§ 9-16. Krav til hvordan et verdipapirforetak skal organiseres
- Verdipapirforetak må ha rutiner, kontroll og systemer som sikrer at lov og forskrifter følges.
- Foretaket må dokumentere virksomheten og lagre dokumentasjonen i minst fem år.
- Viktige funksjoner kan ikke legges ut hvis kontroll eller tilsyn svekkes merkbart.
- Styret og daglig leder utarbeider de interne retningslinjene og instruksene.
§ 9-16. Generelle krav til organisering av virksomheten
- Foretaket skal ha tilstrekkelige og betryggende retningslinjer, rutiner og kontrollmetoder som skal sikre at foretaket, dets ledere, ansatte og tilknyttede agenter etterlever sine forpliktelser etter lov og forskrifter.
- Foretaket skal være oppbygd og organisert på en slik måte at risikoen for interessekonflikter mellom foretaket og dets kunder, eller foretakets kunder seg imellom, begrenses til et minimum, jf. § 10-2.
- Foretaket skal treffe rimelige tiltak som skal sikre kontinuitet og regelmessighet i investeringstjenestevirksomheten, herunder ha nødvendige systemer, ressurser og prosedyrer, inkludert IKT-systemer satt opp og håndtert i henhold til forordning (EU) 2022/2554 artikkel 7, jf. lov om digital operasjonell motstandsdyktighet i finanssektoren § 1.
- Foretaket skal treffe betryggende tiltak slik at operasjonell risiko begrenses til et minimum når det benytter seg av en tredjepart til å utføre operasjonelle funksjoner, jf. annet ledd.
- Foretaket skal ha gode administrasjons- og regnskapsrutiner, tilfredsstillende interne kontrollordninger og effektive prosedyrer for risikovurdering, samt stillingsinstrukser som særskilt regulerer ansvarsfordelingen mellom daglig leder og andre ledere av virksomheten.
- Foretaket skal ha tilfredsstillende interne retningslinjer, rutiner og kontrollmetoder for personlige transaksjoner som foretas av foretakets ledere, ansatte og tilknyttede agenter.
- Foretaket skal ha systemer som sikrer pålitelig og korrekt informasjonsoverføring, og som sikrer at opplysningene til enhver tid behandles fortrolig, samt reduserer risikoen for dataforfalskning, informasjonslekkasje og annen ulovlig tilgang til informasjonen i henhold til kravene i forordning (EU) 2022/2554, jf. lov om digital operasjonell motstandsdyktighet i finanssektoren § 1.
- Foretaket skal sørge for dokumentasjon av alle investeringstjenester og all investeringsvirksomhet, herunder alle utførte transaksjoner, som skal være minst så fyllestgjørende at Finanstilsynet kan kontrollere om de regler Finanstilsynet har ansvar for, er overholdt. Slik dokumentasjon skal oppbevares i minst fem år, eller lengre tid dersom Finanstilsynet bestemmer det.
- Foretaket skal ha interne instrukser for de ansattes adgang til å være medlem av styre, bedriftsforsamling eller foretaksforsamling eller ha slik innflytelse som nevnt i aksjeloven § 1-3 annet ledd i selskaper. Slike instrukser skal også omfatte styremedlemmer som har slik innflytelse i verdipapirforetaket som nevnt i aksjeloven § 1-3 annet ledd. Tilsvarende instrukser skal utarbeides for tilfeller der det er gitt unntak etter § 10-4 annet ledd.
- Foretaket skal ha retningslinjer og rutiner for beregning og utbetaling av resultatavhengig godtgjørelse.
- foretakets internkontroll og evne til å påse etterlevelsen av dets forpliktelser blir merkbart forringet, eller
- Finanstilsynets mulighet for å føre tilsyn med virksomheten merkbart forringes eller vanskeliggjøres.
Dette er hovedregelen for hvordan et verdipapirforetak skal være bygd opp innvendig. Den stiller krav til rutiner, kontroll og systemer, slik at foretaket, lederne og de ansatte holder seg innenfor lov og forskrifter. Foretaket må blant annet begrense risikoen for interessekonflikter (situasjoner der foretakets og kundens interesser trekker hver sin vei), sikre at driften går jevnt og stabilt, og ha gode regnskaps- og kontrollordninger. Det skal ha egne regler for personlige handler hos ledere og ansatte, og for hvordan resultatavhengig lønn regnes ut og utbetales.
Systemene må også sikre at informasjon overføres riktig og behandles fortrolig, og redusere faren for manipulering og lekkasjer. Foretaket må dokumentere tjenestene og handlene det utfører, så godt at Finanstilsynet kan kontrollere at regelverket følges. Dokumentene skal lagres i minst fem år, og tilsynet kan kreve lengre tid. Foretaket må videre ha interne instrukser for ansattes verv i styrer og lignende i andre selskaper. Instruksene skal også dekke styremedlemmer med bestemmende innflytelse (kontroll over et annet selskap, etter aksjeloven). Hovedregelen i § 10-4 er at ansatte med innsyn i investeringstjenestene ikke skal sitte i styret i foretak med finansielle instrumenter som handles organisert, eller i forvaltningsselskap for verdipapirfond. Daglig leder kan i særlige tilfeller gjøre unntak, og slike unntak krever egne instrukser.
Foretaket kan legge funksjoner ut til andre, men ikke så viktige oppgaver at foretakets egen internkontroll eller Finanstilsynets mulighet til å føre tilsyn merkbart svekkes. Styret og daglig leder har ansvaret for å utarbeide de interne retningslinjene og instruksene. Departementet kan gi forskrifter om godtgjørelsesordninger, og reglene om godtgjørelse i finansforetaksloven gjelder tilsvarende. Ifølge finansforetaksloven skal en slik ordning være i tråd med foretakets mål og risikotoleranse, og ikke oppmuntre til for høy risikotaking. Forskriften kan også kreve at foretaket offentliggjør opplysninger om ordningen.
Første ledd henger sammen med § 10-2. Der må foretaket treffe egnede tiltak mot interessekonflikter. Hvis tiltakene ikke rekker til for å verne kundens interesser, må kunden få tydelig beskjed om konfliktene på et varig medium. Foretaket kan ikke yte tjenester til kunden før beskjeden er gitt. Naboparagrafene bygger videre på organiseringskravene. § 9-17 krever opptak av telefonsamtaler og lagring av elektronisk kommunikasjon som del av dokumentasjonen. § 9-18 krever at kundens finansielle instrumenter holdes atskilt fra foretakets egne. § 9-19 om produktstyring gjelder foretak som lager finansielle instrumenter for salg til kunder. Flere andre paragrafer viser tilbake hit, blant annet § 9-6 om søknad om tillatelse og § 9-37 om filialer av foretak utenfor EØS.
Eksempel: Et verdipapirforetak vil flytte en viktig funksjon til en tredjepart. Fører flyttingen til at foretakets egen kontroll svekkes merkbart, eller at Finanstilsynet får vanskeligere for å følge med, er den ikke tillatt.
- § 10-4Ansattes verv og eierinnflytelse i andre foretak
- § 1-3Konsern: morselskap, datterselskap og bestemmende innflytelse
- § 15-1Forskrift om godtgjørelsesordning i finansforetak
- § 15-5Offentliggjøring av godtgjørelsesordning
- § 10-2Interessekonflikter i verdipapirforetak