16. Intern revisionsfunktion

Hvis en intern revisionsfunktion er oprettet, bør den være uafhængig og have relevant bemyndigelse, rang og ressourcer. Navnlig bør udstedere af ART'er sikre, at den interne revisionsfunktions medarbejdere er i besiddelse af relevante kvalifikationer, og at funktionens ressourcer, navnlig dens revisionsværktøjer og risikoanalysemetoder, er relevante for udstederens størrelse og placeringer samt arten, omfanget og kompleksiteten af de risici, der er forbundet med udstederens forretningsmodel, aktiviteter, risikokultur og risikoappetit.

Den interne revisionsfunktion bør være uafhængig af de reviderede aktiviteter. Den interne revisionsfunktion bør derfor ikke kombineres med andre funktioner.

Den interne revisionsfunktion bør på grundlag af en risikobaseret tilgang uafhængigt revidere og foretage objektiv kontrol af, at alle udstederen af ART'ers aktiviteter og enheder, herunder brug af tredjepartsenheder, overholder udstederens politikker og procedurer samt eksterne reguleringsmæssige krav.

Den interne revisionsfunktion bør ikke være involveret i at udforme, udvælge, fastsætte eller gennemføre specifikke interne kontrolpolitikker, -mekanismer og -procedurer eller risikogrænser. Dette bør imidlertid ikke hindre ledelsesorganet i dets ledelsesfunktion i at anmode om input fra den interne revision om spørgsmål vedrørende risiko, intern kontrol og overholdelse af gældende regler.

Den interne revisionsfunktion bør vurdere, om udstederen af ART'ers interne kontrolramme, jf. del V, er både effektiv og virkningsfuld. Navnlig bør den interne revisionsfunktion vurdere:

• a. relevansen af udstederen af ART'ers ledelsesramme
• b. om eksisterende politikker og procedurer fortsat er relevante og opfylder retlige og reguleringsmæssige krav samt udstederen af ART'ers risikostrategi og risikoappetit
• c. hvorvidt procedurerne er i overensstemmelse med gældende love og forskrifter og med ledelsesorganets beslutninger
• d. om procedurerne gennemføres korrekt og effektivt (f.eks. transaktioners compliance, det faktiske risikoniveau osv.)
• e. relevansen, kvaliteten og effektiviteten af de kontroller, der udføres, og den rapportering, der foretages af forretningsområderne (første forsvarslinje) og risikostyrings- og compliancefunktionen.

Den interne revisionsfunktion bør navnlig verificere integriteten af de processer, der sikrer pålideligheden af udstederen af ART'ers metoder og teknikker til risikokvantificering, herunder modeller. Den bør ligeledes evaluere kvaliteten og brugen af kvalitative værktøjer til identifikation og vurdering af risiko og de risikobegrænsende foranstaltninger, der er truffet.

Den interne revisionsfunktion bør gennemgå relevansen af processerne til udvikling af hvidbøger, disses godkendelse og de processer, hvor ART'er tilbydes offentligheden.

Den interne revisionsfunktion bør have uhindret adgang på udstederniveau til alle udstedere af ART'ers registre, dokumenter, oplysninger og bygninger. Dette bør omfatte adgang til ledelsesinformationssystemer og referater fra alle udvalg og beslutningstagende organer.

Den interne revisionsfunktion bør overholde nationale og internationale faglige standarder. Et eksempel på sådanne faglige standarder er de standarder, der er udarbejdet af Foreningen af Interne Revisorer.

Det interne revisionsarbejde bør udføres på grundlag af en revisionsplan og et detaljeret revisionsprogram, der følger en risikobaseret metode.

Der bør mindst én gang om året udarbejdes en intern revisionsplan på grundlag af de årlige mål for den interne revisionskontrol. Den interne revisionsplan bør godkendes af ledelsesorganet.

Alle revisionshenstillinger bør underkastes en formel opfølgningsprocedure på de relevante ledelsesniveauer, som meddeles udstederen af ART'ers ledelsesorgan og stilles til rådighed for den kompetente myndighed for at sikre og rapportere om deres effektive og rettidige afvikling.