Bekendtgørelse om ledelse og styring af Arbejdsmarkedets Tillægspension

Finanstilsynets bekendtgørelse nr. 1393 af 24/11 2006.

§ 1. Bestyrelsen henholdsvis direktøren skal træffe foranstaltninger, der er tilstrækkelige til, at Arbejdsmarkedets Tillægspension drives betryggende. Bestyrelsen henholdsvis direktøren skal herunder tage stilling til, hvilke foranstaltninger, der er tilstrækkelige til, at bestemmelserne overholdes. Hvilke foranstaltninger, der er tilstrækkelige, vil afhænge af Arbejdsmarkedets Tillægspensions forretningsmodel, herunder af

1) arten, omfanget og kompleksiteten af Arbejdsmarkedets Tillægspensions risici og aktiviteter,

2) Arbejdsmarkedets Tillægspensions struktur eller strukturen af den samlede koncern,

3) de markeder og geografiske områder, som Arbejdsmarkedets Tillægspension opererer på,

4) de pensionsydelser, som omfattes af lov om Arbejdsmarkedets Tillægspension, og

5) de investeringsinstrumenter, som Arbejdsmarkedets Tillægspension handler med.

§ 2. Bestyrelsen skal som led i varetagelsen af den overordnede og strategiske ledelse af Arbejdsmarkedets Tillægspension og under hensyntagen til forretningsmodellen, som afgrænset i lov om Arbejdsmarkedets Tillægspension,

1) træffe beslutning om virksomhedens politikker, jf. § 4,

2) vurdere og træffe beslutning om budgetter, hensættelsesgrundlag, likviditet, væsentlige dispositioner, særlige risici og egne overordnede forsikringsforhold, og

3) vurdere, om direktøren varetager sine opgaver på en betryggende måde og i overensstemmelse med den fastlagte risikoprofil, de fastlagte politikker samt retningslinjerne til direktøren.

Stk. 2. Bestyrelsen skal endvidere som led i varetagelsen af den overordnede og strategiske ledelse af Arbejdsmarkedets Tillægspension

1) mindst én gang årligt foretage en vurdering af alle væsentlige risici, og

2) træffe beslutning om frekvensen for og omfanget af direktørens rapportering til og information af bestyrelsen, således at bestyrelsen har et indgående overblik over Arbejdsmarkedets Tillægspension og dens risici, og at rapporteringen i øvrigt er fyldestgørende for bestyrelsens arbejde

Stk. 3. Bestyrelsen skal med udgangspunkt i Arbejdsmarkedets Tillægspensions forretningsmodel og den i stk. 2, nr. 1 nævnte vurdering af væsentlige risici foretage en vurdering af egen risiko og solvenssituation ud fra en going concern-forudsætning, både på kort og på lang sigt.

§ 3. Bestyrelsen skal løbende vurdere, om dens medlemmer tilsammen besidder den fornødne viden og erfaring om Arbejdsmarkedets Tillægspensions risici til at sikre en forsvarlig drift af virksomheden. Dette gælder særligt tiltag, der kan medføre væsentligt øgede risici for virksomheden eller i væsentlig grad kan påvirke den måde, hvorpå risici opgøres og rapporteres i Arbejdsmarkedets Tillægspension.

§ 4. Arbejdsmarkedets Tillægspensions politikker skal indeholde virksomhedens overordnede strategiske mål for de enkelte risikoområder, herunder identifikation og afgrænsning af de risici, Arbejdsmarkedets Tillægspension ønsker at påtage sig på de pågældende områder, og anvisninger på, hvorledes de strategiske mål opnås.

Stk. 2. Politikkerne skal omfatte:

1) Politik for pensionsmæssige risici, jf. bilag 1.

2) Politik for markeds-, modparts- og kreditrisici (investeringsområdet), jf. bilag 2.

3) Politik for operationelle risici, jf. bilag 3.

4) It-sikkerhedspolitik, jf. bilag 4.

5) Politik for risikostyring, jf. bilag 5.

6) Politik for den interne kontrol, jf. bilag 6.

7) Politik for den interne audit, jf. bilag 8.

8) Politik for indberetning af oplysninger til Finanstilsynet.

9) Compliancepolitik, jf. bilag 6.

10) Fit & proper-politik.

§ 5. Ved opfyldelse af § 2, stk. 3, skal bestyrelsen løbende, dog mindst én gang om året, vurdere, om Arbejdsmarkedets Tillægspensions politikker, jf. § 4, samt retningslinjerne til direktøren, jf. §§ 6 og 7, er betryggende i forhold til Arbejdsmarkedets Tillægspensions forretningsmæssige aktiviteter, organisation og ressourcer samt de markedsforhold, som Arbejdsmarkedets Tillægspensions aktiviteter drives under.

Stk. 2. Vurderingen efter stk. 1 skal foretages i forhold til

1) hvilke risici Arbejdsmarkedets Tillægspension er udsat for, herunder forretningsmodellens indflydelse på risici og risikoniveauer,

2) hvilke aktiviteter de pågældende risici er tilknyttet,

3) omfanget af de enkelte risici, og

4) hvorledes risikotyperne påvirker hinanden, hvis dette er relevant.

Stk. 3. Vurderingen efter stk. 1 skal i fornødent omfang desuden indeholde en stillingtagen til, om Arbejdsmarkedets Tillægspension har

1) et betryggende antal medarbejdere og kompetencer på risikobehæftede aktiviteter,

2) betryggende it-systemer, og

3) betryggende procedurer for hurtig og effektiv kommunikation på tværs af Arbejdsmarkedets Tillægspension.

Stk. 4. Rapporten fra den ansvarlige for risikostyringsfunktionen, jf. bilag 5, nr. 18, skal indgå i bestyrelsens samlede vurderingsgrundlag efter stk. 1.

§ 6. På grundlag af vurderingen af risici, jf. § 2, stk. 2, nr. 1 og i henhold til de i § 4 besluttede politikker skal bestyrelsen udstede skriftlige retningslinjer til direktøren.

Stk. 2. Retningslinjerne skal angive, hvilke dispositioner direktøren selvstændigt kan foretage, og hvilke beslutninger direktøren eventuelt kan træffe med efterfølgende orientering af bestyrelsen.

Stk. 3. Bestyrelsen kan ikke henlægge beføjelser til direktøren, der hører til bestyrelsens overordnede ledelsesopgaver, jf. §§ 2-5, eller i øvrigt er af usædvanlig art eller af stor betydning for Arbejdsmarkedets Tillægspension. Blandt andet kan følgende beføjelser ikke henlægges til direktøren:

1) Beslutning om outsourcing af kritiske eller vigtige operationelle funktioner eller aktiviteter.

2) Bevilling af usædvanlige eller betydende eksponeringer, jf. dog § 117, stk. 1, 4. og 5. pkt., i lov om aktie- og anpartsselskaber (selskabsloven) og eksponeringer omfattet af § 24 c i lov om Arbejdsmarkedets Tillægspension.

3) Ansættelse af ansvarshavende aktuar og revisionschef, jf. § 23, stk. 11, § 24 a samt § 25 p, stk. 4, i lov om Arbejdsmarkedets Tillægspension.

4) Beslutning om principper for opgørelse af risici, jf. § 7, stk. 1, nr. 2, i den løbende risikostyring.

§ 7. Retningslinjerne efter § 6, stk. 1 og 2, skal

1) være i overensstemmelse med bestyrelsens vedtagne politikker og risikoprofilen på de enkelte risikoområder

2) indeholde kontrollerbare grænser for størrelsen af de risici, som direktøren er bemyndiget til at tage på Arbejdsmarkedets Tillægspensions vegne,

3) tage stilling til, i hvilket omfang og eventuelt til hvem direktøren kan videregive beføjelserne angivet i retningslinjerne, og

4) fastlægge principperne for, hvordan udnyttelse af grænserne for hver type af risici opgøres, herunder for hvordan risici hidrørende fra finansielle instrumenter og midler, der på Arbejdsmarkedets Tillægspensions vegne forvaltes af eksterne porteføljeforvaltere, indgår i den samlede risikoopgørelse.

Stk. 2. Retningslinjerne skal utvetydigt angive størrelsen af den enkelte fastsatte grænse for risiko, f.eks. som absolutte tal.

Stk. 3. Retningslinjerne kan kun undtagelsesvis give mulighed for, at direktøren kan disponere risici i en størrelsesorden, der ligger uden for den fastlagte risikoprofil og retningslinjernes grænser, og da kun, hvis forudsætningerne herfor fremgår af retningslinjerne. Kan disse forudsætninger ikke fastlægges, kan forudgående beføjelser til overskridelse af retningslinjernes grænser ikke gives til direktøren.

Stk. 4. Bestyrelsen skal ved udformningen af retningslinjerne til direktøren være betrygget i, at direktøren besidder den fornødne viden og erfaring til at anvende de i retningslinjerne indeholdte beføjelser på en for Arbejdsmarkedets Tillægspensionsbetryggende måde.

Stk. 5. Det skal fremgå af retningslinjerne, hvorledes og hvor hyppigt rapportering til bestyrelsen skal ske. Herunder skal det fremgå, hvorledes og hvor hyppigt direktøren skal rapportere på de områder, hvor bestyrelsen har fastsat grænser for denne, eller hvor der er fastsat grænser i lovgivningen. Det skal således fremgå af rapporteringen, om grænser fastsat i lovgivningen er overholdt. Det skal fremgå, i hvilket omfang de af bestyrelsen fastsatte grænser for risici er udnyttet såvel aktuelt som over tid, herunder om der har været overskridelser af grænserne. Endelig skal rapporteringen omfatte et grundlag for bestyrelsens vurdering af anvendte modellers pålidelighed, hvis Arbejdsmarkedets Tillægspension anvender sådanne modeller.

Stk. 6. Rapporteringen efter stk. 5 skal også omfatte rapportering om midler og risici hidrørende fra midler, der forvaltes af eksterne porteføljeforvaltere, idet det fortsat er bestyrelsens ansvar, at midler, der forvaltes af eksterne porteføljeforvaltere, og øvrige midler tilsammen placeres inden for de af bestyrelsen udstukne retningslinjer og i overensstemmelse med lovgivningen.

§ 8. Direktøren skal forestå den daglige ledelse af Arbejdsmarkedets Tillægspension i overensstemmelse med lovgivningens bestemmelser og de af bestyrelsen vedtagne politikker, jf. § 4, de af bestyrelsen givne retningslinjer, jf. §§ 6 og 7, og eventuelle andre mundtlige eller skriftlige beslutninger og anvisninger fra bestyrelsen.

Stk. 2. Direktøren skal sikre, at de af bestyrelsen vedtagne politikker og retningslinjer implementeres i Arbejdsmarkedets Tillægspensions daglige drift.

Stk. 3. Direktøren er forpligtet til at videregive information til bestyrelsen, som bestyrelsen har anmodet om, samt information, som direktøren vurderer kan være af betydning for bestyrelsens arbejde.

Stk. 4. Direktøren er forpligtet til at videregive de informationer til de ansvarlige for nøglefunktionerne, jf. § 16, stk. 2, som direktøren vurderer kan være af betydning for disses arbejde.

Stk. 5. Direktøren har det daglige ledelsesmæssige ansvar for, at Arbejdsmarkedets Tillægspension kun træffer dispositioner, som direktøren og medarbejdere i fornødent omfang kan vurdere risiciene ved og konsekvenserne af.

Stk. 6. Direktøren skal godkende Arbejdsmarkedets Tillægspensions forretningsgange, jf. § 13, stk. 1, eller udpege en eller flere personer eller organisatoriske enheder med den nødvendige faglige viden til at gøre dette.

Stk. 7. Direktøren skal sikre, at der er anvisninger for, hvilke tiltag der skal iværksættes i forbindelse med alvorlige driftsforstyrrelser, it-nedbrud, øvrige driftsforstyrrelser samt for nøglemedarbejderes fratræden.

Stk. 8. I øvrigt skal direktøren påse overholdelse af de krav, der specifikt fremgår af § 14, § 16 og §§ 22-24 og af bilag 1-6 og 8.

Opgaver og ressourcer

§ 9. Arbejdsmarkedets Tillægspension skal være indrettet i organisatoriske enheder med klart definerede arbejdsopgaver, og alle medarbejdere skal have klare beføjelser, ansvarsområder og referencelinjer. Det skal være klart for de enkelte enheder og medarbejdere, hvilke opgaver der skal udføres, og hvordan opgaverne skal udføres.

Stk. 2. De organisatoriske enheder i Arbejdsmarkedets Tillægspension skal være bemandet ressource- og kompetencemæssigt, således at enhederne på betryggende vis kan løse de opgaver, det påhviler enhederne at udføre.

Information af bestyrelsen og øvrige ledelsesniveauer m.v.

§ 10. Arbejdsmarkedets Tillægspension skal være indrettet således, at den information, der skal tilgå bestyrelse, direktør og ledelse på øvrige organisatoriske niveauer, kan tilgå disse i retvisende og dækkende form for disses arbejde, herunder inden for tidsmæssige rammer og i en form, der sikrer, at eventuelle foranstaltninger kan sættes i værk uden unødigt ophold.

Forebyggelse af interessekonflikter

§ 11. Arbejdsmarkedets Tillægspension skal have procedurer for håndtering og forebyggelse af interessekonflikter.

Stk. 2. Arbejdsmarkedets Tillægspension skal være indrettet således, at der er betryggende funktionsadskillelse.

Stk. 3. Arbejdsmarkedets Tillægspension skal have funktionsadskillelse på investeringsområdet, der indebærer, at medarbejdere, der er involveret i indgåelse af handler og risikotagning, ikke må

1) varetage eller udføre handlernes afvikling,

2) varetage interne kontroller,

3) have ansvar for værdiansættelse og opgørelse af resultater og risici, eller

4) have ansvar for udarbejdelse af rapportering.

Stk. 4. Hvis funktionsadskillelse ikke opretholdes i overensstemmelse med stk. 2-3, skal der indføres betryggende kompenserende foranstaltninger, jf. § 1, der skal sikre, at der ikke påføres Arbejdsmarkedets Tillægspension unødige risici eller tab.

Administrativ praksis

§ 12. Arbejdsmarkedets Tillægspension skal være indrettet således, at de enkelte enheder og medarbejderne har de forretningsgange, manualer, beredskabsplaner, systemer og øvrige redskaber til rådighed, der er nødvendige for udførelsen af deres opgaver, jf. § 13.

§ 13. Arbejdsmarkedets Tillægspension skal have forretningsgange på alle væsentlige aktivitetsområder. Aktiviteter, der vedrører Arbejdsmarkedets Tillægspension i dens egenskab af pensions- og investeringsvirksomhed, anses som udgangspunkt for væsentlige.

Stk. 2. Forretningsgangene skal som minimum

1) være lettilgængelige og overskuelige,

2) på fyldestgørende måde beskrive de aktiviteter, der skal udføres, herunder sikre at lovgivningen, anden relevant regulering samt de af Arbejdsmarkedets Tillægspensions bestyrelse besluttede politikker og retningslinjer efterleves og overholdes,

3) angive, hvilken organisatorisk enhed, personer eller grupper af personer, der skal udføre de enkelte opgaver eller delopgaver, og

4) opdateres løbende ved ændring i interne forhold eller i relevant regulering.

Stk. 3. Forretningsgangene kan foreligge elektronisk. Direktøren skal dog sikre, at de er tilgængelige i tilfælde af systemnedbrud i Arbejdsmarkedets Tillægspension.

§ 14. Direktøren skal sikre, at der er fornøden dokumentation for Arbejdsmarkedets Tillægspensions aktiviteter, herunder at der er forretningsgange for

1) i hvilket omfang beslutninger, beføjelser, udførte opgaver og forretninger samt opståede hændelser skal dokumenteres,

2) i hvilken form dokumentationen skal ske,

3) hvorledes der sikres tilgængelighed til dokumentationen,

4) hvor længe dokumentationen skal opbevares, og

5) hvis relevant, til hvem dokumentationen kan og skal videregives.

Stk. 2. Dokumentationen, jf. stk. 1, skal foreligge enten skriftligt eller elektronisk.

Regnskabsmæssig praksis

§ 15. Arbejdsmarkedets Tillægspension skal have en god regnskabsmæssig praksis. Dette indebærer blandt andet, at

1) Arbejdsmarkedets Tillægspension, jf. § 14, kan dokumentere, at offentliggjorte års- og delårsrapporter, herunder alle enkeltposter og noter, er udarbejdet i overensstemmelse med det regelsæt, der gælder for den pågældende rapport, og at

2) Arbejdsmarkedets Tillægspension indhenter nødvendig information til brug for udarbejdelse af års- og delårsrapporter, herunder al relevant information til brug for fastlæggelse af regnskabsposter, der baseres på regnskabsmæssige skøn.

Nøglefunktionernes formål, organisation m.v.

§ 16. Med henblik på at sikre effektive former for virksomhedsstyring, herunder et effektivt risikostyringssystem og et effektivt internt kontrolsystem, skal direktøren sikre, at Arbejdsmarkedets Tillægspension har følgende fire nøglefunktioner: Risikostyringsfunktion, compliancefunktion, aktuarfunktion og intern auditfunktion.

Stk. 2. Direktøren skal for hver af de fire nøglefunktioner udpege en nøgleperson, der er den ansvarlige for funktionen, jf. dog § 19, stk. 2, og § 20, stk. 3.

Stk. 3. Direktøren skal udarbejde funktionsbeskrivelser af nøglefunktionerne, der fordeler, adskiller og koordinerer nøglefunktionernes arbejdsopgaver og ansvar i overensstemmelse med bestyrelsens politikker med henblik på at forhindre unødigt sammenfald imellem funktionerne og sikre effektivt samarbejde.

Stk. 4. Nøglefunktionerne rapporterer til direktøren på eget initiativ og efter anmodning fra direktøren. I tilfælde af større problemer inden for deres ansvarsområde skal rapportering om disse problemer straks ske. De udpegede nøglepersoner er ansvarlige for nøglefunktionernes rapportering til direktøren. Nøglefunktionerne afleverer mindst en gang årligt en rapport til direktøren, jf. dog § 19, stk. 2, og § 20, stk. 3. Direktøren skal sikre, at nøglepersonerne i nødvendigt omfang kan rette henvendelse og rapportere direkte til bestyrelsen uafhængigt af direktøren, og at de kan give udtryk for betænkeligheder og advare bestyrelsen i de tilfælde, hvor de finder det nødvendigt, uden at dette berører det ansvar, som bestyrelsen har, jf. § 23 i lov om Arbejdsmarkedets Tillægspension.

Stk. 5. Direktøren kan som nøgleperson udpege en overordnet medarbejder, der også har ansvar for andre opgaver end funktionens, jf. dog § 11.

Stk. 6. Direktøren kan vælge, at en nøglefunktions opgaver placeres i organisatoriske enheder uden for nøglefunktionen. Hvis direktøren vælger at placere en nøglefunktion i organisatoriske enheder, som har andre opgaver, skal direktøren sikre, at placeringen af nøglefunktionen er betryggende, herunder at eventuelle interessekonflikter i forhold til varetagelsen af funktionens opgaver og øvrige opgaver håndteres betryggende.

Stk. 7. Uanset stk. 6 skal nøglepersonen sikre, at nøglefunktionen udfører opgaver henhørende under funktionen på betryggende vis.

Stk. 8. Arbejdsmarkedets Tillægspension kan outsource en eller flere nøglefunktioners opgaver helt eller delvist. Direktøren skal fortsat udpege en nøgleperson, der er den ansvarlige for nøglefunktionen, jf. stk. 2.

Risikostyring og risikostyringsfunktion

§ 17. Arbejdsmarkedets Tillægspension skal oprette, gennemføre og opretholde et risikostyringssystem, som omfatter følgende:

1) En klart defineret risikostyringsstrategi, som er forenelig med virksomhedens overordnede forretningsstrategi. Strategiens formål og hovedprincipper, de godkendte risikotolerancer og fordelingen af ansvar for alle selskabets aktiviteter skal dokumenteres.

2) En klart defineret procedure for beslutningsprocessen.

3) Skriftlige politikker, som effektivt sikrer, at der foretages definition og kategorisering af væsentlige risici efter de typer, som virksomheden er eksponeret mod, og af risikotolerancegrænser for hver risikotype. Sådanne politikker skal gennemføre virksomhedens risikostrategi, fremme kontrolmekanismer og tage højde for virksomhedens art, omfang og tidshorisonter samt de dermed forbundne risici.

4) Rapporteringsprocedurer og -processer, som sikrer, at oplysninger om de væsentlige risici, som virksomheden er eksponeret mod, og risikostyringssystemets effektivitet overvåges og analyseres aktivt, samt at der foretages passende ændringer i systemet, når det er nødvendigt.

Stk. 2. Arbejdsmarkedets Tillægspension sikrer, at de personer, der reelt driver virksomheden eller andre nøglefunktionsansvarlige, i deres beslutningsprocesser tager højde for de oplysninger, der informeres om inden for rammerne af risikostyringssystemet.

Stk. 3. Arbejdsmarkedets Tillægspension skal, hvor det er relevant, i deres risikostyringssystem indføre stresstest og scenarieanalyse for alle væsentlige risici, som selskabet er eksponeret mod.

Stk. 4. De interne risikostyringsmetoder må ikke udelukkende eller automatisk støtte sig til eksterne kreditvurderinger.

Stk. 5. Arbejdsmarkedets Tillægspension skal have en risikostyringsfunktion med en struktur, der skal lette gennemførelsen af risikostyringssystemet. Det er funktionens overordnede ansvar at have det samlede overblik over virksomhedens risici. Endvidere skal funktionen bistå direktøren med at sikre risikostyringssystemets effektivitet, jf. bilag 5.

Compliance og compliancefunktion

§ 18. Arbejdsmarkedets Tillægspension skal have metoder og procedurer, der er egnede til at opdage og mindske risikoen for Arbejdsmarkedets Tillægspensions manglende overholdelse af den for Arbejdsmarkedets Tillægspension gældende lovgivning, markedsstandarder eller interne regelsæt (compliancerisici).

Stk. 2. Arbejdsmarkedets Tillægspension skal have en effektiv compliancefunktion, jf. bilag 6, der skal kontrollere og vurdere, om metoderne og procedurerne efter stk. 1, og de foranstaltninger, der træffes for at afhjælpe eventuelle mangler, er effektive. Compliancefunktionen skal desuden rådgive direktøren og bestyrelsen om overholdelsen af den lovgivning, som Arbejdsmarkedets Tillægspension er omfattet af i dens egenskab af pensions- og investeringsvirksomhed, vurdere konsekvenser for Arbejdsmarkedets Tillægspension af lovændringer samt identificere og vurdere risici for manglende overholdelse af lovgivning, markedsstandarder eller interne regelsæt, som Arbejdsmarkedets Tillægspension er omfattet af i dens egenskab af pensions- og investeringsvirksomhed.

Aktuarfunktion

§ 19. Arbejdsmarkedets Tillægspension skal have en effektiv aktuarfunktion, som har det overordnede ansvar for de pensionsmæssige hensættelser, jf. bilag 7. Funktionen varetages af personer, som har kendskab til aktuarmatematik og finansmatematik på et niveau, der står i rimeligt forhold til arten, omfanget og kompleksiteten af risici, der er forbundet med Arbejdsmarkedets Tillægspension, og som kan påvise at have relevant erfaring med gældende faglige standarder og andre standarder af relevans for aktuarfunktionen.

Stk. 2. Bestyrelsen kan udpege den ansvarshavende aktuar som ansvarlig for aktuarfunktionen. Den i § 16, stk. 4, nævnte rapport skal da afgives til bestyrelsen og sendes til direktøren.

Intern auditfunktion

§ 20. Arbejdsmarkedets Tillægspension skal have en effektiv intern auditfunktion, der skal vurdere, om virksomhedens interne kontrolsystem og andre elementer af ledelsen og styringen er hensigtsmæssige og betryggende, jf. bilag 8. Den interne auditfunktion skal informere direktøren om sin auditplan. Den interne auditfunktion skal være objektiv og uafhængig af virksomhedens operationelle funktioner. Den interne auditfunktion må ikke i sin audit, vurdering og rapportering af auditresultatet være under påvirkning fra direktøren eller bestyrelsen, da dette kan bringe funktionens uafhængighed og upartiskhed i fare. Den interne auditfunktion må ikke vurdere aktiviteter eller funktioner, som den selv har udført i perioden.

Stk. 2. Den interne auditfunktions rapport til direktøren om funktionens resultater og henstillinger skal indeholde en frist til at afhjælpe eventuelle mangler, angive hvem der er ansvarlige for at afhjælpe disse samt oplyse om status på anbefalinger, der ikke var afhjulpet ved afgivelsen af den foregående auditrapport.

Stk. 3. Bestyrelsen kan beslutte at udpege den interne revisionschef til nøgleperson i den interne auditfunktion og lade den interne revision udføre den interne auditfunktions opgaver. I så fald gælder kravene til intern revision i bekendtgørelse om revisionens gennemførelse i Arbejdsmarkedets Tillægspension, Arbejdsmarkedets Erhvervssygdomssikring og Lønmodtagernes Dyrtidsfond ligeledes. Den i stk. 1-2 nævnte auditplan og rapport skal da afgives til bestyrelsen, og rapporten skal tilgå direktøren til orientering.

Videregivelse af beføjelser

§ 21. Videregivelse af beføjelser mellem bestyrelse, direktør og øvrige ledelsesniveauer skal kunne dokumenteres, jf. § 14, og proceduren herfor skal i relevant omfang fremgå af forretningsgangene, jf. § 13.

Stk. 2. Videregivelse af beføjelser kan kun ske til medarbejdere, der har den fornødne viden, indsigt og erfaring til at kunne anvende de modtagne beføjelser betryggende.

Stk. 3. Ved videregivelse af beføjelser skal som minimum angives:

1) Arten og omfanget af den eller de videregivne beføjelser.

2) Principperne for opgørelse af udnyttelse af beføjelserne.

3) Hvilke produkter og/eller handlinger beføjelsen omfatter.

4) Eventuelle supplerende grænser for risiko samt principperne for opgørelse af sådanne beføjelser, der opfylder kravene i § 7, stk. 1.

5) Hvordan, hvor ofte og af hvilken person eller organisatorisk enhed rapportering skal foretages. Rapportering skal foretages til afgiver af beføjelsen og eventuelle andre.

Stk. 4. Ingen kan videregive beføjelser, der går ud over de beføjelser, den pågældende selv har modtaget. Summen af videregivne beføjelser, herunder beføjelser givet til grupper af medarbejdere, må ikke overstige de beføjelser, der af bestyrelsen er givet til direktøren i medfør af § 6, stk. 2.

Stk. 5. Hvis der er fastsat supplerende risikomål i forbindelse med videregivne beføjelser, skal den, der afgiver beføjelserne, sikre sig, at anvendelse af de supplerende risikomål finder sted på en måde, der sikrer, at der ikke sker overskridelse af øvrige tildelte beføjelser.

Kontroller

§ 22. Direktøren skal sikre, at der foretages kontrol af alle væsentlige risikobehæftede opgaver, herunder

1) overholdelse af samtlige grænser fastsat af bestyrelsen i henhold til § 7, stk. 1, nr. 2, i de til direktøren givne retningslinjer og grænser fastsat i lovgivningen,

2) overholdelse af videregivne beføjelser,

3) dispositioner, hvor Arbejdsmarkedets Tillægspension handler i henhold til fuldmagt fra kunder eller modparter, og hvor Arbejdsmarkedets Tillægspension har forpligtet sig til at overholde grænser for risici, herunder placeringsgrænser, og

4) andre opgaver, som af anden årsag kan medføre væsentlige økonomiske eller andre væsentlige risici for Arbejdsmarkedets Tillægspension, herunder disponering af Arbejdsmarkedets Tillægspensions konti og opgaver i forbindelse med fremskaffelse eller udarbejdelse af grundlag for regnskab og vurdering af egen risiko og solvenssituation.

Stk. 2. Kontrol skal udføres af en anden enhed end den, der har udført opgaven, så interessekonflikter undgås. Det gælder dog ikke kontroller, der har karakter af afstemning, overvågning af, om forretningsgange overholdes, fejlfinding eller lignende, med mindre dette i det konkrete tilfælde ikke er betryggende.

Stk. 3. Kontroller omfattet af stk. 1 og 2 skal foretages med passende intervaller, afhængigt af aktivitetens størrelse, den enkelte risikos væsentlighed og størrelse set i forhold til Arbejdsmarkedets Tillægspensions forretningsmodel, aktivitetsområde og kompleksiteten af de pågældende risici. Kontrollerne skal, hvor der løbende sker dispositioner hen over dagen, omfatte overholdelse af grænser intra-dag. Intra-dag kontroller kan, hvor dette er betryggende, foretages på stikprøvebasis.

Stk. 4. Arbejdsmarkedets Tillægspension skal have passende overvågning af, at administrative opgaver udføres på en betryggende og ensartet måde, og at forretningsgange m.v. bliver overholdt.

Intern rapportering

§ 23. Direktøren skal sikre, at der indføres klare rapporteringsveje, som sikrer hurtig formidling af oplysninger til alle personer, som skal bruge dem, på en måde, der sikrer, at de kan blive opmærksomme på oplysningernes betydning for deres respektive ansvarsområder.

Stk. 2. Direktøren skal sikre, at der løbende sker skriftlig og betryggende rapportering på alle relevante ledelsesmæssige niveauer om overholdelsen og udnyttelsen af samtlige grænser for risikotagning indeholdt i de i medfør af § 6 givne retningslinjer eller i de beføjelser, som direktøren har videregivet. Der skal endvidere ske rapportering om overholdelse af de i lovgivningen fastsatte grænser for risiko på de områder, hvor dette er relevant. Rapporteringen skal også omfatte risici, der styres på Arbejdsmarkedets Tillægspensions vegne af porteføljeforvaltere.

Stk. 3. Rapporteringen skal ske i overskuelig form og give direktøren og øvrige medarbejdere, der har videregivet beføjelser, jf. § 21, oplysning såvel om den aktuelle udnyttelse af de fastsatte grænser som om udnyttelsen over tid.

Stk. 4. Anvender Arbejdsmarkedets Tillægspension interne modeller til opgørelse af risici, skal rapporteringen desuden omfatte relevante back-tests til dokumentation af modellernes pålidelighed.

Stk. 5. Rapportering om videregivne beføjelser, herunder overskridelse af disse, skal ske til den, der har afgivet beføjelserne, med intervaller, der afspejler afgiverens involvering i den daglige disponering, og som fremgår af beføjelserne. Overskridelsen skal sædvanligvis rapporteres senest dagen efter, at overskridelsen er konstateret.

§ 24. Direktøren skal sikre, at der sker rapportering om andre væsentlige forhold, der ikke måtte være omfattet af beføjelser fastsat i retningslinjerne eller i videregivne beføjelser, jf. stk. 2. Det kan f.eks. dreje sig om rapportering vedrørende afstemningsfejl, uregelmæssigheder, tab som følge af operationelle forhold, fejl i regnskab eller budgetter, nøglepersoners fratræden etc.

Stk. 2. Direktøren skal sikre, at Arbejdsmarkedets Tillægspensions forretningsgange, jf. § 13, stk. 1, i videst muligt omfang indeholder anvisninger om, hvilke forhold der skal eller bør rapporteres om, og til hvem rapporteringen skal foretages, herunder skal det fremgå, om rapportering i særlige tilfælde kan eller skal ske til andre end den pågældendes daglige leder eller dennes leder.

§ 25. Overtrædelse af §§ 2-7, § 8, stk. 2-4 og 6-7, §§ 9, 11 og 12, § 13, stk. 1, 1. pkt., stk. 2 og stk. 3, 2. pkt., §§ 14-15, § 16, stk. 1-4, stk. 6, 2. pkt., stk. 7, og stk. 8, 2., pkt. § 17, stk. 1, § 18, stk. 1, § 21, § 22, stk. 1, stk. 2, 1. pkt., stk. 3., 1. og 2. pkt., og stk. 4, § 23 og § 24, stk. 1, 1. pkt., og stk. 2, straffes med bøde.

Stk. 2. Arbejdsmarkedets Tillægspension kan pålægges strafansvar efter reglerne i straffelovens kapitel 5.

§ 26. Bekendtgørelsen træder i kraft den 1. januar 2017.

Stk. 2. Bekendtgørelse nr. 1578 af 22. december 2010 om ledelse og styring af Arbejdsmarkedets Tillægspension ophæves.

Bestyrelsens opgaver og ansvar på pensionsrisikoområdet

Pensionspolitikken

1) Bestyrelsen skal udarbejde en politik for de pensionsmæssige risici, Arbejdsmarkedets Tillægspension må påtage sig, jf. § 4, stk. 2, nr. 1.

2) Politikken skal på de enkelte områder, i det omfang det er relevant og under hensyntagen til Arbejdsmarkedets Tillægspensions risikoprofil på området, Arbejdsmarkedets Tillægspensions størrelse, den overordnede risikoprofil og kompleksiteten af Arbejdsmarkedets Tillægspensions pensionsmæssige aktiviteter, indeholde overordnede anvisninger om følgende forhold:

a) Væsentlige risici, der indgår i opgørelsen af de pensionsmæssige hensættelser.

b) Det ønskede eller acceptable risikoniveau samlet set og for hver af de enkelte typer af pensionsmæssige risici, samt i hvilket omfang og hvordan Arbejdsmarkedets Tillægspension ønsker at afdække disse pensionsmæssige risici.

c) Kreditrisikoen.

Bestyrelsens retningslinjer til direktøren på pensionsrisikoområdet

3) På pensionsrisikoområdet skal retningslinjerne opfylde de fastsatte generelle krav i §§ 6 og 7. Derudover skal de, afhængig af Arbejdsmarkedets Tillægspensions risikoprofil, størrelse og kompleksiteten af de pensionsmæssige aktiviteter, i relevant omfang indeholde principper for den løbende opgørelse af de pensionsmæssige hensættelser.

4) Retningslinjerne skal endvidere i relevant omfang indeholde bestemmelser om information af og kommunikation til medlemmerne, herunder i hvilken udstrækning medlemmerne skal orienteres om bl.a. bonusudsigterne.

Direktørens opgaver og ansvar på pensionsrisikoområdet

Forretningsgange

5) Forretningsgangene på pensionsrisikoområdet skal opfylde de i §§ 12-13 fastsatte generelle krav og i det omfang, det er relevant, omfatte følgende:

a) Procedure for anmeldelse af pensions- og hensættelsesgrundlag

b) Håndtering af ind- og udbetalinger.

c) Principper og metoder ved opgørelse af pensionsmæssige hensættelser.

d) Håndtering af eventuelle outsourcede aktiviteter.

Risikostyring og rapportering på pensionsrisikoområdet

6) Arbejdsmarkedets Tillægspension skal på pensionsrisikoområdet udfærdige periodiske skriftlige rapporter til bestyrelse, direktør og andre ledende medarbejdere i overensstemmelse med de afgivne beføjelser. Rapporteringen skal foretages for de grænser for risikopåtagelse, som de pågældende har videredelegeret i organisationen. Rapporterne kan eksempelvis vedrøre følgende:

a) Levetidsudviklingen.

b) Afløbsresultat på de pensionsmæssige hensættelser.

c) Nødvendige ændringer i pensions- og hensættelsesgrundlaget.

Anvendelsesområder og definitioner

1) Dette bilag vedrører

a) risici som følge af udviklingen i priser, kurser, m.v. på kredit-, rente-, valuta-, aktie- og råvaremarkederne, ejendomsmarkedet og alternative investeringer (markedsrisici),

b) risici på virksomheder eller grupper af virksomheder som følge af Arbejdsmarkedets Tillægspensions investeringer og placering af midler, såsom modpartsrisici og

c) risici som følge af en uforholdsmæssig afhængighed af en bestemt kategori af aktiver, et bestemt investeringsmarkeds eller en bestemt investering (koncentrationsrisici).

2) Ved markedsrisici indgår desuden relaterede risici, der er forbundet med afledte finansielle instrumenter, f.eks. volatilitetsrisici. Renterisici omfatter endvidere ændringer i en given rentekurve (rentestrukturrisici) og spændrisici.

3) Arbejdsmarkedets Tillægspension skal have procedurer til at identificere, måle, overvåge, forvalte, kontrollere og rapportere om og tage behørigt hensyn til risici som følge af ændringer i rentesatser, kurser, priser og øvrige mål og værdier på risikoområderne nævnt under nr. 1, inklusive Arbejdsmarkedets Tillægspensions ikke-handelsmæssige aktiviteter.

Bestyrelsens opgaver og ansvar

Politikken på investeringsområdet

4) Bestyrelsen i Arbejdsmarkedets Tillægspension skal vedtage en politik for investeringsmæssige risici, hvori Arbejdsmarkedets Tillægspensions risikoprofil på området fastlægges under hensyntagen til princippet i § 26 i lov om Arbejdsmarkedets Tillægspension. Ved investering af aktiverne skal der tilstræbes en opretholdelse af aktivernes realværdi.

5) Politikken skal ud over de generelle krav indeholdt i § 4, stk. 1, som minimum indeholde relevante overordnede anvisninger om følgende forhold:

a) Hvilke risici, Arbejdsmarkedets Tillægspension henregner til investeringsområdet.

b) Det ønskede eller acceptable risikoniveau samlet for markedsrisici (herunder rente-, aktie-, valuta- , råvare-, og ejendomsrisici, samt risici fra alternative investeringer), kreditrisici og modpartsrisici og for de enkelte typer af risici.

c) Under hvilke omstændigheder, f.eks. krig, naturkatastrofer og uro på de finansielle markeder, direktøren skal sikre sig bestyrelsens stillingtagen til, om Arbejdsmarkedets Tillægspension skal fastholde de valgte risikoniveauer, samt proceduren herfor.

d) Principper for den organisatoriske ansvarsfordeling på investeringsområdet, herunder for risikotagning, risikostyring, værdiansættelse og opgørelse af risici, kontrol og rapportering.

e) Mål og sammenligningsgrundlag (eksempelvis i form af benchmarks) til brug for vurderingen af opnåede resultater.

f) Eventuelle særlige typer af risici, som Arbejdsmarkedets Tillægspension specifikt ikke ønsker at påtage sig, eksempelvis aktierisici hidrørende fra unoterede aktier og visse markeder, råvarerisici, risici fra spændforretninger eller risici hidrørende fra visse strukturerede produkter.

g) Likviditetsrisici på den samlede aktivportefølje under hensyntagen til anvisningerne i bilag 5.

h) Egen intern vurdering af modpartsrisiko, herunder hvis modparterne er centralregeringer.

i) Formålene med og strategien for anvendelsen af derivater eller ethvert andet finansielt instrument med tilsvarende egenskaber eller virkninger, måden hvorpå sådanne instrumenter fremmer effektiv forvaltning af porteføljen eller bidrager til at mindske risiciene, samt procedurer for vurdering af risikoen ved sådanne instrumenter og de principper for risikostyring, der skal anvendes i den forbindelse.

j) Hvor det er hensigtsmæssigt for at sikre effektiv risikostyring, interne kvantitative begrænsninger for aktiver og eksponering.

Bestyrelsens retningslinjer til direktøren på investeringsområdet

6) På investeringsområdet skal retningslinjerne opfylde de generelle krav fastsat i § 7 og i det omfang, det er relevant for Arbejdsmarkedets Tillægspension, angive

a) grænser for Arbejdsmarkedets Tillægspensions rente-, aktie-, valuta-, råvare-, ejendoms, modparts-, kredit- og koncentrationsrisici, samt risici ved investeringer i alternative aktiver, fastsat såvel for aktiver, der skal dække de pensionsmæssige hensættelser, som for øvrige aktiver,

b) hvorledes de enkelte risici opgøres, og hvorledes de enkelte instrumenter medregnes ved opgørelsen,

c) grænser for den samlede rentefølsomhed på aktiver og passiver,

d) grænser for særlige risici, der knytter sig til komplekse eller usædvanlige produkter, herunder risici ved strukturerede produkter, eller til Arbejdsmarkedets Tillægspensions aktiviteter på investeringsområdet i øvrigt, som f.eks. volatilitetsrisici, rentestrukturrisici og spændrisici,

e) til hvilket formål værdipapirer, valutaer og afledte finansielle instrumenter må handles, f.eks. risikoafdækning eller aktiv risikotagning,

f) hvilke valutaer eller grupper af valutaer, der må handles eller tages positioner i, og til hvilke formål der må handles henholdsvis tages positioner,

g) hvilke typer af afledte finansielle instrumenter, der må handles og eventuelt tages positioner i,

h) hvilke øvrige typer af produkter, herunder strukturerede produkter, der må handles og eventuelt tages positioner i,

i) på hvilke markeder eller handelspladser, samt i hvilke lande eller grupper af lande der må handles, og

j) likviditetsrisici på enkeltaktiver og den samlede aktivportefølje under hensyntagen til anvisningerne i bilag 5.

Direktørens opgaver og ansvar

Risikoopgørelser og opgørelser af gevinst eller tab m.v.

7) Såfremt Arbejdsmarkedets Tillægspension selv beregner risici og gevinst eller tab ved samt værdier af afledte finansielle instrumenter og andre poster med markedsrisici, skal direktøren sikre, at Arbejdsmarkedets Tillægspension har betryggende metoder hertil, herunder at det kan kontrolleres, at beregningen sker korrekt.

8) Såfremt Arbejdsmarkedets Tillægspension indhenter risikoopgørelser og opgørelser af gevinst eller tab samt værdier af afledte finansielle instrumenter og andre poster med markedsrisici fra eksterne parter, skal direktøren sikre sig, at de pågældende udfører opgaven på betryggende vis. Direktøren skal desuden sikre sig, at virksomheden løbende evaluerer, om de fra eksterne parter modtagne og anvendte kurser, parametre m.v. er korrekte, og dermed sikrer et retvisende billede af Arbejdsmarkedets Tillægspensions risici samt korrekt opgjorte regnskabsposter.

Forretningsgange på investeringsområdet

9) Forretningsgangene på investeringsområdet skal ud over de generelle krav indeholdt i § 13 omfatte

a) procedurer for indgåelse, kontrol, registrering, bogføring og afvikling af handler med værdipapirer, valuta, afledte finansielle instrumenter og eventuelle andre markedsrisikobehæftede aktiviteter,

b) fremgangsmåderne for den løbende opgørelse og overvågning af risici, gevinst eller tab og værdier,

c) procedurer for overholdelse af grænser for placering af midler og for risikotagning fastsat i lovgivningen og i interne retningslinjer, beføjelser m.v.,

d) udarbejdelse af ledelsesrapportering på investeringsområdet, og

e) procedurer for introduktion af forretningsmæssige aktiviteter i nye finansielle instrumenter og andre produkter med markedsrisici.

Konstatering af om risici ligger inden for beføjelser

10) Det skal være muligt for disponerende medarbejdere at konstatere, om de dispositioner, de har til hensigt at foretage, ligger inden for deres beføjelser. Tilsvarende gælder ved kollektive beføjelser, hvor flere medarbejdere kan disponere inden for en fælles beføjelse.

Kontroller på investeringsområdet

11) På investeringsområdet skal der etableres interne kontroller, der opfylder kravene i § 22, og som afhængigt af arten, omfanget og kompleksiteten af Arbejdsmarkedets Tillægspensions aktiviteter på investeringsområdet omfatter kontrol af følgende:

a) Om beføjelser overholdes, idet overholdelse af samtlige grænser for samtlige personer, der har beføjelser, skal kontrolleres. Det skal herunder kunne konstateres, om beføjelser overholdes i løbet af dagen. Intra-dag-kontrol skal, som minimum foretages på stikprøvebasis, idet stikprøvens størrelse og hyppighed skal afspejle aktivitetsomfanget.

b) Om retningslinjernes grænser for placering af midler og begrænsninger for risici på enkelte virksomheder eller grupper af virksomheder overholdes.

c) Om opgørelse af og rapportering om positioner og risici sker korrekt.

d) Om handler indgås til korrekte kurser og priser.

e) Om gevinst eller tab på markedsrisikobehæftede dispositioner opgøres korrekt.

f) Afstemning af beholdninger af værdipapirer, finansielle instrumenter og konti.

g) Om modtagne og anvendte kurser, parametre m.v. fra eksterne parter er korrekte og dermed sikrer et retvisende billede af Arbejdsmarkedets Tillægspensions risici.

12) Det skal, jf. § 22, stk. 3, overvåges, om handel, registrering, bogføring og afvikling af handler sker i henhold til forretningsgangene herfor, ligesom der skal ske afstemning af Arbejdsmarkedets Tillægspensions beholdninger af værdipapirer, finansielle instrumenter og konti.

Anvendelsesområder og definitioner

1) Ved operationel risiko forstås risiko for tab som følge af uhensigtsmæssige eller mangelfulde interne procedurer, menneskelige fejl og systemmæssige fejl eller som følge af eksterne begivenheder, herunder juridiske risici. Omdømmerisiko og strategiske risici anses ikke for operationelle risici i denne bekendtgørelse, men skal i det omfang, det er relevant, behandles efter de samme principper som operationelle risici.

2) Ved modelrisiko forstås Arbejdsmarkedets Tillægspensions potentielle tab som konsekvens af beslutninger, der hovedsagelig baseres på output fra interne modeller, på grund af fejl i udviklingen, gennemførelsen eller anvendelsen af sådanne modeller.

3) Med hændelser forstås begivenheder, der kan medføre tab, har medført tab eller som kunne have medført tab for Arbejdsmarkedets Tillægspension.

Bestyrelsens opgaver og ansvar

Politikken for operationel risiko

4) Politikken for operationelle risici skal, ud over de i § 4 indeholdte generelle krav for at sikre en entydig ansvarsfordeling med hensyn til regelmæssigt at identificere, dokumentere og overvåge relevante eksponeringer for operationel risiko, omfatte

a) en identifikation af, hvilke typer af hændelser Arbejdsmarkedets Tillægspension kan blive ramt af og som kan medføre tab, som bestyrelsen ikke kan acceptere,

b) principperne for opsamling af oplysninger om hændelser, der kan anses for henhørende under området for operationelle risici, samt i hvilket omfang sådanne hændelser skal registreres,

c) efter hvilke overordnede principper Arbejdsmarkedets Tillægspension skal indrettes med henblik på at holde operationelle risici på et for bestyrelsen acceptabelt niveau,

d) arten og størrelsen af de stedfundne hændelser og tab, der skal ske rapportering om til bestyrelsen, og

e) principperne for rapportering om operationelle risici til bestyrelsen i øvrigt.

5) Bestyrelsen skal i politikken, i det omfang det er relevant, forholde sig til

a) særlige operationelle risici knyttet til Arbejdsmarkedets Tillægspensions forretningsmodel og aktiviteter,

b) integrationen, stabiliteten og egnetheden af Arbejdsmarkedets Tillægspensions it-systemer,

c) omfanget af manuelle rutiner, f.eks. i forbindelse med kontrol og afvikling af handler, kontroller og ikke-integrerede it-systemer,

d) afhængighed af eksterne forhold, herunder underleverandører,

e) organisation, herunder omfanget af interne kontroller og eventuel manglende mulighed for at etablere funktionsadskillelse,

f) fysisk sikkerhed, og

g) modelrisiko.

6) Bestyrelsen skal være særligt opmærksom på hændelser, der forventes at indtræde med lav sandsynlighed, men med store tab til følge.

7) Bestyrelsen skal tage stilling til relevante hændelser, og hvorledes disse forebygges eller imødegås. Hændelser, der ikke skønnes at kunne medføre tab af betydning, kan behandles summarisk i politikken.

Bestyrelsens retningslinjer til direktøren på området for operationel risiko

8) Bestyrelsen skal i sine retningslinjer til direktøren, jf. §§ 6 og 7, fastsætte

a) principper for indretningen og driften af Arbejdsmarkedets Tillægspension med henblik på at holde operationelle risici på et for Arbejdsmarkedets Tillægspension acceptabelt niveau,

b) principper for, hvorledes operationelle risici skal opgøres,

c) principper for, herunder eventuelle beløbsmæssige grænser for, registrering af oplysninger om hændelser, der har medført tab eller som kunne have medført tab som følge af operationelle risici, og

d) retningslinjer for rapportering til bestyrelsen om operationelle risici og tab som følge heraf, jf. litra b og c.

Direktørens opgaver og ansvar

9) Direktøren skal indrette Arbejdsmarkedets Tillægspension således, at operationelle risici begrænses og styres inden for de principper, der er fastsat af bestyrelsen, samt sikre, at alle relevante medarbejdere har kendskab til Arbejdsmarkedets Tillægspensions politik for operationelle risici.

10) Det påhviler direktøren at sikre, at

a) oplysninger om hændelser, der medførte tab, eller som kunne have medført tab, registreres i overensstemmelse med bestyrelsens politik for operationelle risici og retningslinjerne,

b) der er effektive systemer og metoder til at kommunikere og dokumentere oplysninger om operationelle risici,

c) alle medarbejdere har tilstrækkelig viden om operationelle risici til at løse deres opgaver på området,

d) områder, systemer og produkter, der kan medføre væsentlige operationelle risici identificeres, samt at

e) der er forretningsgange for opsamling, opgørelse og rapportering af tab og eventuelt opstået risiko for tab.

11) Direktøren skal på forhånd vurdere, om og i hvilket omfang beslutninger kan medføre operationelle risici, der er i strid med den af bestyrelsen fastsatte politik og strategi på området. Dette gælder såvel for principielle beslutninger på forretningsmæssige områder, herunder handel med nye finansielle instrumenter, som væsentlige beslutninger om Arbejdsmarkedets Tillægspensions drift og indretning. Dette kan kræve, at direktøren inddrager den ansvarlige for risikostyringsfunktionen, jf. § 16, stk. 2, § 17, stk. 2, samt bilag 5.

12) Direktøren skal løbende vurdere, om der er områder, hvor de operationelle risici skal søges minimeret, og i givet fald fastlægge en handlingsplan for dette.

Anvendelsesområde og definitioner

1) Dette bilag indeholder bestemmelser om de i bekendtgørelsen omhandlede forhold, der særligt relaterer sig til it-sikkerhedsområdet, herunder it-sikkerhedsstyringen.

Bestyrelsens opgaver og ansvar

2) Bestyrelsen skal beslutte en it-sikkerhedspolitik for Arbejdsmarkedets Tillægspension.

3) It-sikkerhedspolitikken skal ud fra den ønskede risikoprofil på it-området indeholde en overordnet stillingtagen til alle væsentlige forhold vedrørende it-sikkerheden set under hensyn til omfanget og kompleksiteten af Arbejdsmarkedets Tillægspensions it-anvendelse. Følgende forhold kan f.eks. være relevante at tage stilling til:

a) Organisering af it-arbejdet, herunder funktionsadskillelse mellem systemudvikling/-vedligeholdelse, it-drift og Arbejdsmarkedets Tillægspensions daglige drift.

b) Regelmæssig risikovurdering.

c) Beskyttelse af systemer, data, maskinel og kommunikationsveje.

d) Systemudvikling og vedligeholdelse af systemer.

e) Driftsafvikling.

f) Backup og sikkerhedskopiering.

g) Målsætning for beredskabsplaner.

h) Kvalitetssikring.

i) Principper for implementering af politikken i uddybende retningslinjer, forretningsgange og instrukser.

j) Forholdsregler i tilfælde af brud på it-sikkerhedspolitik og sikkerhedsregler.

k) Overholdelse af relevant lovgivning.

l) Rapportering, kontrol og opfølgning.

m) Eventuelle dispensationer fra it-sikkerhedspolitikken.

4) Bestyrelsen skal regelmæssigt og mindst en gang årligt vurdere it-sikkerhedspolitikken, herunder hvorvidt it-sikkerhedspolitikken er tilstrækkelig til at sikre, at de risici, som it-anvendelsen medfører og forventes at medføre, fremover er på et for Arbejdsmarkedets Tillægspension acceptabelt niveau.

5) It-sikkerhedspolitikken skal i videst mulig omfang være uafhængig af den anvendte teknologi.

Direktørens opgaver og ansvar

6) Direktøren skal sikre, at Arbejdsmarkedets Tillægspensions it-sikkerhedspolitik efterleves. Direktøren skal uddybe it-sikkerhedspolitikken i procedurer mv., der understøtter, at

a) ansvar, herunder ejerskab for it-processer og ressourcer, er placeret,

b) funktionsadskillelsen bliver overvåget,

c) der er kontrol med opretholdelse af det ønskede it-sikkerhedsniveau samt håndtering af eventuelle svagheder,

d) systemer og data klassificeres og prioriteres,

e) systemer (både basis- og brugersystemer) og konfiguration (hardware) samt ændringer hertil dokumenteres,

f) der er sikkerhedskopiering af systemer og data, herunder opbevaring af sikkerhedskopierne,

g) der anskaffes tilstrækkelige it-ressourcer,

h) systemudvikling, konfigurering og vedligeholdelse samt afprøvning af nye og ændrede systemer sker betryggende,

i) der foretages test og anden kvalitetssikring,

j) der foretages ændringshåndtering og problemstyring,

k) der sker adgangskontrol til systemer og data, og

l) der er tilstrækkelig fysisk sikkerhed, herunder fysisk adgangskontrol.

7) Herudover skal Direktøren sikre, at der udarbejdes en it-beredskabsplan, der indeholder målsætning for genetablering af normal drift i tilfælde af fejl, nedbrud, tab af data eller systemer samt hel eller delvis ødelæggelse af bygninger, maskinel og kommunikationsveje i overensstemmelse med bestyrelsens målsætning, jf. oven for nr. 3, litra g). I planen skal der være

a) en beskrivelse af, hvorledes der etableres en beredskabsorganisation, samt

b) aktivitetsplaner i tilfælde af alvorlige systemnedbrud, fejl og forstyrrelser i it-anvendelsen.

8) Direktøren skal sikre, at beredskabsplanen afprøves regelmæssigt, og Arbejdsmarkedets Tillægspension skal have regler om rapportering af resultatet af en afprøvning af beredskabsplanen.

Risikostyringssystemet

1) Bestyrelsen skal sikre, at risikostyringssystemet mindst dækker følgende områder:

a) Pensionsmæssige risici (hensættelser).

b) Investeringsmæssige risici (investeringsområdet).

c) Aktiv-passiv styring.

d) Styring af likviditets- og koncentrationsrisici.

e) Styring af operationel risiko.

f) Genforsikring og andre risikoreduktionsteknikker.

Politik for risikostyring

2) Bestyrelsen skal udarbejde en politik for risikostyring, som effektivt sikrer, at der foretages definition og kategorisering af væsentlige risici efter de typer, som Arbejdsmarkedets Tillægspension er eksponeret mod, og af risikotolerancegrænser for hver risikotype. Politikken skal som minimum

a) definere risikokategorier og metoder til at måle risici,

b) beskrive, hvordan Arbejdsmarkedets Tillægspension forvalter de enkelte relevante risikokategorier, risikoområder og enhver mulig akkumulering af risici,

c) beskrive forbindelsen mellem Arbejdsmarkedets Tillægspensions vurdering af egen risiko og solvenssituation og Arbejdsmarkedets Tillægspensions risikotolerancegrænser,

d) specificere risikotolerancegrænser i alle relevante risikokategorier i overensstemmelse med Arbejdsmarkedets Tillægspensions overordnede risikovillighed,

e) beskrive frekvensen og indholdet af regelmæssige stresstests og de situationer, som kan føre til ad-hoc stresstest, og

f) inddrage likviditetsrisici, herunder procedurer for fastlæggelse af misforholdet mellem likviditetstilførsel og likviditetsforbrug af både aktiver og passiver, hensyntagen til det samlede likviditetsbehov på kort og mellemlangt sigt, hensyntagen til niveauet og overvågningen af likvide aktiver.

Politik for vurdering af egen risiko og solvenssituation

3) Bestyrelsen skal udarbejde en politik for vurdering af egen risiko og solvenssituation, der skal være passende i forhold til Arbejdsmarkedets Tillægspensions organisationsstruktur og risikostyringssystem og fastlægges under hensyntagen til arten, størrelsen og kompleksiteten af Arbejdsmarkedets Tillægspensions risici. Politikken skal indeholde alle relevante aspekter, herunder som minimum

a) en beskrivelse af de anvendte metoder, forudsætninger, processer og procedurer til vurdering af Arbejdsmarkedets Tillægspensions egen risiko og solvenssituation,

b) information om hvilke former for stresstest og risikoanalyser, jf. nr. 8, der skal udføres som led i vurdering af egen risiko og solvenssituation,

c) information om frekvensen og tidspunktet for foretagelse af vurdering af egen risiko og solvenssituation samt en angivelse af, hvilke forhold og omstændigheder der anses for at medføre væsentlige ændringer i risikoprofilen, og som udløser behov for en vurdering af egen risiko og solvenssituation udenfor den almindelige tidsplan.

Politik for aktiv-passiv-styring

4) Bestyrelsen skal udarbejde en politik for aktiv-passiv-styring. Politikken skal indeholde alle relevante aspekter, herunder som minimum

a) det strukturelle misforhold mellem aktiver og passiver, herunder især disse aktivers og passivers misforhold med hensyn til varighed,

b) indbyrdes afhængighed mellem risici for forskellige forsikrings- eller genforsikringsforpligtelser,

c) Arbejdsmarkedets Tillægspensions ikke-balanceførte eksponeringer, og

d) anvendelsen af relevante metoder til risikoreduktion i aktiv-passiv-styringen.

Politik for styring af likviditetsrisici

5) Bestyrelsen skal udarbejde en politik for styring af likviditetsrisici, der som minimum skal omfatte

a) foranstaltninger, som Arbejdsmarkedets Tillægspension skal træffe til at tage højde for både kort- og langsigtede likviditetsrisici,

b) anvisninger for sammensætningen af aktiver, således at sammensætningen er hensigtsmæssig med hensyn til art, varighed og likviditet og Arbejdsmarkedets Tillægspension kan indfri sine forpligtelser i takt med, at de forfalder, og

c) en plan for håndtering af ændringer i forventet likviditetstilførsel og likviditetsforbrug.

Direktørens opgaver og ansvar

Dokumentation og rapportering

6) Hver enkelt vurdering af egen risiko og solvenssituation skal være skriftligt dokumenteret. Dokumentationen skal have en detaljeringsgrad, der gør det muligt for en tredjepart at evaluere de foretagne vurderinger og beregninger. Dokumentationen skal udformes, således at den på anmodning kan indsendes til Finanstilsynet på papir eller andet varigt medium. Det er herudover op til Arbejdsmarkedets Tillægspension at fastlægge, hvordan dokumentationen skal udformes.

7) Dokumentationen skal omfatte en beskrivelse af de metoder, forudsætninger, processer og procedurer, der er anvendt til vurderingen, samt en beskrivelse af vurderingens resultater og konklusioner. Følgende skal som minimum indgå i dokumentationen:

a) Dokumentation for, at bestyrelsen har godkendt metoderne til vurdering af egen risiko og solvenssituation.

b) Dokumentation for, at bestyrelsen har foretaget vurderingen af egen risiko og solvenssituation, og en redegørelse for, hvordan bestyrelsen har udfordret vurderingens resultater.

c) En beskrivelse af de risikoanalyser, der er anvendt i vurderingen af egen risiko og solvenssituation, af den kvantitative opgørelse af risiciene og af den kvalitative beskrivelse af risiciene samt en angivelse af, hvilke potentielle inde- eller udefrakommende påvirkninger der er taget i betragtning.

d) En redegørelse for sammenhængen mellem vurderingen af egen risiko og solvenssituation og de godkendte risikotolerancer.

e) En begrundet redegørelse for eventuelt planlagte ledelseshandlinger, der vil kunne påvirke Arbejdsmarkedets Tillægspensions vurdering af egen risiko og solvenssituation.

Risikoanalyser

8) I risikoanalyserne, jf. nr. 7, litra c), skal der indgå vurderinger af forudsætninger, herunder modellernes input og parametre.

Beslutningsgrundlag

9) Direktøren skal sikre, at nøglepersonen, der er den ansvarlige for risikostyringsfunktionen i relevant omfang inddrages i vurderingen af direktionens og bestyrelsens beslutningsgrundlag, jf. nr. 10.

Risikostyringsfunktionens opgaver på risikostyringsområdet

10) Risikostyringsfunktionen skal varetage følgende opgaver:

a) Bistå direktøren samt andre funktioner med at sikre risikostyringssystemets effektivitet.

b) Overvåge risikostyringssystemet.

c) Overvåge selskabets generelle risikoprofil som helhed.

d) Foretage detaljeret rapportering om risikoeksponeringer og rådgivning til direktøren om risikostyringsspørgsmål, herunder vedrørende strategiske anliggender såsom forretningsstrategi, fusioner og overtagelser samt større projekter og investeringer.

e) Identificere og vurdere nye risici.

f) Opgaverne nævnt i nr.12-20.

11) Risikostyringsfunktionen skal arbejde tæt sammen med aktuarfunktionen for så vidt angår de pensionsmæssige risici.

12) Den ansvarlige for risikostyringsfunktionen skal sikre, at alle væsentlige risici i Arbejdsmarkedets Tillægspension, herunder risici, der går på tværs af Arbejdsmarkedets Tillægspensions organisation, identificeres, måles, overvåges, styres og rapporteres korrekt.

13) Den ansvarlige for risikostyringsfunktionen skal sikre, at risikoeksponeringer i datterselskaber indgår i vurderingen af Arbejdsmarkedets Tillægspensions samlede risikoeksponeringer, jf. § 2, stk.2.

14) Den ansvarlige for risikostyringsfunktionen skal sikre, at risikoeksponeringer i outsourcede funktioner indgår i vurderingen af Arbejdsmarkedets Tillægspensions samlede risikoeksponeringer.

15) Den ansvarlige for risikostyringsfunktionen skal deltage aktivt i udviklingen af Arbejdsmarkedets Tillægspensions risikostrategi, jf. § 4, stk. 1.

16) Den ansvarlige for risikostyringsfunktionen skal på forhånd høres om væsentlige beslutninger, så risikostyringsfunktionen har mulighed for at udtale sig om risikoen forinden.

17) Den ansvarlige for risikostyringsfunktionen skal i sin rapportering omkring de i nr. 12-14 nævnte områder tage stilling til, i hvilket omfang de leverede oplysninger giver direktøren og bestyrelsen det tilstrækkelige beslutningsgrundlag.

18) Den ansvarlige for risikostyringsfunktionen skal mindst én gang årligt udarbejde en rapport til direktøren om Arbejdsmarkedets Tillægspensions risikostyring, jf. § 16, stk. 4. Rapporten skal indeholde den ansvarliges stillingtagen til de under § 17, stk. 5. og de i nr. 12-14 og nr. 16-17 anførte forhold. Rapporten indgår som en del af bestyrelsens samlede vurderingsgrundlag, jf. § 5, stk. 4. Den ansvarlige for risikostyringsfunktionen kan vælge, at rapporten indgår som en del af eller som et tillæg til Arbejdsmarkedets Tillægspensions risikovurdering. Den ansvarlige for risikostyringsfunktionen skal i givet fald sikre, at de i nr. 12 og 13 nævnte forhold klart fremgår af tillægget, og at bestyrelsen er orienteret om, at rapporten indgår som et tillæg.

19) Den ansvarlige for risikostyringsfunktionen skal i relevant omfang give udtryk for betænkeligheder og advare bestyrelsen, når det er passende i de tilfælde, hvor specifikke risikoudviklinger påvirker eller kan påvirke Arbejdsmarkedets Tillægspension.

20) Den ansvarlige for risikostyringsfunktionen rapporterer til direktøren om identificerede potentielt væsentlige risici og om andre specifikke risikoområder, både på eget initiativ og efter anmodning fra direktøren.

21) Den ansvarlige for risikostyringsfunktionen skal underrette direktøren, såfremt en investering medfører en betydelig risiko eller en ændring i risikoprofilen.

Bestyrelsens opgaver og ansvar

Det interne kontrolsystem

1) Bestyrelsen skal sikre, at det interne kontrolsystem er effektivt og som minimum omfatter følgende områder:

a) Administrative procedurer.

b) Regnskabsprocedurer.

c) En intern kontrolstruktur.

d) Passende rapporteringsrutiner på alle niveauer i Arbejdsmarkedets Tillægspension.

e) En compliancefunktion, jf. § 18, stk. 2.

2) Bestyrelsen skal sikre, at det interne kontrolsystem gennemføres på samme måde i hele koncernen.

3) Bestyrelsen skal sikre, at risikokoncentrationer og koncerninterne transaktioner vurderes, overvåges og rapporteres i koncernens interne kontrolsystem, og at der tages højde for indbyrdes sammenhænge og afhængigheder.

Politik for intern kontrol

4) Bestyrelsen skal udarbejde en politik om intern kontrol, jf. § 4, stk. 2, nr. 6. Politikken skal som minimum indeholde en

a) overordnet beskrivelse af Arbejdsmarkedets Tillægspensions kontrolsystem,kort gennemgang af de interne kontroller på forskellige niveauer i organisationen,

b) beskrivelse af, i hvilket omfang kontrolsystemet indeholder krav om godkendelser, bemyndigelser, kontroller, ledelsesvurderinger og andre passende forholdsregler inden for Arbejdsmarkedets Tillægspensions ansvarsområder, og

c) beskrivelse af, hvordan og i hvilket omfang Arbejdsmarkedets Tillægspension følger op på manglende compliance.

Politik for compliance

5) Bestyrelsen skal godkende en af compliance-funktionen udarbejdet compliance-politik. Compliance-politikken skal fastlægge compliance-funktionens ansvarsområder, kompetencer og rapporteringsforpligtelser.

Direktørens opgaver og ansvar

6) Direktøren skal sikre, at Arbejdsmarkedets Tillægspensions medarbejdere kender deres ansvar og opgaver i det interne kontrolsystem.

Compliancefunktionens opgaver

7) Ud over de i § 18, stk. 2 og de i nr. 5 ovenfor nævnte opgaver, skal compliancefunktionen udarbejde en complianceplan. Compliance-planen skal indeholde compliance-funktionens planlagte aktiviteter og tage højde for alle relevante områder i Arbejdsmarkedets Tillægspensions virksomhed samt eksponering mod compliance-risici.

Bestyrelsens opgaver og ansvar

Aktuarfunktionens opgaver

1) Aktuarfunktionen skal varetage følgende opgaver vedrørende de pensionsmæssige hensættelser:

a) Anvende metoder og procedurer til vurdering af, hvorvidt de pensionsmæssige hensættelser er tilstrækkelige, samt sikre at beregningen deraf er i overensstemmelse med kravene herfor.

b) Vurdere den usikkerhed, der er forbundet med de skøn, der er foretaget i beregningen af pensionsmæssige hensættelser.

c) Sikre at eventuelle begrænsninger af data, som er anvendt til at beregne pensionsmæssige hensættelser, afhjælpes.

d) Sikre, at de metoder, underliggende modeller og antagelser, der anvendes og lægges til grund ved opgørelsen af forsikringsmæssige hensættelser, er betryggende.

e) Sikre, at der anvendes de mest relevante approksimative størrelser til at beregne det bedste skøn i specifikke tilfælde, hvor Arbejdsmarkedets Tillægspension ikke råder over en tilstrækkelig mængde data af tilfredsstillende kvalitet til at kunne anvende en pålidelig aktuarmæssig metode på en mængde eller en delmængde af pensionsforpligtelserne.

f) Overveje relevante oplysninger fra de finansielle markeder samt almindeligt tilgængelige oplysninger om pensionsmæssige risici og sikring af, at de indgår i vurderingen af pensionsmæssige hensættelser.

g) Sammenligne og angive begrundelser for eventuelle væsentlige forskelle i beregningen af pensionsmæssige hensættelser fra år til år.

h) Sikre at der foretages en passende vurdering af optioner og garantier i forsikrings- og genforsikringsaftaler.

2) Aktuarfunktionen skal vurdere, hvorvidt de metoder og antagelser, der anvendes i beregningen af pensionsmæssige hensættelser, er relevante for Arbejdsmarkedets Tillægspensions bestand samt for den måde, hvorpå forretningen drives, idet der tages hensyn til de tilgængelige data.

3) Aktuarfunktionen skal vurdere, hvorvidt de informationsteknologisystemer, der anvendes til beregning af pensionsmæssige hensættelser, understøtter de aktuarmæssige og statistiske procedurer.

4) Aktuarfunktionen skal i forbindelse med sammenligning af de bedste skøn med hidtidige erfaringer vurdere kvaliteten af tidligere bedste skøn og bruge resultaterne af denne vurdering til at forbedre kvaliteten af de aktuelle beregninger. Sammenligningen af de bedste skøn med hidtidig erfaringer omfatter sammenligninger mellem observerede værdier og de skøn, der ligger til grund for beregningen af det bedste skøn, med henblik på at konkludere, hvorvidt de anvendte data og antagelser er fyldestgørende, præcise og relevante, samt med henblik på at drage konklusioner om de metoder, der er anvendt i beregningen.

5) De oplysninger, der afgives til direktøren og/eller bestyrelsen om beregningen af pensionsmæssige hensættelser, skal mindst omfatte en begrundet analyse af beregningens pålidelighed og tilstrækkelighed, kilderne og den usikkerhed, der er forbundet med skønnet over pensionsmæssige hensættelser. Den begrundede analyse skal ledsages af en følsomhedsanalyse, som omfatter en undersøgelse af de pensionsmæssige hensættelsers følsomhed over for hver enkelt af de større risici, der er forbundet med de forpligtelser, der er omfattet af de pensionsmæssige hensættelser. Aktuarfunktionen skal klart angive og forklare eventuelle indvendinger mod de pensionsmæssige hensættelsers tilstrækkelighed.

6) Aktuarfunktionen skal i øvrigt varetage følgende opgaver:

a) Afgive udtalelse om reglerne for erhvervelse af pensionsret, idet aktuarfunktionen tager hensyn til det indbyrdes forhold mellem reglerne for erhvervelse af pensionsret, genforsikringsarrangementerne, bonuspolitikken og de pensionsmæssige hensættelser.

b) Afgive udtalelse om, hvorvidt genforsikringsarrangementerne er betryggende, idet aktuarfunktionen tager hensyn til det indbyrdes forhold mellem reglerne for erhvervelse af pensionsret, genforsikringsarrangementerne og de pensionsmæssige hensættelser.

c) Bidrage til den effektive gennemførelse af risikostyringssystemet og Arbejdsmarkedets Tillægspensions vurdering af egen risiko og solvenssituation.

7) Aktuarfunktionen identificerer en eventuel uoverensstemmelse med kravene fastsat i medfør af § 19 i lov om Arbejdsmarkedets Tillægspension om opgørelse af pensionsmæssige hensættelser og foreslår ændringer, hvor det er relevant.

8) Aktuarfunktionen forklarer enhver væsentlig konsekvens af ændringer i data, metoder eller antagelser imellem tidspunkter for værdiansættelse af de pensionsmæssige hensættelser.

9) Aktuarfunktionen skal arbejde tæt sammen med risikostyringsfunktionen omkring de pensionsmæssige risici, herunder bidrage til at belyse, både hvorfra de indbyrdes sammenhænge mellem disse risici stammer, og hvorfra sammenhængene mellem disse risici og andre risici stammer. Aktuarfunktionens bidrag skal være baseret på en pensionsmæssig analyse og skal afspejle funktionens erfaring og ekspertise.

10) Aktuarfunktionen kommer med indstillinger om interne procedurer til forbedring af datakvaliteten, hvor det er relevant.

11) Aktuarfunktionens rapportering til direktøren, jf. § 16, stk. 4, eller til bestyrelsen, jf. § 19, stk. 2, skal redegøre for eventuelle væsentlige afvigelser mellem faktiske erfaringer og bedste skøn, undersøge årsagerne hertil og foreslå ændringer i antagelserne og modifikationer i værdiansættelsesmodellen med henblik på en forbedring af bedste skøn.

Bestyrelsens opgaver og ansvar

Politik for den interne audit

1) Bestyrelsen skal udarbejde en politik for den interne audit, der, som minimum beskriver:

a) vilkår og betingelser for, hvornår den interne auditfunktion kan blive opfordret til at udtale sig eller yde bistand eller udføre andre særlige opgaver,

b) kriterierne for rotation af medarbejderopgaver,

c) hvordan den interne auditfunktion koordinerer koncernens interne auditaktivitet, og

d) hvordan den interne auditfunktion sikrer overensstemmelse med de interne auditkrav på koncernniveau.

Direktørens opgaver og ansvar

2) Direktøren skal træffe passende foranstaltninger for at mindske risikoen for interessekonflikter for den interne auditfunktion.

3) Direktøren skal sikre, at medarbejdere i og den ansvarlige for den interne auditfunktion ikke udfører audit af aktiviteter eller funktioner, som de selv har udført eller udarbejdet grundlaget for i den periode, som den interne audit omfatter.

4) Direktøren kan anmode den interne auditfunktion om at inddrage specifikke emner i den interne audit, uden at dette strider imod funktionens uafhængighed, jf. § 20, stk. 1.

Den interne auditfunktions opgaver

5) Den interne auditfunktion skal varetage følgende opgaver:

a) indførelse, gennemførelse og opretholdelse af en auditplan, som indeholder det auditarbejde, der skal udføres i de kommende år, idet der tages højde for alle Arbejdsmarkedets Tillægspension aktiviteter og hele ledelsessystemet,

b) anvendelse af en risikobaseret tilgang i fastlæggelsen af prioriteter,

c) indberetning af auditplanen til direktøren,

d) udstedelse af henstillinger baseret på resultatet af det arbejde, der er udført i overensstemmelse med litra a), og indgivelse af en skriftlig rapport om funktionens resultater og henstillinger til direktøren eller bestyrelsen, jf. § 20, stk. 2, og stk. 3, 3. pkt., mindst én gang årligt, og

e) kontrol af foreneligheden med bestyrelsens henholdsvis direktørens afgørelser på grundlag af de henstillinger, der er omhandlet i litra d).

6) Den interne auditfunktion kan om nødvendigt foretage auditter, som ikke indgår i auditplanen.

7) Den interne auditfunktion giver ledelsen sin vurdering af, hvorvidt det interne kontrolsystem er tilstrækkeligt og effektivt.

8) Den interne auditfunktions arbejde skal dokumenteres med henblik på at kunne vurdere funktionens effektivitet og muliggøre en gennemgang af den foretagne interne audit og dens resultater.

9) Den interne auditplan skal bygge på en metodisk analyse af risici.