Nordiskas tre försvarslinjer
Försvarslinjerna
Styrelsen har det yttersta ansvaret för att begränsa och övervaka riskexponeringen inom Nordiska. För att vi ska ha en effektiv organisation med tydliga roller och ansvarsområden inom riskhantering och internkontroll följer vi principen om tre försvarslinjer.
De tre försvarslinjerna utgör tillsammans ramverket för intern kontroll vilket ska utveckla och upprätthålla system som säkerställer:
- Effektiv och ändamålsenlig affärsverksamhet
- Tillräcklig riskkontroll
- Affärsstyrning
- Tillförlitlig finansiell och icke-finansiell rapportering (såväl internt som externt)
- Efterlevnad av gällande regelverk
Den första försvarslinjen
Den första försvarslinjen består av styrelsen, VD och verksamheten. De är ansvariga för att verksamheten sköts inom ramen för fastställd riskexponering och intern kontroll, samt i enlighet med fastställda externa och interna regler som gäller för Nordiska.
Den första försvarslinjen har en väl fungerande styrningsmodell och en effektiv process att identifiera, mäta, värdera, följa upp, minimera och rapportera risk.
Den andra försvarslinjen
Den andra försvarslinjen består av funktionen för riskkontroll och funktionen för regelefterlevnad.
Funktion för regelefterlevnad ska utgöra ett stöd för styrelse, VD och den operativa verksamheten för att säkerställa den tillståndspliktiga regelefterlevnaden i Nordiska.
Funktionen för riskkontroll ansvarar för att kontrollera att alla väsentliga risker som Nordiska exponeras för eller kan komma att exponeras för identifieras och hanteras av berörda funktioner samt kontrollerar att det interna regelverket är lämpligt och effektivt samt föreslår förändringar i detta vid behov. Vidare ska funktionen för riskkontroll stödja och kontrollera att verksamheten implementerar de krav som ställs upp i externa regelverk och löpande verka för och bidra till att det finns en god riskmedvetenhet i organisationen.
Funktionernas oberoende tillförsäkras genom att funktionerna själva inte utövar sådan verksamhet som dessa ska granska. Det innebär att funktionerna får inte vara delaktig i Nordiskas affärsverksamhet.
Funktionen för riskkontroll
Funktionen för riskkontroll ansvarar för att lämna relevanta och oberoende analyser, råd och expertutlåtanden om Nordiskas risker. Dessutom ansvarar funktionen för att kontinuerligt utvärdera och vidareutveckla Nordiskas ramverk för riskhantering för att säkerställa att det är ändamålsenligt. Funktionen för riskkontroll ansvarar för att:
- Dels kontrollera att alla väsentliga risker som Nordiska exponeras för eller kan förväntas komma att exponeras för identifieras och hanteras av berörda funktioner, dels identifiera risker som uppstår på grund av brister i Nordiskas riskhantering, dels kontrollera att varje affärsenhet övervakar samtliga för funktionernas väsentliga risker på ett effektivt sätt
- Övervaka och kontrollera Nordiskas riskhantering
- Kontrollera och analysera Nordiskas väsentliga risker och utvecklingen av dessa samt identifiera dels nya risker som kan uppstå till följd av förändrade förutsättningar, dels risker som härrör från graden av komplexitet i företagets legala struktur
- Se till att information om Nordiskas risker regelbundet lämnas till styrelsen samt regelbundet, dock minst kvartalsvis, rapportera sin bedömning såväl skriftligt som muntligt till styrelsen
- När bolaget lägger fram förslag eller fattar beslut som medför att Nordiskas risker kan öka väsentligt, bedöma om dessa är förenliga med Nordiskas beslutade riskaptit
- När Nordiska tar fram eller ändrar sin riskstrategi och riskaptit, lämna all relevant information som kan utgöra underlag för beslut i dessa frågor samt bedöma föreslagen riskstrategi och lämna en rekommendation innan beslut fattas
- Kontrollera att relevanta interna regelverk, processer och rutiner uppfyller Finansinspektionens krav på att dessa innehåller de strategier, processer, rutiner, interna regler, limiter, kontroller och rapporteringsrutiner som behövs för att säkerställa att Nordiskas löpande kan identifiera, mäta, styra, internt rapportera och ha kontroll över de risker som det är eller kan förväntas komma att bli exponerat för följs, att de är ändamålsenliga och effektiva samt föreslå ändringar i dessa om det behövs
- Identifiera, kontrollera och rapportera risker för fel i Nordiskas antaganden och bedömningar som ligger till grund för Nordiskas finansiella rapportering
- Innan Nordiska beslutar om nya, eller väsentligt förändrade, produkter, tjänster, marknader, processer och IT-system samt vid större förändringar i Nordiskas verksamhet och organisation utvärdera risker med dessa samt utvärdera hur dessa kan förväntas komma att påverka före-tagets sammanvägda risk.
Funktionen för regelefterlevnad
Funktionen för regelefterlevnad utgör ett stöd för styrelse, VD och den operativa verksamheten för att säkerställa den tillståndspliktiga regelefterlevnaden i Nordiska. Funktionen för regelefterlevnad är oberoende och är inte delaktig i Nordiskas affärsverksamhet. Funktionen för regelefterlevnad är en del av den andra försvarslinjen och är direkt underställd VD och rapporterar direkt till VD samt till styrelsen.
Det innebär att funktionen för regelefterlevnad skall:
- Dels identifiera vilka risker som finns för att Nordiska inte fullgör sina förpliktelser enligt tillämpliga regelverk, externa som interna, dels övervaka och kontrollera att riskerna hanteras av berörda funktioner
- Övervaka och kontrollera efterlevnaden av det tillämpliga regelverket, interna som externa
- Ge råd och stöd till Nordiskas medarbetare, VD och styrelse om dels det externa och interna regelverken
- Informera och utbilda berörda personer om nya eller ändrade externa regelverk
- Kontrollera att nya, eller väsentligt förändrade, produkter, tjänster, marknader, processer, IT-system samt större förändringar i Nordiskas verksamhet och organisation följer de externa regelverken
- Övervaka och kontrollera att det interna regelverket samt att Nordiska har lämpligt internt regelverk och rutiner för att kunna identifiera vilka risker som finns för att Nordiska inte fullgör sina förpliktelser enligt det tillämpliga regelverk, externa som interna. Vidare ska funktionen kontrollera att Nordiska har lämpliga, ändamålsenliga och effektiva rutiner och vidta lämpliga åtgärder för att minimera risken för att externa regelverk inte följs.
- Lämna rekommendationer till berörda personer baserade på de iakttagelser som funktionen gjort.
Den tredje försvarslinjen
Den tredje försvarslinjen består av funktionen för internrevision.
Funktionen för internrevision är styrelsens redskap för att uppfylla kraven på en god och effektiv intern styrning och kontroll och är mot bakgrund av detta organisatoriskt skild från Nordiska övriga funktioner och verksamhet.
Funktionen för internrevision ansvarar för att granska och regelbundet utvärdera om den interna kontrollen är effektiv och ändamålsenlig. Inom ramen för uppdraget ska funktionen för internrevision bland annat granska och regelbundet utvärdera bolagets riskhantering, efterlevnaden av regelverk, finansiella information samt den andra försvarslinjen.
Funktionen för internrevision
Funktionen för Internrevision ansvarar för att det utförs en oberoende granskning och tillsyn av arbete inom såväl första som andra försvarslinjen. Det innebär att funktionen för internrevision arbetar efter en aktuell och riskbaserad revisionsplan som styrelsen fastställt, där den granskar och regelbundet utvärderar:
- Om Nordiskas organisation, styrningsprocesser, IT-system, modeller och rutiner är ändamålsenliga och effektiva
- Om Nordiskas interna kontroll är ändamålsenlig och effektiv
- Om verksamheten drivs enligt Nordiskas interna regelverk
- Nordiskas riskhantering utifrån den beslutade riskstrategin och riskaptiten
- Om Nordiskas interna regelverk är lämpliga och förenliga med externa regelverk
- Tillförlitligheten i Nordiskas finansiella rapportering, inklusive åtaganden utanför balansräkningen
- Utvärdera tillförlitligheten och kvaliteten på det arbete som utförs inom Nordiskas kontrollfunktioner i den andra försvarslinjen
- Lämnar rekommendationer till berörda personer, baserade på de iakttagelser som funktionen för internrevision har gjort, samt följer upp om åtgärderna har genomförts