Stockholm den 8 december 2004 R-2004/1222. Till Finansinspektionen. Fi Dnr

Transkript

1 R-2004/1222 Stockholm den 8 december 2004 Till Finansinspektionen Fi Dnr Sveriges advokatsamfund har genom remiss den 26 oktober 2004 beretts tillfälle att avge yttrande över Finansinspektionens förslag till allmänna råd om styrning av finansiella företag. Sammanfattning Advokatsamfundet delar Finansinspektionens bedömning att allmänna råd som klarlägger inriktningen på en viktig del av Finansinspektionens tillsyn ökar förutsägbarheten och rättssäkerheten för företagen. Advokatsamfundet välkomnar också att Finansinspektionen strävar efter gemensam reglering av de olika instituten så långt detta låter sig göras. Huvudsakligen utgör de frågor som berörs i de allmänna råden sedan länge etablerad praxis. Det är dock en fördel för företagen att Finansinspektionen nu klargör sin syn på vad som kan anses vara en oberoende ställning. Det är också en fördel att Finansinspektionen, utöver en funktion för övervakning av intern kontroll (övervakningsfunktionen), klargör sin syn på hur kontroll av regelefterlevnad (compliance) kan organiseras. Att såväl övervakningsfunktionen som compliancefunktionen skall uppfylla oberoendekravet förefaller också välmotiverat. Syftet med de allmänna råden kan dock tillgodoses bättre genom en högre grad av språklig och strukturell precision. Vidare anser Advokatsamfundet att Finansinspektionen närmare bör beakta de allmänna rådens faktiska - i motsats till formella - normgivande effekt. Advokatsamfundet föreslår därför att Finansinspektionen bör överväga om ett klarläggande enligt principen comply or explain (se Svensk kod för bolagsstyrning, SOU 2004:46, sid 10f) erfordras.

2 2 Bakgrund Som anges i konsekvensutredningen av den 26 oktober 2004 ( Konsekvensutredningen ) är syftet med de föreslagna allmänna råden till stor del begränsat till att i gemensamma allmänna råd sammanföra och göra vissa kompletteringar av de allmänna råden (FFFS 1999:12) om styrning, intern information och intern kontroll inom kredit- och värdepappersinstitut samt i fondbolag och (FFFS 2000:3) om styrning, intern information och intern kontroll inom försäkringsbolag och understödsföreningar. Dessa allmänna råd utgör sedan lång tid etablerad praxis mot vilken Advokatsamfundet inte finner anledning att nu göra någon erinran i och för sig. Med hänsyn till den branschglidning som förekommer - i praktiken liksom i lagstiftning och annan normgivning - och som tenderar att reducera skillnaderna mellan olika finansiellt aktiva institut, välkomnar Advokatsamfundet att Finansinspektionen avser sammanföra de allmänna råden för olika institut i en författning. Detta torde bidra till ökad enhetlighet, koherens och konkurrensneutralitet i reglering av institut med finansiellt likvärdig verksamhet. Vidare delar Advokatsamfundet Finansinspektionens bedömning att de nu gällande allmänna råden sannolikt varit en tillgång både för Finansinspektionen och företagen under den övergång som skett till en mer riskbaserad tillsyn under och efter de olika krisåren. Som påpekas i Konsekvensutredningen har de allmänna råden även bidragit till Finansinspektionens förmåga att uppträda sakligt och opartiskt. Advokatsamfundet är av uppfattningen att de nu avsedda allmänna råden skulle kunna klarlägga inriktningen på en viktig del av Finansinspektionens tillsyn och därmed öka förutsägbarheten och rättssäkerheten för företagen. Inriktningen av EU:s mest centrala lagstiftningsarbete inom det finansiella tjänsteområdets riskhantering (Solvency II och implementeringen av Basel II) förefaller komma att utmärkas av en övergång från kvantitativa regler ( box ticking ) till kvalitativa regler. En parallell utveckling sker inom redovisningsområdet (IAS, IFRS). Exempelvis har Försäkringsföretagsutredningen i sitt delbetänkande om tjänstepensionsinstitut (SOU 2004:101) gjort bedömningen att den modell the prudent person rule - som kommer till uttryck i Tjänstepensionsdirektivet (2003/41/EG), föregår framtida förändringsarbete inom EU. Enligt Advokatsamfundets bedömning innebär detta att det är sannolikt att, som både Försäkringsföretagsutredningen och Placeringsutredningen (SOU 2003:14 och 2003:84) har funnit, utvecklingen kommer att ställa större krav på företagen att mäta och kontrollera riskerna i verksamheten och på Finansinspektionen att kontrollera att företagen har den kompetens och de system som krävs för att uppnå en god riskkontroll. Oberoende ställning Med beaktande av vad som anförts ovan, välkomnar Advokatsamfundet att Finansinspektionen kompletterar de allmänna råden med ett klarläggande av Finansinspektionens syn

3 3 på vad som kan anses vara en oberoende ställning inom ramen för kontrollverksamheten. Avsaknaden av ett klargörande i det avseendet är en brist i nu gällande allmänna råd. Därför är det angeläget att de kriterier som ska ligga till grund för bedömningen är tydliga. Som förslaget till allmänna råd är avfattat är det dock otydligt vem som omfattas av kravet på oberoende ställning den som granskar den som utför kontrollåtgärder eller båda? Vidare är det fortfarande inte helt tydligt hur erforderligt oberoende uppnås avseende ekonomisk ersättning. Slutligen noteras att de föreslagna oberoendekriterierna är helt inriktade på de berördas direkta intressen med bortseende från indirekta intressen genom närstående. Compliance Advokatsamfundet välkomnar att compliancefrågan nu regleras i de allmänna råden, varigenom det klarläggs vad Finansinspektionen anser att företagen har att iaktta för att vara aktsamma i detta avseende. Advokatsamfundet föreslår dock att det klarläggs i vilka avseenden och på vilka villkor compliancefunktionen kan vara föremål för outsourcing. I annat fall kan fullgörandet därav, såsom i övrigt anges i Konsekvensutredningen, bli onödigt betungande för mindre företag och utländska företag med tillstånd att bedriva verksamhet i Sverige. Vidare anser Advokatsamfundet att de allmänna råden är otydliga i ett avseende som kan uppfattas som en nyckelfråga för compliance: Eftersträvar Finansinspektionen införandet av en övervakande compliancefunktion av anglosachsisk modell, eller en enbart stödjande funktion? Befattning, kompetens och vandel Som förslaget till allmänna råd är utformat, är det enligt Advokatsamfundets uppfattning inte helt klart i vilken utsträckning Finansinspektionen anser att de olika angivna funktionerna etableras genom upprättandet av interna regelverk eller om det dessutom krävs inrättandet av särskilda befattningar. I de fall särskilda befattningar avses, borde Finansinspektionen dessutom överväga om inte vikten av att för sådan befattning välja lämplig person, och principerna härför, bör framhållas i de allmänna råden. För att uppnå syftet med de allmänna råden torde det nämligen inte räcka att en kontrollerande befattning innehas av någon som är oberoende (2 kap 1 ) eller att det finns tillräcklig kompetens inom företaget (2 kap 3 ). Advokatsamfundet anser att det dessutom erfordras att befattningen innehas av någon som har såväl god vandel som erforderlig kompetens. Outsourcing I huvudsak ansluter det nya avsnittet om outsourcing i de allmänna råden till vad som i dag framgår av Finansinspektionens promemoria från 1998 ( Promemorian ). Advokatsamfundet välkomnar att föremålet för Promemorian nu uttrycks på ett ur normativt hänseende mer regelmässigt sätt (jämför Advokatsamfundets remissyttrande R-2004/0507

4 4 ang allmänna råd om ansökan om tillstånd att driva bank- och finansieringsrörelse eller att ge ut elektroniska pengar, ). Genom att Promemorians centrala bestämmelser inarbetats i de allmänna råden har Promemorians, i vissa avseenden alltför mångordiga, formuleringar dessutom fått ett mer stringent och precist uttryck. Flertalet av bestämmelserna kan enligt Advokatsamfundets mening dessutom anses ge uttryck för vad som utgör förutsättningarna för en aktsam delegering av uppgifter som styrelsen ansvarar för enligt aktiebolagslagen och försäkringsrörelselagen. Comply or explain Vid den hearing om de allmänna råden som arrangerades av Finansinspektionen den 24 november 2004, redogjorde Finansinspektionen för sin syn på de allmänna rådens normativa ställning. Bl a uttalades att de allmänna råden inte var formellt bindande, varför det, i princip, stod företagen fritt att avvika från dem. Advokatsamfundet anser att Finansinspektionen närmare bör beakta de allmänna rådens faktiska - i motsats till formella - normgivande effekt. Som exempel kan nämnas att med god försäkringsstandard enligt propositionen till 1 kap 1 försäkringsrörelselagen (prop 1998/99:87, sid 392) avses att verksamheten skall överensstämma med en kvalitativ tillfredsställande standard hos en representativ krets av försäkringsgivare. Advokatsamfundet föreslår därför att Finansinspektionen bör överväga om ett klarläggande enligt principen comply or explain (se Svensk kod för bolagsstyrning, SOU 2004:46, sid 10f) erfordras. Språk och struktur Advokatsamfundet anser att syftet med de allmänna råden än bättre skulle tillgodoses genom en högre grad av språklig och strukturell precision. Inledningsvis föreslår Advokatsamfundet att Finansinspektionen överväger att åskådliggöra de centrala tankarna bakom de olika funktionerna och deras inbördes förhållande genom införandet av ett organisationsschema eller förklarande skiss, delvis efter förebild av t ex Bilaga 1 till FFFS 2003:10 (Föreskrifter och allmänna råd om kapitaltäckning och stora exponeringar). För att komma vidare med utformningen av de allmänna råden anser Advokatsamfundet att det vore värdefullt om Finansinspektionen kunde tillvarata den branschkunskap som finns och den dynamik som kan uppstå om Finansinspektionen utformar ett nytt förslag till allmänna råd i ett mer direkt samarbete med en mindre grupp av företrädare för remissinstanserna. I en sådan grupp anser Advokatsamfundet att det vore värdefullt om en advokat ingick. Advokater kan tillföra den i detta fall förmodligen värdefulla erfarenheten av att såväl kunna författa som tillämpa regler. Vidare kan en advokat tillföra erfarenheter från de grupper av företag som kan komma att drabbas hårdast av konsekvenserna av de allmänna råden samtidigt som deras talan inte kan förväntas bli företrädd av de utvalda remissinstanserna: nya, små institut utanför de dominerande aktörernas krets och utländska institut med tillstånd att verka i Sverige.

5 5 Skrivningsförslag Ett genomgående problem med de allmänna rådens avfattning är att vissa för framställningen centrala uttryck inte används på ett konsekvent sätt. Advokatsamfundet är av uppfattningen att förutsägbarheten i tillämpningen av de allmänna råden skulle tjäna på att dessa uttryck definieras och används på ett konsekvent sätt. Främst gäller detta användningen av ett antal uttryck mellan vilka en klar distinktion är angelägen att upprätthålla, t ex funktion (det är otydligt när begreppet funktion anses utgöra ett (internt) regelverk och när det är en viss befattning som avses, eller båda); intern kontroll (se kommentar under rubriken till 2 kap 4 ); kontroll (se kommentarer under 1kap 1, 5 och 6 samt under rubriken till 2 kap); övervaka kontroll (se kommentar under rubriken till 2 kap); riskhantering (se kommentarer under 1 kap 1 och 5 samt 2 kap 1 ); riskkontroll (se kommentarer under 2 kap 1 ); och styrning av risker (se kommentar under 1 kap 1 ). Med anledning av att Finansinspektionen, vid den hearing om de allmänna råden som arrangerades den 24 november 2004, uttryckligen begärde att remissinstanserna skulle inge konkreta skrivningsförslag, har Advokatsamfundet i det följande markerat sina kommentarer i dessa avseenden under respektive paragraf i de allmänna råden, vilka därför återges nedan i deras helhet. Tillämpningsområde Dessa allmänna råd omfattar verksamheten i finansiella företag som står under Finansinspektionens tillsyn (nedan benämnda företag). Begreppet finansiella företag återfinns inte i lagtext eller i Finansinspektionens ordlista. Det är därmed oklart vilka företag som avses. Advokatsamfundet anser att det vore klarare att ange att de allmänna råden avser företag som står under Finansinspektionens tillsyn och, eventuellt, komplettera nedanstående undantag från de allmänna rådens tillämpning. Vidare är det oklart om och i så fall i vilken utsträckning, Finansinspektionen anser att de allmänna råden skall tillämpas av utländska företag med tillstånd att bedriva verksamhet i Sverige samt om de skall anses ge uttryck för the general good med avseende på EESföretag med sekundäretablering i Sverige. Som förebild i detta avseende föreslår Advokatsamfundet att Finansinspektionen använder 1 kap FFFS 2002:7 (Föreskrifter om uppföranderegler på värdepappersmarknaden). De allmänna råden gäller dock inte för företag i dess verksamhet enligt lagen (2004:46) om investeringsfonder

6 6 försäkringsmäklare som bedriver verksamhet enligt lagen (1989:508) om försäkringsmäklare enbart som fysisk person eller som juridisk person med högst fyra mäklare finansiella institut enligt lagen (2004:297) om bank- och finansieringsrörelse De allmänna råden bör tillämpas av såväl enskilda företag som av koncerner, finansiella företagsgrupper och konglomerat. Koncerner, företagsgrupper och konglomerat saknar rättshandlingsförmåga och kan därför inte tillämpa någonting. De allmänna råden kan dock tillämpas av enskilda företag samt inom koncerner etc. Vad som avses med koncern behöver därvid inte definieras. Advokatsamfundet anser dock att vad som avses med finansiell företagsgrupp inte är entydigt utan kan vara beroende av föreskrift från Finansinspektionen (se 6 kap 1 och 2 kapitaltäckningslagen) och bör därför definieras för att klarlägga att Finansinspektionen, såvitt avser dessa allmänna råd, inte avsett att göra sådan utvidgning av begreppet som Finansinspektionen t ex har gjort i FFFS 2003: (Föreskrifter och allmänna råd om kapitaltäckning och stora exponeringar). Direktivet om finansiella konglomerat (2002/87/EG) är inte ännu implementerat i svensk lag. Tills vidare kan det därför vara lämpligt att Finansinspektionen tillhandahåller en egen definition av konglomerat (t ex genom hänvisning till Artikel 2. p 14 i Direktivet). De allmänna råden reglerar ansvaret mellan styrelse, verkställande direktör och övrig ledningspersonal. De berör inte bolagsstämman eller dess motsvarighet eller företagets externa revisorer. Advokatsamfundets intryck är att de allmänna råden inte avser att reglera ansvaret mellan angivna personer, utan snarare de funktioner som ska fullgöras av de angivna personerna. Ansvaret mellan dessa personer bör förbli föremål för civilrättslig reglering. Om något annat ansvar avses exempelvis i förhållande till Finansinspektionen bör Finansinspektionen överväga om konsekvenserna av att detta ansvar inte uppfylls bör klargöras. Vidare tar inte uppräkningen av ledningspersoner hänsyn till att det kommer att finnas företag för vilka de allmänna råden kan bli tillämpliga (enligt vad Advokatsamfundet har antagit ovan om vilka företag som avses att omfattas av de allmänna råden) som saknar vissa av de angivna organen, t ex dualistiskt organiserade europabolag, EES-företags sekundäretableringar och utländska företag med tillstånd att bedriva verksamhet i Sverige. Även första meningen kan därför kompletteras med tillägget eller dessas motsvarighet. Finansinspektionen har också utfärdat allmänna råd om hantering av specifika riskområden, (se 1 kap. 7 ), inom olika företag. De allmänna råden om styrning av

7 7 finansiella företag avser att komplettera dessa allmänna råd och ska således tillämpas så att de bildar en helhet. Hänvisningen till 1 kap 7 förefaller inte relevant. Vilken bestämmelse i de allmänna råden som avses går inte direkt att förstå. I 1 kap 4 nämns exempel på riskområden, dock inte någon hänvisning till allmänna råd om hantering av dessa specifika riskområden. Advokatsamfundet anser att en sådan hänvisning skulle öka de allmänna rådens användarvänlighet. Vidare bör noteras att stavningen ska och skall används omväxlande i de allmänna råden. Advokatsamfundet föreslår att Finansinspektionen konsekvent väljer endera av dessa stavningar (jmf punkt i nya upplagan av Myndigheternas skrivregler, Ds 2004:45). Särregler för olika företag För företagen finns grundläggande regler om verksamheten i olika lagar. Dessa regler är mer eller mindre omfattande och berör till viss del även frågor som behandlas i dessa allmänna råd. För de olika företagen gäller följande lagar: Inledningsvis vill Advokatsamfundet framhålla att i svensk associationsrätt framgår inte alla de grundläggande reglerna om verksamheten av lag utan även av rättstillämpningen och auktoritativ doktrin. Vidare är den följande uppräkningen av lagar på intet sätt uttömmande (inte ens ur näringsrättslig synvinkel). För utländska företag och för mindre institut kan den föreslagna uppräkningen därför utgöra en björntjänst. Advokatsamfundet föreslår därför att Finansinspektionen överväger att stryka uppräkningen. Samtliga banker och kreditmarknadsföretag (kreditmarknadsbolag och kreditmarknadsföreningar): Lag (2004:297) om bank- och finansieringsrörelse Institut för elektroniska pengar, Lag (2002:149) om utgivning av elektroniska pengar Bankaktiebolag, kreditmarknadsbolag, värdepappersbolag och aktiebolag för elektroniska pengar: Aktiebolagslag (1975:1385) Ovanstående hänvisning bör enligt Advokatsamfundets mening kompletteras med tillägget, rådets förordning (EG) nr 2157/2001 av den 8 oktober 2001 om stadga för europabolag (SE-förordningen) och lagen (2004:575) om europabolag. Sparbanker: Sparbankslag (1987:619) Medlemsbanker: Lag (1995:1570) om medlemsbanker

8 8 Kreditmarknadsföreningar och ekonomiska föreningar för elektroniska pengar: Lag (1987:667) om ekonomiska föreningar Ovanstående hänvisning till lag (1987:667) om ekonomiska föreningar bör enligt Advokatsamfundets uppfattning även omfatta medlemsbanker (se 1 kap 2 Lag (1995:1570) om medlemsbanker). Värdepappersbolag: Lag (1991:981) om värdepappersrörelse och aktiebolagslag (1975:1385) Här upprepas hänvisningen till aktiebolagslagen, vilket kan förefalla onödigt. Om hänvisningen till aktiebolagslagen ska stå kvar, anser Advokatsamfundet att den bör kompletteras med hänvisning till, rådets förordning (EG) nr 2157/2001 av den 8 oktober 2001 om stadga för europabolag (SE-förordningen) och lagen (2004:575) om europabolag. Börser, auktoriserade marknadsplatser och clearingorganisationer: Lag.(1992:543) om börs- och clearingverksamhet För att uppställningen skall vara konsekvent bör enligt Advokatsamfundets uppfattning tilläggas t ex samt för sådan juridisk person tillämplig associationsrättslig lagstiftning. Försäkringsbolag: Försäkringsrörelselag (1982:713) Understödsföreningar: Lag (1972:262) om understödsföreningar Försäkringsmäkleri som bedrivs av juridisk person: Lag (1989:508) om försäkringsmäklare För att uppställningen skall vara konsekvent bör enligt Advokatsamfundets uppfattning tilläggas t ex samt för sådan juridisk person tillämplig associationsrättslig lagstiftning. Innehåll och disposition De allmänna råden har följande innehåll: 1 kap. Styrning och riskhantering 2 kap. Intern kontroll och regelefterlevnad 3 kap. Uppdragsavtal 1 kap. Styrning och riskhantering

9 9 Styrelsens ansvar 1 Ett företags styrelse har det yttersta ansvaret för verksamheten i företaget. Styrelsen bör fastställa mål och strategier för den verksamhet företaget ska bedriva. Vidare bör styrelsen se till att det fastställs riktlinjer och skriftliga instruktioner för styrning och intern information för de risker som finns i företagets verksamhet. I stället för att ange att styrelsen har det yttersta ansvaret för verksamheten i företaget (vilket rättsligt sett är en mindre bra beskrivning eftersom den associationsrättsliga lagstiftningen baseras på en fördelning av ansvaret mellan olika organ, t ex bolagsstämman, styrelsen, verkställande direktören, revisorn samt, i försäkringsbolag och understödsföreningar, även aktuarien), kan man, enligt Advokatsamfundets uppfattning, överväga att anknyta till aktiebolagslagens och försäkringsrörelselagens definition av styrelsens ansvarsområde, d v s företagets organisation och förvaltningen av företagets angelägenheter (se ABL 8 kap 3 och FRL 8 kap 7 ). Vad som sagts visar även svårigheten med att tillämpa de allmänna råden på företag som inte har denna organisationsstruktur, t ex dualistiskt organiserade europabolag, EES-företags sekundäretableringar och utländska företag med tillstånd att bedriva verksamhet i Sverige. Vidare föreslår Advokatsamfundet att orden och strategier utgår eftersom strategier inte torde innefatta annat än långsiktiga mål. Av 2 och 6 i nu gällande FFFS 2003:3 framgår (e contrario) att Finansinspektionen inte anser att identifieringen och uppföljningen av risker eller intern kontroll omfattas av begreppet styrning. Begreppet styrning bör därför antingen kompletteras med kontroll eller definieras på ett sätt som innefattar kontroll. Därvid bör även klarläggas vad skillnaden är mellan styrning för de risker som finns i företagets verksamhet och riskhantering (se 1 kap 5 ). Styrelsen bör se till att företagets verksamhetsinriktning fortlöpande ses över samt att större förändringar i verksamhetsinriktningen behandlas av styrelsen. Verksamhetsinriktning är ett uttryck som riskerar att sammanblandas med verksamhetsändamålet, vilket bestäms av bolagsordningen (eller motsvarande) och ligger utanför styrelsens kompetens. Uttrycket bör därför definieras. Vidare anser Advokatsamfundet att det bör framhållas i de allmänna råden att större förändringar av verksamhetsinriktningen kan vara oförenliga med verksamhetsändamålet. Sådana förändringar bör därför även behandlas av bolagsstämman (eller motsvarande organ). Detta är särskilt viktigt eftersom tillståndsplikten i många fall är knuten till verksamhetsändamålet och bolagsordningen i vissa företag är föremål för stadfästelse av Finansinspektionen.

10 10 Även här visar sig svårigheten att tillämpa de allmänna råden på företag som inte har den angivna organisationsstrukturen, t ex dualistiskt organiserade europabolag, EES-företags sekundäretableringar och utländska företag med tillstånd att bedriva verksamhet i Sverige. 2 Om ett företag är moderföretag i en koncern bör moderföretagets styrelse verka för att gemensamma riktlinjer fastställs för hela koncernens verksamhet och att det som sägs i dessa allmänna råd i förekommande fall följs av övriga företag inom koncernen. Om det är lämpligt kan de olika kontrollfunktionerna enligt 2 kap. 1 placeras centralt inom en koncern under förutsättning att dessa funktioner har kompetens och resurser att kontrollera koncernens samtliga tillståndspliktiga verksamheter. Enligt Advokatsamfundets uppfattning bör det klarläggas att riktlinjerna inte ska avse hela koncernens verksamhet utan endast den tillståndspliktiga verksamhet som bedrivs av bolag i koncernen. Detsamma, bör gälla för det bolag i en finansiell företagsgrupp eller ett konglomerat som har en överordnad ställning inom gruppen eller konglomeratet. 3 Styrelsen i företag som omfattas av aktiebolagslagens bestämmelser bör därutöver iaktta följande: Styrelsens skriftliga instruktioner för de organ som styrelsen inrättar enligt 8 kap. 3 3 st. aktiebolagslagen bör åtminstone ange - vilka slags åtgärder dessa organ kan företa på egen hand. Styrelsens skriftliga instruktioner om rapportering enligt 8 kap. 4, 2 st. aktiebolagslagen bör åtminstone ange - vilken rapportering som ska ske till styrelsen avseende de identifierade riskområdena, och - vid vilken tidpunkt redovisning skall ske till styrelsen av den rapportering som skall ges in till Finansinspektionen. Styrelsens skriftliga arbetsordning enligt 8 kap. 5 aktiebolagslagen bör, utöver vad som följer av lagen, i förekommande fall åtminstone ange - verkställande direktörens arbetsuppgifter, och - om någon styrelseledamot har fått någon särskild uppgift.

11 11 Risker i verksamheten 4 Risker som bör kontrolleras och följas upp förekommer såväl i som utanför balansräkningen. Dessa risker är exempelvis följande risker: - kredit- och motpartsrisker, - marknadsrisker (ränte-, valuta- och kursrisker), - likviditetsrisker, - operativa risker (risken för förluster till följd av inte ändamålsenliga eller felaktiga interna processer, mänskliga fel, felaktiga system eller externa händelser inklusive legala risker). Advokatsamfundet vill framhålla att det leder fel att i detta sammanhang tala om att risker förekommer i balansräkningen. Denna är i allmänhet reviderad enligt lag av företagets revisor och de risker som är förknippade därmed åvilar styrelsen. Advokatsamfundet föreslår att Finansinspektionen i stället påpekar att alla risker som bör kontrolleras och följas upp inte redovisas i balansräkningen. För försäkringsbolag och understödsföreningar finns därutöver specifika försäkringsrisker, såsom - teckningsrisker - reservsättningsrisker - återförsäkringsrisker - matchningsrisker Riktlinjer för riskhantering 5 En sund utveckling av verksamheten förutsätter att företaget utarbetar och upprätthåller system för kontroll och uppföljning av de risker som finns i företagets verksamhet. System för kontroll och uppföljning av risker kan utformas på olika sätt i olika företag. De allmänna råden är därför generellt utformade och medger alternativa lösningar. 6 Styrelsen bör se till att styrningen och uppföljningen av risker i företaget är av tillfredställande omfattning. För detta ändamål bör det fastställas riktlinjer i fråga om hanteringen av de risker som finns i företagets verksamhet. Det bör vidare finnas skriftliga instruktioner för styrning och kontroll av risker inom centrala verksamhetsområden. Det bör fortlöpande kontrolleras att riktlinjerna. och instruktionerna följs. I denna paragraf görs en distinktion mellan styrningen och uppföljningen i första meningen och styrning och kontroll i tredje meningen. Innebörden av och syftet med denna distinktion förefaller oklar. Vidare framgår inte innebörden av den distinktion som

12 12 förefaller göras mellan riktlinjerna och instruktionerna samt vad Finansinspektionen anser är skillnaden mellan riktlinjer och instruktioner. Intern information 7 Styrelsen bör se till att det finns en effektiv organisation och effektiva kanaler, t. ex informationssystem, för att tillhandahålla relevant information om verksamheten när det behövs. 2 kap. Intern kontroll och regelefterlevnad Rubriken, liksom kapitlet i övrigt, kännetecknas genomgående av risken för att det kan uppstå en sammanblandning av de två skilda funktionerna kontroll och övervakning av kontroll. Att denna distinktion upprätthålls är viktigt eftersom kontroll är ett löpande inslag i all verksamhet. Det är därför olyckligt att det inte klart framgår om Finansinspektionen anser att de oberoendekrav som nu formuleras, avser den löpande kontrollen och övervakningen därav eller endast övervakningen av den löpande kontrollen. Allmänt om en oberoende ställning Placeringen av rubriken och 1 kan ifrågasättas eftersom de två närmast efterföljande paragraferna enbart handlar om den interna - löpande - kontrollen och det dessutom är oklart om denna kontroll kan vara beroende eller ska vara oberoende. Oavsett oberoendefrågan anser Advokatsamfundet att användarvänligheten skulle öka om rubriken och 1 placerades sist i kapitlet. Om avsikten är att den löpande kontrollen i verksamheten inte ska vara underkastad oberoendekravet, vilket avfattningen av 1 rent semantiskt ger intryck av, bör uttrycken kontrollfunktionen, en kontroll, kontrollera och kontrollen ersättas med övervakningsfunktionen, övervakning, övervaka och övervakningen. Språkligt än mer naturligt vore dock att anknyta till avfattningen av 9 i FFFS 2000:3 (Allmänna råd om styrning, intern information och intern kontroll inom försäkringsbolag och understödsföreningar) och i stället för övervakning använda det redan etablerade uttrycket granskning. 1 De funktioner som övervakar styrning och uppföljning av risker (riskkontroll), intern kontroll och regelefterlevnad i ett företag bör vara oberoende av de verksamheter som de ska kontrollera. Det förefaller Advokatsamfundet mindre lämpligt att göra en distinktion mellan riskkontroll och intern kontroll eftersom de allmänna råden i så fall förefaller sakna påbud att riskkontrollen ska granskas (2 anges endast avse intern kontroll, inte riskkontroll ). Då detta knappast kan vara meningen, är det lämpligare att i 1 stryka styrning och uppföljning av risker (riskkontroll) och i stället i 2 klargöra att den

13 13 interna kontrollen även innefattar riskkontroll (se förslag nedan). I konsekvensens namn kan man även överväga om inte även de interna informationsystemen bör vara föremål för intern kontroll (se förslag nedan). Vidare noterar Advokatsamfundet att rubriken till 1 kap 5 (Riktlinjer för riskhantering) leder läsaren till slutsatsen att med riskhantering förstås kontroll och uppföljning av risker. Därmed uppstår frågan varför Finansinspektionen i 2 kap 1 inför begreppet riskkontroll och definierar det som styrning och uppföljning av risker? Man kan ifrågasätta om denna nya definition är avsiktlig? Måhända är det riskhantering som avses även i 2 kap? En oberoende ställning för dessa funktioner kan uppnås om exempelvis följande åtgärder vidtas: - Funktionen bör inte utföra arbetsuppgifter som är direkt relaterade till affärsresultat inom ramen för den verksamhet som bedrivs inom det affärsområde (division, avdelning, enhet) som den ska kontrollera, - Funktionen bör vara separerad från den verksamhet som den ska kontrollera, alternativt bör beslut rörande de personer som utför kontroller fattas eller godkännas av någon som är oberoende i förhållande till funktionen. - Chefen för kontrollfunktionen bör inte vara underställd en person som har det direkta ansvaret för den verksamhet som ska kontrolleras. Advokatsamfundet menar att ordet ansvarig är mer relevant än chefen. - Chefen för kontrollfunktionen eller den som utför en kontroll bör inte informera endast till den som har ansvar för den verksamhet som kontrolleras. Om kontrollen också omfattar verkställande direktören och ledningens ansvarsområden bör informationen ske direkt till styrelsen. Advokatsamfundet menar att ordet ansvarig är mer relevant än chefen och rapportera är mer relevant än informera. - Den ekonomiska ersättningen till de personerna som arbetar med kontroll bör inte vara kopplad till hur verksamheten utvecklas inom det område som de ska kontrollera. Advokatsamfundet vill framhålla att skrivningen ger intryck av att Finansinspektionens avsikt är att utesluta personer som kontrollerar hela företaget från bonusprogram och liknande som relateras till hela företagets utveckling. Enligt Advokatsamfundets mening vore det olämpligt. Förutsättningarna för att upprätthålla en oberoende ställning varierar mellan olika företag och inom ett företag exempelvis på lokal och central nivå. Särskilt i mindre företag kan det vara svårt att i alla avseenden upprätthålla en oberoende ställning. Strävan bör

14 14 dock vara att så långt det är möjligt separera kontroll från den affärsdrivande verksamheten. Ett alternativ kan vara att anlita externa konsulter för mer väsentliga uppgifter. Intern kontroll 2 Intern kontroll syftar till att med rimlig säkerhet nå verksamhetens mål i följande avseenden: effektivitet tillförlitlig finansiell och övrig rapportering efterlevnad av lagar, förordningar och interna instruktioner I enlighet med vad som angivits under 1 anser Advokatsamfundet att uppräkningen av vad som ska anses falla under intern kontroll för tydlighetens skull kompletteras med riskhantering och system och rutiner för intern information. Vidare vill Advokatsamfundet peka på det förvirrande förhållandet att den interna kontrollen anges omfatta efterlevnad av lagar, förordningar och interna instruktioner samtidigt som compliancefunktionen enligt 6 anges omfatta att verksamheten drivs enligt gällande regler (vilket i 5 angivits omfatta bl a lagar, förordningar, interna instruktioner ) och god sed. Vem som ska göra vad eller om samma sak ska göras två gånger (fast av olika personer) och varför compliancefunktionen (men inte den interna kontrollen) ska beakta god sed, blir därigenom oklart. Flera faktorer samverkar för att skapa intern kontroll t ex. kontrollmiljö, riskanalys, kontrollaktiviteter, information och uppföljning. Intern kontroll är inbyggd i verksamheten och inte en separat företeelse. Intern kontroll ska anpassas till företagets verksamhet samt följa förändringar i interna och externa risker. Advokatsamfundet anser att det följer redan av den omständigheten att intern kontroll är föremål för särskild reglering, att den utgör en separat företeelse. Advokatsamfundet antar att Finansinspektionen menar att den inte utgör en separat funktion. Styrelsen bör se till att företagets organisation genomsyras av en god intern kontrollkultur. 3 En god intern kontroll kan uppnås om exempelvis följande åtgärder vidtas: Styrelse och verkställande direktör tar ett tydligt ansvar för kontrollkulturen och prioriterar kontrollmedvetenheten i företaget. Det finns tillräcklig kompetens inom företaget.

15 15 Det finns kontrollrutiner som ger information om när utvecklingen inom ett visst verksamhetsområde avviker från de riktlinjer och mål som bestämts i företaget. Uppföljning av verksamheten genomförs fortlöpande och kontroller finns som säkerställer att rapporteringen på ett rimligt sätt återspeglar verksamhetens effektivitet. Företaget kontroller fortlöpande att tilldelade resurser utnyttjas effektivt och i syfte att uppnå företagets mål kontroller bör ersättas med kontrollerar Interna instruktioner och rutiner utarbetas, dokumenteras och uppdateras fortlöpande. Ansvars- och arbetsfördelning definieras från en kontrollsynpunkt. Sådan ansvars- och arbetsfördelning syftar till att ingen person ensam ska handlägga en transaktion genom hela behandlingskedjan (dualitetsprincipen) och att det arbete som utförs blir föremål för en oberoende kontroll. Om man önskar klargöra att vad som angivits inte avser den löpande kontrollen i verksamheten (se kommentar under kapitelrubriken) kan uttrycket kontroll ersättas med övervakning. Som påpekats ovan under kapitelrubriken, vore uttrycket granskning ännu bättre. Kontrollrutiner utarbetas inom ekonomisystem och redovisning för att säkerställa bl.a. att redovisningen är fullständig och riktig, transaktioner rapporteras i rätt tid samt att redovisade transaktioner är giltiga. Informations- och rapportsystem, utarbetas för att säkerställa aktuell och relevant information om institutets verksamhet, riskexponering etc. Kontrollrutiner utarbetas för informationssäkerhet och fysisk säkerhet för att säkerställa kontinuitet i verksamheten och för art, skydda företagets och kundernas tillgångar. Hur ska den interna kontrollen övervakas Av 7, sista strecksatsen, framgår att övervakningen av den interna kontrollen även skall omfatta compliancefunktionen. Av den anledningen vore det klarare om 4 placerades efter nuvarande 7. Vidare borde rubriken lyda Hur ska den interna kontrollen och compliancefunktionen övervakas. Om man önskar klargöra att vad som anges nedan inte avser den löpande kontrollen i verksamheten (se kommentar under kapitelrubriken) kan uttrycken kontrollfunktionen,

16 16 kontroller och kontroll ersättas med övervakningsfunktionen och övervakning (eller, ännu bättre, granskningsfunktionen och granskning ). 4 Styrelsen bör se till att det finns en funktion som övervakar den interna kontrollen. I de företag som har en funktion för internrevision bör det vara denna som utför uppgifterna. Kontrollfunktionen bör vara direkt underställd styrelsen eller verkställande direktören och organisatoriskt separerad från den verksamhet som de ska kontrollera. Vad som anges i föregående stycke är delvis en upprepning av vad som framgår av 1 andra strecksatsen. Kontrollfunktionens ansvar, arbetsuppgifter, och information om utfört arbete bör fastställas av styrelsen i en instruktion. Styrelsen bör fastställa planen för kontroll. Om funktionen är underställd verkställande direktören bör den rapportera också till styrelsen. Chefen för funktionen bör närvara vid de styrelsesammanträden då funktionens rapporter behandlas. Kontrollfunktionens information om utfört arbete (första meningen) kan inte fastställas av styrelsen. Vad styrelsen skulle kunna fastställa är t ex rutiner för rapportering. Vidare anges i första meningen att styrelsen ska fastställa en instruktion för kontrollfunktionens ansvar och arbetsuppgifter. Advokatsamfundet ifrågasätter vad skillnaden är mellan denna instruktion och planen för kontroll, som enligt andra meningen också ska fastställas av styrelsen. Kontrollfunktionen bör följa upp att verksamhetens omfattning och inriktning överensstämmer med styrelsens riktlinjer och skriftliga instruktioner. Funktionen bör också granska och utvärdera företagets organisation och rutiner. Dessutom bör den ha särskild kompetens för att granska och utvärdera utveckling, drift och förvaltning av IT-systemen. Kontrollen kan, om det är lämpligt, utföras av externa konsulter Föregående mening bör lämpligen flyttas till första stycket som en ny andra mening. Samtliga kontroller och iakttagelser bör dokumenteras.

17 17 Regelefterlevnad 5 Med regelefterlevnad menas efterlevnad av lagar, förordningar, interna instruktioner, uppföranderegler och god sed. Advokatsamfundet anser att Finansinspektion bör överväga om inte det ändrade språkbruket i försäkringsrörelselagen bör komma till uttryck i de allmänna råden genom att hänvisning även görs till god standard (se FRL 1 kap 1 a ). Bristande regelefterlevnad kan leda till ökade operativa risker, risker för juridiska sanktioner, tillsynssanktioner, ekonomiska förluster eller ryktesförluster. Hur ska regelefterlevnaden övervakas 6 Styrelsen bör se till att det finns en särskild funktion (compliance) som följer upp att verksamheten drivs enligt gällande regler och god sed enligt 5 1 st. Funktionen bör fortlöpande identifiera, bedöma, övervaka och informera om de risker som kan uppkomma i verksamheten till följd av bristande regelefterlevnad. Advokatsamfundet menar att det kan förefalla förvillande att först, i 5, låta begreppet regelefterlevnad anses omfatta lagar osv inklusive god sed, för att därefter, i 6, göra åtskillnad mellan regler, å ena sidan och god sed, å andra sidan. Eftersom denna distinktion inte förefaller ha någon självständig betydelse, kan det vara lämpligt att överväga att, t ex i 5, lägga in en definition av begreppet regler. Funktionen bör fortlöpande se till att den personal som berörs får information om nya eller ändrade regler och, om det behövs, utbildning rörande nya regelverk. Funktionen bör också se till att det finns någon som kan lämna råd om tolkning av gällande regler och om vad som kan anses vara god sed i ett visst hänseende. Även här förefaller det överflödigt att skilja mellan regler och god sed Styrelsen bör utfärda riktlinjer för funktionens arbete, rutiner för information om iakttagelser och ansvarsområde. Samtliga kontroller och iakttagelser bör dokumenteras. 7 En effektiv funktion för regelefterlevnad kan uppnås om exempelvis följande åtgärder vidtas: Dokument upprättas över funktionens formella status i organisationen, om oberoende, om rätt att ta del av dokument, om rätt att ställa frågor inom företaget, om rätt att direkt informera styrelsen eller styrelseutskott Det finns tillräckliga resurser för att fullgöra uppgiften

18 18 Styrelsen ser årligen över riktlinjerna för funktionen Styrelsen får årligen ett underlag för bedömning av effektiviteten i hanteringen av riskerna enligt 6. Funktionen bör därför rapportera till styrelsen om tillämpningen av riktlinjerna samt föreslå nödvändiga förändringar. Chefen för funktionen bör närvara vid det styrelsesammanträde då dessa frågor behandlas Funktionen informerar omgående styrelsen om väsentliga regelöverträdelser Funktionen är föremål för kontroll och riskbedömning av den funktion som övervakar den interna kontrollen. Dessa funktioner måste. därför vara separerade. Angående sista strecksatsen, se Advokatsamfundets kommentar under rubriken till 4. Av sista meningen i 1 framgår att oberoendekravet kan uppfyllas genom anlitande av externa konsulter. Eftersom detta har upprepats i 4, föreslår Advokatsamfundet att ett sådant upprepande, i konsekvensens namn, även görs i 7 eller stryks i 4. Vidare bör övervägas om man bör klarlägga i vilka avseenden och på vilka villkor sådan outsourcing kan ske. Advokatsamfundet utgår därvid från att Finansinspektionen anser att outsourcing av compliancefunktionen kan ske i betydande utsträckning. I annat fall kan fullgörandet av funktionen, såsom i övrigt berörs i Konsekvensutredningen, bli onödigt betungande för mindre företag. Betydelsen härav för utländska företag med tillstånd att bedriva verksamhet i Sverige ska inte heller underskattas. 8 För värdepappersföretag gäller därutöver vad som framgår av 3 kap. Finansinspektionens föreskrifter (FFFS 2002:7) om uppföranderegler på värdepappersmarknaden. 3 kap. Uppdragsavtal Med ett undantag (se nedan) ansluter detta kapitel mycket nära till vad som i dag framgår av Finansinspektionens promemoria från 1998 (Promemorian). Advokatsamfundet har uppfattat att Promemorian är väl känd och utgör sedan länge etablerad praxis för outsourcing. Flertalet av bestämmelserna kan enligt Advokatsamfundets mening anses ge uttryck för vad som kan anses utgöra förutsättningarna för en aktsam delegering av uppgifter som styrelsen ansvarar för enligt aktiebolagslagen och försäkringsrörelselagen. 1 Ett företag som planerar att lägga ut delar av den tillståndspliktiga verksamheten eller dess stödfunktioner på en uppdragstagare bör ha en policy över vilka verksamheter som kan läggas ut och hur detta i så fall ska göras. Policyn bör också behandla företagets inställning när det gäller beredskapsplaner och strategier för hur en utläggning ska återtas.

19 19 Här tillkommer uttrycket policy, varför Finansinspektionen bör klarlägga skillnaden mellan uttrycken policy och de tidigare i de allmänna råden använda uttrycken riktlinjer och instruktioner. 2 Om utläggningen sker inom en koncern eller en företagsgrupp bör styrelsen särskilt uppmärksamma frågor som rör jäv och intressekonflikter. Styrelsen bör se till att samtliga dessa frågor identifieras och att företaget har en policy som hanterar frågor- om jäv och intressekonflikter. 3 Styrelsen har alltid kvar det fulla ansvaret för verksamhet som lagts ut. 4 Styrelsen bör ansvara för policyfrågor enligt 1 och 2. Styrelsen eller verkställande direktören bör upprätta riktlinjer för utläggningen som identifierar och hanterar riskerna med utläggningen, krav på företagets beställarkompetens och förhållandet till uppdragstagarna. 5 Företaget bör säkerställa att Finansinspektionen fortsättningsvis kan bedriva en effektiv tillsyn över företaget, likaså att företagets skyldigheter mot Finansinspektionen eller företagets kunder inte åsidosätts. 6 Företaget bör göra en noggrann undersökning av uppdragstagarens möjligheter att långsiktigt fullgöra sitt uppdrag innan någon verksamhet läggs ut. En sådan undersökning bör dokumenteras. 7 Företaget bör upprätta ett skriftligt dokument som reglerar servicenivå samt parternas rättigheter och skyldigheter. Företaget bör tillförsäkra sig möjligheten att avsluta uppdraget utan betydande störningar av viktig verksamhet. 8 Företaget och uppdragstagaren bör upprätta och vidhålla beredskapsplaner för oförutsedda händelser som också inkluderar en kris- och katastrofplanering. Planerna bör testas fortlöpande. 9 Företaget bör tillförsäkra sig att uppdragstagaren skyddar konfidentiell information både när det gäller företaget och dess kunder. 10 Om ett företag avser att lägga ut en inte obetydlig del av den tillståndspliktiga verksamheten eller dess stödfunktioner på någon utomstående part bör företaget anmäla detta i förväg till Finansinspektionen.

20 20 11 För banker och kreditmarknadsföretag gäller därutöver vad som framgår av 6 kap. 7 lagen om bank- och finansieringsrörelse. För försäkringsbolag gäller därutöver vad som framgår av 8 kap. 8 försäkringsrörelselagen. För värdepappersföretag gäller därutöver vad som framgår av Finansinspektionens allmänna råd (2002:5) om värdepappersrörelse. SVERIGES ADVOKATSAMFUND Stefan Lindskog Anne Ramberg