Artykuł 76

1. Państwa członkowskie zapewniają, by organ zarządzający zatwierdzał strategie i polityki dotyczące podejmowania, monitorowania i ograniczania ryzyk, na które jest lub może być narażona instytucja, a także zarządzania takimi ryzykami, włącznie z ryzykami, jakie stwarza otoczenie makroekonomiczne, w którym dana instytucja prowadzi działalność, w związku ze stanem cyklu koniunkturalnego, oraz z ryzykami wynikającymi z bieżącego oraz krótko-, średnio- i długoterminowego wpływu czynników środowiskowych, społecznych i z zakresu ładu korporacyjnego (ESG); państwa członkowskie zapewniają również, by organ ten dokonywał co najmniej raz na dwa lata przeglądu tych strategii i polityk.

Państwa członkowskie mogą, uwzględniając zasadę proporcjonalności, zezwolić organom zarządzającym małych i niezłożonych instytucji na dokonywanie przeglądu strategii i polityk, o których mowa w akapicie pierwszym, co dwa lata.

2. Państwa członkowskie zapewniają, by organ zarządzający poświęcał wystarczająco dużo czasu analizom kwestii ryzyka. Organ zarządzający bierze czynny udział w zarządzaniu wszystkimi rodzajami istotnego ryzyka, o których mowa w niniejszej dyrektywie i w rozporządzeniu Parlamentu Europejskiego i Rady (UE) nr 575/2013 oraz w wycenie aktywów i korzystaniu z zewnętrznych ratingów kredytowych i wewnętrznych modeli związanych z tymi rodzajami ryzyka; zapewnia także przydzielenie odpowiednich zasobów w tym celu. Instytucja musi opracować zasady podległości służbowej wobec organu zarządzającego, które dotyczą wszystkich rodzajów istotnego ryzyka oraz strategii w zakresie zarządzania ryzykiem i ich zmian.

Państwa członkowskie zapewniają, by organ zarządzający opracował szczegółowe plany i wymierne cele, zgodnie z wymogami określonymi w art. 7a rozporządzenia (UE) nr 648/2012, w zakresie monitorowania ryzyka koncentracji z tytułu ekspozycji wobec kontrahentów centralnych, którzy oferują usługi o istotnym znaczeniu systemowym dla Unii lub co najmniej jednego jej państwa członkowskiego, oraz przeciwdziałania takiemu ryzyku.

Państwa członkowskie zapewniają, by organ zarządzający opracował szczegółowe plany obejmujące mierzalne cele i procesy w zakresie monitorowania ryzyk finansowych wynikających w perspektywie krótko-, średnio- i długoterminowej z czynników ESG, w tym ryzyk wynikających z procesu dostosowań i z tendencji w ramach transformacji w kontekście odpowiednich celów regulacyjnych i aktów prawnych Unii i państw członkowskich w odniesieniu do czynników ESG, w szczególności celów związanych z osiągnięciem neutralności klimatycznej, a także – jeżeli dotyczy to instytucji prowadzących działalność w skali międzynarodowej – w odniesieniu do celów prawnych i regulacyjnych państw trzecich, oraz w zakresie przeciwdziałania tym ryzykom; państwa członkowskie zapewniają również, by organ ten monitorował wdrażanie tych planów.

Wymierne cele i procesy w zakresie przeciwdziałania ryzykom ESG zawarte w planach, o których mowa w akapicie drugim niniejszego ustępu, uwzględniają najnowsze sprawozdania i środki zalecane przez europejski naukowy komitet doradczy ds. zmiany klimatu, w szczególności w odniesieniu do osiągania celów klimatycznych Unii. W przypadku gdy instytucja ujawnia informacje na temat kwestii ESG zgodnie z dyrektywą Parlamentu Europejskiego i Rady 2013/34/UE (

29

), plany, o których mowa w akapicie drugim niniejszego ustępu, muszą być spójne z planami, o których mowa w art. 19a lub 29a tej dyrektywy, i obejmują w szczególności działania w odniesieniu do modelu biznesowego i strategii działalności instytucji, które są spójne w obu planach.

Państwa członkowskie zapewniają proporcjonalne stosowanie akapitów drugiego i trzeciego w odniesieniu do organów zarządzających małych i niezłożonych instytucji, wskazując, w jakich obszarach można zastosować zwolnienie lub procedurę uproszczoną.

3. Państwa członkowskie zapewniają, by instytucje, które są istotne ze względu na ich wielkość, strukturę organizacyjną, a także charakter, zakres i złożoność prowadzonej przez siebie działalności, ustanawiały komitet ds. ryzyka złożony z członków organu zarządzającego, którzy nie pełnią żadnej funkcji wykonawczej w danej instytucji. Członkowie komitetu ds. ryzyka dysponują odpowiednią wiedzą, umiejętnościami i umiejętnościami fachowymi, by w pełni zrozumieć i monitorować strategię w zakresie ryzyka i gotowość danej instytucji do podejmowania ryzyka.

Komitet ds. ryzyka udziela porad organowi zarządzającemu w odniesieniu do całościowej bieżącej i przyszłej gotowości instytucji do podejmowania ryzyka oraz jej strategii w tym zakresie, a także pomaga organowi zarządzającemu w nadzorowaniu wdrażania tej strategii przez kadrę kierowniczą wyższego szczebla. Organ zarządzający pozostaje całościowo odpowiedzialny za ryzyka.

Komitet ds. ryzyka weryfikuje, czy ceny pasywów i aktywów oferowanych klientom w pełni uwzględniały model biznesowy danej instytucji i jej strategię w zakresie ryzyka. W przypadku gdy ceny nie odzwierciedlają odpowiednio ryzyk zgodnie z modelem biznesowym i strategią w zakresie ryzyka, komitet ds. ryzyka przedstawia organowi zarządzającemu plan naprawczy.

Właściwe organy mogą zezwolić instytucji, która nie jest uznawana za istotną, zgodnie z akapitem pierwszym, na połączenie komitetu ds. ryzyka z komitetem ds. audytu, o którym mowa w art. 41 dyrektywy 2006/43/WE. Członkowie wspólnego komitetu muszą dysponować odpowiednią wiedzą, umiejętnościami i umiejętnościami fachowymi, które są niezbędne do pracy w komitecie ds. ryzyka i komitecie ds. audytu.

4. Państwa członkowskie zapewniają, by organ zarządzający pełniący funkcję nadzorczą, a jeśli ustanowiony został komitet ds. ryzyka – również i ten komitet, miały odpowiedni dostęp do informacji dotyczących ryzyka, na jakie narażona jest instytucja, a w razie potrzeby i w stosownych przypadkach, dostęp do funkcji zarządzania ryzykiem i do doradztwa ekspertów zewnętrznych.

Organ zarządzający pełniący funkcję nadzorczą, a jeśli ustanowiony został komitet ds. ryzyka – również i ten komitet, określają charakter, ilość, format i częstotliwość informacji dotyczących ryzyka, które mają otrzymywać. Aby wspomóc opracowanie należytych polityk wynagrodzeń i praktyk w tym zakresie, komitet ds. ryzyka, bez uszczerbku dla zadań komitetu ds. wynagrodzeń, analizuje, czy zachęty przewidziane w systemie wynagrodzeń uwzględniają ryzyka, w tym ryzyka wynikające z wpływu czynników ESG, kapitał, płynność oraz prawdopodobieństwo i termin otrzymania zysków.

5. Państwa członkowskie zapewniają, zgodnie z wymogiem proporcjonalności ustanowionym w art. 7 ust. 2 dyrektywy Komisji 2006/73/WE (

30

), by instytucje posiadały komórki kontroli wewnętrznej niezależne od funkcji realizujących zadania operacyjne, a także by komórki te posiadały wystarczające uprawnienia, status, zasoby i dostęp do organu zarządzającego.

Państwa członkowskie zapewniają, by:

a) komórki kontroli wewnętrznej zapewniały, by wszystkie istotne ryzyka były właściwie identyfikowane, mierzone i zgłaszane;

b) komórki kontroli wewnętrznej zapewniały kompleksowy obraz całego zakresu ryzyk, na które narażona jest dana instytucja;

c) komórka zarządzania ryzykiem aktywnie uczestniczyła w opracowywaniu strategii instytucji w zakresie ryzyka i w podejmowaniu przez nią wszystkich decyzji dotyczących zarządzania istotnym ryzykiem oraz sprawowała kontrolę nad skutecznym wdrażaniem strategii w zakresie ryzyka;

d) komórka audytu wewnętrznego przeprowadzała niezależny przegląd skutecznego wdrażania strategii instytucji w zakresie ryzyka;

e) komórka nadzoru zgodności z przepisami oceniała i ograniczała ryzyko braku zgodności oraz zapewniała, aby strategia instytucji w zakresie ryzyka uwzględniała ryzyko braku zgodności oraz aby ryzyko braku zgodności było odpowiednio uwzględniane we wszystkich decyzjach dotyczących zarządzania istotnym ryzykiem.

6. Państwa członkowskie zapewniają, aby komórki kontroli wewnętrznej miały bezpośredni dostęp do organu zarządzającego pełniącego funkcję nadzorczą i mogły mu bezpośrednio składać sprawozdania.

W tym celu komórki kontroli wewnętrznej są niezależne od członków organu zarządzającego pełniącego funkcję zarządzającą i od kadry kierowniczej wyższego szczebla, a w szczególności mają możliwość informowania organu zarządzającego pełniącego funkcję nadzorczą o niepokojących kwestiach i ostrzegania go w stosownych przypadkach lub w sytuacji, gdy zmiany dotyczące ryzyka szczególnego wpływają lub mogą wpłynąć na instytucję, bez uszczerbku dla obowiązków organu zarządzającego na mocy niniejszej dyrektywy i rozporządzenia (UE) nr 575/2013.

Kierownicy komórek kontroli wewnętrznej są niezależnymi członkami kadry kierowniczej wyższego szczebla, którym wyraźnie powierzono odpowiedzialność za funkcje zarządzania ryzykiem, zgodności z przepisami i audytu wewnętrznego. W przypadku gdy charakter, skala i złożoność działalności danej instytucji nie uzasadniają powołania jednej osoby do pełnienia funkcji zarządzania ryzykiem lub funkcji zgodności z przepisami, inna osoba wyższego szczebla, która wykonuje inne zadania w ramach instytucji, może wypełniać obowiązki związane z funkcją zgodności z przepisami lub funkcją zarządzania ryzykiem, pod warunkiem że nie występuje konflikt interesów oraz że osoba odpowiedzialna za funkcję zarządzania ryzykiem i funkcję zgodności z przepisami:

a) spełnia kryteria odpowiedniości wymóg posiadania wiedzy i doświadczenia niezbędnych w poszczególnych odnośnych obszarach; oraz

b) dysponuje niezbędnym czasem na prawidłowe wykonywanie obu funkcji kontrolnych.

Funkcja audytu wewnętrznego nie może być łączona z żadną inną linią biznesową ani funkcją kontrolną instytucji.

Kierownicy komórek kontroli wewnętrznej nie mogą zostać odwołani z tej funkcji bez uprzedniej zgody organu zarządzającego pełniącego funkcję nadzorczą.