Styring og krav til egnethet

En banklisens gis til en institusjon, men det er i stor grad myndighetene som bestemmer hvem og hvilke strukturer som skal stå bak den. En sterk forretningsplan med et svakt styre vil ikke bli godkjent, og en lisensiert bank hvis ledere ikke lenger oppfyller standarden kan få disse lederne fjernet.

Denne artikkelen forklarer rammeverket for styring som de fleste regulatorer bruker, ved hjelp av EU-reglene som den mest detaljerte publiserte referansen.

Ledelsesorganet

I EU-retten brukes begrepet «ledelsesorgan» både om et enkelt styre og en todelt struktur med et styre og et tilsynsråd. Ledelsesfunksjonen driver banken fra dag til dag, mens tilsynsfunksjonen overvåker og utfordrer ledelsen.

Minimumsvilkårene starter ved autorisasjon. CRD Artikkel 13 Det stilles krav om at «minst to personer faktisk leder virksomheten» til en søker, ofte kalt fire-øyne-prinsippet.Autorisasjon må nektes dersom medlemmer av ledelsesorganet ikke oppfyller egnethetskravene i artikkel 91.

CRD Artikkel 91 Medlemmene må ha «tilstrekkelig godt omdømme og besitte tilstrekkelig kunnskap, ferdigheter og erfaring til å utføre sine oppgaver», bruke tilstrekkelig tid og handle med ærlighet, integritet og uavhengighet. Organet som helhet må ha «tilstrekkelig kollektiv kunnskap, ferdigheter og erfaring» for å forstå institusjonens aktiviteter og hovedrisikoer.

Begrensninger for styreverv

For institusjoner som er betydelige i størrelse, intern organisering og kompleksitet, begrenser artikkel 91(3) antall styremedlemmer til ett styremedlem med to ikke-ledere eller fire ikke-ledere. Styremedlemskap innenfor samme konsern teller som ett, og myndighetene kan tillate én ekstra ikke-lederrolle.

Styreutvalg

Større banker forventes å ha risiko-, revisjon-, godtgjørelses- og nominasjonskomiteer bestående av ikke-ledelsesmedlemmer med relevant kompetanse, mens mindre banker kan kombinere komiteene der nasjonal lovgivning tillater det. Tilsynsmyndighetene leser komiteens protokoller for å bedømme om utfordringen er reell eller formell.

Tre forsvarslinjer

The EBA Retningslinjer for intern styring (EBA/GL/2021/05), som trer i kraft 31. desember 2021, er i tråd med de tre forsvarslinjene.

Linje	Hvem	Roll
Først	Forretningsområder og støttefunksjoner som IT, HR og juridisk	Ta risikoer og håndter dem direkte, med prosesser og kontroller som holder aktivitetene innenfor risikoappetitt
Sekund	Uavhengig risikostyringsfunksjon og compliance-funksjon	Identifisere, måle, overvåke og rapportere risiko på tvers av institusjonen; utfordre førstelinjen; overvåke samsvar med lov og intern policy
Tredje	Intern revisjon	Uavhengig, risikobasert gjennomgang av styring, prosesser og de to første linjene

I retningslinjene står det at alle interne kontrollfunksjoner skal være uavhengige av virksomheten de kontrollerer, ha tilstrekkelige økonomiske og menneskelige ressurser, og rapportere direkte til ledelsesorganet.Institusjonene kan legge til spesifikke kontrollfunksjoner, for eksempel en AML Compliance-funksjon eller IT-sikkerhetskontroll.

For en ny bank er den praktiske testen bemanningen, enten det er en risikosjef som også har ansvar for treasury, eller en compliance-ansvarlig som rapporterer til salgssjefen. Små banker kan kombinere noen roller, men tilsynet forventer tydelig uavhengighet for lederne av risiko, compliance og internrevisjon.

Nøkkelfunksjonsinnehavere

Nøkkelfunksjonsinnehavere er personer som ikke sitter i ledelsesorganet, men som har vesentlig innflytelse på institusjonens retning, for eksempel lederne av de interne kontrollfunksjonene og økonomidirektøren.

Direktiv (EU) 2024/1619 (CRD VI) legger til en ny artikkel 91a i CRD. Institusjonene har hovedansvaret for å sikre at nøkkelfunksjonsinnehavere til enhver tid har et tilstrekkelig godt omdømme, handler med ærlighet og integritet og besitter tilstrekkelig kunnskap, ferdigheter og erfaring. De må vurdere dem før ansettelse og med jevne mellomrom, og må ikke ansette eller må avskjedige en person som ikke oppfyller standarden.

For store institusjoner skal de kompetente myndighetene selv vurdere lederne av interne kontrollfunksjoner og finansdirektøren i henhold til artikkel 91a nr. 5. CRD VI krever også at en egnethetssøknad skal være mottatt av myndigheten minst 30 virkedager før et nytt ledermedlem eller en ny styreleder tiltrer rollen i store institusjoner. Medlemsstatene måtte anvende de generelle CRD VI-tiltakene fra 11. januar 2026.

Egnethetsvurderinger

Den detaljerte EU-metoden er fastsatt i de felles ESMA og EBA retningslinjene for vurdering av egnethet (EBA/GL/2021/06), som ESMA og EBA setter ut på høring i revidert form i 2026 for å gjenspeile CRD VI. For banker det har direkte tilsyn med, publiserer ECB sin egen veiledning om egnethetsvurderinger.

ECB-veiledningen vurderer medlemmer av ledelsesorganet mot fem kriterier fra artikkel 91 i CRD.

Kriterion	Hva vurderes
Erfaring	Praktisk erfaring og teoretisk kunnskap relevant for stillingen
Omdømme	Strafferettslige og administrative dokumenter, personlig og forretningsmessig oppførsel, og alt som reiser vesentlig tvil om sunn og forsiktig ledelse
Interessekonflikter og selvstendighet	Personlige, profesjonelle, økonomiske og politiske relasjoner; evne til å utfordre
Tidsforpliktelse	Antall og art av andre oppdrag, samt hvor mye tid rollen faktisk krever
Kollektiv egnethet	Om styret som helhet dekker bankens virksomhet og risiko

Erfaringsgrenser

ECB-guiden bruker terskler som skaper en antagelse om tilstrekkelig erfaring, under disse ser ECB nærmere på i stedet for å avvise automatisk.

Roll	Terskel for formodning om tilstrekkelig erfaring
Administrerende direktør	Ti års nylig praktisk erfaring innen bank eller finansielle tjenester, inkludert en betydelig andel på toppledernivå
Administrerende direktør	Fem års nylig praktisk erfaring innen bank- eller finansielle tjenester på toppledernivå
Ikke-utøvende stol	Ti års nylig relevant praktisk erfaring, med en betydelig andel på seniornivå og betydelig teoretisk kunnskap i bank eller et lignende felt
Ikke-administrerende direktør	Tre års nylig relevant praktisk erfaring på høyt ledelsesnivå, inkludert teoretisk kunnskap i bank

Intervjuer

ECB behandler intervjuer som en del av sin faktainnhenting. I henhold til veiledningen er det obligatorisk å gjennomføre intervjuer ved nye ansettelser av konsernsjef og leder for ledelsesorganet i frittstående banker og i den øverste banken i et konsern, mens de for andre roller brukes på et forholdsmessig, risikobasert grunnlag.

Hvordan en vurdering foregår i praksis

1. Institusjonen gjennomfører sin egen egnethetsvurdering og dokumenterer den.
2. Kandidaten fyller ut regulatorens spørreskjema, med CV, erklæringer og støttedokumentasjon.
3. Tilsynsmyndigheten sjekker med andre myndigheter, blant annet i andre land der personen har arbeidet.
4. Tilsynsmyndigheten kan intervjue kandidaten og be om ytterligere informasjon.
5. Tilsynsmyndigheten godkjenner, godkjenner med vilkår som opplæring, eller nekter.
6. Egnetheten vurderes på nytt når det oppstår nye forhold, for eksempel en undersøkelse eller et tilsynsfunn.

Artikkel 91(1) i forordningen CRD Den gir myndighetene makt til å fjerne medlemmer som ikke lenger oppfyller kravene, og den utpeker situasjoner der det er rimelig grunn til mistanke om hvitvasking av penger eller finansiering av terrorisme.

Aksjonærer vurderes også

Eiere av kvalifiserte eierandeler vurderes for omdømme, økonomisk soliditet og legitimiteten til midlene deres. Artikkel 14 i CRD krever at en søker oppgir identiteten til aksjonærer med kvalifiserte eierandeler, eller de 20 største aksjonærene der det ikke finnes noen.

Stoff og sinn og ledelse

Substans betyr at den lisensierte enheten styres og kontrolleres der den er lisensiert, med virkelige mennesker som tar reelle beslutninger, og det er styringsdelen av egnethetstesten.

I EU krever CRD artikkel 13(2) at et kredittinstitusjon med registrert kontor skal ha hovedkontor i samme medlemsland. EBA Retningslinjene for outsourcing sier at institusjoner «til enhver tid bør opprettholde tilstrekkelig substans og ikke bli ‘tomme skall’ eller ‘postkasseenheter’».Dette inkluderer å oppfylle alle vilkår for tillatelse og et ledelsesorgan som effektivt utfører sitt ansvar.

Den samme ideen vises i den globale AML Standarder. FATF ordliste Den fysiske tilstedeværelsen som skiller en ekte bank fra en skyggebank, definerer han som «meningsfullt sinn og ledelse lokalisert i et land», og hevder at en lokal agent eller lavtstående ansatte alene ikke er nok.

Utenfor EU blir substans ofte framstilt som en «mind and management»-test. Central Bank of Bahrain Rulebook gjør mind and management til et lisensbetingelse: konvensjonelle banker med registrert kontor i Bahrain må beholde sitt hovedkontor der, og filialer av utenlandske banker må opprettholde lokal ledelse og lokaler som passer for deres virksomhet.

Tegn på at stoffet mangler

1. Styremøter som holdes utenfor den lisensierende jurisdiksjonen, med lokale styremedlemmer som godkjenner beslutninger tatt andre steder.
2. Ledere som bor i utlandet og besøker av og til.
3. Kjernefunksjoner, for eksempel kredittbeslutninger eller risikostyring, utført av et konsernselskap uten en dokumentert outsourcingsavtale og tilsyn.
4. Et lokalkontor uten ansatte som kan svare på spørsmål fra veiledere.
5. Oppføringer, systemer eller data som den lokale enheten ikke kan få tilgang til uten foreldrenes tillatelse.

Praktiske punkter for søkere

1. Rekrutter kjerneteamet før du søker. Tilsynsmyndighetene vurderer navngitte personer, ikke stillingsbeskrivelser.
2. Match opplevelsen til forretningsmodellen. En digital utlånsbank trenger kreditt- og teknologirisikokompetanse i styret, ikke bare generell bankerfaring.
3. Avslør fullstendig. Utelatelser oppdaget senere skader omdømmet mer enn det opprinnelige problemet.
4. Planlegg for tidsforpliktelse. Ikke-utøvende kandidater med mange mandater kan mislykkes på tid alene.
5. Dokumentuavhengighet. Vis hvordan kontrollfunksjoner er adskilt fra forretningsområder og hvordan de når styret.

Den neste artikkelen dekker compliance-rammeverket som alle banker må operere i: anti-hvitvasking, kjenne din kunde og sanksjonskontroller.