9.4 Rámec vnitřní kontroly

Příslušné orgány by měly posoudit, zda žádající úvěrová instituce má vhodný rámec vnitřní kontroly, který je přiměřený vzhledem k plánovaným činnostem úvěrové instituce, jejímu obchodnímu modelu, složitosti a souvisejícím rizikům (např. on - line onboarding klientů, ochrana a ujednání týkající se kybernetické bezpečnosti). Příslušné orgány by se měly ujistit, že vyčleněné lidské zdroje jsou dostatečné jak z hlediska výše FTEs (počtu ekvivalentů plných pracovních úvazku), tak z hlediska kvalifikací a že jsou systémy a rozpočet vhodné k podpoře provádění úkolů.

Příslušné orgány by měly přezkoumat dokumenty, které jsou součástí žádosti, a měly by se ujistit, že rozdělení úkolů a povinností umožní vedoucímu orgánu v plné šíři pochopit strukturu úvěrové instituce⁴⁹ a „zajistit, aby byly funkce vnitřní kontroly nezávislé na liniích podnikání, které kontrolují, včetně toho, že je zajištěno řádné oddělení povinností a tyto funkce mají odpovídající finanční a lidské zdroje i pravomoci umožňující jim účinně vykonávat jejich úlohu. Vymezení podřízenosti a rozdělení povinností v instituci, zejména v případě držitelů klíčových funkci, by mělo být jasné, dobře definované, ucelené, vymahatelné a řádně zdok umentované.“⁵⁰

⁴⁹ Odstavec 71 Obecných pokynů orgánu EBA k vnit řnímu systému správy a řízení.

⁵⁰ Odstavec 68 Obecných pokynů orgánu EBA k vnitřnímu systému správy a řízení.

Příslušné orgány by měly získat jasný přehled o tom, že rámec vnitřní kontroly zahrnuje všechny oblasti dané instituce a odráží model tří linií obrany pro identifikaci funkcí pro řešení a zvládání rizik.

Za tímto účelem by příslušné orgány měly ověřit, že jsou zaveden y systémy s cílem zajistit, aby obchodní a podpůrné útvary, tj. první linie obrany, byly odpovědné v první řadě za identifikaci a řízení rizik, ke kterým dochází při provádění jejich činností, a za stanovení a udržování dostatečných procesů a kontrol s cílem zajistit, že jsou tato rizika analyzována, měřena, sledována , náležitě ohlašována a držena v mezích ochoty podstupovat riziko dané úvěrové instituce a že jsou v souladu s požadavky vyplývajícími z interní ch a externích předpisů .

Funkce řízení rizik a funkce zajišťování shody s předpisy, tj. druhá linie obrany, spolu s funkcí vnitřního auditu, která je třetí linií obrany, tvoří funkce vnitřní kontroly v rámci vnitřní kontroly. Příslušné orgány by měly ověřit, že budou zřízeny, a zohlednit přitom kritéria proporcionality stanovená v odstavcích 17–21 . Současně by měly ověřit, že budou mít vhodnou a dostatečnou pravomoc, váhu a přímý přístup k vedoucímu orgánu, aby mohly plnit své poslání.

Aby se zajistilo, že funkce vnitřní kontroly splňují požadavky na nezávislost⁵¹ , měly by příslušné orgány ověřit na základě dokumentů, které jsou součástí žádosti, že je zajištěno, že:

• a) její pracovníci neplní žádné provozní úkoly spadající do působnosti činností, které mají dané funkce vnitřní kontroly sledovat a kontrolovat;
• b) jsou organizačně oddělené od činností, které mají sledovat a kontrolovat;
• c) nehledě na celkovou odpovědnost členů vedoucího orgánu za instituci by vedoucí funkce vnitřní kontroly neměl a být podřízen a osobě, která nese odpovědnost za řízení činností, jež funkce vnitřní kontroly sleduje a kontroluje, a
• d) odměňování pracovníků funkcí vnitřní kontroly by nemělo být vázáno na provádění činností, které daná funkce vnitřní kontroly sleduje a kontroluje, a neměla by existovat žádná jiná možnost, že toto odměňování naruší objektivitu pracovníků kontrolní funkce.

⁵¹ Viz odstavec 175 Obecných pokynů orgánu EBA k vnitřnímu systému správy a řízení.

Příslušné orgány by měly ověřit, že vedoucí funkcí vnitřní kontroly plní tyto požadavky:

• a) budou ustanoveni na dostatečné hierarchické úrovni, která vedoucímu kontrolní funkce zajišťuje odpovídající pravomoc a váhu potřebnou k výkonu jeho povinností;
• b) budou nezávislí na liniích podnikání nebo útvarech, které kontrolují;
• c) budou podávat zprávy a budou přímo podřízení vedoucímu orgánu a jejich činnost by měla být posuzována vedoucím orgánem;
• d) v případě potřeby budou mít přístup k vedoucímu orgánu v kontrolní funkci a podávat mu zprávy, aby mohli poukázat na možné problémy a případně jej upozornit, pokud se konkrétní vývoj bude týkat instituce nebo ji může ovlivnit.

Aby se zajistilo, že funkce vnitřní kontroly mohou být vykonávány účinně, měly by se příslušné orgány ujistit, že jsou vyčleněny dostatečné rozpočtové a lidské zdroje s dostatečnými kvalifikacemi, a to s ohledem na druhy cílových činností, a mají k dispozici vhodný systém IKT a podporu.

9.4.2 Funkce řízení rizik

Příslušné orgány by se měly ujistit, že jako součást rámce vnitřní kontroly bude úvěrová instituce mít holistický rámec řízení rizik v rámci celé úvěrové instituce a současně plně zohledňovat hospodářské opodstatnění všech rizikových expozic úvěrové instituce.

Příslušné orgány by se měly ujistit, že funkce řízení rizik usnadní provádění rámce řádného řízení rizik v rámci celé instituce a že její úloha v rámci úvěrové instituce zahrnuje její zapojení do: a) strategie řízení rizik a rozhodování; b) hodnocení významných změn; c) určování, měření, posuzování, řízení, zmírňování, sledování a vykazování rizik; d) posuzování porušení stanovené ochoty podstupovat riziko nebo mez í a doporučení ohledně nápravných opatření. Za tímto účelem by příslušné orgány měly rovněž přezkoumat a posoudit návrh strategie řízení těchto rizik a včetně prohlášení o toleranci rizik a ochotě podstupovat riziko a opatření na sladění posuzovaných rizik s ochotou podstupovat riziko.

Pokud jde o úlohu funkce řízení rizik v rámci strategie rizik a rozhodování, cílem přezkumu příslušných orgánů by mělo být ověřit, že žádost stanoví aktivní zapojení funkce řízení rizik v rané fázi do běžných situací v rámci vypracovávání strategie v oblasti rizik dané úvěrové instituce, do zajišťování, aby úvěrová instituce měla zavedené účinné procesy řízení rizik, a do poskytování všech relevantních informací o rizicích vedoucímu orgánu, aby bylo možné stanovit ochotu úvěrové instituce podstupovat riziko. Příslušné orgány by měly zajistit, že funkce řízení rizik má podle plánu posuzovat spolehlivost a udržitelnost strategie v oblasti rizik a ochoty podstupovat riziko a že se tato ochota vhodně promítá do konkrétních rizikových limitů, mimo jiné i na úrovni obchodních útvarů, a že bude zapojena, než bude přijato rozhodnutí ze strany vedoucího orgánu týkající se strategií v oblasti rizik.

Pokud jde o úlohu funkce řízení rizik při hodnocení podstatných změn, měly by příslušné orgány ověřit, že je plánováno zapojení funkce řízení rizik, než budou přijata rozhodnutí o mimořádných transakcích, s cílem hodnotit dopad těchto změn a mimořádných transakcí na celkové riziko úvěrové instituce a oznámit jeho závěry přímo vedoucímu orgánu, než bude přijato rozhodnutí.

Pokud jde o úlohu funkce řízení rizik při určování, měření, sledování, zmírňování a vykazování rizik a souvisejících koncentrací rizik určených ke schválení vedoucím orgánem, příslušné orgány by měly zajistit, že budou zavedeny zásady a postupy a že funkce řízení rizik bude mít přístup ke všem liniím podnikání a jiným útvarům, které mohou vytvářet rizika.

Úloha funkce řízení rizik by rovněž měla zahrnovat nezávislé posouzení nedodržení ochoty podstupovat riziko nebo omezení rizik (včetně zjištění příčiny a provedení právní a ekonomické analýzy skutečných nákladů uzavření, snížení nebo zajištění expozice v porovnání s potenciálními náklady jejího zachování). Mělo by být stanoveno, že funkce řízení rizik bude informovat dotčené obchodní útvary a vedoucí orgán a doporučovat možná nápravná opatření. Za tímto účelem by měla být schopna podávat zprávy přímo vedoucímu orgánu v kontrolní funkci, aniž by byla dotčena povinnost funkce řízení rizik podávat zprávy jiným interním funkcím a výborům.

9.4.3 Zásady odměňování

Pokud jde o návrh zásad odměňování, příslušné orgány by vedle posuzování souladu s požadavky na genderovou neutralitu stanovenými v čl. 92 odst. 2 písm. aa) CRD měly věnovat zvláštní důraz na ověření, zda návrh zásad týkajících se pracovníků, jejichž pracovní činnosti mají podstatný vliv na rizikový profil úvěrové instituce⁵² , je v souladu s článkem 94 CRD a Obecnými pokyny orgánu EBA k zásadám odměňování .

⁵² Předložené v souladu s regulační technickou normou o informacích pro povolení.

Zejména by měly posoudit, zda: a) návrh zásad odměňování je v souladu s plánovanou ochotou podstupovat riziko dané instituce, její obchodní strategií a dlouhodobými zájmy a zda má zásady vést a schvalovat vedoucí orgán a provádět v této oblasti dohled; b) se plánuje, aby pracovníci , kteří mají podstatný vliv na rizikový profil instituce, byli náležitě určeni v souladu s čl. 92 odst. 3 a čl. 94 odst. 3 CRD; c) stanoví zvláštní požadavky na odměňování pro tyto konkrétní pracovníky , mimo jiné i) podíl mezi pohyblivou a pevnou složkou odměny v souladu s čl. 94 odst. 1 písm. g) CRD a ii) výplatu v nástrojích, podmínky oddálení splatnosti, včetně malusu a zpětného vymáhání v souladu s čl. 94 odst. 1 písm. l), m) a n) CRD⁵³ .

9.4.4 Funkce zajišťování shody s předpisy

⁵³ Se zvláštním ohledem na odchylky stanovené v čl. 94 odst. 3 a 4 směrnice o kapitálových požadavcích.

Příslušné orgány by měly zaručit, že je stanoveno, že funkce zajišťování shody s předpisy bude řídit rizika v oblasti shody s předpisy, poskytovat poradenství vedoucímu orgánu ohledně opatření, která mají být přijata k zajištění souladu s platnými právními a správními předpisy, nařízeními a normami, a provádět pod dohledem vedoucího orgánu zásady a postupy k řízení rizik v oblasti shody s předpisy a zajišťovat shodu s předpisy. Příslušné orgány by měly ověřit, že funkce zajišťování shody s předpisy je dostatečná s ohledem na druhy a zeměpisné rozdělení činností (např. soulad s platnými vnitrostátními právními předpisy v různých jurisdikcích v případě činností prováděných v přeshraničním měřítku), rizika a složitost s ohledem na posouzení obchodního modelu a podnikatelského plánu provedené v souladu s oddílem 7 těchto obecných pokynů.

Funkce zajišťování shody s předpisy by měla zajistit, aby bylo prostřednictvím strukturovaného a dobře vymezeného programu sledování dodržování předpisů kontrolováno jejich dodržování a aby byly dodržovány zásady zajišťování shody s předpisy. Rovněž by mělo být stanoveno, že funkce zajišťování shody s předpisy a funkce řízení rizik budou při plněních svých úkolů spolupracovat a vzájemně si podle potřeby poskytovat informace.

Příslušné orgány by rovněž měly ověřit, že funkce zajišťování shody s předpisy bude pověřena v úzké spolupráci s funkcí řízení rizik a s právním oddělením ověřováním, zda jsou nové produkty a nové postupy v souladu se stávajícím právním rámcem a s případnými známými nadcházejícími změnami zákonů, předpisů a požadavků dohledu.

Příslušné orgány by měly ověřit, že se plánuje zřízení funkce zajišťování shody s předpisy týkajícími se AML/CTF za účelem zajištění shody se zvláštními právními předpisy o praní peněz / financování terorismu a s interními zásadami, ať už v rá mci funkce zajišťování shody s předpisy, nebo samostatně.

9.4.5 Zásady týkající se AML/CFT

Příslušné orgány by měly ověřit, že zásady AML/CFT předložené žádající úvěrovou institucí podle čl. 5 odst. 1 písm. c) bodu iii) regulační technické normy o informacích pro povolení stanoví přehled hlavních zásad a postupů, jak je stanoveno v čl. 8 odst. 3 směrnice o předcházení využívání finančního systému k praní peněz nebo financování terorismu, které budou zavedeny za účelem boje proti riziku praní peněz / financování terorismu. Za tímto účelem příslušné orgány zohlední kritéria proporcionality stanovená v odstavcích 17–21.

Příslušné orgány by měly ověřit, že návrh zahrnuje všechny prvky stanovené v čl. 8 odst. 4⁵⁴ směrnice o předcházení využívání finančního systému k praní peněz nebo financování ter orismu, a doložit, jak žádající úvěrová instituce zajistí, že může účinně zmírnit a řídit rizika v oblasti praní peněz / financování terorismu, jimž bude vystavena ode dne přístupu na trh.

9.4.6 Funkce vnitřního auditu

⁵⁴ Toto ustanovení zní takto: „Strategie, kontroly a postupy uvedené v ods tavci 3 zahrnují: a) vypracování vnitřních strategií, kontrol a postupů, včetně modelových postupů řízení rizik, hloubkové kontroly klienta, oznamování, vedení záznamů, vnitřní kontroly, kontroly dodržování předpisů – včetně jmenování kontrolora dodržování předpisů na řídící úrovni, pokud je to vhodné vzhledem k rozsahu a povaze podnikání – a prověřování pracovníků; b) pokud to odpovídá rozsahu a povaze podnikání, nezávislý útvar auditu pro ověřování vnitřních strategií, kontrol a postupů uvedených v písmeni a).“

Příslušné orgány by s ohledem na kritéria p roporcionality stanovená v odstavcích 17–21 měly posoudit, zda žádající úvěrová instituce zřídila nezávislou a účinnou funkci vnitřního auditu (dále jen „IAF“). Příslušné orgány by měly nabýt jasného stanoviska, že IAF bude na základě p osouzení rizik schopna nezávisle přezkoumávat a poskytovat objektivní záruky ohledně zajištění shody všech činností a útvarů úvěrové instituce, a to včetně externě zajišťovaných činností, se zásadami a postupy instituce i jinými externími (neobezřetnostními) požadavky.

Za tímto účelem by příslušné orgány měly posoudit, zda je IAF organizačně nezávislá a zda je objektivita interních auditorů chráněna podáváním zpráv přímo vedoucímu orgánu a zda má IAF vhodné zdroje k plnění svých úkolů. Za tímto účelem by rovněž mělo být zajištěno, že IAF má neomezený přístup v rámci celé instituce ke všem záznamům, dokumentům, informacím a budovám dané instituce, aby mohla plnit své úkoly.

Příslušné orgány by rovněž měly posoudit, zda je IAF pověřena přinejmenším následujícími aspekty:

• a) vhodnost rámce vnitřní kontroly, včetně vhodnosti zásad a postupů a shody s právními a regulačními požadavky;
• b) vypracování auditního plánu nejméně jednou ročně na základě každoročních cílů kontroly vnitřního auditu, který bude schvalovat vedoucí orgán;
• c) předkládání doporučení založených na závěrech jejích činností.

Měly by rovněž ověřit, že návrh metodiky a plán vnitřního auditu zahrnující první tři roky činnosti, včetně auditu služeb zajišťovaných externě, jsou v souladu s organizační strukturou, druhem činností a rizikovým profilem vyplývajícím z podnikatelského plánu posuzovaného v souladu s oddílem 7. 9.4.7 Provozní odolnost a zásady a plán kontinuity výkonu činnosti

Návrhy zásad a plánu kontinuity výkonu činnosti by měly zajistit, aby žadatel měl řádný plán řízení kontinuity výkonu činností, který zajistí jeho schopnost průběžně vykonávat činnost a omezit ztráty v případě závažného narušení činnosti. Je třeba zajistit, aby zásady a plán kontinuity výkonu činnosti zahrnovaly analýzu hlavních rizik narušení činnosti a přehled opatření zmírňování a zajišťoval pravidelné testování plánu kontinuity výkonu činnosti.

9.4.8 Zásady týkající se IKT a systémy IKT

Příslušné orgány by měly posoudit, zda zásady týkající se IKT poskytnou úvěrové instituci spolehlivé informace a komunikační systémy a zda systémy IKT budou schopny plně podporovat schopnosti agregace údajů o rizicích v běžných dobách, jakož i během zátěže. Příslušné orgány by měly zejména zhodnotit, zda úvěrová instituce dokáže přinejmenším:

• a) generovat správné a spolehlivé údaje o rizicích;
• b) zaznamenat a agregovat veškeré podstatné údaje o rizicích v celé instituci;
• c) včas generovat agregované a aktuální údaje o rizicích;
• d) generovat agregované údaje o rizicích splňující širokou řadu bezprostředních požadavků vedoucího orgánu nebo příslušných orgánů;
• e) zajistit řádné, spolehlivé a bezpečné fungování informačních a komunikačních systémů podporujících cílové činnosti institucí.

Pokud jde o riziko v oblasti IKT a bezpečnosti⁵⁵ , příslušné orgány by měly zajistit, aby rámec řízení zajišťoval řádné, spolehlivé a bezpečné fungování informačních a komunikačních systémů podporujících činnosti úvěrových institucí, jakož i dostatečnou prevenci, monitorování a zmírňování rizik IKT v běžných dobách a během doby zátěže. Příslušné orgány by měly posoudit zejména:

• a) zda má vedoucí orgán celkovou zodpovědnost za stanovování , schvalování a kontrolu nad prováděním strategie finančních institucí týkající se IKT, která by měla být sladěna s celkovou obchodní strategií finančních institucí;
• b) jasnou definici a přiřazení hlavních úloh a povinností a příslušné linie podávání zpráv, aby byl rámec řízení rizik v oblasti bezpečnosti a IKT účinný, včetně vyčlenění vhodného rozpočtu na dostatečnou podporu provozních potřeb v oblasti IKT a řízení rizik v oblasti IKT a bezpečnosti;
• c) zda jsou řízení rizik v oblasti IKT a bezpečnosti a dohled nad nimi svěřeny nezávislé a objektivní kontrolní funkci, která je náležitě oddělena od provozních postupů v oblasti IKT a není zodpovědná za žádný vnitřní audit, a nezávislé funkci vnitřního auditu;
• d) opatření s cílem identifikovat, zřídit a aktualizovat mapování provozních funkcí, úloh a podpůrných procesů s cílem identifikovat jejich význam a jejich vzájemné závislosti související s riziky v oblasti IKT a bezpečnosti;
• e) s ohledem na rozsah uchovávání informací o systémech IKT, zda budou zavedeny požadavky pro zabezpečení informací;
• f) měřítko, složitost a význam provázaností týkajících se IKT, pokud instituce plánuje zajišťovat externě provozní funkce služeb IKT a veškerou činnost systémů IKT – včetně subjektů v rámci skupiny – nebo v souvislosti s těmito funkcemi a činností využívat třetí strany.

⁵⁵ Podle definice uvedené v Obecných pokynech orgánu EBA pro řízení rizik v oblasti IKT a bezpečnosti znamená „riziko v oblasti IKT a bezpečnosti“: „Riziko ztráty v důsledku porušení důvěrnosti, selhání integrity systémů a dat, nevhodnosti nebo nedostupno sti systémů a dat nebo neschopnosti změnit IT v přiměřeném čase a s přiměřenými náklady, pokud se mění prostředí nebo požadavky vyplývající z obchodní činnosti (tj. flexibilita). Patří sem bezpečnostní rizika vyplývající z nedostatečnosti či selhání vnitřních postupů nebo z vnějších událostí včetně kybernetických útoků či z nedostatečného fyzického zabezpečení.“