1. As empresas-mãe devem assegurar que os requisitos em matéria de procedimentos internos, avaliação do risco e pessoal a que se refere a secção 1 do presente capítulo sejam aplicados em todas as sucursais e filiais do grupo nos Estados-Membros, bem como, no caso dos grupos cuja sede esteja situada na União, em países terceiros. Para o efeito, uma empresa-mãe deve realizar uma avaliação do risco a nível do grupo, tendo em conta a avaliação do risco a nível da atividade realizada por todas as sucursais e filiais do grupo, e estabelecer e aplicar políticas, procedimentos e controlos a nível do grupo, incluindo em matéria de proteção de dados e de partilha de informações para efeitos de CBC/CFT e para assegurar que os funcionários do grupo tenham conhecimento dos requisitos decorrentes do presente regulamento. As entidades obrigadas do grupo devem aplicar essas políticas, procedimentos e controlos a nível do grupo, tendo em conta as suas especificidades e os riscos aos quais estão expostas.
As políticas, procedimentos e controlos a nível do grupo e as avaliações do risco a nível do grupo referidas no primeiro parágrafo devem incluir todos os elementos enumerados nos artigos 9.o e 10.o, respetivamente.
Para efeitos do primeiro parágrafo, caso um grupo tenha estabelecimentos em mais do que um Estado-Membro e, no caso dos grupos cuja sede esteja situada na União, em países terceiros, as empresas-mãe devem ter em conta as informações publicadas pelas autoridades de todos os Estados-Membros ou países terceiros em que os estabelecimentos do grupo estejam situados.
2. As funções de conformidade devem ser estabelecidas a nível do grupo. Essas funções devem, em qualquer caso, incluir um gestor de conformidade a nível do grupo e, se as atividades realizadas a nível do grupo o justificarem, um responsável pela conformidade. A decisão sobre o alcance das funções de conformidade deve ser documentada.
O gestor de conformidade a que se refere o primeiro parágrafo deve informar regularmente o órgão de administração na sua função de gestão da empresa-mãe sobre a aplicação das políticas, procedimentos e controlos a nível do grupo. O gestor de conformidade deve apresentar, pelo menos uma vez por ano, um relatório sobre a aplicação das políticas, procedimentos e controlos internos da entidade obrigada e tomar as medidas necessárias para corrigir atempadamente quaisquer deficiências identificadas. Caso o órgão de administração na sua função de gestão seja um órgão coletivamente responsável pelas suas decisões, o gestor de conformidade deve prestar-lhe assistência e aconselhamento e preparar as decisões necessárias para a aplicação do presente artigo.
3. As políticas, os procedimentos e os controlos relativos à partilha de informações a que se refere o n.o 1 devem exigir que as entidades obrigadas do grupo procedam ao intercâmbio de informações, sempre que tal partilha seja pertinente para efeitos de diligência quanto à clientela e para a gestão dos riscos de branqueamento de capitais e de financiamento do terrorismo. A partilha de informações no âmbito do grupo abrange, em especial, a identidade e as características do cliente, dos seus beneficiários efetivos ou da pessoa em nome da qual atua o cliente, a natureza e a finalidade da relação de negócio e das operações ocasionais e as suspeitas, acompanhadas das análises subjacentes, de que os fundos provêm de atividades criminosas ou estão relacionados com o financiamento do terrorismo comunicadas à UIF nos termos do artigo 69.o, salvo instrução em contrário da UIF.
As políticas, procedimentos e controlos a nível do grupo não devem impedir as entidades de um grupo que não sejam entidades obrigadas de prestar informações às entidades obrigadas do mesmo grupo, caso essa partilha seja relevante para que essas entidades obrigadas cumpram os requisitos estabelecidos no presente regulamento.
As empresas-mãe devem estabelecer políticas, procedimentos e controlos a nível do grupo para assegurar que as informações trocadas nos termos do primeiro e do segundo parágrafos estejam sujeitas a garantias suficientes em termos de confidencialidade, proteção de dados e utilização das informações, nomeadamente para impedir a sua divulgação.
4. Até 10 de julho de 2026, a ACBC deve elaborar projetos de normas técnicas de regulamentação e apresentá-los à Comissão para adoção. Esses projetos de normas técnicas de regulamentação devem especificar os requisitos mínimos em termos de políticas, procedimentos e controlos a nível do grupo, incluindo normas mínimas para a partilha de informações no seio do grupo, os critérios de identificação da empresa-mãe nos casos abrangidos pelo artigo 2.o, n.o 1, ponto 42), alínea b), e as condições em que o disposto no presente artigo se aplica às entidades que fazem parte de estruturas que partilham a mesma propriedade, gestão ou controlo da conformidade, incluindo redes ou parcerias, bem como os critérios para, em tais casos, identificar a empresa-mãe na União.
5. A Comissão fica habilitada a completar o presente regulamento mediante a adoção das normas técnicas de regulamentação a que se refere o n.o 4 do presente artigo, nos termos dos artigos 49.o a 52.o do Regulamento (UE) 2024/1620.