(1)

Om het passende karakter, de adequaatheid en de doeltreffendheid van hun systemen, middelen en procedures te waarborgen, moeten externe toetsingsinstanties al hun interne regelingen, van de robuustheid van informatiesystemen tot de toereikendheid van personele, technische en materiële middelen, in overweging nemen. Externe toetsingsinstanties moeten als onderdeel van hun procedures een robuust beoordelingskader ontwikkelen, dat de minimumcriteria moet omvatten die moeten worden toegepast om de kwaliteit van de informatie en de betrouwbaarheid van de bij beoordelingswerkzaamheden gebruikte bronnen te beoordelen.

(2)

Om dezelfde reden moeten tekortkomingen in systemen, middelen en procedures die bij het monitoren en evalueren van de toereikendheid en adequaatheid ervan worden vastgesteld, naar behoren worden geregistreerd, verholpen en gerapporteerd, en moeten leden van het leidinggevend orgaan van de externe toetsingsinstantie toezicht houden op corrigerende maatregelen.

(3)

Om de compliancefunctie in staat te stellen haar verantwoordelijkheden naar behoren en onafhankelijk uit te oefenen, moeten externe toetsingsinstanties beschikken over door de raad van bestuur goedgekeurd beleidsregels voor de compliancefunctie en de aanwezigheid van de compliancefunctie in de relevante organisatiestructuren van de externe toetsingsinstantie, met inbegrip van comités.

(4)

Om de nodige middelen voor de compliancefunctie te waarborgen en de compliancefunctie in staat te stellen haar monitoringtaken doeltreffend uit te voeren, moeten externe toetsingsinstanties voldoende technische en personele middelen aan deze functie toewijzen.

(5)

Om de nodige deskundigheid van de compliancefunctie tot stand te brengen, moeten externe toetsingsinstanties de collectieve en actuele vaardigheden en ervaring waarborgen van personen die de compliancefunctie uitvoeren, onder meer door na te gaan of die personen over het vereiste arbeidsverleden en de vereiste beroepskwalificaties beschikken, en door voldoende interne opleidingen van hoog niveau aan te bieden.

(6)

Om ervoor te zorgen dat de compliancefunctie toegang heeft tot alle relevante informatie, moeten externe toetsingsinstanties ervoor zorgen dat de compliancefunctie informatie kan verkrijgen uit alle bronnen die zij nodig heeft om haar taken naar behoren uit te voeren, met inbegrip van records van bedrijfs- en controlefuncties, controleverslagen, klokkenluidersmeldingen en klachten van cliënten. Aangezien ervoor moet worden gezorgd dat externe dienstverleners en andere bedrijfseenheden aan dezelfde normen voldoen als de externe toetsingsinstantie zelf, moet de compliancefunctie ook toegang hebben tot informatie over uitbestede taken of andere bedrijfsonderdelen van de externe toetsingsinstantie.

(7)

Om de deugdelijkheid van hun administratieve en boekhoudkundige procedures te waarborgen, moeten externe toetsingsinstanties adequate records bijhouden voor de relevante boekhoudkundige gebeurtenissen en voldoen aan de toepasselijke standaarden en regels voor jaarrekeningen.

(8)

Om deugdelijke interne controlemechanismen in stand te houden, moeten externe toetsingsinstanties een alomvattend interne controlesysteem invoeren dat gericht is op het creëren van een sterk en evenredig controlekader, het doeltreffend beheren van risico’s, het uitvoeren van de nodige controlewerkzaamheden, het waarborgen van duidelijke informatiestromen en communicatie en het voortdurend monitoren van de activiteiten.

(9)

Om de doeltreffendheid van de controle- en beveiligingsvoorzieningen voor informatieverwerkingssystemen te waarborgen, moeten externe toetsingsinstanties een controlekader voor ICT-risicobeheer invoeren dat beoordelingen van de IT- en informatiebeveiliging en het testen van back-up-ICT-systemen omvat om de bedrijfscontinuïteit te waarborgen.

(10)

Om ervoor te zorgen dat hun advies gebaseerd is op een grondige analyse van informatie die van voldoende kwaliteit en uit betrouwbare bronnen afkomstig is, moeten externe toetsingsinstanties in hun beoordelingsmethoden specifieke criteria toepassen om die informatie te beoordelen.

(11)

Om de kwaliteit van de gebruikte informatie te evalueren, moeten externe toetsingsinstanties erop toezien dat die informatie volledig, relevant en tijdig is en gebaseerd is op redelijke aannames, onder meer door ervoor te zorgen dat die informatie een volledige weergave vormt van het met obligaties gefinancierde project, rekening houdend met het type en de sector van de economische activiteiten. Daarom moet de informatie rechtstreeks verband houden met de kenmerken van de obligatie, een nauwkeurige weergave van het gefinancierde project bieden, actueel zijn en rekening houden met beperkingen in verband met prognose en inherente onzekerheden.

(12)

Om de betrouwbaarheid van bronnen te beoordelen, moeten externe toetsingsinstanties ervoor zorgen dat die bronnen objectieve en onderbouwde informatie verstrekken. De bronnen moeten geloofwaardig zijn en vergezeld gaan van documentatie waarin de stappen voor het verzamelen en verwerken van informatie, de aanpak met betrekking tot de herziening van historische data, indien van toepassing, en eventuele beperkingen die van invloed zijn op de bron, worden beschreven. Externe toetsingsinstanties moeten voldoende aandacht besteden aan informatie die voortvloeit uit regelgevingsvereisten of aan informatie die onderworpen is aan onafhankelijke assurance of certificering, en aan relevante internationaal erkende normen, indien beschikbaar.

(13)

Om de vergelijkbaarheid van de verzamelde informatie te bevorderen, moeten externe toetsingsinstanties de criteria om te beoordelen of informatie van voldoende kwaliteit is en of de informatiebronnen betrouwbaar zijn, op meetbare wijze toepassen op elke externe toetsing en op elke informatiebron.

(14)

De Europese Autoriteit voor effecten en markten (ESMA) moet kunnen beoordelen of aanvragers van erkenning als externe toetsingsinstantie uit een derde land voldoen aan de voorwaarden van artikel 23, lid 2, en artikel 42, lid 3, van Verordening (EU) 2023/2631, met inbegrip van de voorwaarden van Gedelegeerde Verordening (EU) 2025/2180 van de Commissie (2). Daarom moeten aanvragers actuele informatie verstrekken, met inbegrip van alle relevante details, in een duidelijk en ondubbelzinnig formaat.

(15)

Om de veiligheid te waarborgen en het beheer en de bruikbaarheid van de data te verbeteren, heeft de ESMA digitale registratiemethoden vastgesteld waarbij de informatie, de vorm en de inhoud van de aanvraag tot erkenning als externe toetsingsinstantie van Europese groene obligaties uit een derde land nader worden bepaald. Alle informatie die in een aanvraag bij de ESMA wordt ingediend, moet derhalve machinaal leesbaar zijn en op een duurzame gegevensdrager staan.

(16)

Om de ESMA te helpen bij het identificeren van de documenten die een aanvrager in het kader van de aanvraag tot erkenning als externe toetsingsinstantie uit een derde land heeft ingediend, moeten de aanvragers voor elk document een uniek referentienummer opgeven.

(17)

Omwille van de assurance en de verantwoording moeten aanvragers die een aanvraag tot erkenning als externe toetsingsinstantie uit een derde land indienen, in aanvulling op die aanvraag een door een lid van hun senior management ondertekende brief verstrekken waarin wordt verklaard dat de ingediende informatie naar beste weten van dat lid juist en volledig is.

(18)

Deze verordening eerbiedigt de grondrechten en neemt de in het Handvest van de grondrechten van de Europese Unie erkende beginselen in acht, met name het recht op bescherming van persoonsgegevens. De verwerking van persoonsgegevens ten behoeve van deze verordening moet plaatsvinden in overeenstemming met Unierecht inzake de bescherming van persoonsgegevens. Dienaangaande moet elke verwerking van persoonsgegevens door de ESMA in het kader van deze verordening plaatsvinden in overeenstemming met Verordening (EU) 2018/1725 van het Europees Parlement en de Raad (3). Elke verwerking van persoonsgegevens door entiteiten die een aanvraag tot erkenning als externe toetsingsinstantie op grond van deze verordening indienen, moet plaatsvinden in overeenstemming met Verordening (EU) 2016/679 van het Europees Parlement en de Raad (4) en de nationale voorschriften inzake de bescherming van natuurlijke personen wat betreft de verwerking van persoonsgegevens.

(19)

De ESMA moet kunnen beoordelen of een aanvrager die erkenning als externe toetsingsinstantie uit een derde land aanvraagt, aan de voorwaarden voor die erkenning voldoet, met inachtneming van passende garanties. Daarom mogen die externe toetsingsinstanties en de ESMA persoonsgegevens met betrekking tot aanvragers van erkenning als externe toetsingsinstantie uit een derde land niet langer bewaren dan vijf jaar nadat die aanvrager zijn functie heeft beëindigd. Om dezelfde redenen mogen, indien de ESMA erkenning als externe toetsingsinstantie uit een derde land heeft geweigerd of indien de aanvrager zijn aanvraag tot erkenning als externe toetsingsinstantie uit een derde land heeft ingetrokken, de persoonsgegevens met betrekking tot die aanvrager door de ESMA niet langer dan vijf jaar na de weigering van de erkenning van de aanvrager of na de intrekking van de aanvraag worden bewaard.

(20)

De Europese Toezichthouder voor gegevensbescherming werd geraadpleegd overeenkomstig artikel 42, lid 1, van Verordening (EU) 2018/1725 en heeft op 19 november 2025 formele opmerkingen ingediend.

(21)

De technische reguleringsnormen die moeten worden vastgesteld op basis van de in artikel 26, lid 3, derde alinea, artikel 29, lid 4, derde alinea, artikel 30, lid 3, derde alinea, artikel 31, lid 4, derde alinea, en artikel 42, lid 9, derde alinea, van Verordening (EU) 2023/2631 vastgestelde bevoegdheidsdelegaties, hangen nauw met elkaar samen, aangezien zij alle van toepassing zijn op externe toetsingsinstanties. Om de samenhang tussen die bepalingen te waarborgen en potentiële externe toetsingsinstanties een volledig beeld te geven van hun verplichtingen uit hoofde van Verordening (EU) 2023/2631, moeten die technische reguleringsnormen in één gedelegeerde verordening worden gebundeld.

(22)

Deze verordening is gebaseerd op de ontwerpen van technische reguleringsnormen die door de ESMA aan de Europese Commissie zijn voorgelegd in overeenstemming met artikel 10 van Verordening (EU) nr. 1095/2010 van het Europees Parlement en de Raad (5).

(23)

De ESMA heeft open publieke consultaties gehouden over de ontwerpen van de technische reguleringsnormen waarop deze verordening is gebaseerd, heeft de mogelijke daaraan verbonden kosten en baten geanalyseerd en heeft het advies ingewonnen van de bij artikel 37 van Verordening (EU) nr. 1095/2010 opgerichte Stakeholdergroep effecten en markten,

(a)

de systemen die voorhanden zijn, waarborgen de veiligheid, integriteit en vertrouwelijkheid van informatie en de continuïteit en regelmatigheid bij de uitvoering van externe toetsingen;

(b)

de ingezette personele, technische en materiële middelen volstaan om de risico’s in kaart te brengen, te beheren, te monitoren en te rapporteren:

(c)

de procedures die voorhanden zijn voor de objectieve en consistente toepassing van beoordelingsmethoden omvatten de volgende elementen:

(a)

de monitoring en evaluatie worden uitgevoerd door een functie die onafhankelijk is van de bedrijfsonderdelen;

(b)

maatregelen om de bij beoordelingen van de monitoring vastgestelde tekortkomingen aan te pakken, zijn onder meer:

(a)

het leidinggevend orgaan van de externe toetsingsinstantie heeft beleidsregels vastgesteld die de compliancefunctie in staat stellen om:

(b)

ten minste één lid van de compliancefunctie:

(a)

het aantal personen dat de compliancefunctie uitvoert, is geschikt voor de aard, schaal en complexiteit van de bedrijfsactiviteiten van de externe toetsingsinstantie;

(b)

de personen die de compliancefunctie gezamenlijk uitvoeren, beschikken over de nodige vaardigheden en ervaring op het gebied van risicobeheer, controle, juridische zaken of compliance;

(c)

de compliancefunctie beschikt over systemen die haar in staat stellen:

(a)

de compliancefunctie heeft fysieke en digitale toegangsrechten voor alle informatie die zij nodig heeft om haar taken te allen tijde doeltreffend uit te voeren, met inbegrip van:

(b)

de compliancefunctie heeft fysieke toegang tot de bedrijfsruimten en -faciliteiten van de externe toetsingsinstantie.

(a)

de door de externe toetsingsinstantie overeenkomstig artikel 34 van Verordening (EU) 2023/2631 bijgehouden records waarborgt dat er een duidelijk controlespoor van alle relevante gebeurtenissen is;

(b)

het boekhoudsysteem maakt een eerlijke en nauwkeurige weergave van de financiële positie van de externe toetsingsinstantie mogelijk en voldoet aan de toepasselijke standaarden en regels voor jaarrekeningen.

(a)

het controlemechanisme is:

(b)

er is een kader voor risicobeheer waarin de mechanismen van de externe toetsingsinstantie zijn vastgelegd voor de doeltreffende vaststelling, beoordeling, monitoring, beperking en rapportage van alle risico’s die een materieel effect kunnen hebben op het vermogen van een externe toetsingsinstantie om aan haar verplichtingen uit hoofde van Verordening (EU) 2023/2631 te voldoen;

(c)

er zijn preventieve en detectieve controlemaatregelen om specifieke operationele risico’s aan te pakken;

(d)

er zijn interne en externe informatie- en communicatieprocedures die de stroom van relevante, tijdige en betrouwbare informatie waarborgen;

(e)

er zijn monitoringprocedures die het mogelijk maken de adequaatheid en doeltreffendheid van de interne controlemechanismen voortdurend te evalueren.

(a)

er wordt een controle- en beveiligingsstructuur ingevoerd die:

(b)

er is sprake van een doeltreffend en prudent beheer van ICT-risico’s, dat het volgende omvat:

(a)

de informatie is volledig en geeft een alomvattend beeld van het door de obligatie gefinancierde project, met inbegrip van voldoende details met betrekking tot het type en de sector van de betrokken economische activiteiten;

(b)

de informatie houdt rechtstreeks en duidelijk verband met de kenmerken van de obligatie en biedt een nauwkeurige weergave van het gefinancierde project;

(c)

de informatie is in overeenstemming met de meest actuele data waarover de externe toetsingsinstanties beschikken bij het opstellen van hun toetsing en bevat, indien beschikbaar en vereist op grond van hun methoden, historische data;

(d)

alle daarmee verband houdende informatie, met inbegrip van berekeningen, ratio’s en ramingen, is gebaseerd op redelijke beweringen.

(a)

de informatiebron verschaft, indien vereist, informatie die objectief met bewijsmateriaal wordt gestaafd;

(b)

de geloofwaardigheid van de informatiebron kan worden aangetoond;

(c)

de informatiebron gaat vergezeld van de volgende documenten:

(d)

de informatiebron geeft voorrang aan informatie waarvoor een wettelijke openbaarmakingsvereiste geldt, controles, conformiteitsbeoordelingen, onafhankelijke assurance of erkende certificeringen of, indien deze niet beschikbaar zijn, informatie die onderworpen is aan toepasselijke internationaal erkende normen, met inbegrip van door geloofwaardige internationale instanties opgestelde beginselen en beste praktijken die als leidraad dienen voor de wijze waarop informatie over duurzaamheid moet worden opgesteld, gepresenteerd of geëvalueerd, ook al is dit niet wettelijk vereist of onderworpen aan een wettelijke controle.