(1)

For at sikre hensigtsmæssigheden, tilstrækkeligheden og effektiviteten af deres systemer, ressourcer og procedurer bør eksterne kontrollanter grundigt overveje deres interne ordninger, fra informationssystemernes robusthed til tilstrækkeligheden af menneskelige, tekniske og materielle ressourcer. Eksterne kontrollanter bør som led i deres procedurer udvikle en robust vurderingsramme, som bør omfatte de minimumskriterier, der skal anvendes til at vurdere oplysningernes kvalitet og pålideligheden af de kilder, der anvendes i vurderingsaktiviteterne.

(2)

Af samme årsag bør eventuelle system-, ressource- og procedurerelaterede mangler, der konstateres i forbindelse med overvågning og evaluering af deres tilstrækkelighed og effektivitet, registreres, afhjælpes og indberettes på passende vis, og medlemmerne af den eksterne kontrollants ledelsesorgan bør føre tilsyn med korrigerende foranstaltninger.

(3)

For at compliancefunktionen kan have myndighed til at varetage sit ansvar korrekt og uafhængigt, bør eksterne kontrollanter have en eller flere bestyrelsesgodkendte politikker for compliancefunktionen, og compliancefunktionen bør være repræsenteret i den eksterne kontrollants relevante organisatoriske strukturer, herunder udvalg.

(4)

For at sikre compliancefunktionen de nødvendige ressourcer og sætte compliancefunktionen i stand til effektivt at udføre sine overvågningsopgaver bør eksterne kontrollanter afsætte tilstrækkelige tekniske og menneskelige ressourcer til denne funktion.

(5)

For at skabe den nødvendige ekspertise i compliancefunktionen bør eksterne kontrollanter sikre, at de personer, der varetager compliancefunktionen, har de fornødne kollektive og ajourførte færdigheder og erfaringer, herunder ved at kontrollere, om disse personer har den nødvendige erhvervsbaggrund og de nødvendige faglige kvalifikationer, og ved at tilbyde den fornødne oplæring på arbejdspladsen.

(6)

For at compliancefunktionen kan tilgå alle relevante oplysninger, bør eksterne kontrollanter sikre, at compliancefunktionen kan indhente oplysninger fra alle kilder, som den har brug for til at udføre sine opgaver på passende vis, herunder virksomhedsregistre og registre over kontrolfunktioner, revisionsberetninger, indberetninger fra whistleblowere og kundeklager. I betragtning af behovet for at sikre, at tredjepartstjenesteudbydere og andre forretningsenheder overholder de samme standarder som den eksterne kontrollant selv, bør compliancefunktionen også have adgang til oplysninger om den eksterne kontrollants eventuelle outsourcede funktioner eller andre forretningsområder.

(7)

Eksterne kontrollanter bør, for at sikre, at deres administrative procedurer og regnskabsprocedurer er forsvarlige, føre fyldestgørende registre over relevante regnskabshændelser og overholde gældende regnskabsstandarder og -regler.

(8)

For at opretholde solide interne kontrolmekanismer bør eksterne kontrollanter indføre et omfattende internt kontrolsystem med fokus på at skabe et stærkt og forholdsmæssigt afpasset kontrolmiljø, effektivt styre risici, gennemføre de nødvendige kontrolaktiviteter, sikre klare informationsstrømme og kommunikation og løbende at overvåge aktiviteter.

(9)

For at sikre, at kontrol- og beskyttelsesordningerne for informationsbehandlingssystemer er effektive, bør eksterne kontrollanter gennemføre en kontrolramme for IKT-risikostyring, der omfatter vurderinger af IT- og informationssikkerheden og test af IKT-backupsystemer med det formål at sikre forretningskontinuitet.

(10)

Eksterne kontrollanter bør, for at sikre, at deres udtalelser er baseret på en grundig analyse af oplysninger af tilstrækkelig kvalitet og fra pålidelige kilder, i deres vurderingsmetoder anvende specifikke kriterier for vurdering af sådanne oplysninger.

(11)

For at vurdere kvaliteten af de anvendte oplysninger bør eksterne kontrollanter sikre, at de pågældende oplysninger er fuldstændige, relevante, rettidige og baseret på rimelige antagelser, herunder ved at sikre, at oplysningerne på udførlig vis illustrerer det obligationsfinansierede projekt i overensstemmelse med, hvilken type af og sektor for økonomiske aktiviteter der er tale om. Derfor bør oplysningerne have en direkte tilknytning til obligationens karakteristika, give et nøjagtigt billede af det finansierede projekt, være ajourførte og tage hensyn til prognosebegrænsninger og iboende usikkerheder.

(12)

For at vurdere kildernes pålidelighed bør eksterne kontrollanter sikre, at disse kilder giver objektive og underbyggede oplysninger. Kilderne bør være troværdige og ledsages af dokumentation, der beskriver de trin, der er indgået i indsamlingen og behandlingen af oplysninger, tilgangen til revision af historiske data, hvis det er relevant, og eventuelle begrænsninger i tilknytning til kilden. Eksterne kontrollanter bør lægge behørig vægt på oplysninger, der stammer fra reguleringsmæssige krav, eller på oplysninger, der er underlagt uafhængige erklæringer eller certificering, og på relevante internationalt anerkendte standarder, hvis sådanne foreligger.

(13)

For at fremme sammenligneligheden af de indsamlede oplysninger bør eksterne kontrollanter anvende kriterierne for vurdering af oplysningernes tilstrækkelige kvalitet og informationskildernes pålidelighed på en målbar måde på alle eksterne kontroltjek og på alle informationskilder.

(14)

Den Europæiske Værdipapir- og Markedstilsynsmyndighed (ESMA) bør kunne vurdere, om ansøgere om anerkendelse som eksterne kontrollanter fra tredjelande opfylder betingelserne i artikel 23, stk. 2, og artikel 42, stk. 3, i forordning (EU) 2023/2631, herunder betingelserne i Kommissionens delegerede forordning (EU) 2025/2180 (2). Ansøgerne bør derfor fremlægge oplysninger, der er ajourførte, og som omfatter alle relevante detaljer, i et klart og utvetydigt format.

(15)

For at garantere sikkerheden og forbedre dataforvaltningen og -anvendeligheden har ESMA vedtaget en digital registreringsmetode, der præciserer oplysningerne i og formatet og indholdet af ansøgningen om anerkendelse som ekstern kontrollant fra et tredjeland af europæiske grønne obligationer. Alle oplysninger, som ansøgere indsender til ESMA i en ansøgning, bør derfor være maskinlæsbare og gives på et varigt medium.

(16)

For at gøre det lettere for FISMA at identificere de dokumenter, en ansøger har indgivet som led i ansøgningen om anerkendelse som ekstern kontrollant fra et tredjeland, bør ansøgerne oplyse et unikt referencenummer for hvert enkelt dokument.

(17)

Af hensyn til sikkerheden og ansvarligheden bør ansøgere, der ansøger om anerkendelse som ekstern kontrollant fra et tredjeland, supplere nævnte ansøgning med et brev underskrevet af et medlem af deres øverste ledelse, hvori det bekræftes, at de indsendte oplysninger efter medlemmets bedste overbevisning er nøjagtige og fuldstændige.

(18)

Denne forordning overholder de grundlæggende rettigheder og de principper, som anerkendes i Den Europæiske Unions charter om grundlæggende rettigheder, særlig retten til beskyttelse af personoplysninger. Behandling af personoplysninger med henblik på denne forordning vil skulle være i overensstemmelse med EU-retten om beskyttelse af personoplysninger. I den henseende bør enhver behandling af personoplysninger, som ESMA foretager i medfør af denne forordning, ske i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (3). Enhver behandling af personoplysninger, der foretages af enheder i forbindelse med en ansøgning om anerkendelse som ekstern kontrollant i medfør af denne forordning, bør ske i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2016/679 (4) og nationale krav om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger.

(19)

Det er nødvendigt, at ESMA har mulighed for at vurdere, om en ansøger, der ansøger om anerkendelse som ekstern kontrollant fra et tredjeland, opfylder betingelserne for en sådan anerkendelse, samtidig med at der sikres passende garantier. Derfor bør personoplysninger, der vedrører ansøgere, der ansøger om anerkendelse som ekstern kontrollant fra et tredjeland, højst opbevares af disse eksterne kontrollanter og ESMA i fem år, efter at den pågældende ansøger er ophørt med at varetage sine funktioner. Hvis ESMA har givet afslag på anerkendelse som ekstern kontrollant fra et tredjeland, eller hvis ansøgeren har trukket sin ansøgning om anerkendelse som ekstern kontrollant fra et tredjeland tilbage, bør ESMA af samme årsag højst opbevare personoplysninger vedrørende den pågældende ansøger i fem år efter afslaget på anerkendelse af ansøgeren eller efter tilbagetrækningen af ansøgningen.

(20)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i forordning (EU) 2018/1725 og fremsatte formelle bemærkninger den 19. november 2025.

(21)

De reguleringsmæssige tekniske standarder, der skal vedtages på grundlag af de beføjelser, der er fastsat i artikel 26, stk. 3, tredje afsnit, artikel 29, stk. 4, tredje afsnit, artikel 30, stk. 3, tredje afsnit, artikel 31, stk. 4, tredje afsnit, og artikel 42, stk. 9, tredje afsnit, i forordning (EU) 2023/2631, er tæt knyttet til hinanden, idet de alle finder anvendelse på eksterne kontrollanter. For at sikre sammenhæng mellem disse bestemmelser og for at gøre det lettere for potentielle eksterne kontrollanter at få et samlet overblik over deres forpligtelser i henhold til forordning (EU) 2023/2631 bør disse reguleringsmæssige tekniske standarder samles i en enkelt delegeret forordning.

(22)

Nærværende forordning er baseret på det udkast til reguleringsmæssige tekniske standarder, som ESMA har forelagt Europa-Kommissionen i overensstemmelse med artikel 10 i Europa-Parlamentets og Rådets forordning (EU) nr. 1095/2010 (5).

(23)

ESMA har gennemført åbne offentlige høringer om de udkast til reguleringsmæssige tekniske standarder, som nærværende forordning er baseret på, analyseret de potentielle omkostninger og fordele herved samt anmodet om rådgivning fra interessentgruppen for værdipapirer og markeder, som er nedsat i henhold til artikel 37 i forordning (EU) nr. 1095/2010 —

a)

De systemer, der er indført, garanterer oplysningernes sikkerhed, integritet og fortrolighed og sikrer kontinuitet og regelmæssighed i gennemførelsen af eksterne kontroltjek.

b)

De menneskelige, tekniske og materielle ressourcer, der anvendes, er tilstrækkelige til at identificere, styre, overvåge og rapportere om:

c)

De procedurer, der er indført med henblik på en objektiv og konsekvent anvendelse af vurderingsmetoderne, omfatter følgende elementer:

a)

Overvågningen og evalueringen foretages af en funktion, der er uafhængig af forretningsområderne.

b)

Foranstaltninger til at afhjælpe mangler, der er konstateret i overvågningsvurderingerne omfatter:

a)

den eksterne kontrollants ledelsesorgan har vedtaget politikker, der gør det muligt for compliancefunktionen at:

b)

Mindst ét medlem af compliancefunktionen:

a)

Antallet af personer, der varetager compliancefunktionen, er passende i forhold til arten, omfanget og kompleksiteten af den eksterne kontrollants virksomhed.

b)

De personer, der varetager compliancefunktionen, har tilsammen de nødvendige færdigheder og den nødvendige erfaring inden for risikostyring, revision, jura eller compliance.

c)

Compliancefunktionen har systemer, der gør, at den kan:

a)

Compliancefunktionen har fysiske og digitale adgangsrettigheder til alle de oplysninger, der er nødvendige for, at den altid kan udføre sine opgaver effektivt, herunder:

b)

Compliancefunktionen har fysisk adgang til den eksterne kontrollants forretningslokaliteter og -faciliteter.

a)

De registre, der føres af den eksterne kontrollant i overensstemmelse med artikel 34 i forordning (EU) 2023/2631, sikrer, at der findes et klart revisionsspor for alle relevante hændelser.

b)

Regnskabssystemet giver mulighed for en rimelig og præcis afspejling af den eksterne kontrollants finansielle situation og er i overensstemmelse med de gældende regnskabsstandarder og -regler.

a)

Kontrolmekanismen er:

b)

Der er en risikostyringsramme, som danner grundlag for den eksterne kontrollants mekanismer til effektiv identifikation, vurdering, overvågning, afbødning og indberetning af alle risici, der i væsentlig grad kunne få indvirkning på en ekstern kontrollants evne til at opfylde sine forpligtelser i henhold til forordning (EU) 2023/2631.

c)

Der findes forebyggende og opsporende kontrolforanstaltninger til håndtering af specifikke operationelle risici.

d)

Der findes interne og eksterne informations- og kommunikationsprocedurer, der sikrer strømmen af relevante, rettidige og pålidelige oplysninger.

e)

Der findes overvågningsprocedurer, som gør det muligt løbende at evaluere, om de interne kontrolmekanismer er tilstrækkelige og effektive.

a)

Der er indført en kontrol- og beskyttelsesstruktur, som:

b)

Der er indført effektiv og forsigtig styring af IKT-risici, som omfatter:

a)

Oplysningerne er fuldstændige og illustrerer på udførlig vis det projekt, der finansieres af obligationen, med en tilstrækkelig detaljeringsgrad for så vidt angår typen af og sektoren for de pågældende økonomiske aktiviteter.

b)

Oplysningerne har en direkte og klar tilknytning til obligationens karakteristika og giver et nøjagtigt billede af det finansierede projekt.

c)

Oplysningerne er i overensstemmelse med de seneste data, der er tilgængelige for de eksterne kontrollanter, når de udarbejder deres kontroltjek, og indeholder historiske data, hvis de er tilgængelige og påkrævet i henhold til deres metoder.

d)

Alle relaterede oplysninger, herunder beregninger, nøgletal og skøn, er baseret på rimelige påstande.

a)

Når det er påkrævet, giver oplysningskilderne oplysninger, der er objektivt underbygget af dokumentation.

b)

Oplysningskilden er i stand til at påvise oplysningernes pålidelighed.

c)

Oplysningskilden ledsages af følgende dokumenter:

d)

Oplysningskilden benytter fortrinsvis oplysninger, der er underlagt et oplysningskrav ved lov, revisioner, overensstemmelsesvurderinger, uafhængige erklæringer eller anerkendt certificering eller, hvis sådanne ikke foreligger, oplysninger, der er underlagt gældende internationalt anerkendte standarder, herunder principper og bedste praksis udviklet af pålidelige internationale organer, der er retningsgivende for, hvordan bæredygtighedsrelaterede oplysninger bør udarbejdes, fremlægges eller evalueres, selv hvis de ikke er retligt påkrævet eller underlagt lovpligtig revision.