Bijlage 3 NRpte 2002: bijlage ter uitvoering van artikel 10 van deze regeling, houdende nadere regels voor de administratieve organisatie en het systeem van interne controle

Nadere regeling prudentieel toezicht effectenverkeer 2002 (NRpte 2002)

De reikwijdte van de in deze bijlage opgenomen voorschriften inzake de administratieve organisatie en het systeem van interne controle, naar de onderscheiden categorieën van effecteninstellingen, is als volgt: Naast de systematische beschrijving van de administratieve organisatie en het systeem van interne controle beschrijft de effecteninstelling Ingeval effectentransacties voor eigen rekening plaatsvinden worden de doelstelling(en) en aard van deze activiteit, uitgesplitst op het niveau van individuele rekeningen, vastgelegd en wordt voorzien in een strikte administratieve scheiding tussen de handel voor eigen rekening en de handel voor rekening van cliënten. In het kader van de risicobewaking stelt een effecteninstelling limieten vast voor het aangaan van transacties voor eigen rekening en voor rekening van cliënten, legt deze schriftelijk vast en voorziet in procedures betreffende de dagelijkse rapportage van de feitelijke posities en van de verschillen tussen de feitelijke posities en de geaccordeerde limieten. Ingeval van limietoverschrijdingen worden deze gerapporteerd op het moment dat zij zich voordoen en vindt dagelijks vastlegging plaats van de correctieve maatregelen. Ingeval van het gebruik van tussenrekeningen voor effectentransacties, worden aard en doelstelling(en) van de tussenrekening(en) schriftelijk vastgelegd. Tevens wordt voorzien in adequate controleprocedures met betrekking tot de opbouw en afloop van de tussenrekening(en), die er in voorzien dat transacties niet langer dan strikt noodzakelijk, gezien het doel waarvoor een tussenrekening wordt gehanteerd, op een tussenrekening wordt geadministreerd. Daarbij worden opbouw en afloop van de tussenrekening dagelijks gecontroleerd, waarbij afwijkingen worden gerapporteerd aan de leiding. Ingeval van het gebruik van een tussenrekening voor het verzamelen van transacties, blijkt onverminderd 3.15, uit de administratie voor wiens rekening de op de tussenrekening geadministreerde transactie is aangega

• a) voor effecteninstellingen die de effectendienst als bedoeld in artikel 1, onder h, sub 1 of sub 8a verrichten gelden de voorschriften 3.2 tot en met 3.5, 3.10 tot en met 3.12, alsmede 3.16 tot en met 3.19;
• b) voor effecteninstellingen die de effectendienst als bedoeld in artikel 1, onder h, sub 2, sub 4 of sub 8b verrichten gelden de voorschriften 3.2 tot en met 3.5, alsmede 3.7 tot en met 3.19;
• c) voor effecteninstellingen die de effectendienst als bedoeld in artikel 1, onder h, sub 3 verrichten gelden de voorschriften 3.2 tot en met 3.10, alsmede 3.12 tot en met 3.19;
• d) voor effecteninstellingen die de effectendienst als bedoeld in artikel 1, onder h, sub 6 of 7 verrichten gelden de voorschriften 3.2 tot en met 3.10, alsmede 3.12 tot en met 3.19;
• e) voor kredietinstellingen die de diensten onder a tot en met d verrichten, gelden de bij die diensten genoemde voorschriften, uitgezonderd de voorschriften 3.5, en 3.7.
• a) alle activiteiten die de effecteninstelling verricht;
• b) de dagelijks te verrichten werkzaamheden inzake de administratieve organisatie en het systeem van interne controle, met inbegrip van de functies, taken en verantwoordelijkheden en de delegatie van bevoegdheden;
• c) de rapportagelijnen en communicatiestructuur binnen de effecteninstelling;
• d) het organisatieschema van de effecteninstelling, waarbij per organisatorische eenheid de activiteiten worden aangegeven; en
• e) een strategisch beleidsplan.
• 1 Een effecteninstelling voorziet in procedures en neemt alle maatregelen voor een strikte scheiding, waaronder een personele scheiding, tussen:
• a) het bedrijfsonderdeel dat de transacties uitvoert en het bedrijfsonderdeel dat de transacties administratief verwerkt en afwikkelt;
• b) het bedrijfsonderdeel dat de transacties afwikkelt en administratief verwerkt en het bedrijfsonderdeel dat de controle op deze activiteiten uitvoert; en
• c) het bedrijfsonderdeel dat de transacties afwikkelt en administratief verwerkt en de procuratie.
• 2 In afwijking van 3.3.1 worden bij effecteninstellingen, niet zijnde een effecteninstelling die de effectendienst bedoeld in artikel 1, onder h, sub 2 en sub 8b verricht, waarvan alle activiteiten bedoeld in 3.3.1 hoofdzakelijk plaatsvinden op het niveau van het hoogste bestuursorgaan, de maatregelen voor een strikte scheiding als bedoeld in 3.3.1 zoveel mogelijk doorgevoerd.
• 1 De administratieve organisatie voorziet in een juiste, tijdige en volledige vastlegging van alle rechten en verplichtingen in de daartoe bestemde administratie, verantwoording daarvan in de periode(n) waarop deze betrekking hebben, alsmede in toekenning van het resultaat aan de periode(n) waarop zij betrekking heeft. Tevens voorziet de administratieve organisatie en het systeem van interne controle in verificatie van de (rekenkundige) juistheid van de administratieve vastlegging, een adequate documentatie van de administratie, alsmede in tijdige, krachtens deze regeling vereiste, rapportages aan de Bank, daaronder begrepen procedures omtrent de wijze waarop de rapportages worden opgesteld en hoe zij aansluiten op de desbetreffende administratie(s).
• 2 Afspraken en overeenkomsten worden zoveel mogelijk met schriftelijk bewijsstukken aangetoond.
• 1 Uit de financiële administratie moet op dagelijkse basis ten minste de aard en omvang van activa en passiva, de niet uit de balans blijkende verplichtingen, alsmede de resultaatontwikkeling, uitgesplitst naar de onderscheiden bedrijfsactiviteiten en bedrijfsonderdelen kunnen blijken. Met het oog daarop worden op dagelijkse basis alle transacties en de daaruit voortvloeiende financiële verplichtingen in de administratie verwerkt.
• 2 Uit de financiële administratie blijkt, met het oog op het bewaken en beheersen van de risico's door de instelling en de naleving van de krachtens deze regeling gestelde regels inzake het eigen vermogen en het toetsingsvermogen, daaronder begrepen de rapportageverplichtingen jegens de Bank, op dagelijkse basis de financiële positie van de effecteninstelling. In de procedures van de effecteninstelling is de wijze van invulling van deze rapportages vastgelegd en uit de administratie dient te blijken op welke wijze zij aansluiten op de financiële administratie, waarbij eventuele afwijkingen worden verklaard en gedocumenteerd, inclusief de eventueel te nemen correctieve maatregelen naar aanleiding van de geconstateerde afwijkingen.
• 3 De financiële administratie dient te zijn gebaseerd op externe bescheiden en op interne bescheiden die zijn geautoriseerd door een daartoe bevoegde functionaris, waarbij eventuele afwijkingen worden verklaard en gedocumenteerd. De in de financiële administratie opgenomen reserveringen en schattingen dienen op adequate wijze te zijn gedocumenteerd op een zodanige wijze dat de juistheid en de volledigheid kan worden vastgesteld.
• 4 Op dagelijkse basis worden de rechten en verplichtingen, waaronder de debiteuren en crediteuren, uitgesplitst naar ouderdom van de af te wikkelen effectentransacties en van alle daaruit voortvloeiende financiële verplichtingen. De effecteninstelling neemt maatregelen indien afwikkeling niet heeft plaatsgevonden op de afgesproken afwikkelingsdatum, waarbij deze maatregelen gedocumenteerd worden vastgelegd.
• a) de fondsenbalans sluit aan op de financiële administratie van de effecteninstelling, waarbij in de administratie is vastgelegd de wijze waarop de fondsenbalans aansluit op de financiële administratie;
• b) de fondsenbalans is in evenwicht, dat wil zeggen dat sprake is van een evenwicht tussen de effecten in eigen positie, de nog te ontvangen effecten, de nog te leveren effecten en de effecten die de effecteninstelling houdt;
• c) de effecteninstelling sluit de fondsenbalans zoveel mogelijk aan op externe bescheiden, waarbij in administratie is vastgelegd de wijze waarop de fondsenbalans aansluit op de externe bescheiden;
• d) eventuele afwijkingen met betrekking tot de vereisten als bedoeld onder a tot en met c, worden verklaard en gedocumenteerd, inclusief de eventueel te nemen correctieve maatregelen naar aanleiding van de geconstateerde afwijkingen.
• a) de overeenkomsten tussen de effecteninstelling en de cliënt en eventueel derden die de cliënt vertegenwoordigen, daaronder begrepen de effectenbemiddelingsovereenkomst, de vermogensbeheer-overeenkomst, baisse-overeenkomst en de tripartiete overeenkomst. Mondelinge afspraken worden schriftelijk bevestigd, waarbij de afspraken en bevestigingen worden vastgelegd in de in de aanhef bedoelde administratie;
• b) de externe bescheiden waaruit blijkt dat de cliënt een professionele belegger is;
• c) externe bescheiden waaruit de identiteit van de cliënt blijkt. Indien de effecteninstelling met een of meer cliënten overeen komt dat de identificatiegegevens van de cliënt niet worden opgenomen in het cliëntdossier, voorziet de effecteninstelling in een systematische en voor de Bank toegankelijke centrale vastlegging van de identificatiegegevens van de desbetreffende cliënten en van de betrokken rekeningen;
• d) de kredietinstelling(en) waar de geld- en effectenrekening(en) van de cliënt worden aangehouden, alsmede de rekeningnummers, voor zover deze gegevens voor de dienstverlening van de effecteninstelling van belang zijn;
• e) alle overige correspondentie met betrekking tot de cliënt.
• 1 Een effecteninstelling voorziet in procedures met betrekking tot de orderafhandeling en de vastlegging in de orderadministratie, daaronder ten minste begrepen:
• a) de beschrijving van de orderafhandeling, vanaf het moment van aanname van de order tot en met de afwikkeling van de transactie; indien sprake is van meerdere verschillende orderafhandelingen, bijvoorbeeld afhankelijk van het soort effect en/of het type cliënt, dienen deze alle te worden beschreven;
• b) de autorisatie, ten behoeve van cliënten en voorafgaand aan de acceptatie van een order, dat de cliënt aan zijn uit de uitvoering van de order voortvloeiende verplichtingen zal kunnen voldoen en dat voldaan wordt aan de bij de wet, het besluit of deze regeling gestelde regels en aan de met de cliënt gemaakte afspraken;
• c) de primaire vastlegging van de order, daaronder begrepen alle wijzigingen van bestaande orders, in de orderadministratie, op doorlopend voorgenummerde ordertickets, waarbij alle modaliteiten van betreffende order, inclusief de cliënt voor c.q. door wie de order is opgegeven, onmiddellijk worden vastgelegd. Ingeval van een geautomatiseerd orderboek, kent het geautomatiseerd systeem automatisch een doorlopende nummering toe aan de ingevoerde orders. Er dient te worden voorzien in de mogelijkheid om orders, voor zover van toepassing per cliënt geïndividualiseerd, te volgen vanaf het moment van de primaire registratie tot aan de verantwoording en vice versa, met inbegrip van alle eventueel aangebrachte wijzigingen. De orderadministratie kan in dat kader zowel handmatig als geautomatiseerd worden gevoerd, waarbij in geval gebruik wordt gemaakt van een geautomatiseerd orderboek uit de documentatie van de leverancier moet blijken dat alle in de orderadministratie vastgelegde orders traceerbaar blijven;
• d) het zo spoedig mogelijk na afhandeling van een order overdragen van de ordertickets van de front office aan de back-office, waarbij door de back-office het tijdstip van overdracht van het orderticket wordt vastgelegd, interne controle plaatsvindt op een tijdige overdracht en vastlegging plaatsvindt van niet tijdig overgedragen tickets, inclusief vermelding van de reden; de archivering van de ordertickets geschiedt op nummervolgorde;
• e) de beoordeling op dagelijkse basis van de orders en transacties door degene die leiding geeft aan het in ontvangst nemen en het (doen) uitvoeren van orders, alsmede de afstemming van de ordertickets met de bevestigingen van tegenpartijen en de notaverslaglegging door de backoffice;
• f) het continu inzicht bieden in de lopende orders vanuit de orderadministratie.
• 2 Onverminderd 3.13.1, voorziet de orderadministratie er in dat bij de ontvangst van een order onverwijld de volgende gegevens worden vastgelegd:
• a) datum en tijdstip waarop de order van de cliënt/opdrachtgever is ontvangen;
• b) naam en (intern) rekeningnummer van de cliënt/opdrachtgever ten behoeve van wie de order is ontvangen; ingeval sprake is van verzamel- of blok-order, worden alle namen en rekeningnummers van de desbetreffende cliënten/opdrachtgevers vastgelegd, waarbij de aantallen per cliënt/opdrachtgever zijn gespecificeerd;
• c) naam van de medewerker die de order heeft aangenomen;
• d) aard van de transactie;
• e) het aantal en de soort effecten waarop de order betrekking heeft;
• f) de condities van de order en de condities betreffende de uitvoering van de order;
• g) datum en tijdstip waarop de order is doorgegeven, voor zover de order niet direct wordt ingevoerd in een geautomatiseerd orderexecutiesysteem.
• 3 De orderadministratie voorziet er in dat bij de uitvoering van een order onverwijld de volgende gegevens worden vastgelegd:
• a) de prijs waarop de order is uitgevoerd respectievelijk de prijzen waarop delen van de orders zijn uitgevoerd;
• b) in wat voor hoedanigheid de effecteninstelling in relatie tot de cliënt is opgetreden, als agent of principaal.
• 4 De in 3.13.1 tot en met 3.13.3 genoemde data en tijdstippen worden vastgelegd door middel van elektronische klokken, dan wel door middel van andere methoden die gelijkwaardige waarborgen bieden.
• a) dagelijks worden alle transacties alsmede de daaruit voortvloeiende verplichtingen systematisch in de administratie verwerkt en bewaakt;
• b) uit de administratie blijkt, voor zover van toepassing, per cliënt:
• - de aard van de transactie die is uitgevoerd;
• - het aantal en de soort effecten waarop de transactie betrekking heeft;
• - datum en tijdstip waarop de transactie is uitgevoerd;
• - de periode waarvoor de transacties zijn aangegaan;
• - voor zover van toepassing, de tegenpartij door wiens bemiddeling de transactie is uitgevoerd;
• - de koers of koersen waartegen de (deel)transactie(s) is of zijn uitgevoerd;
• - de aard (bijvoorbeeld margin) en omvang van de uit de transactie voortvloeiende verplichtingen;
• - het effectieve bedrag, de in rekening gebrachte provisies en andere kosten en het notabedrag van de transactie;
• - de notadatum; en
• - de overige voorwaarden die op de transactie van toepassing zijn;
• c) de effectenadministratie voorziet in de mogelijkheid van het opstellen van historische overzichten, zowel per cliënt als per fonds.
• 1 Een effecteninstelling voorziet in de opzet en toepassing van een effectenafwikkelingadministratie, waaruit blijkt op welke wijze een effectentransactie is afgewikkeld, zowel wat betreft het stukkenverkeer als het geldverkeer.
• 2 De effecteninstelling ziet op dagelijkse basis toe op de bewaking van de afwikkeling van de effectentransacties en het nemen van maatregelen indien afwikkeling abusievelijk niet heeft plaatsgevonden op de afgesproken afwikkelingsdatum, waarbij deze maatregelen gedocumenteerd worden vastgelegd.
• 1 Een effecteninstelling voorziet in een positie-administratie, waaruit dagelijks, per cliënt onderverdeeld, ten minste de volgende gegevens dienen te blijken:
• a) alle posities (long en short);
• b) de eventuele marginvereisten en andere financiële verplichtingen die voortvloeien uit deze posities;
• c) de door de cliënt verstrekte zekerheden (onderpand);
• d) alle overige rechten en verplichtingen van de cliënt die rechtstreeks voortvloeien uit deze posities.
• 2 De effecteninstelling voorziet in de opzet en naleving van procedures die ten minste zien op:
• a) de continue bewaking van de risico's en van de toereikendheid van de gestelde zekerheden;
• b) de onmiddellijke in kennisstelling van de cliënt in geval van ontoereikende zekerheden;
• c) de vastlegging van de omstandigheden waaronder posities van een cliënt ingeval van ontoereikende zekerheden worden afgebouwd of gesloten, daaronder begrepen de termijn die geldt voor het voorzien in aanvullende zekerheden.
• 1 De effecteninstelling die gebruik maakt van geautomatiseerde gegevensverwerking dient zodanige maatregelen en procedures door te voeren dat de beveiliging (vertrouwelijkheid, integriteit en continue beschikbaarheid) van de geautomatiseerde gegevensverwerking is gewaarborgd. Daarbij dient aandacht te zijn besteed aan maatregelen op de volgende gebieden:
• a) algemene beheersmaatregelen in de geautomatiseerde omgeving;
• b) de gehanteerde functiescheidingen;
• c) geprogrammeerde controles die zich richten op de betrouwbare werking van de gebruikte applicaties ('application controls'); en
• d) de maatregelen in de gebruikersomgeving.
• 2.1 De effecteninstelling dient maatregelen te nemen:
• a) die voorkomen dat ongeautoriseerde implementatie van nieuwe programmatuur en automatiseringssystemen plaatsvindt alsmede dat ongeautoriseerde wijzigingen in bestaande programmatuur en systemen worden doorgevoerd;
• b) die voorzien in een functiescheiding tussen de ontwikkelings- en testomgeving en de operationele omgeving, indien de effecteninstelling zelf specifieke programmatuur ontwikkelt of laat ontwikkelen;
• c) die voorzien in het testen van de diverse modules door de operationele omgeving alvorens de modules worden geïmplementeerd, indien de effecteninstelling gebruik maakt van standaardprogrammatuur.
• 2.2 De effecteninstelling dient procedures te hebben die voorzien in het registreren, analyseren en oplossen van problemen die zich in het geautomatiseerde proces voordoen.
• 2.3 De effecteninstelling dient maatregelen en procedures te implementeren die bewaken dat de operationele omgeving gebruik maakt van de juiste programmatuur, stamgegevens en geprogrammeerde controles.
• 3 De fysieke functiescheidingen van de effecteninstelling dienen te zijn doorgevoerd in de functiescheidingen binnen de geautomatiseerde gegevensverwerking. Deze functiescheidingen in het geautomatiseerde systeem dienen te zijn vastgelegd in competentietabellen. De effecteninstelling dient:
• a) op basis van de competentietabellen een logische toegangsbeveiliging door middel van wachtwoorden te implementeren;
• b) te beschikken over procedures die voorzien in het regelmatig wijzigen van wachtwoorden alsmede in een adequaat beheer van de competentietabellen;
• c) te beschikken over maatregelen die voorkomen dat ongeautoriseerde wijzigingen in de competentietabellen kunnen worden doorgevoerd;
• d) het geautomatiseerde systeem te voorzien van geprogrammeerde controles die de juistheid van de ingevoerde gegevens toetsen op betrouwbaarheid; en
• e) te beschikken over een herstelprocedure die voorziet in handleidingen en gegevens op basis waarvan gegevens die foutief of ongeautoriseerd zijn gewijzigd of ingevoerd kunnen worden hersteld.
• 4 De effecteninstelling dient zorg te dragen voor maatregelen en procedures die voorkomen dat storingen en calamiteiten optreden binnen de geautomatiseerde gegevensverwerking. Hiertoe dient de effecteninstelling:
• a) te beschikken over een herstelprocedure die voorziet in handleidingen en instructies op basis waarvan de geautomatiseerde gegevensverwerking hersteld kan worden indien deze door calamiteiten of storingen is uitgevallen;
• b) te beschikken over adequate documentatie en gebruikershandleidingen voor de applicatieprogrammatuur;
• c) te voorzien in procedures voor het maken van veiligheidskopieën;
• d) te voorzien in procedures die het mogelijk maken om uit te wijken;
• e) te voorzien in procedures die voorzien in een fysieke en logische beveiliging van de gegevensdragers en andere computerfaciliteiten.
• 5 De effecteninstelling dient te beschikken over procedures waarin de uitgangspunten voor beheer en beveiliging zijn vastgelegd. Er dient een plannings- en evaluatiecyclus aanwezig te zijn, die voortdurend bewaakt of de juiste maatregelen zijn getroffen en waaruit de werking van het beleid blijkt. De periodieke evaluatie van het beveiligingsbeleid dient te zijn gebaseerd op actuele risicoanalyses.
• 6 De effecteninstelling dient ervoor zorg te dragen dat veranderingen in informatiebehoeften en de daartoe benodigde aanpassingen in de automatiseringssystemen worden vastgesteld en doorgevoerd op basis van veranderingen in de doelstellingen en in het risicoprofiel van de effecteninstelling.