sou · GXB341 · 2009-05-04 00:00:00 — Regeln om ledningsprövning återfinns i punkt 2, som stadgar att dessa personer måste vara tillräckligt väl ansedda och ha tillräcklig erfarenhet för att kunna fullgöra sina uppgifter. 2004/39/EG. 26Detta skedde genom SFS 1996:747. Dessutom infördes motsvarande regel även i lagen (1995:1570) om medlemsbanker och i sparbankslagen (1987:619). 1995/96:173 s. 84 f. omedelbara ledningen av banken och har det direkta ansvaret för verksamheten.28 Utredningen har inte getts anledning att ifrågasätta att den gällande svenska lagstiftningen står i överens- stämmelse med de krav som följer av EG-rätten. En annan sak är att det från () framförts synpunkter om att den svenska ledningsprövningsregeln har en snävare utformning än vad som kan anses ändamålsenligt. Dessa synpunkter framfördes , i samband med en granskning av det svenska regelverket med utgångspunkt i för banktillsyns s.k. , och har upprepats . I fråga om banker framfördes kritik mot att högre chefer och chefer för kontor i utlandet inte omfattades och beträffande försäkringsbolag kritiserades det faktum att vissa personer i andra nyckelpositioner eller i hög ställning inte prövades. Exempelvis nämndes controller, chefsjurist samt investeringsansvarig.29 IMF rekommenderade en ändring av regeln till att omfatta senior management. Vid remissarbetet med den nu gällande LBF förespråkade en utvidgning av regeln, framför allt med anledning av IMF:s synpunkter. I propositionen invändes dock att begreppet senior management har sin grund i det anglosaxiska systemet och saknar motsvarighet i det svenska systemet. En överföring av begreppet till svenska förhållanden ansågs därför medföra mycket svåra gränsdragningsproblem. Regeln förändrades därför inte till sin innebörd jämfört med föregångaren i bankaktiebolagslagen. Vidare konstaterades i propositionen att inspektionen inte hade angett närmare vilka personer som den ansåg ingick i den föreslagna kretsen.30 Inspektionens synpunkter vann därför inget gehör. Inspektionen föreslog senare i en promemoria till att regeln skulle ändras till att avse de som avses ingå i bolagets faktiska ledning.31 Utredningsdirektiven insättningsgarantiutredning innehåller uppdraget att analysera om det finns skäl att utvidga ledningsprövningen så att den kan omfatta en vidare krets än enligt nuvarande reglering. Utredningen har uppfattat bakgrunden till frågan som tudelad. En orsak torde vara de synpunkter från IMF 1995/96:173 s. 85. 29FSAP: Detailed Assessment of Observance of Standards and Codes, , 2002. 2002/03:139 s. 367. 31Se , promemoria daterad . som redogjorts för ovan. En annan orsak torde vara de problem som identifierats i och andra probleminstitut. Problemen har främst haft koppling till bristfällig kredithantering. Exempelvis har krediter beviljats utan tillbörlig säkerhet. Ett annat grundläggande problem har varit bristfälliga rutiner för både bevakningen och nedskrivningen av utestående fordringar. Det har även förekommit att befattningshavare beviljat krediter till sig själva eller till närstående personer på osedvanligt förmånliga villkor. Brister i kredithantering måste betraktas som ett allvarligt problem som kan få stora återverkningar på både enskildas privat- ekonomi och på den finansiella stabiliteten i stort. Den svenska bankkrisen var till stor del en följd av att krediter beviljats mot otillräckliga säkerheter. Liknande orsaker ligger bakom den amerikanska bolånekris som kan sägas ha varit källan till den finansiella kris som spridit sig långt utanför gränser. En ansvarsfull kredithantering bör därför ses som en central förutsättning för en välfungerande finansiell marknad och trygga konsumenter. Det skulle således finnas fördelar med att utvidga ledningsprövningen till poster som innebär ett särskilt ansvar för kredithanteringen. Utredningen vill dock som utgångspunkt understryka att ledningsprövningen i huvudsak syftar till att sålla bort direkt olämpliga personer från ansvarsfyllda poster. Ett utvidgande av ledningsprövningen har därför ett begränsat värde betraktat som garanti för exempelvis en välfungerande kredithantering. Det kan i sammanhanget påpekas att MiFID visserligen har en grundläggande karaktär av harmoniseringsdirektiv, men att direktivets bestämmelser i de aktuella avseendena inte är så precist utformade att de kan anses ställa några hinder i vägen för en sådan utvidgning av prövningen som det här är fråga om. En annan fråga är om en utvidgning av ledningsprövningen kan genomföras utan alltför stora nackdelar. Till att börja utgår utredningen från att de eventuella konkurrenshämmande effekterna kan antas bli små, för det fall att ledningsprövningen skulle utvidgas till de personer som har ett speciellt ansvar för kredithanteringen. Det kan för övrigt knappast ses som ett högt ställt krav att sådana ansvarstyngda befattningar ska tillsättas med personer som för det första besitter åtminstone viss erfarenhet och kunskap från det finansiella området och som för det andra inte visat sig direkt olämpliga till följd av exempelvis tidigare inblandning i brottslighet eller andra oegentligheter. Ett tydligare argument mot en utvidgad ledningsprövning är det faktum att en sådan skulle urholka det övergripande ansvar för hela verksamheten som ur ett bolagsrättsligt perspektiv ligger på styrelsen och ledningen. Ansvaret innebär inte bara att styrelsen och verkställande direktören ska leda verksamheten, utan även övervaka den samt se till att de personer som är anställda är lämp- liga för sina uppgifter. Ansvarsprincipen skapar i detta avseende en tydlig rågång mellan företagsledning och övriga medarbetare och ger påtagliga incitament för ledningen att noggrant vaka över verksamheten i sin helhet. En utvidgad ledningsprövning skulle innebära att ges ett ansvar för kompetensen i bolaget. Enligt utredningens bedömning skulle då ansvars- fördelningen blir otydlig, med uppenbar risk för att de ledande befattningshavarna tar ett mindre ansvar för att övervaka dessa delar av verksamheten. Utredningen finner att redan dessa skäl får anses väga tyngre än den relativt begränsade fördel som skulle uppnås av att ledningspröva en vidare krets. Till detta kommer de gränsdragningsproblem som framhölls i propositionen till LBF. Företagsledningen är i form av styrelse och verkställande direktör (och eventuella vice direktörer) tydligt avgränsad, eftersom posternas innebörder följer av det bolags- rättsliga regelverket. Något motsvarande gränssnitt som omfattar de här aktuella tjänsterna är svårt att identifiera, liksom är fallet med begreppet senior management som diskuterades i LBF- propositionen. Ur ett regleringsperspektiv kan tilläggas att särreglering i allmänhet bör införas endast om det bedöms särskilt angeläget. Detta bör gälla med särskild styrka i fråga om särreg- lering som avviker från en ansvarsfördelningsprincip som är så tydligt befäst i bolagsrätten. 6.3.6Behovet av särskilda it-systemkrav Utredningens förslag: I lag bör anges att ett institut som tar emot eller avser att ta emot insättningar som omfattas av insättningsgarantin ska ha it-system som är så beskaffade att institutet utan dröjsmål ska kunna tillhandahålla en fullständig och tillförlitlig förteckning över institutets samtliga insättare och deras respektive insättningar. Regeringen eller den myndighet som regeringen bestämmer får föreskriva hur institutens it-system ska vara beskaffade. I de institut omfattade av insättningsgarantin som hamnat i svårig- heter har det förekommit att it-systemen uppvisat brister. Detta har framför allt berott på att databaserna varit hemmabyggen eller i allmänhet billiga eller undermåliga. I flera fall har problemen förelegat utan att några åtgärder vidtagits från den bolagsvalda revisorns sida. De observerade bristerna i de aktuella institutens it-system har gett upphov till flera typer av problem. Till att börja med har vid platsbesök upplevt svårigheter att få snabb tillgång till korrekt information om transaktioner, kreditsäkerheter samt andra uppgifter som varit nödvändiga för att bedöma företagets ekonomiska ställning och rutiner. De största problemen har emellertid visat sig drabba garantimyndigheten i själva utbetalningsfasen av ett insättningsgarantifall. Custodiafallet är det tydligaste exemplet på detta. Bristfälliga datasystem och dokumentationsrutiner orsakade ett omfattande merarbete för med att verifiera de drabbade insättarnas kontotillgodohavanden. Till följd av detta fick många insättare vänta på sina utbetalningar längre än de efter konkursbeslutet som stipuleras som huvudregel i 9 § lagen om insättningsgaranti. Till detta kan läggas de större resurser som utbetalningsförfarandet krävde. Det hela ledde inte bara till ökade arbetsinsatser för den personal som var knuten till Insättnings- garantinämndens arbetsstyrka, utan tvingade även nämnden att upphandla extern data- och revisionskompetens för relativt stora belopp. har vidare understrukit att bristfälliga databaser försvårat nämndens arbete även i den avslutande fasen av ett insättningsgarantifall, dvs. medlen ska täckas i största möjliga mån genom att statens fordringar i institutet eller dess konkursbo bevakas. Detta arbete förutsätter att garantimyndigheten har tillgång till tillförlitliga uppgifter som överensstämmer med konkursförvaltarens. Så har inte alltid varit fallet i ärendena i fråga. Det har lett till ytterligare tids- och resursåtgång i garantimyndighetens utredningsarbete. och har även pekat på risken för att ett institut som är på väg mot insolvens kan välja att prioritera vissa fordringsägare eller insättare på ett otillbörligt sätt. I Custodiafallet konstaterades – bl.a. genom en undersökning genomförd av – att bolagets kontroll över bland annat dataåtkomst, backup-rutiner och förändringshantering var bristfällig. Bristerna innebar att databasen var möjlig att manipulera utan större svårigheter. Även i fallet CTA visade bolagets databas prov på stora brister. Inte minst saknades redovisning av bolagets italienska verksamhet i princip helt. Otillräcklig it-säkerhet kan möjliggöra t.ex. att insättnings- datum ändras i efterhand, exempelvis i syfte att ge en viss fordringsägare bättre rätt eller att ge falskt sken av att en viss insättning uppfyller de krav som uppställs för att den ska omfattas av insättningsgarantin. Ett annat exempel är att stora insättningar kan delas upp på konton tillhörande flera insättaren närstående personer, för att insättningsgarantin ska kunna tas i anspråk om för samma insättning. Högre ställda krav på it-systemens standard skulle öka utbetalningsprocessens förutsebarhet, tillförlitlighet och snabbhet samt förebygga missbruk av insättningsgarantin av sådant slag som exemplifierats ovan. Behovet av tillförlitliga it-system har efter de ändringar som antagits i insättningsgarantidirektivet blivit än mer påtagligt.32 Genom ändringen har införts en skyldighet för medlemsstaterna att kunna betala ut ersättning till ett instituts samtliga insättare , om det konstateras att institutet verkar sakna förmåga att betala ut en insättning som förfallit till betalning och att denna oförmåga inte endast är tillfällig. En så snabb utbetalningsprocess ger litet tidsutrymme för arbete med att verifiera att institutets insättaruppgifter är korrekta. Siffrorna måste därför vara tillförlitliga i princip redan vid 32 Ändringarna antogs , dir. 2009/14/EG. tidpunkten för garantins inträde. Eventuellt kan verifieringsarbete till viss del genomföras redan innan garantin träder in. Men oavsett detta måste det – för att ska ha möjlighet att uppfylla direktivets krav – betraktas som en nödvändig förutsättning att institut som tar emot inlåning som omfattas av insättningsgarantin är utrustade med it-system som vid varje givet ögonblick kan tillhandahålla fullständiga och tillförlitliga insättaruppgifter. Det ovan sagda tar som synes sikte på sådan inlåning som omfattas av insättningsgarantin, eftersom argumenten i huvudsak grundar sig i behovet av en snabb och pålitlig utbetalning av garantin. I sammanhanget kan det dock förtjäna att påminnas att det även finns möjlighet att bedriva inlåning som inte omfattas av garantin. Sådan verksamhet lyder då under lagen om inlåningsverksamhet och är betydligt mer oreglerad. I frågan om särskilda krav på it-systemen lämnar utredningen sådan verksamhet därhän, i grund och botten eftersom utredningens uppdrag avser frågor som rör insättningar som är omfattade av insättnings- garantin och som tas emot inom en verksamhet som är föremål för tillståndsprövning och tillsyn. Dessutom ligger det i sakens natur att en inlåningskund helt enkelt inte kan förvänta sig samma nivå av konsumentskydd i fråga om inlåning som inte omfattas av insättningsgaranti. Ett ytterligare skäl är att de argument som anförts ovan om behovet av en snabb och tillförlitlig utbetalning av garantin naturligtvis saknar relevans för sådan inlåning som inte omfattas av insättningsgaranti. Varken tillståndskraven i 3 kap. LBF eller därtill knutna föreskrifter innehåller uttryckliga regler om hur it- systemen hos kreditinstitut ska vara utformade. När ett företag väl beviljats tillstånd, omfattas frågan förvisso av de krav på framför allt riskhantering, intern kontroll och instruktioner som föreskrivs i 6 kap. 1–5 §§ LBF. Dessa regler är dock allmänt hållna och kan därför vara svåra att lägga till grund för konkreta krav och ingripanden från sida vad gäller it-systemen. Det ska dock noteras att 16 kap. 1 § 3 LBF innehåller ett bemyndigande för regeringen eller den myndighet regeringen bestämmer (i praktiken ) att meddela närmare föreskrifter i fråga om vilka åtgärder ett kreditinstitut ska vidta för att uppfylla kraven i 6 kap. 1–5 §§. För värdepappersinstitut följer verksamhetskraven av lagen (2007:528) om värdepappersmarknaden. En av de förutsättningar som i lagens 3 kap. 1 § anges för att tillstånd ska lämnas att bedriva värdepappersrörelse, är att det finns skäl att anta att den planerade verksamheten kommer att drivas enligt lagens bestämmelser och enligt andra författningar som reglerar bolagets verksamhet. Även i fråga om tillstånd för sådan s.k. sidotjänst som inlånings- verksamhet utgör, ska förutsättningarna i 3 kap. 1 § vara uppfyllda. Vidare innehåller lagen motsvarande regler om sundhet, intern kontroll och instruktioner som för kreditinstitut föreskrivs i 6 kap. LBF. Dessa regler återfinns i 8 kap. lagen om värdepappers- marknaden. Av intresse för frågan om it-systemens utformning är lagens krav på: en tillfredsställande riskhantering (8 kap. 4 §), sunda rutiner för förvaltning av verksamheten och för redovisning (8 kap. 11 § 1), rutiner för intern kontroll (8 kap. 11 § 2) effektiv drift och förvaltning av sina informationssystem (8 kap. 11 § 4) dokumentation av samtliga sidotjänster och transaktioner (8 kap. 12 §) samt regler till skydd för kundernas tillgångar (8 kap. 34 och 35 §§). I 8 kap. 34 och 35 §§, som motsvarar artikel 13.7 och 13.8 i MiFID, anges att värdepappersinstitut ska hålla kundernas finansiella instrument åtskilda och att lämpliga åtgärder ska vidtas för att skydda kundernas rättigheter avseende deras medel. I föreskrifter om värdepappersrörelse33 anges bl.a. att ett värdepappersföretag ska upprätta sådan registrering och redovisning som är nödvändig för att omgående kunna skilja tillgångar som företaget innehar för en kunds räkning från dels andra kunder tillgångar dels sina egna tillgångar. I föreskrifterna anges vidare att företagen ska låta de externa revisorerna kontrollera att företagets åtgärder och rutiner enligt 8 kap. 34 och 33 FFFS 2007:16. 35 §§ är lämpliga. Om företaget saknar sådana åtgärder och rutiner ska revisorerna rapportera detta till . finns bestämmelser i lagen om investeringsfonder som ställer krav på att register ska föras över samtliga innehavare i fonden.34 Reglerna ställer inte några krav på hur registret ska vara beskaffat tekniskt och säkerhetsmässigt. 6.3.6.2Utredningens slutsatser om behovet av särskilda it- krav Med hänsyn till de ovan redovisade fördelarna samt inte minst de krav på snabbare utbetalning som följer av de förändringar av insättningsgarantidirektivet som antogs , anser utredningen att införandet av särskilda krav på it-systemen är en absolut nödvändighet i fråga om de institut som vill ta emot insättningar som omfattas av insättningsgarantin. Den naturliga lösningen är att låta dessa bolag bekosta de kontroller som krävs för att erhålla ett godkännande av systemet. Enligt utredningens uppfattning är det en rimlig utgångspunkt att det företag som vill ta på sig det särskilda ansvar som inlåningsverksamhet som omfattas av insättningsgarantin innebär, måste underkasta sig särskilda krav förknippade med verksamhetens särart. Att it- systemen uppfyller de ovan nämnda grundkraven bör krävas för att instituten ska anses uppfylla de grundläggande rörelsekraven för de olika verksamheterna. Uppfylls inte kraven kan det alltså vara en grund för tillståndsåterkallelse eller andra ingripanden från . Instituten bör därför, inom ramen för löpande tillsyn, åläggas att komma in med intyg från en auktoriserad eller godkänd revisor som bekräftar att verksamhetens it-system uppfyller kraven. Att anlita en auktoriserad eller godkänd revisor för att granska systemet och intyga att det uppfyller lagens krav innebär en kostnad för institutet. Därför kan anföras samma argument som ovan om en utvidgning av den ledningsprövade kretsen – dvs. att en sådan ordning skapar ekonomiska och praktiska hinder som gör det svårare för bolag att erhålla tillstånd, vilket kan anses negativt ur ett konkurrensperspektiv. Striktare krav kan dock även få 344 kap. 11 § lagen om investeringsfonder. 2009/14/EG. positiva effekter ur ett konkurrensperspektiv, genom att konsumenternas förtroende för insättningsgarantisystemet stärker deras benägenhet att sätta in sina medel hos de bolag som getts tillstånd att bedriva inlåningsverksamhet. Med hänsyn till det viktiga ansvar som det innebär gentemot insättarna att ta emot insättningar som omfattas av insättningsgarantin, anser dock utredningen att ett tillförlitligt it-system bör betraktas som en naturlig förutsättning för att ett institut ska få ta emot insättningar som omfattas av insättningsgarantin. I synnerhet mot bakgrund av de problem som visade sig i Custodiafallet måste det anses oacceptabelt att ett institut tar emot insättares medel utan att vara utrustat med ett it-system som på ett tillförlitligt sätt håller ordning på relevanta data avseende insättarnas tillgodohavanden. Kostnaden för att upprätta ett godtagbart system samt erhålla intyg från auktoriserad revisor om systemets ändamålsenlighet måste därför betraktas som ett pris som varje sådant institut måste betala. Även för sådana bolag vars verksamhet omfattas av investerarskyddet bör motsvarande it-regler gälla, dvs. för verksamhet hos fondbolagen och förvaltningsbolagen samt hos värdepappersbolagen. Sådana regler bör även omfatta övriga värdepappersinstitut, dvs. som fått tillstånd enligt lagen om värdepappersmarknaden att driva värdepappers- rörelse samt utländska företag som driver värdepappersrörelse från filial i . För värdepappersinstitutens del ställs enligt utredningens uppfattning tillräckliga krav på systemen för hantering av uppgifter om sådana tillgångar som omfattas av investerar- skyddet. Däremot gäller dessa regler inte inlånade medel på konto, vilka omfattas av insättningsgarantin. Regelverket bör därför kompletteras med motsvarande krav på hantering av uppgifter om kunder och deras insättningar på konto för inlåning för värde- pappersbolagen och sådana utländska företag som driver värde- pappersrörelse från filial i . Avslutningsvis kan nämnas att kreditinstitut som valt att inte bedriva verksamhet som omfattas av insättningsgarantilagen eller av investerarskyddet inte omfattas av de krav som ställs på it- systemen. Tillförlitligare it-system vore naturligtvis av godo för alla kreditinstitut, men med hänsyn till de merkostnader kraven kan innebära för det enskilda institutet finner utredningen att kraven bör begränsas till de institut där skälen gör sig gällande på ett särskilt tydligt sätt, dvs. de institut som valt att ta emot insätt- ningar som omfattas av insättningsgarantin eller bedriva verk- samhet som omfattas av investerarskyddet. 6.3.6.3Utformningen av särskilda krav på it-systemen Genom att kräva att ett omfattat institut utan dröjsmål ska kunna tillhandahålla en fullständig och tillförlitlig förteckning över institutets samtliga insättare och deras respektive tillgodohavanden säkerställs att nödvändig information kan göras tillgänglig med kort varsel. Utöver detta behöver det finnas garantier för att systemen inte kan manipuleras. Sådana garantier brukar i huvudsak bestå av tre samverkande faktorer. Utöver dessa funktioner bör ett it-system även vara försett med ändamålsenliga funktioner för säkerhetskopiering. Systemet måste garantera att rätt person gör rätt saker. Enligt den revisionsbyrå som anlitades för att bistå i kontrollerna av Custodia AB:s räkenskaper berodde av problemen med att verifiera insättningar i Custodiafallet på bristfälliga garantier om användarnas behörighet. Systemet måste kunna visa vilka transaktioner och andra åtgärder som gjorts, t.ex. transaktionens storlek, datum och till respektive från vilka konton. I spårbarhetskravet ingår även möjligheterna att utläsa om och i så fall vilka eventuella program- eller systemändringar som gjorts, och när. Sådana ändringar kan annars användas för att kringgå de flesta andra säkerhetsfunktioner i it-systemet. Framför allt spårbarheten förlorar sitt värde om det inte går att lita på att den information som systemet tillhandahåller verkligen är originaluppgifter och inte har lagts in i efterhand. Typiska exempel är en viss transaktions datum eller storlek. Dessa funktioner är vitala för att ett it-system ska kunna betraktas som tillförlitligt. Kraven får betraktas som självklara och det finns i och för sig ingen anledning att tro att instituten i allmänhet inte uppfyller dem. Det hindrar inte att det kan finnas anledning att lagfästa kraven. En svårighet av praktisk art med att införa sådana krav på de ansökande bolagens it-system är hur den erforderliga standarden ska definieras i författning. Strävan bör vara att utforma reglerna på ett så klart och tydligt sätt som möjligt för att dels skapa förutsebarhet för bolagen, dels undvika att bedömning blir komplex och resurskrävande. Viktiga aspekter i sammanhanget är även att krav som ställs upp inte i sig hindrar utvecklingen av nya, kanske bättre system eller inkräktar på konkurrensen mellan leverantörer av system. Att definiera vissa tekniska standarder och prestanda som systemen behöver uppfylla innebär vissa utmaningar i dessa avseenden. Utredningen har inhämtat synpunkter från en ledande revisionsbyrå, som bekräftat att regelverket kan riskera att bli detaljerat, svåröverskådligt och komplicerat att tillämpa. Dessutom är det naturligt att ett detaljerat regelverk riskerar att brista i flexibilitet. Ett problem är i så fall att i nya eller på annat sätt alternativa it-lösningar riskerar att inte passa in i de uppställda ramarna, trots att deras ändamålsenlighet kan vara minst lika god. Utredningens slutsats är därför att detaljerade riktlinjer för bedömningen inte lämpar sig för att lagfästas. I lag bör anges vad systemet ska kunna uppnå, dvs. att utan dröjsmål kunna tillhandahålla en fullständig och tillförlitlig förteckning över institutets insättare och deras respektive tillgodohavanden. Vad som ska avses med utan dröjsmål måste tolkas mycket snävt, i synnerhet mot bakgrund av de krav som insättningsgaranti- direktivet numera ställer, . För att garanti- myndigheten ska ha praktisk möjlighet att betala ut medlen till insättarna är det i princip en nödvändighet att insättaruppgifterna är garantimyndigheten till handa som myndigheten framställer en begäran att få ut uppgifterna.