NYHETSBREV. Bolagsstyrning och riskhantering. nya och ändrade bestämmelser med anledning av det nya kapitaltäckningsregelverket

Transkript

1 NYHETSBREV Bolagsstyrning och riskhantering nya och ändrade bestämmelser med anledning av det nya kapitaltäckningsregelverket (CRR och CRD IV). 1. Nya och ändrade bestämmelser Det nya kapitaltäckningsregelverket innebär att reglerna rörande riskhantering, styrning och organisation har utvecklats ytterligare för kreditinstitut och värdepappersbolag. Nya och ändrade bestämmelser har därför införts i bl.a.: - lag (2007:528) om värdepappersmarknaden ( LVpM ), - Finansinspektionens förskrifter (FFFS 2007:16) om värdepappersrörelse ( Föreskrifterna ), och - Finansinspektionens föreskrifter och allmänna råd (2014:1) om styrning, riskhantering och kontroll i kreditinstitut. 2. Nytt om whistleblowers, bolagsstyrning och riskhantering I nedanstående redogörelse har de mest väsentliga ändringarna i ovan nämnda lag och föreskrifter lyfts fram. Regler som särskilt träffar s.k. betydande företag har utelämnats. Detsamma gäller de regler som omfattar kreditinstitut. Syftet med redogörelsen är att informera bolaget om de ändringar som nu har införts i fråga om s.k. whistleblowers, bolagsstyrning och riskhantering samt ange vilka åtgärder bolaget behöver vidta med anledning av detta Nytt krav på särskilda system för anmälningar (8 kap. 4 a LVpM) Nya bestämmelser har införts i bl.a. LVpM till skydd för anställda som anmäler eventuella missförhållanden inom bolaget ( whistleblowers ). Reglerna i LVpM innebär att bolaget ska ha ändamålsenliga rapporteringssystem för anställda som vill göra anmälningar om misstänkta överträdelser av de externa och interna bestämmelser som gäller för verksamheten.

2 Kommentarer och råd Exempel på system för anmälningar kan vara en särskild e-postadress, telefontjänst eller webbplats genom vilka uppgifter om brottsmisstankar och regelöverträdelser kan lämnas. Dessa system lämpar sig förstås inte så väl för bolag med ett begränsat antal anställda eftersom tanken med anmälningssystemet är att en anställd ska kunna rapportera oegentligheter utan att det ska komma till exempelvis felande kollegors eller överordnads direkta kännedom. För dessa bolag är det enligt vår bedömning mer ändamålsenligt om anställda rapporterar misstänkta överträdelser direkt till någon av bolagets kontrollfunktioner, vilka i sin tur är skyldiga att utreda sådana misstankar och rapportera överträdelser till styrelsen. Oavsett vilket anmälningssystem som tillämpas rekommenderar vi att bolaget säkerställer att det finns rutiner för rapportering av överträdelser i verksamheten och att de anställda är väl införstådda med dessa Nya krav på utbildning av styrelseledamöter samt upprättande av en mångfaldspolicy (6 kap. 5 a-b FFFS 2007:16) Sedan tidigare gäller att styrelsen i bolaget ska ha erforderlig kompetens och erfarenhet, något som också prövas av Finansinspektionen i samband med att en ledamot tillsätts eller byter befattning. Nytt är att bolaget numera ska tillsätta tillräckliga resurser för att utbilda styrelseledamöterna. Kravet har införts för att säkerställa att ledamöterna får en kontinuerlig och adekvat utbildning som är relevant för deras arbetsuppgifter i styrelsen och som bidrar till att styrelsen kan fatta välgrundade beslut rörande bl.a. riskhantering och andra allt mer komplexa frågor som rör bolagets verksamhet. Bolaget ska också vid tillsättandet av nya ledamöter beakta en bred uppsättning egenskaper och kunskaper och för detta ändamål ha en mångfaldspolicy som åtminstone omfattar kriterier som kön, geografiskt ursprung samt utbildnings- och yrkesbakgrund Kommentarer och råd Det har sedan länge ställts höga krav på styrelsen i tillståndspliktiga finansiella bolag i fråga om bl.a. intern styrning och kontroll, något som innebär att ledamöterna måste vara väl insatta i såväl verksamheten, dess organisation och riskexponering som det omfattande regelverk som reglerar den tillståndspliktiga verksamheten i fråga. Mot bakgrund av att det regelverk som den finansiella sektorn omgärdas av ständigt utvecklas och blir allt mer komplext ser vi positivt på att det nu har införts krav på att bolaget ska avsätta resurser för att utbilda styrelsen i frågor av relevans för bolagets tillståndspliktiga verksamhet. Kommande bestämmelser som möjliggör för

3 Finansinspektionen att tilldela sanktionsavgifter även till fysiska personer i bolaget och dess ledning gör som vi ser det utbildningsfrågan ännu mer angelägen. Kravet på upprättande av en mångfaldspolicy syftar bl.a. till att bolaget, genom en breddad kompetens och erfarenhet i styrelsen, ska uppnå ett mer effektivt riskhanteringsarbete. Mot bakgrund av den senaste tidens omfattande regelutveckling rekommenderar vi att bolaget, om så inte gjorts under de senaste tolv månaderna, anordnar ett samlat utbildningstillfälle för styrelsen så snart detta är lämpligt. Ni är i så fall välkomna att kontakta oss för att närmare diskutera en lämplig utformning av en sådan utbildning. Vi kan också hålla i själva utbildningstillfället som då anpassas till styrelsens förkunskaper och bolagets verksamhet, tillstånd och risker m.m. Beträffande mångfaldspolicyn rekommenderar vi att bolaget tar fram en sådan för att uppfylla kravet i Föreskrifterna. Policyn har dock ingen påverkan på den befintliga styrelsens sammansättning, utan ska tillämpas först när nya styrelseledamöter utses. Eftersom det är bolagsstämman som utser styrelsens ledamöter bör därför policyn kommuniceras med ägarna. Om så önskas kan vi bistå bolaget med att ta fram en mångfaldspolicy som uppfyller kraven i Föreskrifterna Nya krav på informationsgivning (6 kap. 5 c FFFS 2007:16) Av Föreskrifterna följer att bolaget på sin hemsida ska redogöra för hur det organiserar och styr verksamheten. Bolaget ska även förklara hur styrelsen i sin helhet, enskilda ledamöter och den verkställande direktören uppfyller kraven på tillräcklig kunskap, insikt, erfarenhet och lämplighet. Om bolaget inte har någon hemsida måste informationen tillhandahållas allmänheten på annat sätt Kommentarer och råd Sedan tidigare gäller att bolaget på sin hemsida ska offentliggöra information om kapitaltäckning, riskhantering, likviditetsrisker och sin ersättningspolicy. Nytt är att informationsgivningen nu även ska omfatta bolagets organisation och ledning. Enligt vår uppfattning offentliggör flertalet bolag redan i dag viss information om hur verksamheten är organiserad och vilka som sitter i dess ledning och det borde i dessa fall inte vara särskilt betungande att komplettera med information om ledande befattningshavares kunskap och kompetens etc. Bolag som inte publicerar någon information om sin organisation och ledning måste däremot se över och göra förhållandevis omfattande kompletteringar av den information som lämnas på

4 hemsidan. För bolag som inte har någon hemsida rekommenderar vi att man tar fram ett dokument som innehåller den information som i annat fall skulle ha publicerats. Dokumentet ska sedan finnas tillgängligt för att kunna tillhandahållas på begäran av en intresserad allmänhet. Föreskrifterna anger inte i detalj vilken information som ska offentliggöras och bolaget måste därför göra en egen bedömning i denna del. Vår rekommendation är dock att man i fråga om styrelseledamöter och den verkställande direktören åtminstone anger utbildning, yrke och tidigare erfarenhet av relevans och att personen. Att personen i fråga är ledningsprövad och godkänd av Finansinspektionen är också relevant information som bolaget med fördel kan publicera. Beträffande organisationen och hur verksamheten styrs bör det åtminstone framgå vem som är verkställande direktör och eventuell ställföreträdare, vilka som sitter i styrelsen, vilka som utgör bolagets kontrollfunktioner samt vilka övriga anställda som, i förekommande fall, har en ledandeposition i bolaget Nytt krav på upprättande av återhämtningsplan (6 kap. 5 d FFFS 2007:16) Bolaget ska upprätta en återhämtningsplan för återställande av den finansiella ställningen efter en kraftig försämring. Bolaget ska också implementera rutiner för att regelbundet uppdatera återhämtningsplanen. Planen ska fastställas av styrelsen och utformas med hänsyn till verksamhetens art, omfattning och komplexitet, och arten på och omfattningen av bolagets tjänster och verksamhet Kommentarer och råd Återhämtningsplanen som utgör en del av bolagets riskhantering är obligatorisk för kreditinstitut och värdepappersbolag och ska upprättas oberoende av bolagets finansiella ställning i dag. Det ligger i sakens natur att planen för ett systemviktigt institut får en annan utformning än motsvarande plan för ett bolag vars fallissemang inte skulle få samma negativa påverkan på den finansiella marknaden i stort. Det innebär dock inte att icke-systemviktiga institut kan bortse från kravet att upprätta en till verksamheten anpassad återhämtningsplan. Vi rekommenderar att bolaget tar fram planen för fastställande vid styrelsesammanträde under hösten Om intresse finns kan vi vara bolaget behjälpligt med att ta fram en återhämtningsplan som uppfyller kraven i Föreskrifterna och det kommande krishanteringsdirektivet som träder i kraft i januari 2015.

5 2.5. Nytt krav på fastställande av riskrapportering (6 kap. 7 FFFS 2007:16) Sedan tidigare gäller att bolaget ska säkerställa att styrelsen och den verkställande direktören får regelbundna och skriftliga rapporter om de områden som omfattas av bestämmelserna om regelefterlevnad, riskhantering och internrevision. Nytt är att styrelsen nu ska fastställa arten, mängden, formatet och frekvensen på den riskinformation som den ska ta emot. Syftet med bestämmelsen är att säkerställa att styrelsens ledamöter och, i viss utsträckning, den verkställande direktören verkligen får den information de behöver för att kunna fullgöra sina uppgifter Kommentarer och råd För att uppfylla kravet föreslås att bolaget i de riktlinjer som redan i dag reglerar de interna kontrollfunktionerna anger vilken information styrelsen och den verkställande direktören förväntar sig att få, hur informationen ska presenteras och hur ofta den ska lämnas. Vi rekommenderar därför att bolaget går igenom och i förekommande fall uppdaterar nämnda riktlinjer i fråga om riskinformation till ledningen. Riktlinjerna bör efter eventuella förtydliganden och tillägg fastställas på nytt av styrelsen under hösten Inför kommande verksamhetsår bör även säkerställas att det i de årsplaner som respektive kontrollfunkton har upprättat framgår hur funktionen ska rapportera. Om intresse finns kan vi vara bolaget behjälplig med att granska riktlinjerna i fråga för att säkerställa att de uppfyller Föreskrifterna i denna del Nya regler för funktionen för riskhantering (6 kap. 12 a-b FFFS 2007:16) Sedan tidigare gäller att bolagets funktion för riskhantering ska implementera lämpliga riktlinjer och rutiner för riskhantering i verksamheten samt tillhandahålla rapporter och råd till ledningen i fråga om riskhantering. Nytt är att det i föreskriftsform nu framgår att funktionen även ska se till att alla betydande risker i bolaget identifieras, mäts och blir korrekt rapporterade. Funktionen ska också aktivt delta i bolagets riskstrategi och i alla betydande riskhanteringsbeslut samt kunna lämna en fullständig syn på alla slags risker som bolaget är exponerat för. Funktionen ska vidare ha tillräcklig auktoritet och ställning samt tillräckliga resurser, vilket får förstås som att funktionen bl.a. ska ha de befogenheter och sakkunskaper som krävs för att den ska kunna fullgöra sina uppgifter. Av Föreskrifterna framgår även att den som leder funktionen inte ska kunna avsättas utan styrelsens godkännande.

6 Kommentarer och råd Som framgår ovan ställer det nya kapitaltäckningsregelverket mer detaljerade krav på riskfunktionens organisation och uppgifter, vilket nu avspeglas i Föreskrifterna. Vår uppfattning är att det även innan regelverket trädde i kraft har ställts förhållandevis omfattande krav på funktionen och att det därför inte är osannolikt att bolagets funktion för riskhantering redan i dag utför åtminstone vissa av de nya uppgifter som nu följer av Föreskrifterna. Oavsett hur det förhåller sig med den saken rekommenderar vi att bolaget ser över de interna riktlinjerna, eventuella rutinbeskrivningar samt årsplan för funktionens arbete i syfte att säkerställa att de åtgärder som funktionen ska vidta framgår av dessa dokument. För bolag som har sin funktion för riskhantering outsourcad kan det också finnas anledning att även stämma av att det i uppdragsavtalet har tagits höjd för de nya krav som ställs på funktionen. Om intresse finns kan vi vara bolaget behjälplig med att granska relevanta styrdokument och avtal för att säkerställa att funktionen för riskhantering framgent vidtar de åtgärder som följer av Föreskrifterna. 3. Sammanfattning Det nya kapitaltäckningsregelverket ställer ökade krav på bolagsstyrning och riskhantering för kreditinstitut och värdepappersbolag. Som framgår ovan har regelverket genomförts i svensk rätt genom bl.a. ändringar i befintliga lagar och föreskrifter som sedan tidigare reglerar bolagets verksamhet. För att uppfylla de nya kraven i detta avseende bör bolaget under hösten 2014 tillse att: - det i verksamheten finns ett system för anmälningar av överträdelser och att de anställda känner till hur och/eller till vem de ska rapportera, - om så inte skett under de senaste tolv månaderna, vid lämpligt tillfälle anordnar ett utbildningstillfälle för styrelsens ledamöter, - upprätta en mångfaldspolicy och kommunicera denna med ägarna i god tid inför kommande årsstämma, eller med fördel tidigare för det fall ny ledamot ska utses dessförinnan, - säkerställa att informationsgivningen på hemsidan eller, om sådan saknas, annat lämpligt medium uppfyller de krav som nu ställs i Föreskrifterna, - upprätta en återhämtningsplan som fastställs av styrelsen, - om så inte skett, styrelsen och den verkställande direktören fastställer vilken information de olika ledningsorganen förväntar sig från bolagets kontrollfunktioner, hur informationen ska presenteras och hur ofta den ska lämnas, samt

7 - att riktlinjer, rutinbeskrivningar och årsplan etc. för funktionen för riskhantering återspeglar de nya krav som ställs på funktionen arbete. Vid frågor och om bolaget önskar vårt biträde i någon del är ni välkomna att kontakta advokat Karin Claesson (telefon alt. e-post karin.claesson@hsa.se).