Regolamento (UE) 2019/362

Ampliamento del contenuto della domanda di registrazione

L’articolo 1 sostituisce l’articolo 1, paragrafo 2, del regolamento delegato (UE) n. 150/2013, imponendo una domanda più dettagliata: dati identificativi del richiedente, prova della costituzione e dell’ambito di attività, categorie di derivati trattati, eventuali autorizzazioni o registrazioni nazionali, atti costitutivi, verbali di approvazione della domanda, referenti compliance, programma delle operazioni, struttura del gruppo, servizi diversi dalla funzione di repertorio e informazioni su procedimenti giudiziari, amministrativi, arbitrali o contenziosi rilevanti.

Politiche e procedure interne

La domanda deve descrivere come le politiche sono approvate dal consiglio e le procedure dall’alta dirigenza, come vengono diffuse internamente e controllate quotidianamente, quali misure sono previste in caso di violazione e quale procedura è prevista per segnalare all’Aesfem le violazioni rilevanti che possano compromettere le condizioni di registrazione iniziale.

Informazioni sulla capogruppo

Se il richiedente ha una impresa madre, deve indicarne la sede legale e specificare se essa sia autorizzata o registrata e soggetta a vigilanza, indicando gli eventuali numeri di riferimento e l’autorità di vigilanza competente.

Controllo interno e audit

Sono richieste informazioni dettagliate sul sistema di controllo interno, comprese compliance, risk assessment, meccanismi di controllo e funzione di audit interno. La domanda deve includere politiche, procedure e manuali relativi alla sorveglianza dei sistemi, alla protezione dei sistemi di trattamento delle informazioni e l’identità degli organi interni che valutano i controlli. Per l’audit interno occorrono composizione, competenze e responsabilità dell’eventuale comitato di audit, carta, metodologie, norme e procedure, modalità di applicazione e piano di lavoro triennale.

Idoneità di alta dirigenza e consiglio

Per ogni alto dirigente e membro del consiglio devono essere forniti curriculum vitae, informazioni su competenze ed esperienza nella gestione, nelle operazioni e nello sviluppo IT, dati su eventuali condanne penali e una autodichiarazione sull’onorabilità. La dichiarazione copre numerosi casi di condanne, sanzioni, interdizioni, insolvenze societarie pregresse e conflitti di interesse, con indicazione delle modalità di gestione di tali conflitti.

Requisiti sul personale

La domanda deve contenere l’elenco del personale direttamente impiegato, la descrizione del personale IT, delle funzioni di audit interno, controlli interni, compliance e risk management, l’identità del personale dedicato o impiegato in outsourcing e informazioni sulla formazione. Per almeno un membro del personale di grado superiore competente in materia IT occorre prova scritta del titolo accademico e dell’esperienza.

Documenti finanziari e piano aziendale

La domanda deve includere bilancio completo redatto secondo i principi internazionali applicabili, eventuale relazione di revisione, dati del revisore esterno, piano finanziario su almeno tre anni con scenari diversi, livelli previsti di attività, costi fissi e variabili e variazioni pari almeno al 20% rispetto allo scenario base. Se i dati storici non esistono, sono richieste una dichiarazione pro forma, un bilancio intermedio o un prospetto patrimoniale-finanziario. Va inoltre fornito il bilancio revisionato della capogruppo degli ultimi tre esercizi e informazioni su future filiazioni e sulle attività previste.

Riservatezza e protezione dei dati

La domanda deve descrivere politiche, procedure e meccanismi per impedire usi illegittimi, divulgazioni riservate e usi commerciali non ammessi delle informazioni detenute. Devono essere specificate le autorizzazioni di accesso, le restrizioni di uso, i meccanismi di cybersecurity e le modalità di logging che consentano di identificare il personale che accede ai dati, il momento, la natura dei dati e lo scopo.

Sistemi informatici ed esternalizzazione

Occorre descrivere in modo dettagliato il sistema informatico, le specifiche funzionali e tecniche, l’architettura, i flussi di dati, le procedure amministrative e i manuali, nonché i dispositivi per l’utenza e le politiche di investimento e rinnovo IT. Per gli affidamenti esterni vanno indicati servizi, ampiezza e granularità delle attività, tempistiche, livelli di servizio, metriche, responsabilità, monitoraggio e contratti.

Servizi accessori e separazione operativa

Se il richiedente, una società del gruppo o un soggetto collegato offre o intende offrire servizi accessori, la domanda deve descriverli e contenere gli accordi con le imprese di negoziazione, post-negoziazione o altri servizi connessi. È richiesta una separazione operativa adeguata tra risorse, sistemi e procedure della funzione di repertorio e le altre linee di attività, anche se disciplinate dal diritto UE o di paesi terzi.

Trasparenza delle regole di accesso

La domanda deve indicare politiche e procedure di accesso e segnalazione per le diverse tipologie di utenti, i termini e le condizioni dei loro diritti e obblighi, le categorie di accesso disponibili, le regole per l’accesso non discriminatorio di altri fornitori di servizi previo consenso scritto, volontario e revocabile delle controparti e i canali di pubblicazione delle regole di accesso. Le informazioni devono essere specificate per utenti interni, controparti segnalanti e non segnalanti, soggetti incaricati o responsabili della segnalazione, terzi e soggetti ex articolo 81, paragrafo 3, EMIR.

Verifica della completezza e correttezza dei dati

Devono essere descritte le procedure di autenticazione degli utenti, di verifica della completezza e correttezza dei dati derivati, di verifica dell’autorizzazione del soggetto segnalante per conto della controparte, della sequenza logica dei dati, della riconciliazione tra repertori e dell’invio di riscontri alle controparti o ai terzi segnalanti sui controlli svolti e sugli esiti della riconciliazione.

Trasparenza tariffaria

La domanda deve descrivere la politica tariffaria, inclusi sconti e riduzioni, la struttura tariffaria dei servizi di repertorio e dei servizi accessori, i costi stimati e i metodi di imputazione separata dei costi, oltre alle modalità di messa a disposizione delle informazioni agli utenti, con copia della struttura tariffaria separata.

Rischio operativo e continuità operativa

Sono richieste misure dettagliate per identificare e ridurre il rischio operativo e altri rischi rilevanti, con indicazione delle attività liquide nette finanziate da capitale proprio e della capacità di coprire almeno sei mesi di costi operativi in caso di liquidazione o riorganizzazione. Il piano di continuità operativa deve includere processi critici, servizi esternalizzati, accordi con altri operatori, livelli minimi di servizio, tempi di ripristino, incident management, test, siti alternativi, sito secondario, gestione emergenze e crisi e ripristino di sistemi, applicazioni e infrastrutture. Sono previste anche procedure per la sostituzione ordinata del repertorio in caso di revoca o richiesta di trasferimento.

Conservazione dei dati e log di segnalazione

La domanda deve descrivere le politiche e procedure di ricezione e gestione dei dati, assicurando registrazione tempestiva e accurata, conservazione online e offline, copie a fini di continuità operativa e corretto aggiornamento dei dati e calcolo delle posizioni. È richiesto il log di segnalazione per tutte le informazioni relative a conclusione, modifica o cessazione dei contratti derivati.

Disponibilità dei dati e accesso alle autorità

La domanda deve descrivere risorse, metodi e canali per l’accesso ai dati ai sensi dell’articolo 81 EMIR: calcolo delle posizioni aggregate secondo il regolamento delegato (UE) n. 151/2013, accesso del pubblico ai dati, accesso delle autorità competenti e accesso delle controparti alle informazioni. È introdotto l’articolo 23 bis, che richiede anche i termini e le condizioni, la procedura e le garanzie di integrità per l’accesso diretto e immediato ai dati da parte delle autorità di cui all’articolo 81, paragrafo 3, EMIR.

Entrata in vigore e applicazione

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea. È obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno Stato membro.