Guidelines on Internal Control for CRAs

Riktlinjer

för intern kontroll av kreditvärderingsinstitut

1 Tillämpningsområde

Vem?

1. Dessa riktlinjer gäller för kreditvärderingsinstitut som är etablerade i unionen och registrerade hos Esma i enlighet med Europaparlamentets och rådets förordning (EG) nr 1060/2009 av den 16 september 2009 om kreditvärderingsinstitut . Vad?

2. Dessa riktlinjer gäller frågor som rör den struktur och de mekanismer för intern kontroll som är nödvändiga för att säkerställa att ett kreditvärderingsinstitut uppfyller kraven i artikel 6.1, 6.2 och 6.4 samt avsnitt A i bilaga I till förordningen om kreditvärderingsinstitut. När?

3. Dessa riktlinjer gäller från och med den 1 juli 2021.

2 Hänvisningar till lagstiftning, förkortningar och definitioner

Hänvisningar till lagstiftning

Esmaförordningen Europaparlamentets och rådets förordning (EU) nr 1095/2010 av den 24 november 2010 om inrättande av en europeisk tillsynsmyndighet (Europeiska värdepappers- och marknadsmyndigheten), om ändring av beslut nr 716/2009/EG och om upphävande av kommissionens beslut 2009/77/EG Förordningen om Europaparlamentets och rådets förordning (EG) kreditvärderingsinstitut nr 1060/2009 av den 16 september 2009 om kreditvärderingsinstitut

Förkortningar

Esma Europeiska värdepappers- och marknadsmyndigheten CRA Kreditvärderingsinstitut (Credit Rating Agency, CRA)

CRAR Förordningen om kreditvärderingsinstitut

IK-ram Ram för intern kontroll IK-funktioner Funktioner för intern kontroll INED Oberoende ledamöter i kreditvärderingsinstitutets administrativa styrelse eller tillsynsråd

Kreditvärderingsinstitutets Styrelsen

administrativa styrelse eller tillsynsråd

3 Syfte

4. Dessa riktlinjer gäller frågor som rör den struktur och de mekanismer för intern kontroll som är nödvändiga för att säkerställa att ett kreditvärderingsinstitut uppfyller kraven i artikel 6.1, 6.2 och 6.4 samt avsnitt A i bilaga I till förordningen om kreditvärderingsinstitut.

5. Genom riktlinjerna fastställs Esmas förväntningar när det gäller de ingående momenten och egenskaperna hos en ändamålsenlig ram och ändamålsenliga funktioner för intern kontroll inom ett kreditvärderingsinstitut.

4 Efterlevnads- och rapporteringsskyldigheter

4.1 Riktlinjernas status

6. Detta dokument innehåller riktlinjer som utfärdats enligt artikel 16 i Esmaförordningen. I enlighet med förordningen ska ett kreditvärderingsinstitut göra allt som står i dess makt för att uppfylla riktlinjerna.

4.2 Rapporteringskrav

7. Esma kommer att utvärdera hur kreditvärderingsinstituten tillämpar dessa riktlinjer genom en löpande tillsyn och övervakning av kreditvärderingsinstitutens verksamhet.

8. Esma kommer att tillämpa proportionalitetsprincipen vid tillämpningen av dessa riktlinjer. Även om alla kreditvärderingsinstitut förväntas använda ett ändamålsenligt system för intern kontroll som uppvisar de egenskaper som beskrivs i dessa riktlinjer kan Esma i vissa fall inte förvänta sig att ett kreditvärderingsinstitut ska göra detta genom de särskilt avsedda funktioner för intern kontroll som avses i avsnitt 5.2.

9. Esma kommer att anpassa sina förväntningar enligt avsnitt 5.2 beroende på kreditvärderingsinstitutets karaktär, storlek och komplexitet. När det gäller större kreditvärderingsinstitut kommer Esma att förvänta sig att institutet uppfyller alla de förväntningar som fastställs i riktlinjerna. För mindre kreditvärderingsinstitut kommer Esma att hänvisa till villkoren vid registreringen av kreditvärderingsinstitutet. Med tanke på att vissa kreditvärderingsinstituts karaktär, storlek och komplexitet kan ha förändrats sedan registreringen kommer Esma emellertid att genom sin tillsyn meddela om myndigheten har högre förväntningar enligt avsnitt 5.2 än de som fastställdes vid registreringen.

10. Även om Esma kommer att meddela sina förväntningar på kreditvärderingsinstitutet genom sin tillsyn är det fortfarande kreditvärderingsinstitutets ledning, under överinsyn av dess styrelse, som har ansvar för att utvärdera de interna kontrollernas ändamålsenlighet enligt dessa riktlinjer.

5 Riktlinjer för intern kontroll av kreditvärderingsinstitut

Krav som följer av artikel 6.1, 6.2 och 6.4 samt avsnitt A i bilaga I till förordningen om

kreditvärderingsinstitut

11. För att visa att ett kreditvärderingsinstitut uppfyller målen för en ändamålsenlig struktur för intern kontroll i enlighet med artikel 6.1, 6.2 och 6.4 samt avsnitt A i bilaga I till förordningen om kreditvärderingsinstitut förväntar Esma sig att ett kreditvärderingsinstitut kan visa att dess policyer, förfaranden och arbetsmetoder uppnår målen i avsnitten 5.1 (Ram för intern kontroll) och 5.2 (Funktioner för intern kontroll) i dessa riktlinjer.

12. I detta sammanhang avses med termen policyer och förfaranden de interna dokument som styr eller reglerar hur kreditvärderingsinstitutet eller dess personal bör utföra verksamheter som omfattas av kraven i förordningen om kreditvärderingsinstitut.

5.1 Ram för intern kontroll

13. För att kunna visa att det har en ändamålsenlig ram för intern kontroll förväntar Esma sig att ett kreditvärderingsinstitut kan bevisa förekomsten av följande moment och egenskaper i sina interna policyer, förfaranden och arbetsmetoder. Allmänna principer

14. Kreditvärderingsinstitutets styrelse bör vara ansvarig för att utöva tillsyn över och godkänna alla moment i ramen för intern kontroll som utarbetas av ledningen och för att utöva tillsyn över att dessa moment övervakas och uppdateras regelbundet av ledningen. Kreditvärderingsinstitutets ledning bör vara ansvarig för att inrätta, genomföra och uppdatera skriftliga policyer och förfaranden för intern kontroll som stöder momenten i ramen för intern kontroll.

15. Som en del av inrättandet av dessa policyer och förfaranden bör ett kreditvärderingsinstitut ha tydliga, öppna och väldokumenterade beslutsprocesser och en tydlig fördelning av roller och ansvarsområden inom dess ram för intern kontroll, inbegripet fördelningen av affärsenheter och funktioner för intern kontroll. Moment 1.1 Kontrollmiljö

16. Esma definierar kontrollmiljön som den uppsättning av standarder, processer och strukturer som är nödvändig för att utföra interna kontroller i en organisation. Enligt Esma utgör kontrollmiljön grunden för ett ändamålsenligt system för intern kontroll.

17. Kreditvärderingsinstitutets styrelse och ledning bidrar båda till att sätta tonen när det gäller vikten av interna kontroller. Ledningen är ansvarig för att utarbeta och utföra interna kontroller och för att utvärdera kontrollmiljöns lämplighet och ändamålsenlighet. Egenskaper 1.1.1 Kreditvärderingsinstitutets ledning bör vara ansvarig för att upprätta en stark kultur av etik och efterlevnad inom kreditvärderingsinstitutet genom att införa policyer och förfaranden som styr personalens uppträdande. Styrelsen bör utöva tillsyn över ledningen inom dessa områden. 1.1.2 Kreditvärderingsinstitutets ledning bör vara ansvarig för att säkerställa att kreditvärderingsinstitutets policyer och förfaranden i. fastslår att kreditvärderingsinstitutets verksamhet bör utföras i enlighet med förordningen om kreditvärderingsinstitut, den tillämpliga lagstiftningen och kreditvärderingsinstitutets värderingar, ii. klargör att personalen utöver att uppfylla de krav som ställs i lagar, förordningar och interna policyer även förväntas uppföra sig med ärlighet och integritet och utföra sina uppgifter med vederbörlig skicklighet, omsorg och aktsamhet, och iii. säkerställer att personalen känner till de disciplinåtgärder, rättsliga åtgärder och påföljder som kan bli följden av misskötsamhet eller icke godtagbara beteenden. Styrelsen bör utöva tillsyn över ledningen inom dessa områden. 1.1.3 Kreditvärderingsinstitutets ledning bör vara ansvarig för att inrätta, upprätthålla och regelbundet uppdatera lämpliga skriftliga policyer och förfaranden för intern kontroll. Styrelsen bör utöva tillsyn över ledningen inom dessa områden. 1.1.4 Kreditvärderingsinstitutets ledning bör behålla ansvaret för verksamheter som har utkontrakterats till externa tjänsteleverantörer eller till en funktion på gruppnivå inom kreditvärderingsinstitutets koncern. Styrelsen bör utöva tillsyn över ledningen inom dessa områden. Moment 1.2 Riskhantering

18. Esma anser att riskhantering inbegriper identifiering, bedömning, övervakning och begränsning av alla risker som kan ha en väsentlig inverkan på kreditvärderingsinstitutets förmåga att uppfylla sina skyldigheter enligt förordningen om kreditvärderingsinstitut eller hota den fortsatta verksamheten. Detta gör att ett kreditvärderingsinstitut kan fördela sina resurser för intern kontroll på ett lämpligt sätt. En effektiv riskhantering bör omfatta en dynamisk och ständigt förbättrad process för identifiering, bedömning och hantering av riskerna för uppfyllandet av kreditvärderingsinstitutets huvudsakliga mål. Egenskaper 1.2.1 Kreditvärderingsinstitutet bör utföra sina interna riskbedömningar i enlighet med definierade och övergripande metoder för riskbedömning. 1.2.2 Kreditvärderingsinstitutets metoder för riskbedömning bör omfatta alla affärsenheter inom kreditvärderingsinstitutet. 1.2.3 Kreditvärderingsinstitutet bör fastställa sin riskbenägenhet och identifiera toleransnivåer för riskerna som en del av riskbedömningsprocessen. 1.2.4 Kreditvärderingsinstitutets riskbedömningsprocess bör omfatta en definiering och identifiering på förhand av de kriterier och mål mot vilka kreditvärderingsinstitutets risker ska bedömas. 1.2.5 Kreditvärderingsinstitutets metoder för riskbedömning bör ständigt utvecklas och förbättras. Moment 1.3 Kontrollaktiviteter

19. Esma anser att de kontrollaktiviteter som styr ett kreditvärderingsinstituts affärsverksamhet ska bidra till att minska riskernas konsekvenser inom en organisation. Aktiviteterna bör utformas genom policyer, förfaranden, system, mekanismer och andra arrangemang. Dessa kontrollaktiviteter bör vara förebyggande, avslöjande, korrigerande eller avskräckande till sin karaktär. Egenskaper 1.3.1 Dokumentation – Kreditvärderingsinstitutet bör dokumentera sina policyer och förfaranden inom all affärsverksamhet som omfattas av bestämmelserna i förordningen om kreditvärderingsinstitut. 1.3.2 Dokumenterade kontroller och kontrollprovningar – Ett kreditvärderingsinstitut bör dokumentera de nyckelkontroller som har införts för att säkerställa efterlevnaden av de policyer och förfaranden som är relevanta för förordningen om kreditvärderingsinstitut. Dokumentationen av kontrollprovningarna bör omfatta i. en beskrivning av kontrollen, ii. de förknippade väsentliga riskerna, iii. den roll/de roller eller den funktion/de funktioner som har ansvar för att utföra kontrollen, iv. den roll/de roller eller den funktion/de funktioner som har ansvar för att granska kontrollen, v. bevis på att kontrollen har utförts, vi. intervallen mellan kontrollerna, vii. en beskrivning av provningsförfarandet. 1.3.3 Åtskillnad mellan ansvarsområden – Kreditvärderingsinstitutet bör säkerställa en lämplig åtskillnad mellan ansvarsområdena för att hantera risken för intressekonflikter, bedrägerier och mänskliga fel. Genom åtskillnaden mellan ansvarsområdena bör kreditvärderingsinstitutet säkerställa att i. de personer som utför analysen av en kreditvärdering inte är ensamma ansvariga för godkännandet av kreditvärderingen, ii. de personer som utarbetar metoder, modeller eller grundläggande antaganden för kreditvärderingen inte är ensamma ansvariga för godkännandet av dessa metoder, modeller eller grundläggande antaganden, iii. de personer som validerar eller granskar en metod, en modell eller ett grundläggande antagande för kreditvärderingen inte är ensamma ansvariga för godkännandet av valideringen eller granskningen av metoden, modellen eller det grundläggande antagandet för kreditvärderingen. 1.3.4 Fastställande av ansvarsområden – Kreditvärderingsinstitutet bör på ett tydligt och väl definierat sätt fastställa vilka roller eller funktioner som är ansvariga för att utföra kontroller av skyldigheterna enligt förordningen om kreditvärderingsinstitut och specificera deras respektive roller och ansvarsområden. I samband med detta bör kreditvärderingsinstitutet skilja mellan viktiga dagliga kontroller på affärsnivå och sådana som utförs av särskilda kontrollfunktioner. 1.3.5 Auktoriseringar och godkännanden – Kreditvärderingsinstitutet bör dokumentera och beskriva processerna för sina metoder, modeller och grundläggande antaganden för kreditvärderingen. Detta bör omfatta den personal som är ansvarig för deras validering eller översyn samt översynen av resultaten av dessa processer. 1.3.6 Verifieringar, valideringar, avstämningar och översyner – Kreditvärderingsinstitutet bör genomföra åtgärder för att upptäcka och agera mot olämpliga, obehöriga, felaktiga eller bedrägliga beteenden i sina kreditvärderingsverksamheter och de processer som ligger till grund för dessa verksamheter, däribland validering av metoder/modeller för kreditvärdering samt validering av uppgifter och indata. 1.3.7 Allmänna it-kontroller – Kreditvärderingsinstitutet bör genomföra kontroller för att säkerställa ändamålsenligheten i den it-miljö som används för kreditvärderingsinstitutets affärsprocesser. Moment 1.4 Information och kommunikation

20. Esma anser att en lämplig intern och extern kommunikation är avgörande för att kreditvärderingsinstitutet ska kunna uppfylla sina lagstadgade skyldigheter gentemot marknaden, kunderna och personalen. Ett kreditvärderingsinstitut bör inrätta förfaranden för nedåtriktad kommunikation av korrekta och fullständiga uppgifter av god kvalitet till sin personal och sina externa aktörer såväl som förfaranden för uppåtriktad kommunikation av känsliga uppgifter när det gäller beteenden och efterlevnaden av interna kontroller. Egenskaper 1.4.1 Kreditvärderingsinstitutet bör säkerställa en lämplig intern och extern kommunikation för utbyte av korrekta, fullständiga och aktuella uppgifter av god kvalitet till marknader, investerare, kunder och tillsynsmyndigheter. 1.4.2 Kreditvärderingsinstitutet bör inrätta kanaler för uppåtriktad kommunikation, däribland ett anmälningsförfarande, för att kunna lyfta upp väsentliga problem med de interna kontrollerna till ledningen och styrelsen. 1.4.3 Kreditvärderingsinstitutet bör inrätta kanaler för nedåtriktad kommunikation från ledningen och kontrollfunktionerna till personalen. Detta bör omfatta regelbundna uppdateringar av målen och ansvarsområdena för interna kontroller, spridning av information om identifierade efterlevnadsproblem samt presentationer och utbildning om policyer och förfaranden. Moment 1.5 Övervakningsaktiviteter

21. Esma anser att löpande övervakning och tematiska översyner av kreditvärderingsinstitutets verksamhet är nödvändiga för att säkerställa att institutets system för intern kontroll bibehåller sin ändamålsenlighet. Denna övervakning gör det lättare att fastställa om alla delar av kreditvärderingsinstitutets system för intern kontroll har inrättats och fungerar ändamålsenligt. Egenskaper 1.5.1 Kreditvärderingsinstitutet bör säkerställa att systemen för intern kontroll utvärderas på olika nivåer, däribland inom institutets affärsenheter, kontrollfunktioner och funktioner för internrevision eller oberoende bedömning. 1.5.2 Kreditvärderingsinstitutets utvärderingar av systemen för intern kontroll bör utföras på regelbunden eller tematisk basis eller genom en kombination av båda. 1.5.3 Kreditvärderingsinstitutet bör bygga upp löpande utvärderingar av affärsprocesserna, till exempel direkt övervakning av e-postkommunikationen mellan analytiker och emittenter, och anpassa dem efter ändrade förhållanden. Detta bör omfatta regelbundet deltagande i, eller efterhandsgranskningar av, kreditvärderingskommittéerna. 1.5.4 Kreditvärderingsinstitutet bör rapportera avvikelser som identifierats vid utvärderingarna, och vilka avhjälpande åtgärder som behövs, till ledningen och styrelsen, som i sin tur bör övervaka genomförandet av korrigerande åtgärder. 1.5.5 Om viktiga operativa funktioner utkontrakteras till en extern part bör kreditvärderingsinstitutet säkerställa att personalen har ett direkt ansvar för övervakningen av de utkontrakterade affärsprocesserna. Ett kreditvärderingsinstitut bör säkerställa att externa tjänsteleverantörer får tydliga anvisningar om kreditvärderingsinstitutets mål och förväntningar, och att en företagsbesiktning utförs innan en leverantör utses.

5.2 Funktioner för intern kontroll

22. För att säkerställa att ett kreditvärderingsinstitut har ändamålsenliga funktioner för intern kontroll förväntar Esma sig att ett kreditvärderingsinstitut kan bevisa förekomsten av följande moment och egenskaper i sina policyer, förfaranden och arbetsmetoder. Allmänna principer

23. ESMA anser att ett kreditvärderingsinstituts funktioner för intern kontroll bör ha tillräckliga resurser och personal med tillräcklig sakkunskap för att kunna uppfylla sina skyldigheter. Om kreditvärderingsinstitutet har utkontrakterat de viktiga operativa funktionerna för en funktion för intern kontroll på gruppnivå eller till en extern part anser Esma att kreditvärderingsinstitutet fortfarande har det fulla ansvaret för den utkontrakterade funktionens verksamhet. Esma anser att personal som har ansvar för kreditvärderingsinstitutets funktioner för intern kontroll bör ha lämplig erfarenhet och nödvändiga befogenheter för att fullgöra sina skyldigheter. Vissa funktioner kan utföras på gruppnivå eller av andra juridiska personer inom en företagsstruktur under förutsättning att företagsstrukturen inte utgör ett hinder för styrelsens förmåga att tillhandahålla tillsyn och ledningens förmåga att hantera riskerna på ett effektivt sätt, eller Esmas möjligheter att övervaka kreditvärderingsinstitutet på ett effektivt sätt.

24. För att säkerställa att ett kreditvärderingsinstituts funktioner för intern kontroll är oberoende förväntar Esma sig att kreditvärderingsinstitutet överväger följande principer för att fastställa rollerna och ansvarsområdena för sina funktioner för intern kontroll: i. Funktionerna för intern kontroll bör vara funktionellt åtskilda från de funktioner/aktiviteter som de har i uppdrag att övervaka, granska eller kontrollera. ii. Funktionerna för intern kontroll bör inte utföra några operativa uppgifter som rör den affärsverksamhet som de ska övervaka, granska eller kontrollera. iii. Chefen för en funktion för intern kontroll bör inte rapportera till en person som har ett direkt ansvar för att leda de verksamheter som funktionen för intern kontroll övervakar, granskar eller kontrollerar. iv. Personal som har ansvar för funktionerna för intern kontroll bör ha tillgång till relevant intern eller extern utbildning för att säkerställa att deras kunskaper är tillräckliga för de uppgifter som utförs. Proportionalitet

25. I villkoren för registrering av ett kreditvärderingsinstitut fastställs Esmas minsta förväntningar på kreditvärderingsinstitutets interna kontroll, funktioner för intern kontroll och styrning. För vissa kreditvärderingsinstitut är det inte proportionerligt att ha alla funktioner för intern kontroll som avses i detta avsnitt inom sin organisationsstruktur. Likväl bör egenskaperna hos alla funktioner för intern kontroll som beskrivs i detta avsnitt av riktlinjerna tilldelas till en lämplig ansvarig part.

26. Esma anser att kreditvärderingsinstitutets styrelse bör bibehålla tillsynen över utförandet av dessa uppgifter och den fortsatta lämpligheten hos personal och resurser i enlighet med verksamhetens karaktär, storlek och komplexitet. Moment 2.1 Funktion för regelefterlevnad

27. Esma anser att ett kreditvärderingsinstituts funktion för regelefterlevnad har ansvar för övervakning och rapportering av kreditvärderingsinstitutets och personalens efterlevnad av sina skyldigheter enligt förordningen om kreditvärderingsinstitut. Funktionen för regelefterlevnad är ansvarig för att följa alla ändringar av de lagar och förordningar som är tillämpliga för dess verksamhet. Funktionen för regelefterlevnad är även ansvarig för att ge den administrativa styrelsen eller tillsynsrådet rådgivning om lagar, regler, föreskrifter och standarder som kreditvärderingsinstitutet måste uppfylla, och för att i samarbete med andra relevanta funktioner bedöma de möjliga konsekvenserna av eventuella ändringar i regelverket för kreditvärderingsinstitutets verksamhet. Egenskaper 2.1.1 Funktionen för regelefterlevnad bör utföra sina funktioner oberoende av de affärsenheter som är ansvariga för kreditvärderingen och lämna in regelbundna rapporter till de oberoende ledamöterna i kreditvärderingsinstitutets administrativa styrelse eller tillsynsråd. 2.1.2 Funktionen för regelefterlevnad bör ge råd och stöd till den personal som deltar i kreditvärderingen så att de kan fullgöra sina skyldigheter enligt förordningen om kreditvärderingsinstitut. Funktionen för regelefterlevnad bör arbeta förebyggande med att identifiera risker och eventuell bristande efterlevnad genom regelbunden övervakning och utvärdering av verksamheten och uppföljning av avhjälpande åtgärder. 2.1.3 Funktionen för regelefterlevnad bör säkerställa att efterlevnaden övervakas genom ett strukturerat och väl definierat övervakningsprogram. 2.1.4 Funktionen för regelefterlevnad bör, i samarbete med andra relevanta funktioner om så är lämpligt, bedöma de möjliga konsekvenserna av eventuella ändringar av regelverket som rör kreditvärderingsinstitutets verksamhet och vid behov informera funktionen för riskhantering om riskerna till följd av bristande regelefterlevnad. 2.1.5 Funktionen för regelefterlevnad bör säkerställa att reglerna för efterlevnad iakttas och rapportera till styrelsen och ledningen om kreditvärderingsinstitutets hantering av efterlevnadsrisker. 2.1.6 Funktionen för regelefterlevnad bör samarbeta med funktionen för riskhantering för att utbyta information som är nödvändig för deras respektive uppgifter. 2.1.7 De slutsatser som dras av funktionen för regelefterlevnad bör beaktas av styrelsen och funktionen för riskhantering i deras processer för riskbedömning. Moment 2.2 Översynsfunktion

28. Esma anser att ett kreditvärderingsinstituts översynsfunktion är ansvarig för att löpande, och åtminstone årligen, granska metoderna, modellerna och de grundläggande antagandena för kreditvärderingen. Kreditvärderingsinstitutets översynsfunktion är även ansvarig för att validera och granska nya metoder, modeller och grundläggande antaganden för kreditvärderingen och eventuella ändringar av befintliga metoder, modeller och grundläggande antaganden för kreditvärderingen. Egenskaper 2.2.1 Översynsfunktionen bör utföra sina funktioner oberoende av de affärsenheter som är ansvariga för kreditvärderingen och lämna in regelbundna rapporter till de oberoende ledamöterna i kreditvärderingsinstitutets administrativa styrelse eller tillsynsråd. 2.2.2 Kreditvärderingsinstitutets aktieägare eller personal som deltar i affärsutvecklingen bör inte utföra översynsfunktionens uppgifter. 2.2.3 Analyspersonal bör inte delta i godkännandet av nya, eller valideringen och granskningen av befintliga, metoder, modeller och grundläggande antaganden för kreditvärdering som de har utvecklat. 2.2.4 Översynsfunktionens personal bör antingen vara helt ansvarig eller ha en majoritet av rösterna i de kommittéer som är ansvariga för att godkänna metoder, modeller och grundläggande antaganden för kreditvärdering. Moment 2.3 Riskhanteringsfunktion

29. Esma anser att ett kreditvärderingsinstituts riskhanteringsfunktion är ansvarig för utvecklingen och genomförandet av regelverket för riskhantering. Den bör säkerställa att de risker som är relevanta för dess skyldigheter enligt förordningen om kreditvärderingsinstitut identifieras, bedöms, mäts, övervakas, hanteras och rapporteras på ett korrekt sätt av de relevanta avdelningarna/funktionerna inom kreditvärderingsinstitutet. Egenskaper 2.3.1 Riskhanteringsfunktionen bör utföra sina funktioner oberoende av de affärsoch stödenheter vars risker den övervakar, men inte förhindras från att samverka med dem. 2.3.2 Riskhanteringsfunktionen bör säkerställa att alla risker som kan ha en väsentlig inverkan på kreditvärderingsinstitutets förmåga att fullgöra sina skyldigheter enligt förordningen om kreditvärderingsinstitut, eller dess fortsatta verksamhet, identifieras, bedöms, mäts, övervakas, hanteras, lindras och rapporteras på ett korrekt sätt av och till de relevanta enheterna inom kreditvärderingsinstitutet. 2.3.3 Riskhanteringsfunktionen bör övervaka kreditvärderingsinstitutets riskprofil gentemot kreditvärderingsinstitutets riskbenägenhet för att göra det möjligt att fatta beslut. 2.3.4 Riskhanteringsfunktionen bör ge råd om förslag och riskbeslut som fattats av affärsenheterna och informera styrelsen om huruvida dessa beslut är förenliga med kreditvärderingsinstitutets riskbenägenhet och mål. 2.3.5 Riskhanteringsfunktionen bör rekommendera förbättringar av regelverket för riskhantering och korrigerande åtgärder för policyer och förfaranden avseende risker och se över tröskelvärdena för risker i enlighet med eventuella ändringar av organisationens riskbenägenhet. Moment 2.4 Funktion för informationssäkerhet

30. Esma anser att ett kreditvärderingsinstituts funktion för informationssäkerhet är ansvarig för utvecklingen och genomförandet av informationssäkerhet inom kreditvärderingsinstitutet. Ett kreditvärderingsinstitut bör inrätta en funktion för informationssäkerhet som främjar en kultur av informationssäkerhet inom kreditvärderingsinstitutet. Egenskaper 2.4.1 Funktionen för informationssäkerhet bör utföra sina funktioner oberoende av affärsenheterna och bör vara ansvarig för att övervaka kreditvärderingsinstitutets efterlevnad av policyerna och förfarandena för informationssäkerhet. 2.4.2 Funktionen för informationssäkerhet bör leda kreditvärderingsinstitutets verksamhet inom området. 2.4.3 Funktionen för informationssäkerhet bör utarbeta ett informationsprogram för kreditvärderingsinstitutets personal för att förstärka säkerhetskulturen och utveckla en bred förståelse för kreditvärderingsinstitutets krav på informationssäkerhet. 2.4.4 Funktionen för informationssäkerhet bör lämna regelbundna uppdateringar och råd till styrelsen och ledningen om informationssäkerheten i kreditvärderingsinstitutets system och verksamheter. Moment 2.5 Internrevisionsfunktion

31. Esma anser att ett kreditvärderingsinstituts funktion för internrevision är ansvarig för att tillhandahålla en oberoende, objektiv verksamhet för försäkran och rådgivning som utformats för att förbättra organisationens verksamhet. Detta hjälper organisationen att uppfylla sina mål genom att införa ett systematiskt och disciplinerat tillvägagångssätt för att utvärdera och förbättra ändamålsenligheten i systemet för intern kontroll. Egenskaper 2.5.1 Internrevisionsfunktionen bör utföra sina funktioner oberoende av affärsenheterna och styras av en stadga för internrevision som definierar dess roll och ansvarsområden och som står under styrelsens tillsyn. 2.5.2 Internrevisionsfunktionen bör använda ett riskbaserat tillvägagångssätt. 2.5.3 Internrevisionsfunktionen bör genomföra oberoende granskningar och lämna en objektiv försäkran om att kreditvärderingsinstitutets verksamheter, inklusive viktiga operativa funktioner som utkontrakterats , uppfyller kreditvärderingsinstitutets policyer och förfaranden såväl som andra tillämpliga rättsliga och administrativa krav. 2.5.4 Internrevisionsfunktionen bör åtminstone en gång om året, på grundval av internrevisionens årliga mål, inrätta en revisionsplan och ett detaljerat granskningsprogram som står under styrelsens tillsyn. 2.5.5 Internrevisionsfunktionen bör lämna regelbundna rapporter till de oberoende ledamöterna i kreditvärderingsinstitutets administrativa styrelse eller tillsynsråd eller till revisionskommittén i förekommande fall. 2.5.6 Internrevisionsfunktionen bör lämna sina revisionsrekommendationer på ett tydligt och enhetligt sätt som gör att styrelsen och ledningen förstår rekommendationernas väsentlighet och prioriterar därefter. 2.5.7 Rekommendationerna från internrevisionerna bör bli föremål för formella uppföljningar på respektive ledningsnivå för att säkerställa att de skyndsamt och effektivt beaktas och att resultaten rapporteras.