5.5. Λειτουργίες εσωτερικού ελέγχου

Κατά την αξιολόγηση των λειτουργιών εσωτερικού ελέγχου του ιδρύματος, οι αρμόδιες αρχές πρέπει να αξιολογούν τη συμμόρφωση του ιδρύματος προς τις κατευθυντήριες γραμμές της ΕΑΤ σχετικά με την εσωτερική διακυβέρνηση και τις σχετικές διατάξεις του κανονισμού (ΕΕ) 2022/2554 (DORA)²¹ . Στο πλαίσιο αυτό, οι αρμόδιες αρχές πρέπει να εξετάζουν, μεταξύ άλλων, αν:

• α. το ίδρυμα διαθέτει κατάλληλο πλαίσιο εσωτερικού ελέγχου που καλύπτει όλους τους τομείς, το οποίο συνάδει με το μοντέλο των «τριών γραμμών άμυνας» και συμπεριλαμβάνει εύρυθμες, αποτελεσματικές και ανεξάρτητες λειτουργίες διαχείρισης κινδύνων, κανονιστικής συμμόρφωσης και εσωτερικής επιθεώρησης·
• β. οι επικεφαλής των λειτουργιών εσωτερικού ελέγχου i) ορίζονται σε κατάλληλο ιεραρχικό επίπεδο, το οποίο τους παρέχει τις κατάλληλες εξουσίες και το κύρος που απαιτούνται για την άσκηση των αρμοδιοτήτων τους, ii) έχουν άμεση πρόσβαση και μπορούν να αναφέρονται απευθείας στο διοικητικό όργανο με την εποπτική του αρμοδιότητα και iii) διαθέτουν όλους τους αναγκαίους πόρους για την εκτέλεση των καθηκόντων τους·
• γ. το ίδρυμα διαθέτει επαρκείς γραπτές πολιτικές εσωτερικού ελέγχου που εφαρμόζονται αποτελεσματικά, καθώς και σαφή κατανομή αρμοδιοτήτων για την εφαρμογή του πλαισίου, διαχωρισμό των καθηκόντων, ορθές διοικητικές και λογιστικές διαδικασίες και αξιόπιστες ρυθμίσεις υποβολής αναφορών.

²¹ Κανονισμός (ΕΕ) 2022/2554 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου της 14ης Δεκεμβρίου 2022 σχετικά με την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοοικονομικού τομέα και την τροποποίηση των κανονισμών (ΕΚ) αριθ. 1060/2009, (ΕΕ) αριθ. 648/2012, (ΕΕ) αριθ. 600/2014, (ΕΕ) αριθ. 909/2014 και (ΕΕ) 2016/1011 (ΕΕ L 333 της 27.12.2022, σ. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

Οι αρμόδιες αρχές πρέπει να αξιολογούν κατά πόσον η λειτουργία διαχείρισης κινδύνων καλύπτει το σύνολο του ιδρύματος, διαθέτει ολιστική εικόνα όλων των κινδύνων, συμμετέχει ενεργά και εγκαίρως στη διαμόρφωση της στρατηγικής διαχείρισης κινδύνων του ιδρύματος και παρακολουθεί την αποτελεσματική εφαρμογή της. Οι αρμόδιες αρχές πρέπει επίσης να προσδιορίζουν κατά πόσον η λειτουργία διαχείρισης κινδύνων παρέχει στο διοικητικό όργανο πλήρεις, επικαιροποιημένες και συναφείς πληροφορίες σχετικά με τους κινδύνους, ώστε να είναι δυνατό να καθοριστούν το επίπεδο διάθεσης ανάληψης κινδύνων του ιδρύματος και τα σχετικά όρια κινδύνου. Οι αρμόδιες αρχές πρέπει επίσης να λαμβάνουν υπόψη την αξιολόγηση που διενεργεί η λειτουργία διαχείρισης κινδύνων σχετικά με την ανθεκτικότητα και τη βιωσιμότητα της στρατηγικής και της διάθεσης για ανάληψη κινδύνων, καθώς και τη συμμετοχή της στην αξιολόγηση των επιπτώσεων σημαντικών αλλαγών ή έκτακτων συναλλαγών στον συνολικό κίνδυνο του ιδρύματος και (κατά περίπτωση) του ομίλου.

Οι αρμόδιες αρχές πρέπει να αξιολογούν κατά πόσον η λειτουργία κανονιστικής συμμόρφωσης αξιολογεί και μετριάζει αποτελεσματικά τους κινδύνους συμμόρφωσης που προκύπτουν από τη μη τήρηση των ισχυουσών νομικών και κανονιστικών απαιτήσεων, των συμβατικών υποχρεώσεων ή των εσωτερικών κανόνων και κωδίκων δεοντολογίας, συμπεριλαμβανομένων των κανόνων δεοντολογίας, και διασφαλίζει ότι όλες οι σημαντικές αποφάσεις διαχείρισης κινδύνων λαμβάνουν επαρκώς υπόψη τους εν λόγω κινδύνους.

Οι αρμόδιες αρχές πρέπει να αξιολογούν κατά πόσον η λειτουργία εσωτερικής επιθεώρησης εξετάζει ανεξάρτητα και παρέχει αντικειμενική βεβαιότητα, σύμφωνα με το σχέδιο ελέγχου και το λεπτομερές πρόγραμμα εργασιών, σχετικά με την καταλληλότητα και την αποτελεσματικότητα των πολιτικών, των διαδικασιών και των εσωτερικών ελέγχων του ιδρύματος, καθώς και σχετικά με τη συμμόρφωση όλων των δραστηριοτήτων του ιδρύματος, συμπεριλαμβανομένων των δραστηριοτήτων που παρέχονται από τρίτους παρόχους υπηρεσιών, προς τις νομικές και κανονιστικές απαιτήσεις. Κατά περίπτωση, οι αρμόδιες αρχές πρέπει να αξιολογούν κατά πόσον η λειτουργία εσωτερικής επιθεώρησης σε επίπεδο ομίλου είναι ανεξάρτητη, διαθέτει ενιαίο πρόγραμμα ελέγχου για το σύνολο του ομίλου, το οποίο καταρτίζεται βάσει των κινδύνων, διαθέτει τους κατάλληλους πόρους και κύρος και λογοδοτεί απευθείας στο διοικητικό όργανο του ιδρύματος στο οποίο ενοποιείται.