Oddział 5. Zarządzanie ryzykiem oraz kontrola…

Oddział 5

Zarządzanie ryzykiem oraz kontrola wewnętrzna

Art. 41. Zarządzanie ryzykiem oraz kontrola wewnętrzna na poziomie konglomeratu finansowego jako przedmiot nadzoru…

Zarządzanie ryzykiem oraz kontrola wewnętrzna na poziomie konglomeratu finansowego podlegają nadzorowi uzupełniającemu sprawowanemu przez koordynatora.

Art. 42. Obowiązek wdrożenia systemów zarządzania ryzykiem oraz systemów kontroli wewnętrznej

1. Wchodzące w skład konglomeratu finansowego podmioty regulowane podlegające nadzorowi sprawowanemu przez krajowy organ nadzoru są obowiązane wdrożyć odpowiednie systemy zarządzania ryzykiem oraz systemy kontroli wewnętrznej.

2. Podmiot wiodący przekazuje koordynatorowi na piśmie, w terminie 90 dni od dnia kończącego rok obrotowy, szczegółowe informacje o strukturze prawnej, strukturze zarządzania i strukturze organizacyjnej podmiotów regulowanych wchodzących w skład konglomeratu finansowego, w tym o podmiotach zależnych niebędących podmiotami regulowanymi oraz istotnych oddziałach instytucji kredytowych, o których mowa w art. 141f ust. 12 , 13 i 17 ustawy - Prawo bankowe, istotnych oddziałach domów maklerskich, o których mowa w art. 98a ust. 12a ustawy z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi oraz istotnych oddziałach zakładów ubezpieczeń i istotnych oddziałach zakładów reasekuracji, o których mowa w art. 354 rozporządzenia delegowanego Komisji (UE) 2015/35 z dnia 10 października 2014 r. uzupełniającego dyrektywę Parlamentu Europejskiego i Rady 2009/138/WE w sprawie podejmowania i prowadzenia działalności ubezpieczeniowej i reasekuracyjnej (Wypłacalność II) (Dz. Urz. UE L 12 z 17.01.2015, s. 1).

3. Podmiot wiodący, w terminie 90 dni od dnia kończącego rok obrotowy, udostępnia na swojej stronie internetowej opis struktury prawnej, struktury zarządzania i struktury organizacyjnej podmiotów regulowanych wchodzących w skład konglomeratu finansowego w pełnej formie lub przez zamieszczenie odnośników do informacji równoważnych.

4. Podmiot wiodący równocześnie z udostępnieniem na swojej stronie internetowej informacji, o których mowa w ust. 3, przekazuje te informacje koordynatorowi w formacie umożliwiającym ekstrakcję danych rozumianym jako format otwarty w rozumieniu art. 2 pkt 6 ustawy z dnia 11 sierpnia 2021 r. o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego (Dz. U. z 2023 r. poz. 1524), który jest powszechnie stosowany lub wymagany prawem, umożliwia ekstrakcję danych przez maszynę i jest czytelny dla człowieka, albo w formacie nadającym się do odczytu maszynowego rozumianym jako format przeznaczony do odczytu maszynowego w rozumieniu art. 2 pkt 7 ustawy z dnia 11 sierpnia 2021 r. o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego, w przypadku gdy przekazanie informacji w takim formacie jest wymagane zgodnie z wykonawczymi standardami technicznymi wydanymi na podstawie art. 30b ust. 4 dyrektywy 2002/87/WE Parlamentu Europejskiego i Rady z dnia 16 grudnia 2002 r. w sprawie dodatkowego nadzoru nad instytucjami kredytowymi, zakładami ubezpieczeń oraz przedsiębiorstwami inwestycyjnymi konglomeratu finansowego i zmieniającej dyrektywy Rady 73/239/EWG, 79/267/EWG, 92/49/EWG, 92/96/EWG, 93/6/EWG i 93/22/EWG oraz dyrektywy 98/78/WE i 2000/12/WE Parlamentu Europejskiego i Rady (Dz. Urz. UE L 35 z 11.02.2003, str. 1, z późn. zm.19)).

5. Informacje, o których mowa w ust. 3, są opatrywane następującymi metadanymi w rozumieniu art. 2 pkt 7 rozporządzenia 2023/2859:

1) nazwą (firmą) podmiotu regulowanego, którego dotyczą informacje;

2) identyfikatorem podmiotu prawnego podmiotu regulowanego, którego dotyczą informacje, określonym zgodnie z wykonawczymi standardami technicznymi wydanymi na podstawie art. 7 ust. 4 rozporządzenia 2023/2859;

3) kategorią wielkości podmiotu regulowanego, którego dotyczą informacje, określoną zgodnie z wykonawczymi standardami technicznymi wydanymi na podstawie art. 7 ust. 4 rozporządzenia 2023/2859;

4) rodzajem informacji, określonym zgodnie z wykonawczymi standardami technicznymi wydanymi na podstawie art. 7 ust. 4 rozporządzenia 2023/2859;

5) wskazaniem, czy informacje zawierają dane osobowe;

6) metadanymi określonymi w wykonawczych standardach technicznych wydanych na podstawie art. 30b ust. 4 dyrektywy 2002/87/WE Parlamentu Europejskiego i Rady z dnia 16 grudnia 2002 r. w sprawie dodatkowego nadzoru nad instytucjami kredytowymi, zakładami ubezpieczeń oraz przedsiębiorstwami inwestycyjnymi konglomeratu finansowego i zmieniającej dyrektywy Rady 73/239/EWG, 79/267/EWG, 92/49/EWG, 92/96/EWG, 93/6/EWG i 93/22/EWG oraz dyrektywy 98/78/WE i 2000/12/WE Parlamentu Europejskiego i Rady.

6. Na potrzeby przekazania metadanej, o której mowa w ust. 5 pkt 2, podmiot regulowany występuje o nadanie mu identyfikatora podmiotu prawnego określonego w wykonawczych standardach technicznych wydanych na podstawie art. 7 ust. 4 rozporządzenia 2023/2859, o ile taki identyfikator nie został nadany.

7. Koordynator udostępnia informacje, o których mowa w ust. 3, w europejskim pojedynczym punkcie dostępu, o którym mowa w art. 1 ust. 1 rozporządzenia 2023/2859.

Art. 43. Wykonanie obowiązku wdrożenia adekwatnych systemów zarządzania ryzykiem

Wdrożenie systemów zarządzania ryzykiem, o których mowa w art. 42, polega na:

1) dokonywaniu okresowej weryfikacji przyjętych zasad postępowania odnoszących się do wszelkich rodzajów podejmowanego ryzyka, w tym w szczególności w zakresie procedur, o których mowa w pkt 2;

2) wprowadzeniu zasad postępowania w zakresie adekwatności kapitałowej, uwzględniających oddziaływanie strategii prowadzonej działalności na profil ryzyka i wymogi kapitałowe na poziomie konglomeratu finansowego ustalone zgodnie z ustawą;

3) wprowadzeniu procedur zapewniających efektywność zarządzania ryzykiem w podmiocie regulowanym, obejmujących w szczególności podejmowanie niezbędnych działań w podmiotach regulowanych, i umożliwiających mierzenie, analizę i kontrolę ryzyka na poziomie konglomeratu finansowego;

4) wprowadzeniu i systematycznej aktualizacji zasad postępowania w zakresie tworzenia i rozwoju, w razie potrzeby, odpowiednich planów i ustaleń naprawczych i restrukturyzacyjnych.

Art. 44. Wykonanie obowiązku wdrożenia adekwatnych systemów kontroli wewnętrznej

1. Systemy kontroli wewnętrznej, o których mowa w art. 42, mają na celu zapewnienie zgodności działalności podmiotów wchodzących w skład konglomeratu finansowego z ustawą oraz wiarygodności sprawozdań przekazywanych zgodnie z ustawą.

2. Wdrożenie systemów kontroli wewnętrznej polega na:

1) wprowadzeniu procedur odnoszących się do adekwatności kapitałowej, pozwalających stwierdzić i mierzyć poziom ryzyka oraz ustalić dla tego ryzyka odpowiedni poziom funduszy własnych lub środków własnych;

2) wprowadzeniu procedur informacyjnych oraz rachunkowych, umożliwiających efektywną identyfikację i kontrolę transakcji wewnątrzgrupowych w konglomeracie finansowym oraz przypadków znaczącej koncentracji ryzyka.

Art. 45. Obowiązek wprowadzenia odpowiednich procedur kontroli wewnętrznej

Podmioty regulowane podlegające nadzorowi sprawowanemu przez krajowy organ nadzoru, są obowiązane wprowadzić procedury kontroli wewnętrznej zapewniające efektywne uzyskiwanie i przekazywanie wszelkich danych i informacji, które mogą być istotne dla celów nadzoru uzupełniającego.

Pełna treść aktu: o nadzorze uzupełniającym nad instytucjami kredytowymi, zakładami ubezpieczeń, zakładami reasekuracji i firmami inwestycyjnymi wchodzącymi w skład konglomeratu finansowego.