Neue EBA-Leitlinien: Erweiterte Anforderungen an die interne Governance

Konkret erwartet die EBA:

• Robuste lokale Governance-Struktur

  Nachweis einer robusten Governance-Struktur mit ausreichenden Ressourcen, klaren Entscheidungsbefugnissen und unter Berücksichtigung des Proportionalitätsprinzips

• Lokale Geschäftsleitung mit Doppelspitze

  Ernennung von mindestens zwei lokalen Geschäftsleiter:innen, mit vergleichbaren Aufgaben und Verantwortlichkeiten von Leitungsorgane in EU-Instituten

• Lokales Managementgremium bei erhöhtem Risiko

  Einrichtung eines lokalen Management Committees bei besonders bedeutenden oder risikorelevanten Zweigniederlassungen zur Sicherstellung einer ordnungsgemäßen Leitung und Aufsicht

• Ausreichende zeitliche und fachliche Ausstattung

  Sicherstellung, dass Geschäftsleiter:innen und Schlüsselfunktionen über ausreichend Zeit, die erforderlichen Kenntnisse, Fähigkeiten und Erfahrungen zur ordnungsgemäßen Wahrnehmung ihrer Aufgaben verfügen

• Umgang mit Interessenkonflikten in Kontrollfunktionen

  Nachweis und Bewertung möglicher Interessenkonflikte

Dies umfasst unter anderem:

• Schutz vor Interessenkonflikten bei Leitungsfunktionen

  Etablierung geeigneter Schutz- und Abhilfemaßnahmen zur Vermeidung von Interessenkonflikten, sofern eine interne Kontrollfunktion von einem Mitglied des Leitungsorgans ausgeübt wird

• Stärkung der Stellung von Kontrollfunktionen

  Die Unabhängigkeit der internen Kontrollfunktionen soll über ausreichende Befugnisse und Verankerung in einer Stellung mit direkter Berichterstattung an das Leitungsorgan sichergestellt werden

• Vergütung unter Aufsicht des Leitungsorgans

  Das Leitungsorgan soll die Vergütung der Leitung der internen Kontrollfunktionen direkt überwachen

• Dokumentation bei Zusammenlegung von Funktionen

  Entscheidungen zur Zusammenlegung der Risiko- und Compliance-Funktion unter einer leitenden Person sind nachvollziehbar zu dokumentieren. Dabei ist sicherzustellen, dass ausreichend Zeit für beide Funktionen und die erforderliche Eignung vorhanden ist.

• Unabhängige Leitung der Compliance-Funktion

  An der Spitze der Compliance-Funktion muss ein unabhängiger leitender Angestellter stehen, der seine Aufgaben ohne Einflussnahme wahrnehmen kann.

Dies umfasst unter anderem:

• Integration von Cyber- und IKT-Risiken in die strategische Steuerung

  Cyber- und IKT-Risiken sind systematisch in die strategische Steuerung und das Risikomanagement zu integrieren.

• Sicherstellung operativer Resilienz gemäß DORA

  Sicherstellung einer robusten operativen Resilienz im Einklang mit regulatorischen Vorgaben wie DORA

• Stärkung des Business-Continuity-Managements

  Das Business-Continuity-Management ist so zu gestalten, dass kritische Geschäftsprozesse auch bei schwerwiegenden IT-Störungen oder Cyberangriffen aufrechterhalten oder zeitnah wiederhergestellt werden können.

• Steuerung von Drittanbieter- und Cloud-Risiken

  Risiken aus Drittanbieterbeziehungen, insbesondere bei Cloud-Diensten, sind angemessen zu überwachen und in die Governance- und Risikosteuerung einzubeziehen.