16 Umsetzung eines internen Kontrollrahmens

Das Leitungsorgan sollte für die Festlegung und Überwachung der Angemessenheit und Wirksamkeit des internen Kontrollrahmens, der entsprechenden Verfahren und Mechanismen sowie für die Überwachung aller Geschäftsbereiche und interner Einheiten, einschließlich der internen Kontrollfunktionen (wie das Risikomanagement, die Compliance-Funktion, die Compliance in Zusammenhang mit der Bekämpfung von Geldwäsche und Terrorismusfinanzierung, sofern diese von der Compliance-Funktion getrennt ist und die interne Revision), zuständig sein. Die Institute sollten für die interne Kontrolle angemessene schriftliche Richtlinien, Mechanismen und Verfahren, die vom Leitungsorgan genehmigt werden sollten, einrichten, pflegen und regelmäßig aktualisieren.

Ein Institut sollte über einen klaren, transparenten und dokumentierten Entscheidungsprozess sowie eine eindeutige Aufgabenverteilung und Kompetenzregelung innerhalb seines internen Kontrollrahmens verfügen, einschließlich seiner Geschäftsbereiche, internen Einheiten und internen Kontrollfunktionen.

Die Institute sollten diese Richtlinien, Mechanismen und Verfahren sowie wesentliche Änderungen daran allen Mitarbeitern kommunizieren.

Bei der Einführung des internen Kontrollrahmens sollten die Institute eine angemessene Aufgabentrennung einrichten – z. B. die Übertragung konfligierender Tätigkeiten im Rahmen der Durchführung von Transaktionen oder bei der Erbringung von Dienstleistungen an unterschiedliche Personen oder die Übertragung von Aufsichts- und Meldepflichten für konfligierende Tätigkeiten an unterschiedliche Personen – und Informationssperren vorsehen, z. B. durch die physische Trennung bestimmter Abteilungen.

Die internen Kontrollfunktionen sollten überprüfen, ob die im internen Kontrollrahmen festgelegten Richtlinien, Mechanismen und Verfahren in ihren jeweiligen Zuständigkeitsbereichen korrekt umgesetzt werden.

Die internen Kontrollfunktionen sollten dem Leitungsorgan regelmäßig schriftliche Berichte über ermittelte größere Mängel vorlegen. Diese Berichte sollten unter anderem für jeden neu festgestellten wesentlichen Mangel die damit verbundenen maßgeblichen Risiken, eine Folgenabschätzung, Empfehlungen und die einzuleitenden Abhilfemaßnahmen enthalten. Das Leitungsorgan sollte zeitnah und wirksam die Feststellungen der internen Kontrollfunktionen weiterverfolgen und angemessene Maßnahmen zur Mängelbeseitigung einfordern. Es sollte ein formelles Mängelbeseitigungsverfahren für die Feststellungen und ergriffenen Abhilfemaßnahmen vorgesehen werden.