5.5. Функции за вътрешен контрол

При оценката на функциите за вътрешен контрол на институцията компетентните органи следва да преценят доколко институцията спазва Насоките на ЕБО относно вътрешното управление и съответните разпоредби на Регламент (ЕС) 2022/2554 (DORA)²¹ . В този контекст компетентните органи следва да вземат предвид, наред с другото, дали:

• а. институцията разполага с подходяща рамка за вътрешен контрол, обхващаща всички области, в съответствие с модела на трите линии на защита, включваща добре функциониращи, ефективни и независими функции за управление на риска, спазване на нормативните изисквания и вътрешен одит;
• б. ръководителите на функциите за вътрешен контрол i) са назначени на подходящо йерархично ниво, което им осигурява необходимите правомощия и авторитет за изпълнение на техните задължения, ii) имат пряк достъп до ръководния орган в контролната му функция и могат да се отчитат директно пред него, и iii) разполагат с всички необходими ресурси за изпълнение на задачите си;
• в. институцията има добре изготвени писмени политики за вътрешен контрол, които се прилагат ефективно, и ясно разпределение на отговорностите за прилагането на рамката, разделяне на задълженията, надеждни административни и счетоводни процедури и надеждни механизми за докладване.

²¹ DORA — Регламент (ЕС) № 2022/2554 на Европейския парламент и на Съвета от 14 декември 2022 г. относно оперативната устойчивост на цифровите технологии във финансовия сектор и за изменение на регламенти (ЕО)

Компетентните органи следва да преценят дали функцията за управление на риска обхваща цялата институция, като осигурява цялостен поглед върху всички рискове, активно участва на ранен етап в изготвянето на рисковата стратегия на институцията и следи за нейното ефективно изпълнение. Компетентните органи следва също да определят дали функцията за управление на риска предоставя на ръководния орган пълна, актуализирана и относима информация, свързана с риска, за да се даде възможност за определяне на нивото на рисковия апетит на институцията и свързаните с него лимити за ограничаване на риска. Компетентните органи следва също така да вземат предвид оценката на функцията за управление на риска относно стабилността и устойчивостта на рисковата стратегия и рисковия апетит, както и нейното участие в оценката на въздействието на съществени промени или извънредни трансакции върху общия риск на институцията и на групата (когато е приложимо).

Компетентните органи следва да оценят дали функцията за нормативно съответствие ефективно оценява и смекчава рисковете за нормативното съответствие, произтичащи от неспазване на приложимите правни и регулаторни изисквания, договорни задължения или вътрешни правила и кодекси за поведение, включително етични правила, и дали гарантира, че всички решения, свързани с управление на съществения риск, отчитат тези рискове по подходящ начин.

Компетентните органи следва да оценят дали функцията за вътрешен одит извършва независими прегледи и осигурява обективна увереност в съответствие с плана за одит и подробната работна програма относно целесъобразността и ефективността на политиките, процедурите и механизмите за вътрешен контрол на институцията и относно съответствието на всички дейности на институцията, включително дейностите, предоставяни от трети страни доставчици на услуги, с правните и регулаторните изисквания. Когато е приложимо, компетентните органи следва да преценят дали

№ 1060/2009, (ЕС) № 648/2012, (ЕС) № 600/2014, (ЕС) № 909/2014 и (ЕС) 2016/1011 ( O В L 333, 27.12.2022 г., стр. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj). функцията за вътрешен одит на равнището на групата е независима, дали тя разполага с рисковобазиран план за одит на равнището на групата, с подходящи ресурси и необходимия статут и пряка линия за отчитане пред ръководния орган на консолидиращата институция.