prop · H703138 · 2020-03-26 00:00:00 — b)Dotterföretag till moderföretaget till ett försäkrings- eller återförsäkringsföretag som är auktoriserat i den medlemsstaten. c)Ett företag som står under ägarkontroll av samma fysiska eller juridiska person som har ägarkontrollen över ett försäkrings- eller återförsäkringsföretag som är auktoriserat i den medlemsstaten. (1) EUT L 390, 31.12.2004, s. 38. L 335/28 Europeiska unionens officiella tidning 2.Samråd med de myndigheter i en berörd medlemsstat som ansvarar för tillsynen över kreditinstitut eller värdepappersföre tag ska genomföras innan auktorisation beviljas för något av föl jande försäkrings- eller återförsäkringsföretag: a)Dotterföretag till ett kreditinstitut eller värdepappersföretag som är auktoriserat i gemenskapen. b)Dotterföretag till moderföretaget till ett kreditinstitut eller värdepappersföretag som är auktoriserat i gemenskapen. c)Ett företag som står under ägarkontroll av samma fysiska eller juridiska person som har ägarkontrollen över ett kredit institut eller värdepappersföretag som är auktoriserat i gemenskapen. 3.De relevanta myndigheter som avses i punkterna 1 och 2 ska samråda med varandra särskilt när de bedömer lämpligheten hos aktieägarna och alla personer som i praktiken leder företaget eller utför andra centrala funktioner och som ingår i ledningen för en annan enhet i samma grupp. De ska till varandra överlämna alla de uppgifter om lämpligheten hos aktieägarna och alla personer som i praktiken leder företaget eller utför andra centrala funktioner, som är relevanta för övriga berörda behöriga myndigheter när det gäller att bevilja auktorisa tion samt fortlöpande bedöma efterlevnaden av uppställda verksamhetsvillkor. Tillsynsmyndigheter och allmänna regler Medlemsstaterna ska säkerställa att tillsynsmyndigheterna har till gång till de medel som krävs, och att de har relevant expertkom petens, kapacitet och mandat för att uppnå tillsynens huvudsyfte, nämligen skyddet av försäkrings- och förmånstagare. Finansiell stabilitet och procyklikalitet Utan att det påverkar huvudsyftet med tillsynen enligt artikel 27, ska medlemsstaterna se till att tillsynsmyndigheterna vid utövan det av sina allmänna uppgifter tar vederbörlig hänsyn till de potentiella effekter som deras beslut kan komma att få för de berörda finanssystemens stabilitet i Europeiska unionen, särskilt i krissituationer, med hänsyn till den information som finns till gänglig vid tillfället i fråga. I tider av exceptionella rörelser på finansmarknaderna ska tillsyns myndigheterna ta hänsyn till de potentiellt procykliska effekterna av sina åtgärder. Allmänna principer för tillsynen 1.Tillsynen ska utgå från en proaktiv och riskbaserad metod. Den ska innefatta kontinuerlig kontroll av att försäkrings- och återförsäkringsverksamheten fungerar korrekt och att försäkrings- och återförsäkringsföretagen iakttar gällande tillsynsregler. 2.Tillsyn av försäkrings- och återförsäkringsföretag ska inne fatta en lämplig blandning av åtgärder på distans och inspektio ner på plats. 3.Medlemsstaterna ska se till att kraven i detta direktiv tilläm pas på ett sätt som står i proportion till arten, omfattningen och komplexiteten av de inneboende riskerna i varje försäkrings- eller återförsäkringsföretags verksamhet. 4.Kommissionen ska se till att genomförandeåtgärderna beak tar proportionalitetsprincipen så att detta direktiv tillämpas pro portionerligt, särskilt när det gäller mycket små försäkringsföretag. Tillsynsmyndigheter och tillsynens omfattning 1.Hemmedlemsstaten är ensam ansvarig för den finansiella tillsynen över försäkrings- och återförsäkringsföretag, inbegripet den del av verksamheten som företagen bedriver genom filial eller med stöd av friheten att tillhandahålla tjänster. 2.Finansiell tillsyn enligt punkt 1 ska omfatta kontroll avse ende försäkrings- eller återförsäkringsföretagets hela verksamhet, inbegripet dess solvens och upprättande av försäkringstekniska avsättningar, dess tillgångar och medräkningsbara kapitalbas, enligt de regler som medlemsstaten fastställt eller den praxis som tillämpas i hemmedlemsstaten med iakttagande av de bestämmel ser som har antagits på gemenskapsnivå. Om det berörda försäkringsföretaget har auktorisation att för säkra risker som förts till försäkringsklass 18 i del A i bilaga I ska tillsynen utvidgas till att gälla kontroll av de resurser i tekniskt avseende som försäkringsföretaget förfogar över för att kunna utföra den assistans som det har åtagit sig att lämna, om hemmed lemsstatens lagstiftning föreskriver kontroll av sådana resurser. Europeiska unionens officiella tidning L 335/29 3.Om tillsynsmyndigheterna i den medlemsstat där risken är belägen eller i medlemsstaten för åtagandet eller, när det gäller återförsäkringsföretag, i värdmedlemsstaten har anledning att anta att verksamheten i ett försäkrings- eller återförsäkringsföre tag kan påverka dess finansiella sundhet, ska de informera tillsyns myndigheterna i detta företags hemmedlemsstat. Tillsynsmyndigheterna i hemmedlemsstaten ska avgöra om före taget följer de stabilitetsprinciper som fastställs genom detta direktiv. 1.Tillsynsmyndigheterna ska utföra sina uppgifter på ett över blickbart sätt med tydlig ansvarsfördelning och vederbörlig hän syn till skyddet av konfidentiell information. 2.Medlemsstaterna ska se till att följande information offentliggörs: a)Texterna till lagar och andra författningar samt allmänna väg ledningar på försäkringsrättens område. b)De allmänna kriterier och metoder, inklusive de verktyg som utvecklats i enlighet med artikel 34.4, som tillämpas vid den samlade tillsynsbedömningen enligt artikel 36. c)Aggregerade statistiska uppgifter om centrala aspekter av til lämpningen av stabilitetsregelverket. d)Hur de valmöjligheter som ges genom detta direktiv utnyttjas. e)Tillsynens syften och dess huvudsakliga funktioner och verksamhetsformer. De uppgifter som offentliggörs enligt första stycket ska vara till räckliga som underlag för en jämförelse mellan de metoder som används av tillsynsmyndigheterna i de olika medlemsstaterna. Offentliggörandena ska utformas enligt ett gemensamt format och uppdateras regelbundet. Den information som det hänvisas till första stycket leden a–e ska finnas tillgänglig i varje medlems stat på en och samma webbplats. 3.Medlemsstaterna ska föreskriva överblickbara rutiner för tillsättande och avsked av ledamöter i tillsynsmyndigheternas sty relser och verkställande organ. 4.Kommissionen ska anta genomförandeåtgärder för punkt 2 med närmare uppgifter om de centrala aspekter för vilka aggre gerade statistiska uppgifter ska offentliggöras och om format, struktur, innehållsförteckningar och publiceringsdatum för dessa offentliggöranden. Dessa åtgärder, som avser att ändra icke väsentliga delar av detta direktiv genom att komplettera det, ska antas i enlighet med det föreskrivande förfarande med kontroll som avses i artikel 301.3. Förbud mot vägran att godkänna återförsäkrings- och 1.Ett försäkringsföretags hemmedlemsstat får inte vägra att godkänna ett återförsäkringsavtal som ingåtts med ett återförsäk ringsföretag eller ett försäkringsföretag som är auktoriserat i enlig het med artikel 14 av skäl som direkt sammanhänger med sundheten i det återförsäkrings- eller försäkringsföretagets finanser. 2.Återförsäkringsföretagets hemmedlemsstat får inte motsätta sig ett retrocessionsavtal som företaget ingått med ett återförsäkrings- eller försäkringsföretag som är auktoriserat enligt artikel 14 av skäl som direkt sammanhänger med sundheten i det återförsäkrings- eller försäkringsföretagets finanser. Tillsyn över filialer i en annan medlemsstat Medlemsstaterna ska föreskriva att, i de fall då ett försäkrings- eller åter försäkringsföretag som är auktoriserat i en medlemsstat utövar verksamhet genom filial, tillsynsmyndigheterna i hemmed lemsstaten får, efter att ha underrättat tillsynsmyndigheterna i värdmedlemsstaten, själva eller genom därför utsedda ombud på plats kontrollera de uppgifter som är nödvändiga för den finan siella tillsynen över företaget. Myndigheterna i den berörda värdmedlemsstaten får medverka i sådana kontroller. 1.Medlemsstaterna ska se till att tillsynsmyndigheterna har befogenheter att vidta förebyggande och korrigerande åtgärder för att säkerställa att försäkrings- och återförsäkringsföretag följer lagar och andra författningar i varje medlemsstat. 2.Tillsynsmyndigheterna ska ha befogenhet att vidta alla åtgärder som krävs – när så är lämpligt, även av administrativ eller finansiell natur – som rör försäkrings- eller återförsäkringsföretag och medlemmar av deras förvaltnings-, lednings- eller tillsynsorgan. L 335/30 Europeiska unionens officiella tidning 3.Medlemsstaterna ska säkerställa att tillsynsmyndigheterna har befogenhet att kräva in alla uppgifter som är nödvändiga för att utöva tillsyn enligt artikel 35. 4.Medlemsstaterna ska säkerställa att tillsynsmyndigheterna har befogenhet att, när så är lämpligt och nödvändigt, utöver reg lerna för beräkning av solvenskapitalkravet utarbeta kvantitativa redskap för att som ett led i den samlade tillsynsbedömningen analysera försäkrings- och återförsäkringsföretags förmåga att hantera möjliga händelser eller framtida förändringar av de eko nomiska förhållandena som skulle kunna påverka deras samlade finansiella ställning negativt. Tillsynsmyndigheterna ska ha befo genhet att kräva att företagen genomför sådana bedömningar. 5.Tillsynsmyndigheterna ska ha befogenhet att göra under sökningar på plats i försäkrings- och återförsäkringsföretags lokaler. 6.Tillsynsmyndigheterna ska utöva sina befogenheter inom rimlig tid och på ett proportionerligt sätt. 7.De befogenheter beträffande försäkrings- och återförsäk ringsföretag som avses i punkterna 1–5 ska även gälla verksam heter i dessa företag som omfattas av uppdragsavtal. 8.De åtgärder som anges i punkterna 1–5 och 7 ska, vid behov och när så är lämpligt, genomdrivas på rättslig väg. Uppgifter som ska lämnas till tillsynsmyndigheterna 1.Medlemsstaterna ska kräva att försäkrings- och återförsäk ringsföretag till tillsynsmyndigheterna lämnar de uppgifter som är nödvändiga för tillsynen. Dessa uppgifter ska minst omfatta vad som krävs för följande under genomförandet av förfarandet i artikel 36: a)Bedömningen av företagens företagsstyrningssystem, den verksamhet de bedriver, de värderingsprinciper som tilläm pas i solvenssammanhang, de risker företagen står inför och deras system för att hantera dessa samt, i fråga om kapital, struktur, behov och planering. b)Beslut som framstår som påkallade till följd av vad som fram kommit när myndigheterna utövat sina tillsynsrättigheter och -skyldigheter. 2.Medlemsstaterna ska se till att tillsynsmyndigheterna har följande befogenheter: a)Att fastställa art, omfattning och format för de uppgifter som avses i punkt 1 och som de kräver att försäkrings- och åter försäkringsföretag ska lämna vid följande tillfällen: i)Med i förväg fastställd periodicitet. ii)När i förväg definierade händelser inträffar. iii)Under undersökningar som gäller ett försäkrings- eller återförsäkringsföretags situation. b)Att kräva in alla uppgifter om avtal som innehas av förmed lare eller ingåtts med tredje man. c)Att begära information från externa experter, t.ex. revisorer och aktuarier. 3.De uppgifter som avses i punkterna 1 och 2 ska omfatta följande: a)Kvalitativa eller kvantitativa inslag, eller lämplig kombination av sådana. b)Historiska, aktuella eller framåtblickande inslag, eller lämplig kombination av sådana. c)Uppgifter från interna eller externa källor, eller lämplig kom bination av sådana. 4.De uppgifter som avses i punkterna 1 och 2 ska stå i över ensstämmelse med följande principer: a)De ska stå i proportion till arten, omfattningen och kom plexiteten av det berörda företagets verksamhet, särskilt de inneboende riskerna med denna verksamhet. b)De ska vara tillgängliga, fullständiga i varje väsentligt hänse ende, jämförbara och konsekvent utformade över tiden. c)De ska vara relevanta, tillförlitliga och förståeliga. 5.Medlemsstaterna ska kräva att försäkrings- och återförsäk ringsföretag ska ha upprättat lämpliga system och strukturer för att uppfylla kraven i punkterna 1–4 och ett styrdokument som godkänts av försäkrings- eller återförsäkringsföretagets förvaltnings-, lednings- eller tillsynsorgan och som säkerställer att de lämnade uppgifterna motsvarar kraven. 6.Kommissionen ska anta genomförandeåtgärder för att när mare specificera de uppgifter som avses i punkterna 1–4 i syfte att nå en lämplig grad av enhetlighet i rapporteringen till tillsynsorganen. Dessa åtgärder, som avser att ändra icke väsentliga delar av detta direktiv genom att komplettera det, ska antas i enlighet med det föreskrivande förfarande med kontroll som avses i artikel 301.3. 1.Medlemsstaterna ska se till att tillsynsmyndigheterna gran skar och utvärderar de strategier, processer och rapporteringsru tiner som försäkrings- och återförsäkringsföretagen har inrättat för att följa de lagar och andra författningar som antas enligt detta direktiv. Europeiska unionens officiella tidning L 335/31 Denna granskning och utvärdering ska omfatta bedömningar av kvalitativa krav med avseende på systemet för företagsstyrning, av de risker som de berörda företagen står - eller kan komma att stäl las – inför och av företagens förutsättningar för att kunna bedöma dessa risker med beaktande av de rådande förhållandena i den miljö där de verkar. 2.Tillsynsmyndigheterna ska särskilt granska och utvärdera att bestämmelserna om följande efterlevs: a)Företagsstyrningssystem, inklusive egen risk- och solvensbe dömning, enligt kapitel IV avsnitt 2. b)Försäkringstekniska avsättningar enligt kapitel VI avsnitt 2. c)Kapitalkrav enligt kapitel VI avsnitten 4 och 5. d)Placeringsregler enligt kapitel VI avsnitt 6. e)Kapitalbasens kvalitet och kvantitet enligt kapitel VI avsnitt 3. f)Om försäkrings- eller återförsäkringsföretaget använder en fullständig eller partiell intern modell: kontinuerligt uppfyl lande av kraven på fullständiga och partiella interna model ler i kapitel VI avsnitt 4 underavsnitt 3. 3.Tillsynsmyndigheterna ska ha inrättat lämpliga kontrollred skap för att kunna påvisa försämringar av den finansiella ställ ningen för försäkrings- eller återförsäkringsföretag och följa upp insatserna för att åtgärda sådana försämringar. 4.Tillsynsmyndigheterna ska bedöma om försäkrings- och återförsäkringsföretagen har utvecklat tillfredsställande metoder och praxis för att påvisa möjliga händelser eller framtida föränd ringar av de ekonomiska förhållandena som skulle kunna påverka den samlade ekonomiska ställningen negativt i de företag som berörs. Tillsynsmyndigheterna ska bedöma företagens förmåga att stå emot sådana möjliga händelser eller framtida förändringar av de ekonomiska förhållandena. 5.Tillsynsmyndigheterna ska ha nödvändiga befogenheter för att kräva att försäkrings- och återförsäkringsföretag åtgärdar svag heter eller brister som påvisats i den samlade tillsynsbedömningen. 6.De granskningar, utvärderingar och bedömningar som avses i punkterna 1, 2 och 4 ska genomföras regelbundet. Tillsynsmyndigheterna ska fastställa en minsta frekvens och omfattning för dessa granskningar, utvärderingar och bedöm ningar med beaktande av arten, omfattningen och komplexiteten av det berörda försäkrings- eller återförsäkringsföretagets verksamhet. 1.Efter den samlade tillsynsbedömningen får tillsynsmyndig heterna i särskilda fall genom ett motiverat beslut fastställa ett krav på kapitaltillägg för ett försäkrings- eller återförsäkringsföre tag. Denna möjlighet ska endast kunna utnyttjas i följande fall: a)Om tillsynsmyndigheten har funnit att ett försäkrings- eller återförsäkringsföretags riskprofil avviker väsentligt från de antaganden som legat till grund för solvenskapitalkravet, beräknat med standardformeln i överensstämmelse med kapitel VI avsnitt 4 underavsnitt 2, och i)kravet på att använda en intern modell enligt artikel 119 är olämpligt eller har visat sig ineffektivt, eller ii)en fullständig eller partiell intern modell håller på att utarbetas i enlighet med artikel 119. b)Om tillsynsmyndigheten har funnit att ett försäkrings- eller återförsäkringsföretags riskprofil avviker väsentligt från de antaganden som legat till grund för solvenskapitalkravet, beräknat enligt en fullständig eller partiell intern modell i överensstämmelse med kapitel VI avsnitt 4 underavsnitt 3, på grund av att vissa kvantifierbara risker inte beaktas i tillräck lig utsträckning och det inte har lyckats att inom skälig tid anpassa modellen så att den bättre ger uttryck för den före liggande riskprofilen. c)Om tillsynsmyndigheten har funnit att ett försäkrings- eller återförsäkringsföretags företagsstyrningssystem avviker väsentligt från de normer som fastställs genom kapitel IV avsnitt 2, att dessa avvikelser medför att företaget inte kan garantera en korrekt identifiering, mätning, övervakning, hantering och rapportering av de risker som det är – eller kan komma att bli – exponerat för och att det är osannolikt att bristerna kan korrigeras inom skälig tid endast genom insats av andra åtgärder. 2.I de fall som anges i punkt 1 a och b ska kapitaltillägget beräknas så att det säkerställs att företaget uppfyller kraven i artikel 101.3. I de fall som beskrivs under punkt 1 c ska kapitaltillägget vara proportionerligt mot de betydande risker som uppstått på grund av de brister som föranledde tillsynsmyndigheten att besluta om kapitaltillägg. 3.I de fall som anges i punkt 1 b och c ska tillsynsmyndighe ten se till att försäkrings- eller återförsäkringsföretaget vidtar alla ansträngningar för att avhjälpa de risker som ledde till föreläggan det av ett krav på kapitaltillägg. 4.Tillsynsmyndigheten ska granska det krav på kapitaltillägg som avses i punkt 1 minst en gång och upphäva det när företaget har avhjälpt de brister som ledde till föreläggandet. L 335/32 Europeiska unionens officiella tidning 5.Det icke-tillfredsställande solvenskapitalkravet ska ersättas med samma solvenskapitalkrav plus det kapitaltillägg som förelagts. Utan hinder av punkt 1 ska solvenskapitalkravet inte innefatta det kapitaltillägg som förelagts i enlighet med punkt 1 c för beräk ning av den riskmarginal som anges i artikel 77.5. 6.Kommissionen ska anta genomförandeåtgärder för att ytter ligare specificera de omständigheter under vilka ett krav på kapi taltillägg kan föreläggas och metoderna för beräkningen av ett sådant krav. Dessa åtgärder, som avser att ändra icke väsentliga delar av detta direktiv genom att komplettera det, ska antas i enlighet med det föreskrivande förfarande med kontroll som avses i artikel 301.3. Tillsyn över funktioner och verksamheter som omfattas av 1.Utan att det påverkar tillämpningen av artikel 49 ska med lemsstaterna se till att försäkrings- och återförsäkringsföretag som ingår uppdragsavtal beträffande en funktion eller försäkrings- eller återförsäkringsverksamhet vidtar de åtgärder som krävs för att garantera att följande villkor uppfylls: a)Tjänsteleverantören ska samarbeta med försäkrings- eller återförsäkringsföretagets tillsynsmyndigheter avseende de funktioner eller verksamheter som omfattas av uppdragsavtal. b) Försäkrings- och återförsäkringsföretagen, deras revisorer och tillsynsmyndigheterna ska ha faktisk tillgång till uppgif ter som rör de funktioner eller verksamheter som omfattas av uppdragsavtal. c)Tillsynsmyndigheterna ska ha faktiskt tillträde till tjänstele verantörens lokaler och ska kunna utöva dessa tillträdesrättigheter. 2.Den medlemsstat där tjänsteleverantören är etablerad ska tillåta att försäkrings- eller återförsäkringsföretagets tillsynsmyn digheter – själva eller genom personer som de utser för detta ändamål – genomför inspektioner på plats i tjänsteleverantörens lokaler. Försäkrings- eller återförsäkringsföretagets tillsynsmyn dighet ska underrätta de relevanta myndigheterna i tjänsteleveran törens medlemsstat innan de genomför inspektionen på plats. Om det gäller en enhet som inte är föremål för tillsyn, ska tillsyns myndigheten vara relevant myndighet. Tillsynsmyndigheterna i försäkrings- eller återförsäkringsföreta gets medlemsstat får delegera sådana inspektioner på plats till till synsmyndigheterna i den medlemsstat där tjänsteleverantören är etablerad. 1.Medlemsstaterna ska, på de villkor som föreskrivs i natio nell lag, ge försäkrings- och återförsäkringsföretag med huvud kontor inom deras territorier tillstånd att, helt eller delvis, överlåta sådana egna bestånd av försäkringsavtal, som slutits med stöd av etableringsfriheten eller friheten att tillhandahålla tjänster, till ett acceptföretag som är etablerat inom gemenskapen. Tillstånd till sådan överlåtelse får ges endast om tillsynsmyndig heterna i acceptföretagets hemmedlemsstat intygar att acceptfö retaget har tillräcklig medräkningsbar kapitalbas för att täcka det solvenskapitalkrav som anges i artikel 100 första stycket sedan överlåtelsen beaktats. 2.För försäkringsföretag ska punkterna 3–6 gälla. 3.Om en filial avser att, helt eller delvis, överlåta egna bestånd av försäkringsavtal, ska den medlemsstat där filialen är belägen rådfrågas. 4.I de fall som avses i punkterna 1 och 3 ska tillsynsmyndig heterna i det överlåtande försäkringsföretagets hemmedlemsstat ge tillstånd till överlåtelsen efter att ha inhämtat godkännande från myndigheterna i de medlemsstater där kontrakten ingicks, antingen enligt etableringsfriheten eller rätten att tillhandahålla tjänster. 5.Myndigheterna i de medlemsstater som rådfrågas ska, efter det att de mottagit begäran om samråd, lämna sina yttranden eller medgivanden till myndigheterna i det överlå tande försäkringsföretagets hemmedlemsstat. Om de myndigheter som rådfrågats inte lämnat något svar ska detta tolkas som att de har givit sitt tysta medgivande. 6.En överlåtelse av försäkringsbestånd som tillåtits med stöd av punkterna 1–5 ska offentliggöras antingen före eller efter auk torisationen i överensstämmelse med nationell lag i hemmedlems staten eller den medlemsstat där risken är belägen eller i medlemsstaten för åtagandet. Sådana överlåtelser ska automatiskt bli gällande gentemot försäk ringstagare, de försäkrade och alla andra för vilka de överlåtna avtalen medför rättigheter eller skyldigheter. Första och andra styckena i denna punkt ska inte inverka på med lemsstaternas rätt att ge försäkringstagarna möjlighet att säga upp avtal inom en fastställd tid efter en överlåtelse. Europeiska unionens officiella tidning L 335/33 Villkor för utövandet av verksamheten A v s n i t t 1 F ö r v a l t n i n g s - , l e d n i n g s - e l l e r t i l l s y n s o r g a n e t s a n s v a r Förvaltnings-, lednings- eller tillsynsorganets ansvar Medlemsstaterna ska säkerställa att försäkrings- och återförsäk ringsföretagens förvaltnings-, lednings- eller tillsynsorgan har det yttersta ansvaret för att varje berört företag följer de lagar och andra författningar som antas enligt detta direktiv. A v s n i t t 2 F ö r e t a g s s t y r n i n g s s y s t e m Allmänna krav på företagsstyrningen 1.Medlemsstaterna ska kräva att alla försäkrings- och återför säkringsföretag har upprättat ett effektivt företagsstyrningssystem som garanterar en sund och ansvarsfull företagsledning. Systemet ska minst omfatta en tillfredsställande och överblickbar organisationsstruktur med en tydlig ansvarsfördelning med lämp lig grad av uppdelning av uppgifterna och ett effektivt system för att säkerställa att information förs vidare. Det ska vara utformat så att det uppfyller kraven i artiklarna 42–49. Företagsstyrningssystemet ska regelbundet ses över internt. 2.Företagsstyrningssystemet ska stå i proportion till försäkrings- eller återförsäkringsföretagets art, storlek och komplexitet. 3.Försäkrings- och återförsäkringsföretagen ska ha utarbetat styrdokument för åtminstone riskhantering, internkontroll, internrevision och, i tillämpliga fall, verksamhet som omfattas av uppdragsavtal.