15 Πλαίσιο εσωτερικού ελέγχου

Οι λειτουργίες του συστήματος εσωτερικής επιθεώρησης θα πρέπει να υποβάλλουν τακτικά στο διοικητικό όργανο γραπτές αναφορές για ανεπάρκειες οι οποίες έχουν εντοπιστεί και έχουν θεωρηθεί σημαντικές. Οι εν λόγω εκθέσεις θα πρέπει να περιλαμβάνουν, για κάθε νέα διαπιστωθείσα σημαντική έλλειψη, τους σχετικούς κινδύνους, μια εκτίμηση επιπτώσεων, συστάσεις και τα διορθωτικά μέτρα που πρέπει να ληφθούν. Το διοικητικό όργανο θα πρέπει να παρακολουθεί με έγκαιρο και αποτελεσματικό τρόπο τα ευρήματα των λειτουργιών εσωτερικής επιθεώρησης και να απαιτεί τη λήψη των κατάλληλων διορθωτικών μέτρων. Θα πρέπει να εφαρμόζεται επίσημη διαδικασία παρακολούθησης των πορισμάτων και των διορθωτικών μέτρων που λαμβάνονται.

Ως μέρος του συνολικού συστήματος εσωτερικού ελέγχου, τα ιδρύματα θα πρέπει να διαθέτουν ένα ολιστικό πλαίσιο διαχείρισης κινδύνων σε επίπεδο ιδρύματος, το οποίο εκτείνεται σε όλους τους επιχειρηματικούς του τομείς και τις εσωτερικές του μονάδες, συμπεριλαμβανομένων των λειτουργιών του συστήματος εσωτερικής επιθεώρησης, αναγνωρίζοντας πλήρως την οικονομική υπόσταση που συνεπάγονται όλα τα ανοίγματα κινδύνου που αναλαμβάνει. Το πλαίσιο διαχείρισης κινδύνων θα πρέπει να ενισχύει τη δυνατότητα του ιδρύματος να λαμβάνει πλήρως τεκμηριωμένες αποφάσεις σχετικά με την ανάληψη κινδύνων. Το πλαίσιο διαχείρισης κινδύνων θα πρέπει να περιλαμβάνει τους κινδύνους εντός και εκτός ισολογισμού, καθώς και τους υφιστάμενους και τους μελλοντικούς κινδύνους στους οποίους ενδέχεται να εκτίθεται το ίδρυμα. Οι κίνδυνοι θα πρέπει να αξιολογούνται από «κάτω προς τα πάνω» και από «πάνω προς τα κάτω», εντός και εκτός των επιχειρηματικών τομέων, με τη χρήση συνεπούς ορολογίας και συμβατών μεθοδολογιών σε ολόκληρο το ίδρυμα και σε ενοποιημένο ή υποενοποιημένο επίπεδο. Όλοι οι σχετικοί κίνδυνοι θα πρέπει να περιλαμβάνονται στο πλαίσιο διαχείρισης κινδύνων, λαμβανομένων δεόντως υπόψη τόσο των χρηματοοικονομικών όσο και των μη χρηματοοικονομικών κινδύνων, μεταξύ των οποίων περιλαμβάνονται ο πιστωτικός κίνδυνος, ο κίνδυνος αγοράς, ο κίνδυνος ρευστότητας, ο κίνδυνος συγκέντρωσης, οι λειτουργικοί κίνδυνοι, ο κίνδυνος ΤΠ, ο κίνδυνος φήμης, ο νομικός κίνδυνος, ο κίνδυνος συμπεριφοράς, ο κίνδυνος συμμόρφωσης σε θέματα καταπολέμησης της ΝΕΠΔ/ΧΤ και άλλων οικονομικών εγκλημάτων, κίνδυνος ΠΚΔ και οι στρατηγικοί κίνδυνοι.

Το πλαίσιο διαχείρισης κινδύνων του ιδρύματος θα πρέπει να περιλαμβάνει πολιτικές, διαδικασίες, όρια κινδύνων και συστήματα ελέγχου των κινδύνων τα οποία διασφαλίζουν επαρκή, έγκαιρο και συνεχή εντοπισμό, μέτρηση ή αξιολόγηση, παρακολούθηση, μείωση και αναφορά των κινδύνων, σε επίπεδο επιχειρηματικού τομέα, σε επίπεδο ιδρύματος και σε ενοποιημένο ή υποενοποιημένο επίπεδο.

Το πλαίσιο διαχείρισης κινδύνων του ιδρύματος θα πρέπει να παρέχει ειδική καθοδήγηση σχετικά με την υλοποίηση των στρατηγικών του. Κατά περίπτωση, η καθοδήγηση αυτή θα πρέπει να θεσπίζει και να διατηρεί συγκεκριμένα εσωτερικά όρια τα οποία είναι σύμφωνα με την διάθεση ανάληψης κινδύνων του ιδρύματος και ανάλογα προς την υγιή λειτουργία, τη χρηματοοικονομική ευρωστία, την κεφαλαιακή βάση και τους στρατηγικούς στόχους του. Το προφίλ κινδύνου του ιδρύματος θα πρέπει να διατηρείται εντός αυτών των καθορισμένων ορίων. Το πλαίσιο διαχείρισης κινδύνων θα πρέπει να εξασφαλίζει ότι, σε περίπτωση υπερβάσεων των ορίων κινδύνων, τίθεται σε εφαρμογή καθορισμένη διαδικασία για την παραπομπή τους σε ανώτερα τμήματα της ιεραρχικής κλίμακας και την αντιμετώπισή τους μέσω κατάλληλης διαδικασίας παρακολούθησης.

Το πλαίσιο διαχείρισης κινδύνων θα πρέπει να υπόκειται σε ανεξάρτητη εσωτερική και εξωτερική αξιολόγηση, η οποία διενεργείται π.χ. από τη λειτουργία εσωτερικής επιθεώρησης, και να επαναξιολογείται τακτικά σε σχέση με τη διάθεση ανάληψης κινδύνων του ιδρύματος, λαμβανομένης υπόψη της πληροφόρησης που προέρχεται από τη λειτουργία διαχείρισης κινδύνων και, εφόσον έχει συσταθεί, από την επιτροπή διαχείρισης κινδύνων. Οι παράγοντες που θα πρέπει να λαμβάνονται υπόψη περιλαμβάνουν εσωτερικές και εξωτερικές εξελίξεις, συμπεριλαμβανομένων των αλλαγών στον ισολογισμό και στα έσοδα, την αύξηση της πολυπλοκότητας των επιχειρηματικών δραστηριοτήτων, του προφίλ κινδύνου ή της λειτουργικής δομής του ιδρύματος, τη γεωγραφική επέκταση, τυχόν συγχωνεύσεις και εξαγορές, καθώς και την εισαγωγή νέων προϊόντων ή επιχειρηματικών τομέων.