9.4 Рамка за вътрешен контрол

Компетентните органи следва да преценят дали кредитната институция - заявител разполага с подходяща рамка за вътрешен контрол, която е съизмерима с предвидените дейности на кредитната институция, бизнес модела, сложността и свързаните рискове (напр. онлайн регистрация на клиенти, защита и правила относно киберсигурността). Компетентните органи следва да се уверят в адекватността на разпределените човешки ресурси както по отношение на броя на служителите на пълно работно време, така и на квалификациите, целесъобразността на системите и бюджета за подпомагане на изпълнението на задачите.

Компетентните органи следва да прегледат документите по заявлението и да се уверят, че разпределението на задачите и отговорностите ще позволи на ръководния орган да се запознае изцяло със структурата на своята кредитна институция⁴⁹ и да „гарантира, че функциите за вътрешен контрол са независими от бизнес линиите, които контролират, включително че съществува адекватно разделение на задълженията, и че те разполагат с подходящи финансови и човешки ресурси, както и правомощия, за да изпълняват ефективно ролята си. Отчетните линии и разпределението на отговорностите, по - специално сред лицата, заемащи ключови позиции, в рамките на дадена институция, следва да бъдат ясни, точно определени, последователни, изпълними и надлежно документирани“⁵⁰ .

⁴⁹ Точка 72 от насоките на ЕБО относно вътрешното управление.

⁵⁰ Точка 69 от насоките на ЕБО относно вътрешното управление.

Компетентните органи следва да постигнат ясно становище, че рамката за вътрешен контрол обхваща всички области на институцията и отразява модела на трите линии на защита за определяне на функциите за преодоляване и управление на рисковете.

За тази цел компетентните органи следва да проверят дали са въведени мерки, с които да се гарантира, че бизнес и спомагателните единици, първата линия на защита, ще отговарят на първо място за идентифицирането и управлението на рисковете, които възникват при извършването на дейността им, и за установяването и поддържането на подходящи процеси и механизми за контрол, за да се гарантира, че тези рискове се анализират, измерват, наблюдават, докладват надлежно и се поддържат в границите на рисковия апетит на кредитната институция, както и че са в съответствие с вътрешните и външните регулаторни изисквания.

Функцията за управление на риска и функцията за нормативно съответствие, втората линия на защита, заедно с функцията за вътрешен одит, която е третата линия на защита , формират функциите за вътрешен контрол в рамката на вътрешния контрол. Компетентните органи следва да се уверят, че те ще бъдат създадени, като се вземат предвид критериите за пропорционалност, посочени в точки 17—21 , и че ще разполагат с подходящи и достатъчни правомощия, структура и пряк достъп до ръководния орган, за да изпълняват своите задачи.

За да се гарантира, че функциите за вътрешен контрол отговарят на изискванията за независимост⁵¹ , компетентните органи следва да се уверят, въз основа на документите по заявлението, че се предвижда следното:

• (a) техните служители да не изпълняват оперативни задачи, попадащи в обхвата на дейностите, за които се предвижда да се наблюдават и контролират от функциите за вътрешен контрол;
• (б) те да са организационно отделени от дейностите, които следва да наблюдават и контролират;
• (в) независимо от цялостната отговорност на членовете на ръководния орган за институцията, ръководителят на функцията за вътрешен контрол не трябва да бъде подчинен на лице, което отговаря за управлението на дейностите, които функцията за вътрешен контрол наблюдава и контролира;
• (г) възнагражденията на служителите от функцията за вътрешен контрол не трябва да бъдат свързани с изпълнението на дейностите, които функцията за вътрешен контрол наблюдава и контролира, и не следва да съществува възможност за компрометиране на тяхната обективност по друг начин.

⁵¹ Вж. точка 176 от насоките на ЕБО относно вътрешното управление.

Компетентните органи следва да проверят дали ръководителите на функциите по вътрешен контрол отговарят на следните изисквания:

• а. да бъдат определени на подходящо йерархично ниво, което предоставя на ръководителя на контролната функция подходящите правомощия и статут, необходими, за да изпълнява своите отговорности;
• б. да бъдат независими от бизнес линиите или звената, които контролират;
• в. да докладват и да се отчитат пряко пред ръководния орган, а резултатите от работата им следва да се проверяват от ръководния орган;
• г. когато е необходимо, ръководителите на функциите за вътрешен контрол следва да могат да имат достъп и да докладват директно на ръководния орган в контролната му функция, за да поставят проблемни въпроси и да го предупредят, когато е уместно, ако конкретни промени засягат или могат да засегнат институцията.

За да се гарантира, че функциите за вътрешен контрол могат да бъдат ефективно упражнявани, компетентните органи следва да се уверят, че са им предоставени достатъчно бюджетни и човешки ресурси с подходяща квалификация, като се вземат предвид видовете целеви дейности, както и подходяща ИКТ система и поддръжка.

9.4.2 Функция за управление на риска

Компетентните органи следва да се уверят, че като част от рамката за вътрешен контрол кредитната институция ще разполага с цялостна рамка за управление на риска, обхващаща цялата кредитна институция, като се отчита изцяло икономическата същност на всички рискови експозиции на кредитната институция.

Компетентните органи следва да се уверят, че функцията за управление на риска ще улесни прилагането на стабилна рамка за управление на риска в цялата институция и че ролята ѝ в рамките на кредитната институция обхваща нейното участие в: а) рисковата стратегия и решения за риска; б) оценката на съществените промени; в) идентифицирането, измерването, оценяването, управлението , редуцирането , наблюдението и докладването на рисковете; г) оценката на нарушенията на рисковия апетит или лимитите и препоръките за корективни мерки. За тази цел компетентните органи следва също така да прегледат и оценят рамката на стратегията за управление на тези рискове, включително декларация за рисков толеранс и рисков апетит, както и мерки за съгласуване на оценения риск с рисковия апетит.

По отношение на ролята на функцията за управление на риска в рисковата стратегия и вземането на решения, прегледът на компетентните органи следва да има за цел да провери дали в заявлението се предвижда активното участие на функцията за управление на риска на ранен етап в условията на действащо предприятие в разработването на рисковата стратегия на кредитната институция, да се гарантира, че кредитната институция ще разполага с ефективни процеси за управление на риска, и да се предостави на ръководния орган цялата относима информация, свързана с риска, за да се даде възможност за определяне на нивото на рисковия апетит на кредитната институция. Компетентните органи следва да гарантират, че се предвижда функцията за управление на риска да оценява стабилността и устойчивостта на рисковата стратегия и рисковия апетит, както и че последният е подходящо отразен в специфични рискови лимити, включително на ниво бизнес линии, и че е взет предвид преди ръководният орган да вземе решение относно рисковите стратегии.

По отношение на ролята на функцията за управление на риска в оценката на съществените промени компетентните органи следва да проверят дали е предвидено участието на функцията за управление на риска преди вземането на решения за извънредни трансакции, така че да се оцени въздействието на такива промени и извънредни трансакции върху цялостния риск на кредитната институция, и да докладват констатациите си директно на ръководния орган, преди да бъде взето решение.

Що се отнася до ролята на функцията за управление на риска при идентифицирането, измерването, наблюдението, редуцирането и отчитането на риска и свързаните с него рискови концентрации, които трябва да бъдат одобрени от ръководния орган, компетентните органи следва да гарантират, че са налице политики и процедури и че функцията за управление на риска ще има достъп до всички бизнес линии и други звена , които имат потенциал да генерират рискове.

Ролята на функцията за управление на риска следва да включва и извършване на независима оценка на нарушения по отношение на рисковия апетит или рисковите лимити (вкл. установяване на причината и предприемане на правен и икономически анализ на действителните разходи за закриване, намаляване или хеджиране на експозицията спрямо потенциалните разходи за нейното задържане). Следва да се предвиди, че функцията за управление на риска ще информира съответните бизнес звена и ръководния орган, и ще препоръчва възможни корективни действия. За тази цел, в случай на съществено нарушение , тя следва да е в състояние да докладва пряко на ръководния орган в контролната му функция, без това да засяга възможността функцията за управление на риска да докладва на други вътрешни функции и комитети.

9.4.3 Политика за възнагражденията

По отношение на рамката на политиката за възнагражденията, в допълнение към оценката на спазването на изискванията за неутралност по отношение на пола съгласно член 92, параграф 2, буква аа) от ДКИ, компетентните органи следва да обърнат специално внимание на проверката дали общата рамка на политиката по отношение на служителите, чиито професионални дейности имат съществено въздействие върху рисковия профил на кредитната институция⁵² , е в съответствие с член 94 от ДКИ и Насоките на ЕБО относно политиката за възнагражденията .

⁵² Подадени в съответствие с РТС относно информацията за лицензиране.

По - специално, те следва да преценят дали: а) схемата на политиката за възнагражденията е в съответствие с предвидения рисков апетит на институцията, нейната бизнес стратегия и дългосрочните ѝ интереси и се предвижда тя да бъде запазена, одобрена и контролирана от ръководния орган; б) тя предвижда служителите, които имат съществено въздействие върху рисковия профил на институцията, да бъдат идентифицирани по подходящ начин в съответствие с член 92, параграф 3 и член 94, параграф 3 от ДКИ; в) са предвидени и специфични изисквания за възнагражденията на тези конкретни служители, inter alia: i) съотношението между променливото и постоянното възнаграждение в съответствие с член 94, параграф 1, буква ж) от ДКИ и ii) изплащането в инструменти, разпоредбите за разсрочване, включително удържането и възстановяването на изплатени суми, в съответствие с член 94, параграф 1, букви л), м) и

• н) от ДКИ⁵³ .

9.4.4 Функция за нормативно съответствие

⁵³ По - специално по отношение на дерогациите, предвидени в параграфи 3 и 4 на член 94 от ДКИ.

Компетентните органи следва да проверят дали се предвижда функцията за нормативно съответствие да управлява рисковете, свързани с нормативното съответствие, да предоставя съвети на ръководния орган относно мерките, които трябва да се предприемат, за да се гарантира спазването на приложимите закони, правила, разпоредби и стандарти, и да прилага, под контрола на ръководния орган, политики и процеси за управление на рисковете, свързани с нормативното съответствие, и да гарантира спазването им. Компетентните органи следва да проверят дали функцията за нормативно съответствие е подходяща за видовете и географското разпределение на дейностите (напр. спазване на приложимото национално право на различните юрисдикции в случай на дейности, извършвани на трансгранична основа), рискове и сложност в съответствие с бизнес модела и оценката на бизнес плана, извършена в съответствие с раздел 7 от настоящите насоки.

Функцията за нормативно съответствие следва да гарантира, че наблюдението на нормативното съответствие се извършва чрез структурирана и добре определена програма за наблюдение и че се спазва политиката относно нормативното съответствие. Функцията за нормативно съответствие и функцията за управление на риска следва да си сътрудничат и да обменят информация, ако е уместно, за изпълнение на съответните си задачи.

Компетентните органи следва също така да проверят дали функцията за нормативно съответствие ще има задачата да проверява в тясно сътрудничество с функцията за управление на риска и правния отдел дали новите продукти и новите процедури са в съответствие с действащата правна рамка и, ако е уместно, с всички известни предстоящи промени в законите, подзаконовите актове и надзорните изисквания.

Компетентните органи следва да проверят дали се предвижда създаването на функция за нормативно съответствие по отношение на борбата с ИП/ФТ, която да следи за спазване на специфичните регулаторни и вътрешни политики в областта на борбата с изпирането на пари и финансирането на тероризма в рамките на функцията за нормативно съответствие или отделно от нея.

9.4.5 Политика по отношение на борбата с изпирането на пари и финансирането на тероризма

Компетентните органи следва да проверят дали политиката за борба с изпирането на пари и финансирането на тероризма, представена от кредитната институция — заявител съгласно член 5, параграф 1, буква в), точка iii) от РТС относно информацията за лицензиране , предоставя преглед на основните политики и процедури, както е посочено в член 8, параграф 3 от Директивата относно борбата с изпирането на пари, които ще бъдат въведени за противодействие на риска от ИП/ФТ. За тази цел компетентните органи вземат предвид критериите за пропорционалност, посочени в точки 17—21 .

Компетентните органи следва да проверят дали рамката обхваща всички елементи, посочени в член 8, параграф 4⁵⁴ от Директивата относно борбата с изпирането на пари, и да обосноват начина, по който кредитната институция — заявител ще гарантира, че може ефективно да редуцира и управлява рисковете от ИП/ФТ, на които е изложена, считано от деня на достъп до пазара.

9.4.6 Функция за вътрешен одит

⁵⁴ Той гласи: „Политиките, механизмите за контрол и процедурите, посочени в параграф 3, включват: (a) разработване на вътрешни политики, механизми за контрол и процедури, включително примерни практики за управление на риска, комплексна проверка на клиента, докладване, съхраняването на информация, вътрешен контрол, управление на съответствието, включително, когато е подходящо според естеството и размера на стопанската дейност, назначаване на служител на управленско равнище, отговорен за съответствието, и проверка на служителите; (b) (б) независима одитна функция, проверяваща посочените в буква а) вътрешни политики, механизми за контрол и процедури, когато това е целесъобразно с оглед размера и естеството на стопанската дейност.

Компетентните органи, като вземат предвид критериите за пропорционалност, посочени в точки 17—21 , следва да оценят функцията за независим и ефективен вътрешен одит (ФВО), създадена от кредитната институция — заявител. Компетентните органи следва да придобият ясна представа дали ФВО, въз основа на рисково базиран подход, ще бъде в състояние да извършва независим преглед и да удостоверява по обективен начин, че всички дейности и звена на кредитната институция, включително възложените на външни изпълнители дейности, са в съответствие с политиките и процедурите на институцията и с други външни (непруденциални) изисквания.

За тази цел компетентните органи следва да преценят дали ФВО разполага с организационна независимост и обективност на вътрешните одитори , с защита чрез пряко отчитане пред ръководния орган и подходящи ресурси за изпълнение на нейните задачи. За тази цел следва също така да се гарантира, че ФВО разполага с неограничен достъп в цялата институция до всички записи, документи, информация и сгради на институцията за изпълнението на функциите ѝ.

Компетентните органи следва също така да преценят дали на ФВО е възложено най - малко следното:

• (a) целесъобразността на рамката за вътрешен контрол, включително адекватността на политиката и процедурите и съответствието с правните и регулаторните изисквания;
• (б) разработване на одитен план най - малко веднъж годишно въз основа на годишните цели за вътрешен одит, който трябва да бъде одобрен от ръководния орган;
• (в) предоставяне на препоръки въз основа на констатациите от своите дейности.

Те следва също така да проверят дали описанието на методиката и плана за вътрешен одит, обхващащ първите три години от дейността, включително одита на услугите, възложени на външни изпълнители, съответства на организационната структура, видовете дейности и рисковия профил, произтичащи от бизнес плана, оценен в съответствие с раздел 7 .

9.4.7 Оперативна устойчивост и политика и план за непрекъсваемост на дейността

В рамката на политиката и плана за непрекъсваемост на дейността следва да се гарантира, че заявителят ще разполага с надежден план за управление на непрекъсваемостта на дейността, за да се гарантира неговата способност да работи постоянно и да се ограничат загубите в случай на сериозно прекъсване на дейността. Тя следва да гарантира, че политиката и планът за непрекъсваемост на дейността включват анализ на основните рискове от прекъсване на дейността и преглед на мерките за редуциране, както и да гарантира редовно тестване на плана за непрекъсваемост на дейността.

9.4.8 Политика и системи в областта на ИКТ

Компетентните органи следва да преценят дали политиката в областта на ИКТ ще осигури на кредитната институция надеждни информационни и комуникационни системи и дали ИКТ системите ще бъдат в състояние напълно да поддържат възможностите за обобщаване на данните за риска в обичайно време, както и в условията на стрес. По - специално компетентните органи следва да оценят дали кредитната институция е способна най - малко да:

• а) генерира точни и надеждни данни за риска;
• б) събира и обобщава всички съществени данни за риска в рамките на институцията;
• в) генерира своевременно обобщени и актуални данни за риска;
• г) генерира обобщени данни за риска, за да отговори на широк диапазон от искания от ръководния орган или компетентните органи;
• д) осигуряване на стабилно, надеждно и сигурно функциониране на информационните и комуникационните системи , подпомагащи целевите дейности на институциите.

По отношение на риска в областта на ИКТ и сигурността⁵⁵ компетентните органи следва да се уверят, че рамката за управление ще осигури стабилно, надеждно и сигурно функциониране на информационните и комуникационните системи , подпомагащи дейностите на кредитните институции, както и подходяща превенция, наблюдение и редуциране на рисковете за ИКТ в обичайно време и в условията на стрес. Компетентните органи следва да оценят по - специално:

• а. дали ръководният орган носи цялата отговорност за определянето, одобряването и контрола на изпълнението на стратегията на финансовите институции в областта на ИКТ, която следва да бъде съгласувана с цялостната бизнес стратегия на финансовите институции;
• б. ясното определяне и разпределяне на ключови роли и отговорности, както и съответните отчетни линии, за да може рамката за управление на риска в областта на ИКТ и сигурността да бъде ефективна, включително отпускането на подходящ бюджет за адекватно подпомагане на оперативните нужди на ИКТ и управлението на риска в областта на ИКТ и сигурността ;
• в. дали управлението и контролът на рисковете в областта на ИКТ и сигурността са поверени на независима и обективна контролна функция, подходящо отделена от оперативните процеси в областта на ИКТ и която не отговаря за вътрешния одит, както и на независима функция за вътрешен одит;
• г. уредбата, с която се гарантира идентифицирането, установяването и поддържането на актуализирано картографиране на бизнес функциите, ролите и поддържащите процеси, за да се установи значението на всяка от тях и тяхната взаимозависимост във връзка с рисковете в областта на ИКТ и сигурността;
• д. доколкото информацията се съхранява в информационните и комуникационните системи, дали ще бъдат въведени изискванията за информационна сигурност;
• е. мащаба, сложността и значението на свързаните с ИКТ зависимости, ако се предвижда възлагането на външни изпълнители на оперативните функции на ИКТ услугите и всяка дейност на ИКТ системите — включително на субекти от групата — или използването на трети лица във връзка с такива функции и дейности.

⁵⁵ Съгласно определението в Насоките на ЕБО относно управлението на риска в областта на ИКТ и сигурността „риск в областта на ИКТ и сигурността“ означава: „Риск от загуба поради нарушаване на поверителността, нарушение на целостта на системи и данни, неподходящи или неналични системи и данни, или невъзможност за промяна на информационни технологии в приемлив срок и с разумни разходи, когато изискванията на средата или дейността се променят (т.е. бързина на извършване на промяна). Това включва рискове за сигурността, произтичащи от неподходящи или неуспешни вътрешни процеси или външни събития, включително кибератаки или неадекватна физическа сигурност.“