en forsvarlig finansieringsstruktur. 5) Likviditetspolitikken skal som minimum indeholde principper for følgende forhold a) hvordan virksomheden opgør sine likviditetsrisici, b) virksomhedens finansieringsstruktur, c) størrelsen og sammensætningen af virksomhedens likviditetsreserve, d) grænser for virksomhedens likviditetsrisici i relevant omfang opgjort for forskellige tidshorisonter, e) metoder til vurdering af potentielle likviditetsmæssige virkninger af institutspecifikke og markedsomfattende stress, for eksempel i form af hvilke likviditets stresstest virksomheden skal udføre, f) en beredskabsplan for fremskaffelse af funding, herunder en definition af hændelser som medfører, at planen skal iværksættes, definition af tidlige indikatorer for potentiel krisesituation, muligheder for at skaffe likviditet via salg eller belåning af aktiver og udnyttelse af lånefaciliteter, en strategi for håndtering af yderligere aktivbehæftelse som følge af stress i det omfang dette er relevant og en prioritering af de enkelte tiltag inklusiv sandsynligheden for, at de enkelte tiltag kan gennemføres indenfor den forventede tidshorisont, g) principper for opgørelse og fordeling af likviditetsomkostninger i relevant omfang, h) eventuelle juridiske eller andre begrænsninger på overførsel af aktiver indenfor virksomheden, herunder om de forskellige former for aktiver anerkendes indenfor likviditetsreglerne i de lande, som virksomheden opererer i, i) procedurer for opfølgning på likviditetspolitikken, jf. § 5, stk. 1, j) den løbende rapportering til bestyrelsen, og k) principper for tilgangen til behæftelse af aktiver, herunder bestemmelser om overvågning og styring af virksomhedens behæftelsesniveau og de medfølgende risici samt principper for opgørelsen heraf i relevant omfang. 6) Hvis virksomheden vurderes at være systemisk relevant i et eller flere af de lande, hvor den udfører aktiviteter, skal bestyrelsen tillige sikre, at likviditetspolitikken i tilstrækkelig grad tager højde herfor. I lande hvor systemisk relevante virksomheder er defineret som SIFI eller G-SIFI, kan virksomheden anvende samme definition. Bestyrelsens retningslinjer til direktionen på likviditetsområdet 7) Retningslinjerne til direktionen skal udover de i §§ 6 og 7 indeholdte generelle krav udmønte likviditetspolitikken i konkrete retningslinjer, der skal indeholde bestemmelser om: a) Opgørelse af likviditet i henhold til gældende regulatoriske likviditetskrav. b) Metoder til opgørelse af likviditetsrisici og tidshorisonter for opgørelserne. Opgørelserne af likviditetsrisici skal omfatte både balanceførte og ikke-balanceførte poster. c) Sammensætningen af virksomhedens likviditetsreserve, herunder hvilke aktiver, der kan indgå i reserven, og en opdeling af disse i meget likvide aktiver og likvide aktiver, samt andelen af de ubehæftede aktiver, som kan anvendes som sikkerhed, hvis der opstår ikke-forventede finansieringsbehov. d) Grænser for virksomhedens samlede likviditetsrisici. e) Grænser for anvendelsen af og koncentration af de forskellige fundingtyper i relevant omfang. f) Grænser for løbetid på funding i relevant omfang. g) Grænser for valutaer og geografisk koncentration, i det omfang det er relevant. h) Metoder til vurdering af potentielle likviditetsmæssige virkninger af institutspecifikke og markedsomfattende stress, for eksempel i form af likviditets stresstest. Metoderne bør tage højde for virkningerne af institutspecifik stress, markedsomfattende stress og kombinerede alternative scenarier. De bør desuden tage hensyn til forskellige perioder og grader af stressvilkår og stressvilkårene bør tage højde for usandsynlige, men ikke helt utænkelige forhold. Antagelserne der ligger til grund for vurderingen skal tages op til revision mindst én gang årligt. Virksomheden skal, i det omfang det er relevant, inddrage ikke-balanceførte poster og andre eventualforpligtelser, herunder securitiseringsenheder med særligt formål (SSPE) eller andre enheder med et særligt formål, hvor virksomheden fungerer som administrator eller yder væsentlig likviditetsstøtte. i) Krav til ledelsestiltag og tidshorisonter i beredskabsplanen for fremskaffelse af funding, herunder at det påhviler direktionen at afprøve elementerne i beredskabsplanen mindst én gang årligt. j) Krav om, hvornår virksomheden skal etablere lokale beredskabsplaner, herunder som minimum, hvis virksomheden har juridiske enheder, hvor likviditeten ikke flyder frit mellem enhederne. k) Bestemmelser om, under hvilke omstændigheder direktionen skal sikre sig bestyrelsens stillingtagen til, om den finansielle virksomhed skal fastholde de valgte risikoniveauer samt proceduren herfor.

1. For realkreditinstitutter, der finansierer sig ved obligationsudstedelse efter lovgivningens bestemmelser herom, vil der i mange tilfælde være valgt en meget snæver betalingsmæssig sammenhæng mellem udlån og de bagvedliggende obligationer, der finansierer udlånet, jf. bekendtgørelse om obligationsudstedelse, balanceprincip og risikostyring. I sådanne tilfælde vil dele af bekendtgørelsens specifikke krav til retningslinjer, redegørelser og forretningsgange kunne opfyldes med forklarende henvisning hertil, og de primære likviditetsrisici vil stamme fra refinansiering af fundingen og eventuelle krav om supplerende sikkerhed som følge af efterfølgende lånegrænseoverskridelser. 9) For pengeinstitutter med tilladelse til at udstede særligt dækkede obligationer skal politikken, retningslinjerne, forretningsgange, kontroller og rapportering på likviditetsområdet udformes under iagttagelse af de relevante bestemmelser i bekendtgørelse om obligationsudstedelse, balanceprincip og risikostyring. 10) Direktionen i virksomheder, som foranstalter revolverende securitiseringstransaktioner, der er underlagt en bestemmelse om indfrielse før tid, skal sikre, at de relevante organisatoriske enheder udarbejder likviditetsplaner med henblik på at tage højde for virkningerne af både indfrielse ved udløb og indfrielse før tid. Direktionens opgaver og ansvar på likviditetsområdet
2. Direktionen skal sikre, at der ved introduktion af nye produkter med likviditetsrisici og ved væsentlige ændringer i bestående produkter, der øger instituttets likviditetsrisici, jf. §§ 23 og 24, sker en betryggende indførelse heraf i virksomhedens organisation, herunder i virksomhedens forretningsgange, risikostyring, rapportering og interne kontroller. Forretningsgange på likviditetsområdet Forretningsgange for den løbende opgørelse af likviditetsstrømme
3. En virksomhed skal have forretningsgange for den løbende identifikation, måling, styring og overvågning af virksomhedens likviditetsstrømme, der udover de generelle krav i § 13 kan indeholde: a) Bestemmelser om, hvilke metoder virksomheden har valgt til opgørelse af virksomhedens likviditetsstrømme. b) Bestemmelser om fastlæggelse af et forventet tidspunkt for mulig realisering af aktiver, som påvirker likviditeten, og hvordan aktiverne kan realiseres i overensstemmelse med virksomhedens forventninger. c) Bestemmelser om antagelser om tidspunktet for udløb for aktiver og passiver, som kan være både kontraktuelt bestemt og adfærdsbestemt. d) Bestemmelser om løbende revurdering af opgørelserne for virksomhedens likviditetsstrømme, herunder validering af antagelserne om likviditetsstrømme. e) Bestemmelser som sikrer, at virksomheden, i det omfang det er relevant, tager hensyn til lovgivningsmæssige, administrative og operationelle begrænsninger, som påvirker mulighederne for at overføre likviditet og ubehæftede aktiver mellem enheder i forskellige lande. Forretningsgange for opgørelse af modtagne og stillede sikkerheder
4. En virksomhed skal, i det omfang det vurderes relevant, have forretningsgange for opgørelse af modtagne og stillede sikkerheder, der udover de generelle krav i § 13 som minimum skal indeholde:

a) Bestemmelser, der sikrer, at virksomheden identificerer og estimerer aktuelle og potentielle behov for at stille sikkerheder og modtage sikkerheder over forskellige tidshorisonter. b) Bestemmelser, der fastlægger, hvordan virksomheden skal beregne likviditetsværdien af virksomhedens nuværende og potentielle sikkerheder. Likviditetsværdien er den værdi, som virksomheden kan forvente at opnå, hvis en sikkerhed skal sælges eller belånes i en krisesituation. Likviditetsværdien svarer normalt ikke til den regnskabsmæssige værdi. c) Bestemmelser, der sikrer, at likviditetsværdien altid opgøres forsigtigt, og at virksomheden tager højde for, at det kan være meget vanskeligt at sælge eller belåne visse aktiver indenfor en rimelig tidshorisont. Virksomheden skal ved beregning af likviditetsværdi anvende et relevant fradrag, hvor udsving i aktivets markedsværdi er et væsentligt element. d) Bestemmelser, der sikrer, at virksomheden tager højde for eventuelle juridiske og operationelle begrænsninger i forbindelse med belåning eller salg af sikkerheder. Risikostyring, kontroller og rapportering Risikoansvarlig og risikostyringsfunktion 14) Den risikoansvarlige skal, udover de generelle krav i § 16 og bilag 7, sikre, at der i virksomheden sker en forsvarlig styring af likviditetsrisiciene, herunder sikre: a) At virksomhedens likviditet, herunder intradagslikviditeten, løbende overvåges og kontrolleres. b) At beredskabsplanen afprøves mindst én gang årligt i videst muligt omfang. Som eksempel kan salg af datterselskaber være undtaget fra regelmæssig afprøvning. c) At instituttets antagelser om likviditetsstrømme valideres, og at valideringen dokumenteres. d) At de fastlagte grænser løbende revurderes. e) At niveau og udvikling i omfanget af aktivbehæftelse, samt typer af aktivbehæftelse og relaterede kilder til behæftelse, som for eksempel sikret finansiering, løbende overvåges. f) At mængden og kreditkvaliteten af ubehæftede, men behæftbare aktiver overvåges. g) At mængden og typen af eventuel yderligere behæftelse af aktiver, som kan resultere fra stress scenarier, overvåges. Kontroller på likviditetsområdet 15) Virksomheden skal, jf. § 20 etablere uafhængige interne kontroller af alle væsentlige aktiviteter på likviditetsområdet. Der skal som minimum foretages regelmæssig intern kontrol af, at a) likviditetspolitikken efterleves af virksomhedens medarbejdere, b) bevillingsbeføjelserne overholdes og c) rapporteringen i virksomheden er korrekt. 16) Virksomheden skal dokumentere de foretagne interne kontroller.

Bilag 5 It-sikkerhed

Anvendelsesområde og definitioner

1. Dette bilag indeholder bestemmelser om de i bekendtgørelsen omhandlende forhold, der relaterer sig til it-området, herunder it-sikkerhedsstyring. Bestyrelsens opgaver og ansvar
2. Bestyrelsen skal på baggrund af en risikovurdering beslutte en it-sikkerhedspolitik for virksomheden. 3) It-sikkerhedspolitikken skal ud fra den ønskede risikoprofil på it-området indeholde en overordnet stillingtagen til alle væsentlige forhold vedrørende it-sikkerheden. Hvad der er væsentligt afhænger bl.a. af virksomhedens størrelse samt omfanget og kompleksiteten af virksomhedens it-anvendelse.

Følgende forhold skal der, under hensyn til virksomhedens størrelse, kompleksitet, forretningsmodel og forretningsomfang, tages stilling til: a) Organisering af it-arbejdet, herunder funktionsadskillelse mellem - systemudvikling/-vedligeholdelse - it-drift og - virksomhedens forretningsførelse. b) Regelmæssige risikovurderinger. c) Beskyttelse af systemer, data, maskinel og kommunikationsveje. d) Systemudvikling og vedligeholdelse af systemer. e) Driftsafvikling. f) Logning og overvågning. g) Funktionsadskillelse. h) Backup og sikkerhedskopiering. i) Målsætning for beredskabsplaner. j) Kvalitetssikring. k) Adgangsstyring. l) Principper for implementering af politikken i uddybende retningslinjer, forretningsgange og instrukser. m) Forholdsregler i tilfælde af brud på it-sikkerhedspolitik og sikkerhedsregler. n) Overholdelse af relevant lovgivning. o) Rapportering, kontrol og opfølgning. p) Eventuelle dispensationer fra it-sikkerhedspolitikken. 4) Er virksomheden et SIFI eller et G-SIFI, skal it-sikkerhedspolitikken, jf. nr. 3, indeholde en stillingtagen til behovet for etablering af flercenterdrift på alle forretningskritiske it-systemer, jf. § 2, stk. 3. 5) Bestyrelsen skal regelmæssigt og mindst en gang årligt revurdere it- sikkerhedspolitikken på baggrund af en opdateret risikovurdering, herunder vurdere hvorvidt it-sikkerhedspolitikken er tilstrækkelig til at sikre, at de risici, som it- anvendelsen medfører og forventes at medføre, fremover er på et for virksomheden acceptabelt niveau. 6) It-sikkerhedspolitikken skal i videst muligt omfang være uafhængig af den anvendte teknologi. Direktionens opgaver og ansvar 7) Direktionen skal sikre, at virksomhedens it-sikkerhedspolitik efterleves. Direktionen skal uddybe it-sikkerhedspolitikken i forretningsgange m.v., der understøtter, at a) ansvar, herunder ejerskab for it-processer og ressourcer, er placeret, b) funktionsadskillelsen løbende bliver overvåget og revurderet, c) der er kontrol med opretholdelse af det ønskede it-sikkerhedsniveau samt håndtering af eventuelle svagheder, d) systemer og data klassificeres og prioriteres, jf. nr. 19, e) kritiske systemer, data og tværgående afhængigheder løbende identificeres og risikovurderes, jf. nr. 19, f) systemer (både basis- og brugersystemer) og konfiguration (hardware) samt ændringer hertil dokumenteres, g) der er sikkerhedskopiering af systemer og data, herunder opbevaring af sikkerhedskopierne, h) der anskaffes tilstrækkelige it-ressourcer, i) systemudvikling, konfiguration og vedligeholdelse samt afprøvning af nye og ændrede systemer sker betryggende, j) der foretages tests og anden kvalitetssikring, k) der foretages ændringshåndtering og problemstyring, l) der sker adgangskontrol til systemer og data, jf. nr. 16-19, m) der er tilstrækkelig fysisk sikkerhed, herunder fysisk adgangskontrol, n) der er tilstrækkelige it-beredskabsplaner og test af it-beredskabet, jf. nr. 20-23, og o) der gennemføres passende tiltag for at uddanne medarbejderne i it- og cybersikkerhed.

1. Direktionen skal sikre, at der etableres overvågning og kontrol med efterlevelsen af it-sikkerhedspolitikken. 9) Direktionen skal løbende rapportere til bestyrelsen om manglende overholdelse af it- sikkerhedspolitikken. 10) Er virksomheden et SIFI eller et G-SIFI, som har flere driftscentre, skal direktionen sikre, at afstanden mellem driftscentrene er tilstrækkelig til, at en hændelse, der sætter et driftscenter ud af drift, ikke kan ramme øvrige driftscentre samtidigt. Fastsættelse af en tilstrækkelig afstand mellem driftscentre skal foretages ud fra en konkret risikovurdering. 11) Direktionen i et penge- eller et realkreditinstitut, der af Finanstilsynet er udpeget som operatør af væsentlige tjenester, skal sikre, at Finanstilsynet og Center for Cybersikkerhed hurtigst muligt bliver underrettet om hændelser, som har væsentlige konsekvenser for kontinuiteten af de væsentlige tjenester, som de leverer. Underretningen skal indeholde oplysninger om antallet af brugere, som berøres af afbrydelse af den væsentlige tjeneste, hændelsens varighed, den geografiske udbredelse med hensyn til det område, der er berørt af hændelsen, og om eventuelle grænseoverskridende konsekvenser af hændelsen. It-risikostyring, rettighedsstyring og beredskab It-risikostyring
2. Bestyrelsen skal sikre, at virksomheden har en politik for it-risikostyring. Politikken kan være en særskilt politik eller indgå som en del af øvrige relevante politikker. Politikken skal som minimum indeholde: a) Mål for virksomhedens it-risikostyring. b) Identifikation af, hvilke it-risici virksomheden kan være udsat for. c) Stillingtagen til, hvorledes virksomhedens it-risici nedbringes til - eller fastholdes på et acceptabelt niveau. d) Overordnede principper for it-sikkerhedsstyring, med henblik på at holde it-risici på et for bestyrelsen acceptabelt niveau. e) Stillingtagen til: - risici knyttet til virksomhedens systemer og data - risici knyttet til integration og egnethed af virksomhedens it-systemer - it-risici knyttet til afhængighed af eksterne forhold, herunder underleverandører - it-risici knyttet til virksomhedens organisering, herunder manglende funktionsadskillelse. f) Overordnede principper for, hvordan virksomheden skal registrere og kategorisere it-hændelser. g) Overordnede principper for rapportering om it-hændelser til bestyrelsen, der skal sikre, at bestyrelsen til enhver tid har tilstrækkeligt indblik i virksomhedens it- risici og udviklingen heri. 13) Direktionen skal sikre, at virksomhedens it-risikostyringspolitik efterleves. Direktionen skal uddybe politikken i forretningsgange mv., der som minimum beskriver: a) metoden for identifikation, vurdering og monitorering af it-risici b) ansvarsplaceringen og organiseringen c) etablering og implementering af kontrol- og sikringsforanstaltninger på baggrund af it-risici, samt hvordan der sikres sammenhæng mellem it-risici og kontroller d) opfølgning på it-risici e) rapportering til bestyrelsen af væsentlige it-risici. 14) Er virksomheden forpligtet til at have en risikostyringsfunktion og en risikoansvarlig efter § 16, indgår it-risikostyring som en del af den risikoansvarliges opgaver i overensstemmelse med bilag 7. 15) For fælles datacentraler gælder følgende: a) Direktionen skal sikre, at virksomhedens it-risikostyring bliver varetaget på betryggende vis af en risikoansvarlig, som er udpeget af direktionen. b) Direktionen skal sikre, at det tydeligt fremgår, hvilke opgaver og ansvarsområder i relation til it, den risikoansvarlige skal varetage. c) Direktionen skal sikre, at den risikoansvarlige har adgang til alle relevante oplysninger i relation til it og har tilstrækkelige ressourcer. d) Den risikoansvarlige skal have det samlede overblik over virksomheden og virksomhedens it-risici med henblik på at kunne vurdere, om der er en betryggende styring heraf. e) Den risikoansvarlige skal sikre, at - alle væsentlige it-risici, identificeres, måles, håndteres og rapporteres korrekt - it-risici, der går på tværs af virksomhedens organisation, systemer og data, indgår i it-risikovurderingen - it-risici i outsourcede funktioner/opgaver indgår i vurderingen af virksomhedens samlede it-risikovurdering.

Rettighedsstyring 16) Direktionen skal sikre, at virksomheden har en betryggende risikobaseret bruger- og rettighedsstyring, som sikrer, at adgang til kritiske systemer og data kun sker ved et godkendt arbejdsbetinget behov. 17) Direktionen skal uddybe virksomhedens bruger- og rettighedsstyring i forretningsgange mv., der som minimum indeholder: a) identifikation og klassifikation af kritiske systemer og data i relation til rettighedsstyringen samt synliggørelse af risici herved b) identifikation af roller, rettigheder og kombinationer heraf samt synliggørelse af risici forbundet hermed, herunder i hvilket omfang adgangstildelingen, i medfør af et arbejdsbetinget behov, skal underlægges løbende kontrol og overvågning samt ansvaret herfor c) løbende kontrol og overvågning med anvendelsen af privilegerede og administrative adgange d) tildeling, ændring og rettidig fratagelse af adgange e) periodisk gennemgang af tildelte adgange, samt hvornår ikke godkendte adgange skal medføre kontrol- og opfølgningstiltag. 18) Direktionen skal sikre funktionsadskillelse i systemer og i tekniske miljøer på et dokumenteret grundlag. 19) Direktionen skal sikre, at systemer og data løbende klassificeres, kritiske adgange på tværs af systemerne identificeres, og at der etableres logning af kritiske systemadgange for at sikre en effektiv overvågning og rettidig sporing af uautoriseret aktivitet. Beredskab 20) Direktionen skal sikre, at der udarbejdes en it-beredskabsplan, der indeholder målsætning for genetablering af normal drift i tilfælde af fejl, nedbrud, tab af data eller systemer, samt hel eller delvis ødelæggelse af bygninger, maskinel og kommunikationsveje i overensstemmelse med bestyrelsens målsætning, jf. nr. 3, litra i. I planen skal der, afhængig af virksomhedens forhold, være: a) en beskrivelse af, hvorledes der etableres en beredskabsorganisation, herunder rolle- og ansvarsfordelingen i beredskabsorganisationen b) aktivitetsplaner i forhold til alvorlige systemnedbrud, fejl og forstyrrelser i it- anvendelsen samt genopretningsprocedurer. 21) Direktionen skal sikre, at beredskabsplanen regelmæssigt afprøves. Omfanget af afprøvningerne skal bl.a. gennemføres med afsæt i relevante scenarier og virksomhedens trusselsbillede. 22) Direktionen skal rapportere væsentlige resultater for beredskabstestene til bestyrelsen. 23) Direktionen skal sikre, at beredskabsplanerne, aktivitetsplanerne og genopretningsprocedurer løbende og minimum en gang årligt opdateres på baggrund af testresultater, samt trussels- og risikovurderinger.

Bilag 6 Tilrettelæggelse af arbejdet i bestyrelsen

Bestyrelsens forretningsorden

1. Bestyrelsen skal ved en forretningsorden træffe nærmere bestemmelser om udførelsen af sit hverv, jf. § 65 i lov om finansiel virksomhed samt § 130 i lov om aktie- og anpartsselskaber (selskabsloven). 2) Ved udformningen af forretningsordenen efter nr. 1 skal bestyrelsen tage udgangspunkt i sine lovmæssigt fastsatte forpligtelser samt den finansielle virksomheds kompleksitet og forretnings- og aktivitetsområder. Forretningsorden skal som minimum indeholde:

a) Bestemmelser om bestyrelsens konstitution herunder anvendelse af suppleanter og krav til beslutningsdygtighed samt med hvilke intervaller, der skal afholdes møder. b) Bestemmelser om skriftlige og elektroniske bestyrelsesmøder, jf. nr. 19. c) Procedurer for fastlæggelse af arbejdsdelingen mellem bestyrelsen og direktionen, herunder bemyndigelser, ansvar for forretningsgange og tavshedspligt. d) Procedurer for bestyrelsens løbende stillingtagen til organisatorisk placering og bemanding af den i § 16, stk. 1 og bilag 7, omhandlede risikostyringsfunktion. e) Procedurer for bestyrelsens tilsyn med direktionens ledelse af den finansielle virksomhed og eventuelle datterselskaber, herunder vurdering af om direktionen varetager sine opgaver på behørig måde og i overensstemmelse med den fastlagte risikoprofil, de fastlagte politikker og bestyrelsens retningslinjer til direktionen, jf. § 70, stk. 5, i lov om finansiel virksomhed. f) Procedurer for oprettelse og føring af bøger, fortegnelser og protokoller efter selskabslovgivningen. g) Procedurer for bestyrelsens løbende stillingtagen til den finansielle virksomheds forretningsmodel, risikoprofil, organisation og ressourcer. h) Procedurer for hvordan bestyrelsen indhenter de oplysninger, der er nødvendige for udførelse af dens opgaver herunder de forpligtelser, som bestyrelsen er pålagt i henhold til lov om finansiel virksomhed, lov om værdipapirhandel m.v., lov om forebyggende foranstaltninger mod hvidvask af udbytte og terrorfinansiering og anden relevant lovgivning. i) Bestemmelser om bestyrelsens løbende stillingtagen til direktionens rapportering til bestyrelsen, herunder stillingtagen til den finansielle virksomheds individuelle solvensbehov, budgetter, finansielle rapporter, likviditet og kapitalbehov, væsentlige dispositioner, særlige risici og overordnede forsikringsforhold. j) Procedurer for bestyrelsens stillingtagen til og underskrivelse af revisionsprotokollen. k) Procedurer for, hvordan bestyrelsen sikrer tilstedeværelsen af det nødvendige grundlag for revision, herunder, hvis relevant, tage stilling til, om der er behov for intern revision. 3) Bestyrelsen skal løbende og mindst én gang årligt gennemgå forretningsordenen med henblik på at sikre, at denne afspejler den finansielle virksomheds forretnings- og aktivitetsområder. 4) Bestyrelsen skal sikre og kunne dokumentere, at samtlige bestyrelsesmedlemmer har kendskab til forretningsordenen. Bestyrelsesmøder og bestyrelsens forhandlinger 5) Bestyrelsen skal, jf. § 74, stk. 1, i lov om finansiel virksomhed, mødes, når der skal træffes beslutning om forhold, der ikke er omfattet af de beføjelser, bestyrelsen har givet til direktionen, jf. § 70. Bestyrelsen kan således ikke lovligt delegere sin beslutningskompetence for eksempel til et forretningsudvalg. 6) Nr. 5 finder ikke anvendelse på behandling af standardiserede sager, som i henhold til vedtægter eller andet skal behandles af bestyrelsen. Sådanne sager kan henlægges til behandling og beslutning i et udvalg under bestyrelsen, hvis der på forhånd af den samlede bestyrelse er fastlagt retningslinjer for sagernes behandling. Disse retningslinjer samt udvalgets behandling af de pågældende sager skal løbende evalueres af den samlede bestyrelse. Delegeringen omfatter ikke bestyrelsens ansvar for sagernes behandling og de trufne beslutninger. 7) Bestyrelsen kan beslutte, at ansatte i den finansielle virksomhed samt bestyrelsesmedlemmer og ansatte i andre selskaber i koncernen kan deltage i et bestyrelsesmøde, eventuelt alene ved enkelte punkter på dagsordenen. 8) Bestyrelsen kan ligeledes i enkeltstående tilfælde beslutte, at der kan være andre personer end de i nr. 7 nævnte, eksempelvis aktionærer eller rådgivere, til stede ved et eller flere angivne punkter på dagsordenen. 9) Uanset nr. 7 og 8 må der ikke være uvedkommende personer til stede ved et bestyrelsesmøde eller ved et punkt på bestyrelsesmødets dagsorden, hvor der behandles fortrolige oplysninger, som ikke lovligt kan videregives efter reglerne om videregivelse af fortrolige oplysninger i kapitel 9 i lov om finansiel virksomhed. 10) Den i medfør af lov om finansiel virksomhed § 74, stk. 3, førte forhandlingsprotokol skal afspejle de på møderne førte drøftelser, herunder skal væsentlige risikovurderinger og trufne beslutninger samt forudsætninger for disse fremgå. Det skal fremgå, hvilke medlemmer der har været til stede på et møde. Har andre personer end medlemmer af bestyrelsen været til stede, skal dette også fremgå. 11) Protokollen skal indrettes på betryggende vis, herunder således at det er tydeligt, når protokollen for et møde er endelig, samt at hver side i forhandlingsprotokollen er fortløbende nummereret. 12) Hvis der føres en særskilt bevillingsprotokol, skal dette fremgå af forhandlingsprotokollen. Det skal tydeligt fremgå af bevillingsprotokollen henholdsvis forhandlingsprotokollen, hvilke lån, der er:

a) Bevilget/afslået. b) Bevilget i henhold til § 78 i lov om finansiel virksomhed. c) Til orientering. d) Til efterbevilling (hastesager). e) Bevilget ved skriftlig behandling eller på et elektronisk afholdt bestyrelsesmøde. 13) Det skal udtrykkeligt anføres i bevillingsprotokollen henholdsvis forhandlingsprotokollen, når der behandles eksponeringer omfattet af § 78, stk. 1 og 4, i lov om finansiel virksomhed. De pågældende bestyrelsesmedlemmer og direktører må ikke være til stede under sagens behandling, og det skal protokolleres, at de ikke er til stede. 14) Bestemmelsen i nr. 13 er ikke til hinder for, at et bestyrelsesmedlem eller en direktør, der tillige deltager i ledelsen af et moderselskab, der ejer hele kapitalen i virksomheden, eller i et 100 pct. ejet søster- eller datterselskab, deltager i behandlingen af spørgsmål om eller eksponeringer med dette selskab. 15) Bestemmelserne i lov om finansiel virksomhed § 78, stk. 1 og 4, er ikke til hinder for, at medarbejdervalgte bestyrelsesmedlemmer kan bevilges eksponeringer på samme vilkår som medarbejderne i den pågældende finansielle virksomhed i øvrigt. 16) Bestemmelsen i lov om finansiel virksomhed § 78, stk. 3, finder ikke anvendelse på fuldt sikrede eksponeringer eller eksponeringer af helt ubetydelig størrelse. 17) Bestyrelsen skal mindst én gang årligt gennemgå eksponeringerne med de i § 78, stk. 1 og 4, i lov om finansiel virksomhed, nævnte personer og selskaber, for eksempel i forbindelse med den årlige aktivgennemgang. At gennemgangen har været foretaget, samt konklusionerne herpå, skal fremgå af protokollen. Skriftligt og elektronisk afholdte bestyrelsesmøder 18) Bestyrelsen kan afholde skriftlige og elektroniske bestyrelsesmøder i overensstemmelse med lov om aktie- og anpartsselskaber (selskabsloven), i det omfang dette er foreneligt med udførelsen af bestyrelsens hverv. 19) Bestyrelsen skal beslutte, hvilke typer af sager, der er egnede til behandling på et skriftligt eller elektronisk bestyrelsesmøde, for eksempel ukomplicerede og rutineprægede sager, eller presserende sager, der ikke kan udsættes uden skadevirkning for virksomheden. Beslutningen skal fremgå af forretningsordenen. 20) Nr. 18 og 19 finder tilsvarende anvendelse på skriftlige bevillingsprocedurer. 21) I det omfang en bestyrelsesbeslutning træffes skriftligt eller elektronisk, kræves så vidt muligt en egentlig tilkendegivelse fra de enkelte bestyrelsesmedlemmer. Sådanne tilkendegivelser skal protokolleres. En undladelse af at reagere på fremsendt materiale er ikke tilstrækkelig tilkendegivelse.

Bilag 7 Risikostyringsfunktionen og den risikoansvarlige

Direktionens opgaver og ansvar

1. Direktionen skal, jf. § 16, stk. 1, 1. pkt. sikre, at virksomheden har en risikostyringsfunktion, og at der udpeges en risikoansvarlig. 2) Direktionen skal sikre, at det tydeligt fremgår, for eksempel af funktionsbeskrivelser og forretningsgange, hvilke opgaver der henhører under risikostyringsfunktionen, jf. nr. 4-12. 3) Direktionen skal sikre, at risikostyringsfunktionen har adgang til alle relevante oplysninger og har tilstrækkelige ressourcer, jf. § 9, stk. 2.

Risikostyringsfunktionens og den risikoansvarliges opgaver på risikostyringsområdet 4) Risikostyringsfunktionen skal have et samlet overblik over virksomheden og virksomhedens risikoeksponeringer med henblik på at kunne vurdere, om der er en betryggende styring heraf. 5) Den risikoansvarlige skal tage stilling til, om direktionens og bestyrelsens beslutningsgrundlag er tilstrækkeligt, jf. nr. 6-8. 6) Risikostyringsfunktionen skal sikre, at alle væsentlige risici i virksomheden herunder risici, der går på tværs af virksomhedens organisation, identificeres, måles, håndteres og rapporteres korrekt. 7) Risikostyringsfunktionen skal sikre, at risikoeksponeringer i datterselskaber, jf. § 2, stk. 2, indgår i vurderingen af virksomhedens samlede risikoeksponeringer. 8) Risikostyringsfunktionen skal sikre, at risikoeksponeringer i outsourcede processer, tjenesteydelser eller aktiviteter indgår i vurderingen af virksomhedens samlede risikoeksponeringer. 9) Risikostyringsfunktionen skal deltage aktivt i udviklingen af virksomhedens risikostrategi, jf. § 4, stk. 1. 10) Risikostyringsfunktionen skal på forhånd høres om væsentlige beslutninger, så risikostyringsfunktionen har mulighed for at udtale sig om risikoen forinden. 11) Risikostyringsfunktionen skal mindst én gang årligt udarbejde en rapport til bestyrelsen om virksomhedens risikostyring, jf. § 5, stk. 4. Rapporten skal indeholde den risikoansvarliges stillingtagen til de under nr. 4-8, og 10 anførte forhold og skal indgå som en del af bestyrelsens samlede vurderingsgrundlag, jf. § 5, stk. 4. Den risikoansvarlige kan vælge, at rapporten indgår som en del af eller som et tillæg til vurderingen af virksomhedens solvensbehov (ICAAP). Den risikoansvarlige skal i givet fald sikre, at de i nr. 6 og 7 nævnte forhold klart fremgår af tillægget, og at bestyrelsen er orienteret om, at rapporten indgår som et tillæg. 12) Risikostyringsfunktionen skal i relevant omfang give udtryk for betænkeligheder og advare bestyrelsen, når det er passende i de tilfælde, hvor specifikke risikoudviklinger påvirker eller kan påvirke virksomheden. 13) Har virksomheden nedsat et risikoudvalg, jf. § 80 b, stk. 1, i lov om finansiel virksomhed , skal den risikoansvarliges rapport, jf. nr. 11, sendes til risikoudvalget. Risikostyringsfunktionens organisation 14) Direktionen skal udpege en overordnet leder med specifikt ansvar for risikostyringsfunktionen til risikoansvarlig. Bestyrelsen kan dog beslutte, at det er bestyrelsen, der udpeger den risikoansvarlige. 15) Den risikoansvarlige skal være tilstrækkeligt uafhængig af virksomhedens funktioner til, at den risikoansvarliges opgaver kan udføres betryggende. 16) Hvis direktionen vælger at udpege en overordnet medarbejder som risikoansvarlig, der også har ansvar for andre opgaver end risikostyring, skal direktionen sikre, at mulige interessekonflikter mellem den risikoansvarliges opgaver og den risikoansvarliges eventuelle andre opgaver håndteres betryggende. 17) Et medlem af direktionen, som bestyrelsen ikke har udpeget som den administrerende direktør, kan udpeges som risikoansvarlig, såfremt den pågældende opfylder kravene i nr. 14 og 15. 18) Direktionen i pengeinstitutter med en arbejdende kapital mindre end 12 mia. kr., mindre realkreditinstitutter og virksomheder omfattet af § 1, nr. 3 og 5-7, kan udpege en direktør, som bestyrelsen har udpeget som den administrerende direktør, som risikoansvarlig. 19) Direktionen i pengeinstitutter med en arbejdende kapital mindre end 12 mia. kr., mindre realkreditinstitutter og virksomheder omfattet af § 1, nr. 3 og 5-7 kan ligeledes vælge, at risikostyringsfunktionen udgøres af den risikoansvarlige. 20) Direktionen kan vælge, at risikostyringsfunktionens opgaver placeres i organisatoriske enheder udenfor risikostyringsfunktionen. 21) Hvis direktionen vælger at placere risikostyringsfunktionen i organisatoriske enheder, som har andre opgaver end risikostyring, skal direktionen sikre, at placeringen af risikostyringsfunktionen er betryggende, herunder at eventuelle interessekonflikter i forhold til varetagelsen af opgaven som risikostyringsfunktion og øvrige opgaver håndteres betryggende. Hvis virksomheden er et SIFI eller en G-SIFI, skal direktionen vurdere behovet for, at risikostyringsfunktionen under ledelse af den risikoansvarlige organiseres, så der oprettes bemandede risikostyringsenheder for hvert væsentligt risikoområde i virksomheden for derved at øge virksomhedens opmærksomhed på de enkelte områders risikoeksponeringer. 22) En risikoansvarlig, der er udpeget i medfør af nr. 14-19, skal sikre, at risikostyringsfunktionen udfører opgaverne, jf. nr. 4-12, betryggende. 23) Har virksomheden nedsat et risikoudvalg, jf. § 80 b, stk. 1, i lov om finansiel virksomhed, skal den risikoansvarlige på udvalgets anmodning bistå dette med information. 24) Den risikoansvarlige i et SIFI eller G-SIFI skal deltage i risikoudvalgets møder med henblik på forelæggelse og drøftelse af virksomhedens risikostyring, jf. nr. 4-9 og 12. 25) Den risikoansvarlige i et SIFI eller G-SIFI skal løbende, herunder i forbindelse med afgivelse af risikostyringsfunktionens rapport, jf. nr. 11, deltage i bestyrelsens møder med henblik på forelæggelse og drøftelse af virksomhedens risikostyring.

Bilag 8 Risikoen for overdreven gearing

1. Dette bilag indeholder bestemmelser om de i bekendtgørelsen omhandlede forhold, der relaterer sig til risikoen for overdreven gearing. 2) Bestyrelsen skal sikre, at virksomheden, hvor det er relevant, råder over politikker og processer til identifikation, overvågning og styring af risikoen for overdreven gearing. 3) Politikken og processerne skal afspejle virksomhedens størrelse, eksponeringer og kompleksitet. 4) Direktionen skal sikre, at bestyrelsens politik og processer indenfor risikoen for overdreven gearing efterleves. 5) Virksomheden skal have indikatorer for risikoen for overdreven gearing. Indikatorerne skal omfatte gearingsgrad, der beregnes efter artikel 429 i forordningen (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber, og mismatch mellem aktiver og passiver. 6) Virksomheden skal, hvor det er relevant, ved håndtering af risikoen for overdreven gearing udvise forsigtighed. Virksomheden skal tage behørigt hensyn til potentiel forøgelse af risikoen for overdreven gearing som følge af en formindskelse af virksomhedens kapitalgrundlag forårsaget af forventede eller realiserede tab afhængigt af de gældende regnskabsregler. Med henblik herpå skal virksomhederne i relevant omfang være i stand til at modstå forskellige stresspåvirkninger i forbindelse med risikoen for overdreven gearing. 7) Stresstest af risikoen for overdreven gearing skal afspejle virksomhedens størrelse, eksponeringer og kompleksitet. 8) Bestyrelsen skal, hvor det er relevant, i udgangspunktet én gang hvert kvartal modtage rapportering om virksomhedens risiko for overdreven gearing. 9) Direktionen skal, hvor det er relevant, mindst én gang hvert kvartal modtage rapportering om virksomhedens risiko for overdreven gearing.