22 Intern revisionsfunktion

Institutterne bør sikre, at deres datterselskaber og filialer tager skridt til at sikre, at deres aktiviteter overholder lokale love og bestemmelser. Hvis lokale love og bestemmelser er til hinder for at anvende strengere procedurer og compliancesystemer, der er gennemført af koncernen, navnlig hvis de forhindrer videregivelse og udveksling af nødvendige oplysninger mellem enheder inden for koncernen, bør datterselskaber og filialer informere det konsoliderende instituts complianceansvarlige eller leder af complianceafdelingen.

Institutterne bør oprette en uafhængig og effektiv intern revisionsfunktion, under hensyntagen til de i del I anførte proportionalitetskriterier, og udpege en person, der er ansvarlig for denne funktion i hele instituttet. Den interne revisionsfunktion bør være uafhængig og i tilstrækkeligt omfang have autoritet, vægt og ressourcer. Navnlig bør instituttet sikre, at den interne revisionsfunktions medarbejdere er tilstrækkeligt kvalificerede, og at dens ressourcer, navnlig dens revisionsværktøjer og metoder til risikoanalyse, er tilstrækkelige i forhold til instituttets størrelse og placeringer samt arten, omfanget og kompleksiteten af de risici, der er forbundet med instituttets forretningsmodel, aktiviteter, risikokultur og risikoappetit.

Den interne revisionsfunktion bør være uafhængig af de reviderede aktiviteter. Den interne revisionsfunktion bør derfor ikke kombineres med andre funktioner.

Den interne revisionsfunktion bør på grundlag af en risikobaseret tilgang uafhængigt revidere og foretage objektiv kontrol af, at alle et instituts aktiviteter og enheder, herunder outsourcede aktiviteter, overholder instituttets politikker og procedurer samt eksterne krav. Hver enhed inden for koncernen bør være omfattet af den interne revisionsfunktion.

Den interne revisionsfunktion bør ikke være involveret i at udforme, udvælge, fastsætte og gennemføre specifikke interne kontrolpolitikker, -mekanismer og -procedurer samt risikogrænser. Dette bør imidlertid ikke hindre ledelsesorganet i dets ledelsesfunktion i at anmode om input fra den interne revision om spørgsmål vedrørende risiko, intern kontrol og overholdelse af gældende regler.

Den interne revisionsfunktion bør vurdere, om instituttets ramme for intern kontrol, jf. afsnit 15, er både virkningsfuld og effektiv. Navnlig bør den interne revisionsfunktion vurdere:

• a. hensigtsmæssigheden af instituttets ledelsesramme
• b. om eksisterende politikker og procedurer fortsat er tilstrækkelige og overholder juridiske og tilsynsmæssige krav samt instituttets risikostrategi og risikoappetit
• c. procedurernes overholdelse af de gældende love og bestemmelser og af ledelsesorganets beslutninger
• d. om procedurerne gennemføres korrekt og effektivt (f.eks. transaktioners overensstemmelse, det faktiske risikoniveau osv.) og
• e. tilstrækkeligheden, kvaliteten og effektiviteten af den kontrol og rapportering, der er foretaget af forretningsenhederne og risikostyrings- og compliancefunktionen.

Den interne revisionsfunktion bør navnlig kontrollere rigtigheden af processerne og således sikre pålideligheden af instituttets metoder og teknikker samt de antagelser og informationskilder, der anvendes i dets interne modeller (f.eks. risikomodellering og regnskabsmæssige målinger). Den bør ligeledes evaluere kvaliteten og brugen af kvalitative værktøjer til identifikation og vurdering af risiko og de risikoafhjælpende foranstaltninger, der er truffet.

Den interne revisionsfunktion bør i hele instituttet have uhindret adgang til alle instituttets registre, dokumenter, oplysninger og bygninger. Dette bør omfatte adgang til ledelsesinformationssystemer og referater fra alle udvalg og beslutningstagende organer.

Den interne revisionsfunktion bør overholde nationale og internationale faglige standarder. Et eksempel på de faglige standarder, der henvises til her, er de standarder, der er udarbejdet af Foreningen af Interne Revisorer.

Det interne revisionsarbejde bør udføres i henhold til en revisionsplan og et detaljeret revisionsprogram, der følger en risikobaseret metode.

En intern revisionsplan bør udarbejdes mindst én gang om året på grundlag af de årlige mål for den interne revisionskontrol. Den interne revisionsplan bør godkendes af ledelsesorganet.