Regolamento (UE) 2019/359

Regolamento delegato (UE) 2019/359: contenuto delle domande di registrazione come repertorio di dati sulle negoziazioni

Il regolamento integra il regolamento (UE) 2015/2365 fissando le norme tecniche di regolamentazione per specificare quali informazioni devono essere incluse nella domanda di registrazione come repertorio di dati sulle negoziazioni e nella domanda di estensione della registrazione. La logica del testo, richiamata anche nei considerando, è consentire all’ESMA una valutazione completa dell’assetto organizzativo, finanziario, informatico e di controllo del richiedente, riducendo al minimo gli oneri aggiuntivi grazie al rinvio a strutture e procedure già utilizzate per la segnalazione dei derivati e per gli altri atti delegati collegati.

Ambito e funzione del regolamento

Il regolamento è rivolto ai soggetti che chiedono l’iscrizione come repertorio di dati sulle negoziazioni per operazioni di finanziamento tramite titoli (SFT) ai sensi del regolamento (UE) 2015/2365, nonché ai repertori già registrati che intendono estendere la registrazione. Non disciplina il funzionamento in generale dei repertori, ma il contenuto documentale e informativo delle istanze indirizzate all’ESMA. Ne deriva un atto di forte taglio procedurale, essenziale per l’istruttoria di registrazione e per la verifica della conformità ai requisiti del capo III del regolamento di base.

Identificazione del richiedente, struttura societaria e oggetto dell’attività

L’articolo 1 richiede dati identificativi completi del richiedente, prova della costituzione e indicazione dei tipi di SFT oggetto della registrazione, nonché le eventuali autorizzazioni o registrazioni già ottenute a livello nazionale. Devono essere prodotti anche gli atti costitutivi, i verbali del consiglio che approvano la domanda, il programma operativo e l’elenco dei servizi non connessi alla funzione di repertorio. Gli articoli 3, 4 e 5 impongono inoltre di indicare i soggetti che detengono partecipazioni rilevanti, l’eventuale impresa madre, la struttura dei legami proprietari tra gruppo, filiazioni, entità collegate e succursali, e l’organigramma con le persone responsabili delle funzioni significative e delle succursali.

Governance, controllo interno e compliance

Gli articoli 2, 6, 7 e 8 sono dedicati alla governance interna. Il richiedente deve spiegare come le politiche siano approvate dal consiglio e le procedure dall’alta dirigenza, come siano comunicate e monitorate e quali misure siano previste in caso di violazioni. Deve inoltre descrivere il proprio sistema di governo societario, le modalità di selezione, nomina, valutazione e rimozione degli organi apicali, il possibile ricorso a codici di condotta e gli eventuali scostamenti. Sul piano dei controlli interni, la domanda deve contenere informazioni dettagliate sulla funzione di compliance, sulla valutazione del rischio, sui meccanismi di controllo interno e sulla funzione di audit interno, incluse carta, metodologie, composizione del comitato e piano di lavoro triennale.

Idoneità di amministratori, dirigenti e personale

L’articolo 9 richiede per ogni membro dell’alta dirigenza e del consiglio curriculum vitae, competenze, esperienza, informazioni su eventuali condanne o procedimenti e una dettagliata autodichiarazione di onorabilità, oltre alla dichiarazione sui potenziali conflitti di interesse. L’articolo 10 richiede la politica di remunerazione di dirigenti, amministratori e personale delle funzioni di rischio e controllo, nonché misure per evitare l’eccessivo affidamento su singoli dipendenti. L’articolo 11 amplia il perimetro al personale impiegato nel repertorio, con indicazione di funzioni, qualifiche, personale IT, soggetti responsabili di audit, controlli interni, compliance e risk management, e formazione richiesta; per il personale IT senior serve anche prova del titolo e dell’esperienza.

Requisiti finanziari e solidità economica

L’articolo 12 impone la produzione del bilancio d’esercizio completo, della relazione di revisione ove applicabile, dell’identificazione del revisore esterno e di un piano finanziario aziendale su almeno tre anni, basato su scenari diversi e scostamenti non inferiori al 20 % rispetto allo scenario base. Se i dati storici non sono disponibili, il richiedente deve presentare documenti pro forma, bilanci intermedi e prospetti patrimoniali completi. È inoltre richiesto il bilancio revisionato dell’impresa madre relativo ai tre esercizi precedenti e l’indicazione dei piani di sviluppo futuro, incluse filiazioni e attività previste.

Conflitti di interesse, riservatezza e sicurezza dei dati

Gli articoli 13, 14 e 15 impongono un impianto documentale sulla gestione dei conflitti di interesse e sulla riservatezza. Il repertorio deve descrivere le politiche di individuazione, gestione e comunicazione dei conflitti, le misure di mitigazione e l’inventario aggiornato dei conflitti rilevanti, anche quelli generati da società del gruppo. Sul fronte della riservatezza, devono essere illustrati i meccanismi per impedire usi illeciti o commerciali non autorizzati delle informazioni, le regole di autorizzazione all’accesso, i log di accesso e le misure di cybersicurezza. È inoltre richiesta la descrizione dei meccanismi di conservazione delle tracce di accesso al dato.

Risorse IT, esternalizzazione e separazione operativa

Gli articoli 16 e 17 dedicano grande spazio alle risorse informatiche e all’outsourcing. La domanda deve contenere una descrizione dettagliata dell’architettura del sistema informatico, dei flussi e modelli di dati, dei manuali e delle procedure amministrative, nonché degli investimenti IT. In caso di esternalizzazione, devono essere allegati gli accordi, i livelli di servizio, le metriche e i contratti. Se il richiedente o il gruppo offre anche servizi accessori o altri servizi di negoziazione/post-negoziazione, deve indicare tali attività e dimostrare una separazione operativa adeguata tra linee di business, per evitare contagio di rischi operativi.

Accesso alle informazioni, trasparenza e verifica dei dati

Gli articoli 18, 19, 20, 23 e 24 costruiscono il perimetro della trasparenza e dell’accesso. Il richiedente deve illustrare le regole di accesso per le varie categorie di utenti, i diritti e obblighi connessi, le modalità di accesso non discriminatorio per terzi previo consenso scritto e revocabile delle controparti, e i canali di pubblicazione delle regole di accesso. Deve inoltre descrivere la politica tariffaria, compresi sconti e riduzioni, e la struttura dei costi separando servizi di repertorio e servizi accessori. Quanto alla qualità dei dati, l’articolo 19 rinvia alle norme tecniche del regolamento delegato (UE) 2019/358 e richiede procedure di autenticazione, verifica del formato XML/ISO 20022, controllo dell’autorizzazione dell’entità segnalante, riconciliazione e feedback alle controparti. Gli articoli 23 e 24 specificano poi come il repertorio deve facilitare l’accesso del pubblico, delle autorità competenti e delle controparti, nonché l’accesso diretto e immediato delle autorità con garanzie di integrità dei dati.

Continuità operativa, conservazione dati e sostituzione del repertorio

L’articolo 21 richiede un piano di continuità operativa particolarmente articolato, con descrizione dei processi critici, dei siti alternativi, delle procedure di emergenza e di crisi, dei test, dei tempi massimi di ripristino e delle misure per assicurare un livello minimo di servizio anche in caso di perturbazioni. Deve essere prevista anche la possibilità di sostituzione regolare del repertorio in caso di richiesta delle controparti o di revoca della registrazione, con trasferimento dei dati e reindirizzamento dei flussi informativi. L’articolo 22 impone poi regole sulla registrazione tempestiva e accurata delle informazioni, sulla conservazione in log, sull’archiviazione online e offline e sulla duplicazione dei dati per la continuità operativa.

Estensione della registrazione e chiusura della domanda

L’articolo 26 stabilisce quali informazioni della domanda iniziale devono essere ripresentate anche in caso di estensione della registrazione, con alcune esclusioni specifiche. L’articolo 25 richiede la prova del pagamento delle commissioni previste dal regolamento delegato (UE) 2019/360. Infine, l’articolo 27 impone una dichiarazione firmata da un membro del consiglio e da un alto dirigente, attestante che le informazioni fornite sono corrette e complete alla data di presentazione, con l’eventuale documentazione societaria a supporto. Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.