§ 36. Risikostyring og internkontroll

Foretakets retningslinjer og rutiner for styring og kontroll av risiko skal minst omfatte følgende risikoer: a) kreditt- og motpartsrisiko, b) restrisiko, c) konsentrasjonsrisiko, d) risikoer knyttet til verdipapiriseringsaktiviteter, e) markedsrisiko, f) renterisiko i portefølje for annen virksomhet enn handelsportefølje, g) operasjonell risiko, h) likviditetsrisiko og i) risiko knyttet til uforsvarlig gjeldsoppbygging. Kredittgivning skal være basert på forsvarlige og klart definerte kriterier. Kredittporteføljene skal diversifiseres i samsvar med foretakets markedsmålsetting og overordnede kredittstrategi. Retningslinjene for kreditt- og motpartsrisiko skal minst omfatte prosedyrer for bevilgning, endring, fornyelse og refinansiering av kreditt, prosedyrer for identifisering og håndtering av problemengasjementer og prosedyrer for verdireguleringer og nedskrivinger. Retningslinjer for konsentrasjonsrisiko skal dekke enkeltmotparter, grupper av samhørende motparter, sektorkonsentrasjon og geografisk konsentrasjon, samt konsentrasjonsrisiko relatert til sikkerhetsstillelse. Ved verdipapirisering som omfatter trekkrettigheter med adgang til førtidig innfrielse, skal det tas hensyn til likviditetssituasjonen både ved avtalt og ved førtidig innfrielse. Retningslinjene for operasjonell risiko skal omfatte beredskapsplaner for å sikre at driften kan videreføres og tap begrenses ved alvorlige driftsforstyrrelser. Foretaket skal sørge for en forsvarlig likviditetsstyring i samsvar med kravene i denne forskrift del V. Retningslinjene for risikostyring skal omfatte en rutine for å identifisere og evaluere risikoer forbundet med nye og vesentlige endringer i produkter, tjenester og andre aktiviteter, herunder utkontraktering. Kontrollfunksjonene for risikostyring og etterlevelse skal involveres i risikovurderingene. Utkontrakteringsavtalen skal sikre at Finanstilsynet gis tilgang til opplysninger fra og tilsyn med virksomheten der Finanstilsynet finner det nødvendig. Foretaket skal sørge for at organisasjonen besitter tilstrekkelig kompetanse til å håndtere utkontrakteringsavtalen.