FFFS 2024:5 Clearing och avveckling av betalningar

1 §Dessa föreskrifter innehåller bestämmelser om clearingbolag.

2 §Föreskrifterna gäller också för filialer till utländska clearingbolag.

Det som anges om styrelsen i dessa föreskrifter ska för filialer i stället avse den verkställande direktören. Det som anges om clearingbolag och aktiebolag ska då avse filialer till utländska clearingbolag.

Sådana bestämmelser som rör stiftelseurkund och bolagsordning i 2 kap. gäller dock inte för filialer till utländska clearingbolag.

3 §I föreskrifterna finns bestämmelser om följande:

• tillstånd (2 kap.),

• styrning och riskhantering (3 kap.),

• informations-, it- och cybersäkerhet (4 kap.),

• beredskap (5 kap.),

• kapital (6 kap.), och

• uppdragsavtal (7 kap.).

4 §Bestämmelserna i 3–5 och 7 kap. ska tillämpas proportionellt i förhållande till arten, omfattningen och komplexiteten av riskerna i varje clearingbolags verksamhet.

5 §Termer och uttryck som används i föreskrifterna har samma betydelse som i lagen (2024:114) om clearing och avveckling av betalningar.

Därutöver betyder

1. funktion: en enhet eller en avdelning som består av en eller flera personer med uppdrag att utföra en eller flera uppgifter inom verksamheten,

2. incident: en händelse som har eller riskerar att få negativ påverkan på bolagets verksamhet, tillgångar eller förtroende,

3. informationssäkerhet: skydd av konfidentialitet, riktighet och tillgänglighet hos information,

4. interna regler: policy- och styrdokument, riktlinjer, instruktioner eller andra skriftliga dokument genom vilka ett bolag styr sin verksamhet,

5. it-verksamhet: ett bolags organisation, processer och personal för att hantera it-system,

6. konfidentialitet: förhållandet att information inte görs tillgänglig eller avslöjas för obehöriga,

7. kontrollfunktion: en funktion för riskkontroll, regelefterlevnad eller internrevision,

8. process: en kedja av sammanhängande aktiviteter som utifrån en viss resursinsats producerar ett resultat,

9. riktighet: egenskap hos information som innebär att informationen inte förändras obehörigen, av misstag eller på grund av funktionsstörning,

10. spårbarhet: en möjlighet att entydigt kunna härleda utförda aktiviteter och vilken person eller systemfunktion som har utfört dessa, och

11. tillgänglighet: en möjlighet att kunna använda information i förväntad utsträckning och inom önskad tid.

1 §En ansökan om tillstånd att bedriva clearingverksamhet ska vara utformad på det sätt och ha det innehåll som framgår av 2–6 §§.

Beskrivning av verksamheten

Övriga uppgifter och handlingar som ska lämnas in

8 §Ett clearingbolag som ansöker om godkännande av en ändring av bolagsordningen enligt 2 kap. 5 § andra stycket lagen (2024:114) om clearing och avveckling av betalningar ska tillsammans med ansökan ge in

1. en kopia av bolagsstämmans protokoll med ändringsbeslutet, och

2. den ändrade bolagsordning som bolagsstämman har beslutat om.

Ansökan ska undertecknas av behörig företrädare för clearingbolaget.

1 §Ett clearingbolag ska tillämpa följande bestämmelser i Finansinspektionens föreskrifter och allmänna råd (FFFS 2014:1) om styrning, riskhantering och kontroll i kreditinstitut:

• 2 kap. 1, 3–6, 10 och 11 §§ om allmänna organisatoriska krav, med undantag för 1 § första stycket 8 och det som anges i 11 § om 2 och 7–9 §§,

• 3 kap. 1, 2 och 4 §§ om styrelsens och den verkställande direktörens ansvar,

• 4 kap. 3, 4 och 6 §§ om intressekonflikter i verksamheten,

• 5 kap. 1 och 4–6 §§ om riskhantering, med undantag för det som anges om limiter i 1 §,

• 6 kap. om kontrollfunktioner,

• 7 kap. om funktion för riskkontroll, med undantag för det som anges i 3 § 8,

• 8 kap. om regelefterlevnad, och

• 9 kap. om funktion för internrevision.

Ett clearingbolag ska också tillämpa följande bestämmelser i Finansinspektionens föreskrifter och allmänna råd (FFFS 2014:4) om hantering av operativa risker:

• 5 kap. 1, 6, 7 och 10–14 §§ om hantering av operativa risker i verksamheten.

Det som anges om företag i bestämmelserna enligt första och andra styckena ska då avse clearingbolag. När det gäller filialer ska det som anges om styrelsen i stället avse den verkställande direktören.

2 §Ett clearingbolag ska driva sin verksamhet på ett etiskt ansvarsfullt och professionellt sätt.

Bolaget ska också upprätthålla sunda yrkesmässiga värderingar, attityder och beteenden som har avgörande betydelse för hur bolaget hanterar sina risker (riskkultur).

3 §Styrelsen ska minst årligen utvärdera och, om det behövs, uppdatera de interna regler som den har beslutat om. Den verkställande direktören ska regelbundet, minst årligen, utvärdera de interna regler som den har beslutat om och om det behövs uppdatera dem.

Styrelsen ska regelbundet se över och bedöma effektiviteten i clearingbolagets organisationsstruktur, rutiner, metoder och andra åtgärder som bolaget har fattat beslut om för att följa lagar och andra författningar som reglerar bolagets tillståndspliktiga verksamhet. Styrelsen ska även vidta lämpliga åtgärder för att, i förekommande fall, korrigera brister i dessa åtgärder.

4 §Ett clearingbolag ska ha interna regler för sin riskhantering som anger

1. vilka typer av risker som bolaget i huvudsak är exponerat för,

2. bolagets metoder och processer för att identifiera, mäta, övervaka, hantera och internt rapportera risker,

3. hur bolaget ska utveckla och tillämpa kontroller för att motverka de risker som bolaget är exponerat för,

4. hur kontrollerna enligt 3 ska testas och utvärderas, och

5. bolagets rutiner för att fastställa och övervaka den nivå och den inriktning på bolagets risker som kan accepteras för att uppnå bolagets strategiska mål (riskaptiten).

5 §Ett clearingbolag ska ha metoder för att identifiera och mäta sina risker.

6 §Ett clearingbolag ska identifiera risker i sina produkter, tjänster, funktioner, processer och it-system.

7 §Ett clearingbolag ska regelbundet mäta riskerna enligt 6 §, genom att bedöma sannolikheten för att de inträffar och vilka konsekvenserna blir av detta. Bolaget ska även fastställa vilka åtgärder det ska vidta för att hantera riskerna.

8 §Ett clearingbolag ska testa och utvärdera de kontroller som bolaget har för att säkerställa att det löpande kan ha kontroll över de väsentliga risker som bolaget är exponerat för.

9 §Ett clearingbolag ska fastställa och dokumentera indikatorer med gränsvärden för sina relevanta risker som visar när dessa risker har ökat.

Clearingbolaget ska regelbundet se över och, om det behövs, uppdatera indikatorerna och gränsvärdena.

10 §Ett clearingbolag ska dokumentera sina processer enligt 5 kap. 1 § Finansinspektionens föreskrifter och allmänna råd (FFFS 2014:4) om hantering av operativa risker, och utse en ansvarig person eller funktion för varje sådan process.

Dokumentationen av en process enligt första stycket ska innehålla uppgifter om åtminstone

1. processens huvudsakliga aktiviteter och deras samband (flödesschema),

2. vilka it-system som stödjer processen,

3. när en kontroll görs och ett beslut fattas i processen,

4. processens resultat, till exempel en tjänst, produkt eller liknande, och

5. vilken information som används i aktiviteterna enligt 1.

Clearingbolaget ska ange i interna regler hur bolaget ska dokumentera processerna enligt första stycket och hur det ska hantera operativa risker i processerna.

11 §Ett clearingbolag ska ha interna regler för att hantera, dokumentera, analysera och internt rapportera de incidenter som uppstår i verksamheten. Bolaget ska rapportera allvarliga incidenter till styrelsen och den verkställande direktören.

12 §Ett clearingbolag ska efter att en allvarlig incident har inträffat, identifiera och analysera orsakerna till incidenten.

Bolaget ska, utifrån den analys som har gjorts enligt första stycket, bedöma om det finns ett behov av att förbättra it-system, processer, kontroller och beredskap samt vidta nödvändiga åtgärder.

13 §Ett clearingbolag ska fastställa mål för driftssäkerhet och ha ändamålsenliga interna regler för att nå dessa mål. Målen ska innefatta kvalitativa och kvantitativa mått.

Bolaget ska övervaka och regelbundet utvärdera om det uppfyller sina fastställda mål för driftssäkerhet.

14 §Ett clearingbolag ska säkerställa att det har tillräcklig kapacitet för att kunna nå sina fastställda mål för driftssäkerhet även vid ökade betalningsvolymer och i stressade situationer.

Bolaget ska regelbundet övervaka och testa kapaciteten och prestandan i de it-system som det använder i clearingverksamheten.

Bolaget ska om det behövs ta fram dels prognoser över efterfrågan på bolagets tjänster och produkter, dels lämpliga planer för att anpassa sig till förändringar i betalningsvolymen eller i fråga om tekniska krav.

1 §Ett clearingbolag ska ha interna regler för sitt arbete med informations-, it- och cybersäkerhet.

2 §De planer för informations-, it- och cybersäkerhet som ett clearingbolag ska ha enligt 3 kap. 4 § lagen (2024:114) om clearing och avveckling av betalningar, ska framgå av bolagets interna regler.

Mål och inriktning

Ansvar för informationssäkerhet och samordning

Klassificering av information

Riskanalys

Interna regler för informationssäkerhet

Säkerhet

Mål och strategier

Ansvariga

Processer

Dokumentation av it-system

1 §Ett clearingbolag ska ha system, resurser, processer och interna regler som säkerställer att bolaget kan

1. återuppta en sådan kritisk verksamhet som avses i 3 kap. 3 § första stycket lagen (2024:114) om clearing och avveckling av betalningar inom kort efter ett avbrott, och

2. hantera händelser som utgör en betydande risk för avbrott i bolagets verksamhet.

Styrelsen eller den verkställande direktören ska besluta om de interna reglerna.

Beredskapsplaner, kontinuitetsplaner och återställningsplaner

Analys av verksamheten

6 §Ett clearingbolag ska fastställa den längsta tillåtna tiden för avbrott i en kritisk verksamhet.

7 §Ett clearingbolag ska, om det inte är uppenbart obehövligt, ha minst ett alternativt driftställe som bolaget utan dröjsmål kan ta i bruk för att säkerställa att det kan upprätthålla driften av kritisk verksamhet eller återuppta den inom kort efter ett avbrott.

Ett alternativt driftställe ska vara geografiskt åtskilt från det ordinarie driftstället och inte vara beroende av samma fysiska infrastruktur som det ordinarie driftstället.

8 §Ett clearingbolag ska ha rutiner för att hantera sin interna och externa kommunikation i samband med ett avbrott eller en större verksamhetsstörning. När bolaget planerar kommunikationen ska det ta hänsyn till om ett avbrott eller en störning kan påverka det finansiella systemet.

9 §Ett clearingbolag ska regelbundet utbilda och informera sin personal om hur den ska använda bolagets beredskapsplaner, kontinuitetsplaner och återställningsplaner.

10 §Ett clearingbolag ska testa sina beredskapsplaner, kontinuitetsplaner och återställningsplaner samt öva på att tillämpa dem.

Övningarna ska vara scenariobaserade. I testerna ska det ingå praktiska moment som, i förekommande fall, ska inbegripa hur clearingbolaget ska övergå från det ordinarie driftstället till ett alternativt driftställe. De genomförda övningarna och testerna ska utvärderas.

Övningar och tester ska genomföras

1. regelbundet, minst årligen,

2. i samband med omfattande ändringar av it-system som påverkar kritisk verksamhet, och

3. om det behövs i andra fall än de som avses i 1 och 2.

11 §Ett clearingbolag ska fastställa vilka typer av övningar och tester enligt 10 § som bolaget ska genomföra och hur ofta de ska genomföras.

Styrelsen ska minst årligen få information om resultatet från övningarna och testerna.

12 §Ett clearingbolag ska regelbundet, minst årligen, utvärdera och, om det behövs, uppdatera sina beredskapsplaner, kontinuitetsplaner och återställningsplaner. Bolaget ska när det bedömer om en plan behöver uppdateras, beakta de utvärderingar som enligt 10 § andra stycket ska göras av övningar och tester.

Bolaget ska utse en person eller en funktion som ansvarar för att planerna uppdateras.

1 §Ett clearingbolag ska ha ett eget kapital som minst uppgår till ett belopp som beräknas som summan av

1. ett riskbaserat kapitalkrav beräknat enligt 3 §, och

2. ett kapitalkrav för att kunna fortsätta att bedriva kritisk verksamhet, beräknat enligt 4 §.

Beloppet ska fastställas av styrelsen. Beräkningen av beloppet ska dokumenteras.

2 §Styrelsen ska minst årligen, eller oftare om det behövs, fastställa clearingbolagets kapitalkrav enligt 1 §.

Styrelsen ska regelbundet övervaka storleken på bolagets egna kapital.

3 §Ett clearingbolag ska, när det beräknar sitt riskbaserade kapitalkrav, utgå från de risker som bolaget har identifierat enligt 3 kap. och som kan få en negativ påverkan på bolagets finansiella ställning. Bolaget ska beakta relevanta riskscenarier vid beräkningen.

Vid beräkningen får clearingbolaget beakta effekterna av de åtgärder som bolaget har vidtagit för att motverka riskerna.

4 §Ett clearingbolag ska beräkna ett kapitalkrav för att bolaget ska kunna fortsätta att bedriva kritisk verksamhet även om förluster uppstår. Kapitalkravet ska beräknas som ett belopp som motsvarar bolagets rörelsekostnader under de senaste sex månaderna.

Om ett clearingbolag inte har bedrivit någon clearingverksamhet under de senaste sex månaderna ska kapitalkravet beräknas som ett belopp som motsvarar de rörelsekostnader som bolaget kan förväntas ha under de kommande sex månaderna.

5 §Ett clearingbolag ska meddela Finansinspektionen om det egna kapitalet understiger det fastställda kapitalkravet.

1 §Ett clearingbolag ska ha system, resurser och interna regler som säkerställer att verksamhet som omfattas av sådana uppdragsavtal som avses i 3 kap. 6 § lagen (2024:114) om clearing och avveckling av betalningar bedrivs i enlighet med de regler som gäller för bolagets verksamhet.

Styrelsen eller den verkställande direktören ska besluta om de interna reglerna.

2 §Det ska framgå av de interna reglerna enligt 1 § hur clearingbolaget ska säkerställa att det uppfyller de krav som anges i 3–11 §§.

3 §Ett clearingbolag ska genomföra en riskbedömning innan det uppdrar åt någon annan att utföra uppgifter som är av betydelse för clearingverksamheten. Bolaget ska identifiera, analysera och bedöma de risker som det innebär att uppdra åt någon annan att utföra uppgifterna.

Clearingbolaget ska särskilt beakta operativa risker som kan påverka dess driftssäkerhet, inbegripet risken för att uppgifterna inte utförs fullständigt eller utförs felaktigt.

4 §Ett clearingbolag som avser att uppdra åt någon annan att utföra uppgifter som är av betydelse för clearingverksamheten, ska säkerställa att det har personal med tillräcklig kompetens och erfarenhet för att kunna följa upp den verksamhet som omfattas av uppdragsavtal på det sätt som anges i 8 §.

5 §Ett clearingbolag som avser att ingå ett uppdragsavtal ska välja en uppdragstagare med omsorg genom att säkerställa att uppdragstagaren

1. har den kunskap, kompetens och kapacitet som krävs för att utföra uppgifterna på ett tillfredsställande sätt samt har de tillstånd som krävs enligt lagar och andra författningar, och

2. kan förväntas utföra uppdraget i enlighet med 7 § första stycket 2.

6 §Ett clearingbolag ska dokumentera

1. de bedömningar som bolaget ska göra enligt 3 §,

2. hur bolaget ska säkerställa att det uppfyller de krav på kompetens och erfarenhet som anges i 4 §, och

3. hur bolaget har bedömt att uppdragstagaren uppfyller de krav som anges i 5 §.

7 §Ett clearingbolag som ingår ett uppdragsavtal ska säkerställa att

1. bolaget och dess revisorer

   1. ges tillgång till uppgifter om den del av uppdragstagarens verksamhet som omfattas av uppdragsavtalet, och

   2. har obegränsad rätt till revision av den verksamhet som omfattas av uppdragsavtalet och ges tillträde till uppdragstagarens lokaler och tillgång till dess it-system, och

2. uppdragstagaren

   1. uppfyller de krav som följer av lagar och andra författningar som är tillämpliga på de uppgifter som uppdraget avser,

   2. löpande övervakar och kvalitetssäkrar hur de uppgifter som omfattas av uppdragsavtalet utförs och på ett ändamålsenligt sätt hanterar risker i den verksamhet som omfattas av uppdragsavtalet,

   3. informerar bolaget om alla händelser som kan innebära att den inte längre har förmåga att utföra de uppgifter som uppdraget avser på ett tillfredsställande sätt och i enlighet med lagar och andra författningar som gäller för bolagets verksamhet,

   4. följer bolagets interna regler i de delar som är relevanta för de uppgifter som uppdraget avser,

   5. skyddar all konfidentiell information som avser bolaget eller dess kunder,

   6. uppfyller de krav som anges i 5 kap. när det gäller de uppgifter som uppdraget avser,

   7. har en uppsägningstid som är tillräckligt lång för att bolaget ska kunna övergå till en alternativ lösning om uppdragstagaren säger upp avtalet,

   8. inte utan bolagets medgivande i sin tur får uppdra åt någon annan att utföra uppgifter som ingår i uppdraget, och

   9. ansvarar enligt uppdragsavtalet även om den i sin tur uppdrar åt någon annan att utföra uppgifter som ingår i uppdraget.

Uppdragsavtalet ska vara skriftligt.

8 §Ett clearingbolag ska löpande följa upp den verksamhet som omfattas av ett uppdragsavtal genom att

1. övervaka och kontrollera att uppdragstagaren utför uppgifterna på ett tillfredsställande sätt och i enlighet med det som anges i 7 § första stycket 2,

2. vidta ändamålsenliga åtgärder om uppdragstagaren inte utför uppgifterna på det sätt som anges i 1,

3. hantera de risker som kan uppstå med anledning av att bolaget har uppdragit åt någon annan att utföra uppgifterna, och

4. kontrollera att uppdragstagaren uppfyller de krav som framgår av 5 § 1.

9 §Ett clearingbolags funktion för internrevision ska löpande granska den verksamhet som omfattas av ett uppdragsavtal.

10 §Ett clearingbolag ska informera Finansinspektionen om väsentliga förändringar i den verksamhet som omfattas av ett uppdragsavtal.

11 §Ett clearingbolag ska säkerställa att ett uppdrag att utföra uppgifter av betydelse för clearingverksamheten kan avslutas utan att det medför större störningar i den verksamheten och utan att det begränsar bolagets möjlighet att uppfylla de krav som gäller för clearingverksamheten.

Clearingbolaget ska ha ändamålsenliga planer för hur ett uppdrag ska kunna avslutas på det sätt som anges i första stycket. Det ska av planerna åtminstone framgå

1. de alternativa sätt som uppgifterna kan utföras på och riskerna förenade med de alternativen, och

2. en beskrivning av

   1. konsekvenserna av att uppdraget avslutas och att uppgifterna i stället ska utföras av clearingbolaget eller någon annan,

   2. de åtgärder som behöver vidtas med anledning av att uppdraget ska avslutas, och

   3. den tid och de resurser som bolaget bedömer kommer att krävas för de åtgärder som anges i b.

Clearingbolaget ska regelbundet utvärdera planerna och uppdatera dem om det behövs.

12 §En ansökan om godkännande enligt 3 kap. 6 § andra stycket lagen (2024:114) om clearing och avveckling av betalningar av ett uppdragsavtal som innebär en väsentlig förändring av förutsättningarna för clearingverksamheten ska innehålla

1. en beskrivning av de uppgifter som uppdragstagaren ska utföra,

2. en beskrivning av hur clearingbolaget säkerställer att bolaget uppfyller de krav som anges i detta kapitel,

3. bedömningar enligt 3–5 §§, och

4. en beskrivning av hur bolaget ska uppfylla kraven i 8 §.

Uppdragsavtalet ska ges in tillsammans med ansökan.