Esternalizzazione della compliance per EAF in Spagna

Sì. Gli artt. 30 e 31 del Regolamento delegato (UE) 2017/565, che l’art. 83 del Real Decreto 813/2023 applica alle imprese di investimento (ESI) e alle EAFN (società di consulenza finanziaria nazionale), consentono di esternalizzare funzioni critiche o importanti, come quella di compliance, a determinate condizioni. La Circolare 1/2014 della CNMV assoggetta la delega delle funzioni di controllo ai requisiti di esternalizzazione e impone di supervisionare efficacemente le funzioni delegate (norma ottava).

La normativa non prevede un’autorizzazione specifica della CNMV per esternalizzare la compliance di una ESI. Ma la delega fa parte della tua organizzazione: nella domanda di autorizzazione la CNMV chiede come copri le funzioni di controllo, e l’esternalizzazione non può ridurre la sua capacità di vigilanza (art. 85 del Real Decreto 813/2023). Se la modifichi in seguito, conviene valutare prima se devi informare la CNMV.

Sì. In linea generale, la norma quarta della Circolare 1/2014 consente una unica unità indipendente che svolga le funzioni di compliance normativa e di gestione dei rischi, purché restino garantite le responsabilità e i compiti di ciascuna. Se la natura, la scala e la complessità della tua attività lo giustificano, ti serviranno unità separate.

Non sempre. La norma quarta della Circolare 1/2014 non richiede quell’unità quando gli unici servizi sono la consulenza e la ricezione e trasmissione di ordini, senza potere di disposizione sui fondi o sugli strumenti dei clienti, e ciò è proporzionato. In tal caso può assumerla l’unità di compliance e rischi oppure può essere delegata allo stesso soggetto che svolge quelle funzioni.

Non puoi delegarlo al soggetto che effettua la revisione dei tuoi conti annuali né, salvo il caso precedente, a quello che si occupa della tua compliance normativa o della tua gestione dei rischi, né a nessun altro con interessi in conflitto (norma nona della Circolare 1/2014). Se appartieni a un gruppo, può assumerlo l’audit interno del gruppo, a condizioni che evitino i conflitti.

La tua EAF. Quando esternalizza funzioni critiche o importanti, l’impresa resta pienamente responsabile di tutti i suoi obblighi (art. 31 del Regolamento delegato). Per questo ti servono una due diligence preliminare, un contratto scritto che ti permetta di supervisionare e di porre fine all’accordo quando necessario, e l’accesso della CNMV alle informazioni.

Un accordo scritto che stabilisca i diritti e gli obblighi delle parti, l’ambito del servizio e le sue relazioni, i mezzi del fornitore, l’accesso dei tuoi revisori e della CNMV a dati e locali, la riservatezza, la continuità del servizio, il subappalto solo con il tuo consenso e la possibilità di porvi fine senza pregiudicare la continuità né la qualità del servizio ai tuoi clienti.

Gli orientamenti dell’ESMA sulla funzione di compliance della MiFID II (ESMA35-36-1952), che la CNMV applica, ricordano che si delegano i compiti e non la responsabilità, richiedono una due diligence preliminare sul fornitore, che la funzione resti permanente e che l’alta direzione la supervisioni, e ammettono la proporzionalità negli enti di piccole dimensioni.