10.4 Πλαίσιο εσωτερικού ελέγχου

Οι αρμόδιες αρχές θα πρέπει να αξιολογούν εάν το αιτούν πιστωτικό ίδρυμα διαθέτει κατάλληλο πλαίσιο εσωτερικού ελέγχου που είναι ανάλογο με τις προβλεπόμενες δραστηριότητες, το επιχειρηματικό μοντέλο, την πολυπλοκότητα και τους σχετικούς κινδύνους του πιστωτικού ιδρύματος (π.χ. διαδικτυακή υποδοχή πελατών, προστασία και ρυθμίσεις κυβερνοασφάλειας). Οι αρμόδιες αρχές θα πρέπει να βεβαιώνονται για την επάρκεια των διατιθέμενων ανθρώπινων πόρων τόσο ως προς τον αριθμό των ΙΠΑ όσο και ως προς τα προσόντα, την καταλληλότητα των συστημάτων και τον προϋπολογισμό για την υποστήριξη της εκτέλεσης των καθηκόντων.

Οι αρμόδιες αρχές θα πρέπει να εξετάσουν τα έγγραφα της αίτησης και να βεβαιωθούν ότι η κατανομή των καθηκόντων και των αρμοδιοτήτων θα επιτρέψει στο διοικητικό όργανο να γνωρίζει πλήρως τη δομή του πιστωτικού ιδρύματός τους⁴⁹ και να «διασφαλίσει ότι οι λειτουργίες του συστήματος εσωτερικού ελέγχου είναι ανεξάρτητες από τους επιχειρηματικούς τομείς τους οποίους ελέγχουν, μεταξύ άλλων όσον αφορά και τον κατάλληλο διαχωρισμό των καθηκόντων, και ότι διαθέτουν τους κατάλληλους χρηματοοικονομικούς και ανθρώπινους πόρους, καθώς και εξουσίες για την αποτελεσματική άσκηση του ρόλου τους. Οι γραμμές αναφοράς και η κατανομή των αρμοδιοτήτων, ιδίως μεταξύ των προσώπων που κατέχουν καίριες θέσεις, εντός του πιστωτικού ιδρύματος θα πρέπει να είναι σαφείς, πλήρως οριοθετημένες, συνεπείς, αναγκαστικού χαρακτήρα και δεόντως τεκμηριωμένες »⁵⁰ .

⁴⁹ Παράγραφος 71 των κατευθυντήριων γραμμών της ΕΑΤ για την εσωτερική διακυβέρνηση.

⁵⁰ Παράγραφος 68 των κατευθυντήριων γραμμών της ΕΑΤ για την εσωτερική διακυβέρνηση.

Οι αρμόδιες αρχές θα πρέπει να έχουν σαφή άποψη ότι το πλαίσιο εσωτερικού ελέγχου καλύπτει όλους τους τομείς του ιδρύματος και αντικατοπτρίζει τις τρεις γραμμές του αμυντικού μοντέλου για τον προσδιορισμό των λειτουργιών αντιμετώπισης και διαχείρισης κινδύνων.

Για τον σκοπό αυτό, οι αρμόδιες αρχές θα πρέπει να επαληθεύουν ότι υπάρχουν ρυθμίσεις που να διασφαλίζουν ότι οι επιχειρηματικές και οι υποστηρικτικές μονάδες, η πρώτη γραμμή άμυνας, θα είναι υπεύθυνες σε πρώτο βαθμό για τον εντοπισμό και τη διαχείριση των κινδύνων που διατρέχουν κατά την άσκηση των δραστηριοτήτων τους και για τη δημιουργία και τη διατήρηση επαρκών διαδικασιών και ελέγχων για να διασφαλίζουν ότι οι κίνδυνοι αυτοί αναλύονται, μετρώνται, παρακολουθούνται, αναφέρονται δεόντως και διατηρούνται εντός των ορίων της διάθεσης ανάληψης κινδύνων του πιστωτικού ιδρύματος και ότι συμμορφώνονται με τις εσωτερικές και εξωτερικές κανονιστικές απαιτήσεις .

Η λειτουργία διαχείρισης κινδύνων και η λειτουργία κανονιστικής συμμόρφωσης, η δεύτερη γραμμή άμυνας, μαζί με τη λειτουργία εσωτερικής επιθεώρησης, που είναι η τρίτη γραμμή άμυνας, αποτελούν τις λειτουργίες του συστήματος εσωτερικού ελέγχου εντός του πλαισίου εσωτερικού ελέγχου. Οι αρμόδιες αρχές θα πρέπει να επαληθεύουν ότι θα συσταθούν, λαμβάνοντας υπόψη τα κριτήρια αναλογικότητας που ορίζονται στις παραγράφους 17–21, και ότι θα διαθέτουν κατάλληλη και επαρκή εξουσία, κύρος και άμεση πρόσβαση στο διοικητικό όργανο για την εκπλήρωση της αποστολής τους.

Για να διασφαλιστεί ότι οι λειτουργίες του συστήματος εσωτερικού ελέγχου συμμορφώνονται με τις απαιτήσεις ανεξαρτησίας⁵¹ , οι αρμόδιες αρχές θα πρέπει να επαληθεύουν ότι, βάσει των εγγράφων της αίτησης, προβλέπεται ότι:

• (α) το προσωπικό τους δεν εκτελεί επιχειρησιακά καθήκοντα που εμπίπτουν στο εύρος των δραστηριοτήτων για τις οποίες τους έχει ανατεθεί η ευθύνη παρακολούθησης και ελέγχου·
• (β) διαχωρίζονται, από οργανωτικής πλευράς, από τις δραστηριότητες για τις οποίες τους έχει ανατεθεί η ευθύνη παρακολούθησης και ελέγχου·
• (γ) με την επιφύλαξη της συνολικής ευθύνης των μελών του διοικητικού οργάνου για το ίδρυμα, ο επικεφαλής μιας λειτουργίας του συστήματος εσωτερικού ελέγχου δεν θα πρέπει να λογοδοτεί σε πρόσωπο το οποίο έχει διαχειριστικές αρμοδιότητες επί των δραστηριοτήτων τις οποίες ελέγχει και παρακολουθεί η λειτουργίας του συστήματος εσωτερικού ελέγχου· και
• (δ) οι αποδοχές του προσωπικού των λειτουργιών του συστήματος εσωτερικού ελέγχου δεν θα πρέπει να συνδέονται με τις επιδόσεις των δραστηριοτήτων τις οποίες παρακολουθεί και ελέγχει η λειτουργία του συστήματος εσωτερικού ελέγχου, ούτε να διακυβεύουν ενδεχομένως με άλλον τρόπο την αντικειμενικότητά τους.

⁵¹ Βλ. παράγραφο 175 των κατευθυντήριων γραμμών της ΕΑΤ για την εσωτερική διακυβέρνηση.

Οι αρμόδιες αρχές θα πρέπει να επαληθεύουν ότι οι επικεφαλής των λειτουργιών του συστήματος εσωτερικού ελέγχου πληρούν τις ακόλουθες απαιτήσεις:

• α) θα πρέπει να ορίζονται σε κατάλληλο ιεραρχικό επίπεδο που παρέχει στον επικεφαλής της εκάστοτε λειτουργίας τις κατάλληλες εξουσίες και το κύρος που απαιτούνται για την άσκηση των αρμοδιοτήτων του·
• β) θα πρέπει να είναι ανεξάρτητοι από τους επιχειρηματικούς τομείς ή τις μονάδες που ελέγχουν·
• γ) θα πρέπει να αναφέρονται και να λογοδοτούν απευθείας στο διοικητικό όργανο, και οι επιδόσεις τους θα πρέπει να αξιολογούνται από το διοικητικό όργανο·
• δ) όπου κρίνεται αναγκαίο, θα έχουν πρόσβαση και θα αναφέρονται απευθείας στο διοικητικό όργανο υπό την εποπτική του αρμοδιότητα, προκειμένου να διατυπώνουν προβληματισμούς και να προειδοποιούν την εποπτική λειτουργία, κατά περίπτωση, όταν το ίδρυμα επηρεάζεται ή ενδέχεται να επηρεαστεί από συγκεκριμένες εξελίξεις.

Για να εξασφαλιστεί ότι οι λειτουργίες του συστήματος εσωτερικού ελέγχου μπορούν να ασκούνται αποτελεσματικά, οι αρμόδιες αρχές θα πρέπει να βεβαιώνονται ότι διαθέτουν επαρκείς δημοσιονομικούς και ανθρώπινους πόρους με επαρκή προσόντα, λαμβάνοντας υπόψη τους τύπους των στοχευμένων δραστηριοτήτων, καθώς και κατάλληλο σύστημα ΤΠΕ και υποστήριξη.

10.4.2 Λειτουργία διαχείρισης κινδύνων

Οι αρμόδιες αρχές θα πρέπει να βεβαιώνονται ότι, στο πλαίσιο του συστήματος εσωτερικού ελέγχου, το πιστωτικό ίδρυμα θα έχει ένα πλαίσιο διαχείρισης κινδύνων που θα καλύπτει ολόκληρο το πιστωτικό ίδρυμα, το οποίο θα αναγνωρίζει πλήρως την οικονομική ουσία όλων των εκθέσεων του πιστωτικού ιδρύματος σε κίνδυνο.

Οι αρμόδιες αρχές θα πρέπει να βεβαιώνονται ότι η λειτουργία διαχείρισης κινδύνων θα διευκολύνει την εφαρμογή ενός χρηστού πλαισίου διαχείρισης κινδύνων σε ολόκληρο το ίδρυμα και ότι ο ρόλος της εντός του πιστωτικού ιδρύματος περιλαμβάνει την εμπλοκή της στα εξής θέματα: α) στρατηγική κινδύνου και λήψη αποφάσεων · β) αξιολόγηση των ουσιωδών αλλαγών· γ) εντοπισμός, μέτρηση, αξιολόγηση, διαχείριση, μετριασμός, παρακολούθηση και αναφορά κινδύνων· δ) αξιολόγηση των παρεκκλίσεων από τη διάθεση ανάληψης κινδύνων ή των υπερβάσεων των ορίων κινδύνων και διατύπωση συστάσεων για διορθωτικά μέτρα. Για τον σκοπό αυτό, οι αρμόδιες αρχές θα πρέπει επίσης να εξετάζουν και να αξιολογούν το περίγραμμα της στρατηγικής για τη διαχείριση των εν λόγω κινδύνων που συμπεριλαμβάνει δήλωση ανοχής στον κίνδυνο και διάθεσης ανάληψης κινδύνων και μέτρα για την εναρμόνιση του εκτιμώμενου κινδύνου με τη διάθεση ανάληψης κινδύνων.

Όσον αφορά τον ρόλο της λειτουργίας διαχείρισης κινδύνων στη στρατηγική κινδύνου και στη λήψη αποφάσεων, η εξέταση των αρμόδιων αρχών θα πρέπει να στοχεύει στην επαλήθευση ότι η αίτηση προβλέπει την ενεργό συμμετοχή της λειτουργίας διαχείρισης κινδύνων σε πρώιμο στάδιο της συνεχούς δραστηριότητας στην εκπόνηση της στρατηγικής κινδύνου του πιστωτικού ιδρύματος, στη διασφάλιση ότι το πιστωτικό ίδρυμα θα εφαρμόζει αποτελεσματικές διαδικασίες διαχείρισης κινδύνων και στην παροχή στο διοικητικό όργανο όλων των σχετικών με τους κινδύνους πληροφοριών, ώστε να καταστεί δυνατός ο καθορισμός του επιπέδου της διάθεσης ανάληψης κινδύνων του πιστωτικού ιδρύματος. Οι αρμόδιες αρχές θα πρέπει να διασφαλίζουν ότι η λειτουργία διαχείρισης κινδύνων προβλέπεται να αξιολογεί την ευρωστία και τη βιωσιμότητα της στρατηγικής κινδύνου και της διάθεσης ανάληψης κινδύνων και ότι η τελευταία αποτυπώνεται κατάλληλα σε συγκεκριμένα όρια κινδύνου, μεταξύ άλλων σε επίπεδο επιχειρηματικών μονάδων, και ότι εμπλέκεται προτού ληφθεί απόφαση από το διοικητικό όργανο σχετικά με τις στρατηγικές κινδύνου.

Όσον αφορά τον ρόλο της λειτουργίας διαχείρισης κινδύνων στην αξιολόγηση των ουσιωδών αλλαγών, οι αρμόδιες αρχές θα πρέπει να επαληθεύουν ότι προβλέπεται η εμπλοκή της λειτουργίας διαχείρισης κινδύνων προτού ληφθούν αποφάσεις για έκτακτες συναλλαγές, ώστε να αξιολογηθεί ο αντίκτυπος των εν λόγω αλλαγών και εκτάκτων συναλλαγών στον συνολικό κίνδυνο του πιστωτικού ιδρύματος και να αναφερθούν τα ευρήματά της απευθείας στο διοικητικό όργανο προτού ληφθεί απόφαση.

Όσον αφορά τον ρόλο της λειτουργίας διαχείρισης κινδύνων στον εντοπισμό, τη μέτρηση, την παρακολούθηση, τον μετριασμό και την αναφορά του κινδύνου και των σχετικών συγκεντρώσεων κινδύνου που πρέπει να εγκριθούν από το διαχειριστικό όργανο, οι αρμόδιες αρχές θα πρέπει να διασφαλίζουν ότι εφαρμόζονται πολιτικές και διαδικασίες και ότι η λειτουργία διαχείρισης κινδύνων θα έχει πρόσβαση σε όλους τους επιχειρηματικούς τομείς και άλλες μονάδες όπου υπάρχει πιθανότητα να προκύψουν κίνδυνοι.

Ο ρόλος της λειτουργίας διαχείρισης κινδύνων θα πρέπει επίσης να περιλαμβάνει την ανεξάρτητη αξιολόγηση των παρεκκλίσεων από τη διάθεση ανάληψης κινδύνων ή των υπερβάσεων των ορίων κινδύνου (συμπεριλαμβανομένης της εξακρίβωσης της αιτίας και της εκπόνησης νομικής και οικονομικής ανάλυσης του πραγματικού κόστους κλεισίματος, μείωσης ή αντιστάθμισης του ανοίγματος έναντι του δυνητικού κόστους διατήρησής του). Θα πρέπει να προβλέπεται ότι η λειτουργία διαχείρισης κινδύνων θα τηρεί ενήμερες τις εμπλεκόμενες επιχειρηματικές μονάδες και το διοικητικό όργανο και θα διατυπώνει συστάσεις σχετικά με πιθανές επανορθωτικές ενέργειες. Για τον σκοπό αυτό, θα πρέπει να είναι σε θέση να αναφέρεται απευθείας στο διοικητικό όργανο υπό την εποπτική του αρμοδιότητα όταν η παρέκκλιση είναι σημαντική, με την επιφύλαξη της αναφοράς της λειτουργίας διαχείρισης κινδύνων σε άλλα εσωτερικά τμήματα και επιτροπές.

10.4.3 Πολιτική αποδοχών

Όσον αφορά το περίγραμμα της πολιτικής αποδοχών, εκτός από την αξιολόγηση της συμμόρφωσης με τις απαιτήσεις για την ουδετερότητα ως προς το φύλο σύμφωνα με το άρθρο 92 παράγραφος 2 στοιχείο αα) της ΟΚΑ, οι αρμόδιες αρχές θα πρέπει να μεριμνούν ιδιαιτέρως για την επαλήθευση ότι το περίγραμμα της πολιτικής που αφορά τα μέλη του προσωπικού των οποίων οι επαγγελματικές δραστηριότητες έχουν σημαντικό αντίκτυπο στο προφίλ κινδύνου του πιστωτικού ιδρύματος⁵² είναι σύμφωνες με το άρθρο 94 της ΟΚΑ και τις κατευθυντήριες γραμμές της ΕΑΤ σχετικά με την πολιτική αποδοχών .

⁵² Υποβάλλονται σύμφωνα με τα ΡΤΠ σχετικά με τις πληροφορίες για τη χορήγηση άδειας λειτουργίας.

Ειδικότερα, θα πρέπει να αξιολογούν εάν: α) το περίγραμμα της πολιτικής αποδοχών είναι σύμφωνο με την προβλεπόμενη διάθεση ανάληψης κινδύνων του ιδρύματος, την επιχειρηματική του στρατηγική και τα μακροπρόθεσμα συμφέροντά του και εάν προβλέπεται να διατηρείται, να εγκρίνεται και να εποπτεύεται από το διοικητικό όργανο· β) προβλέπει ότι το προσωπικό που έχει σημαντικό αντίκτυπο στο προφίλ κινδύνου του ιδρύματος θα προσδιορίζεται δεόντως σύμφωνα με το άρθρο 92 παράγραφος 3 και το άρθρο 94 παράγραφος 3 της ΟΚΑ· γ) προβλέπει ειδικές απαιτήσεις αποδοχών για το συγκεκριμένο προσωπικό όπως, μεταξύ άλλων, i) αναλογία μεταβλητών και σταθερών αποδοχών σύμφωνα με το στοιχείο ζ) του άρθρου 94 παράγραφος 1 της ΟΚΑ και ii) πληρωμή σε μέσα, ρυθμίσεις περί αναβολής, συμπεριλαμβανομένων των ρυθμίσεων malus και της επιστροφής αμοιβών, σύμφωνα με τα σημεία ιβ), ιγ) και ιδ) του άρθρου 94 παράγραφος 1 της ΟΚΑ⁵³ .

10.4.4 Λειτουργία κανονιστικής συμμόρφωσης

⁵³ Όσον αφορά ειδικότερα τις παρεκκλίσεις που προβλέπονται στο άρθρο 94 παράγραφοι 3 και 4 της ΟΚΑ.

Οι αρμόδιες αρχές θα πρέπει να επαληθεύουν ότι προβλέπεται ότι η λειτουργία κανονιστικής συμμόρφωσης θα διαχειρίζεται τον κίνδυνο συμμόρφωσης, θα παρέχει συμβουλές στο διοικητικό όργανο σχετικά με τα μέτρα που πρέπει να ληφθούν για τη διασφάλιση της συμμόρφωσης με τους ισχύοντες νόμους, κανόνες, κανονισμούς και πρότυπα και θα εφαρμόζει, υπό την επίβλεψη του διοικητικού οργάνου, πολιτικές και διαδικασίες για τη διαχείριση των κινδύνων συμμόρφωσης και τη διασφάλιση της συμμόρφωσης. Οι αρμόδιες αρχές θα πρέπει να επαληθεύουν ότι η λειτουργία κανονιστικής συμμόρφωσης είναι κατάλληλη για τα είδη και τη γεωγραφική κατανομή των δραστηριοτήτων (π.χ. συμμόρφωση με την ισχύουσα εθνική νομοθεσία διαφόρων δικαιοδοσιών στην περίπτωση δραστηριοτήτων που εκτελούνται σε διασυνοριακή βάση), τους κινδύνους και την πολυπλοκότητα σύμφωνα με το επιχειρηματικό μοντέλο και την αξιολόγηση του επιχειρηματικού σχεδίου που πραγματοποιήθηκε σύμφωνα με την ενότητα 7 των παρουσών κατευθυντήριων γραμμών.

Η λειτουργία κανονιστικής συμμόρφωσης θα πρέπει να διασφαλίζει ότι η παρακολούθηση της συμμόρφωσης πραγματοποιείται μέσω ενός διαρθρωμένου και σαφώς καθορισμένου προγράμματος παρακολούθησης της συμμόρφωσης και ότι τηρείται η πολιτική κανονιστικής συμμόρφωσης. Η λειτουργία κανονιστικής συμμόρφωσης και η λειτουργία διαχείρισης κινδύνων θα πρέπει να συνεργάζονται και να ανταλλάσσουν δεόντως πληροφορίες προκειμένου να είναι σε θέση να εκτελούν τα αντίστοιχα καθήκοντά τους.

Οι αρμόδιες αρχές θα πρέπει επίσης να ελέγχουν εάν η λειτουργία κανονιστικής συμμόρφωσης θα αναλάβει να επιβεβαιώνει, σε στενή συνεργασία με τη λειτουργία διαχείρισης κινδύνων και το νομικό τμήμα, ότι τα νέα προϊόντα και οι νέες διαδικασίες συμμορφώνονται με το ισχύον νομικό πλαίσιο και, κατά περίπτωση, με τυχόν γνωστές επικείμενες αλλαγές στις νομοθετικές, κανονιστικές και εποπτικές απαιτήσεις.

Οι αρμόδιες αρχές θα πρέπει να επιβεβαιώνουν ότι προβλέπεται να δημιουργηθεί μια λειτουργία συμμόρφωσης με τη νομοθεσία και τις εσωτερικές πολιτικές για την καταπολέμηση της νομιμοποίησης εσόδων από παράνομες δραστηριότητες/ της χρηματοδότησης της τρομοκρατίας, είτε εντός είτε χωριστά από τη λειτουργία κανονιστικής συμμόρφωσης. 10.4.5 Πολιτική για την καταπολέμηση της νομιμοποίησης εσόδων από παράνομες δραστηριότητες/της χρηματοδότησης της τρομοκρατίας

Οι αρμόδιες αρχές θα πρέπει να επαληθεύουν ότι η πολιτική για την καταπολέμηση της νομιμοποίησης εσόδων από παράνομες δραστηριότητες/της χρηματοδότησης της τρομοκρατίας, που υποβάλλεται από το αιτούν πιστωτικό ίδρυμα σύμφωνα με το άρθρο 5 παράγραφος 1, στοιχείο γ), αριθ. (iii) των ΡΤΠ σχετικά με τις πληροφορίες για τη χορήγηση άδειας λειτουργίας , παρέχει μια επισκόπηση των βασικών πολιτικών και διαδικασιών, όπως ορίζονται στο άρθρο 8 παράγραφος 3 της οδηγίας AMLD, που θα τεθούν σε εφαρμογή για την αντιμετώπιση του κινδύνου νομιμοποίησης εσόδων από παράνομες δραστηριότητες/χρηματοδότησης της τρομοκρατίας. Για τον σκοπό αυτό, οι αρμόδιες αρχές θα λαμβάνουν υπόψη τα κριτήρια αναλογικότητας που ορίζονται στις παραγράφους 17–21.

Οι αρμόδιες αρχές θα πρέπει να επιβεβαιώνουν ότι το περίγραμμα καλύπτει όλα τα στοιχεία που ορίζονται στο άρθρο 8 παράγραφος 4⁵⁴ της οδηγίας AMLD και να τεκμηριώνουν τον τρόπο με τον οποίο το αιτούν πιστωτικό ίδρυμα θα διασφαλίσει ότι μπορεί να μετριάσει και να διαχειριστεί αποτελεσματικά τους κινδύνους νομιμοποίησης εσόδων από παράνομες δραστηριότητες/χρηματοδότησης της τρομοκρατίας στους οποίους εκτίθεται από την ημέρα πρόσβασης στην αγορά.

10.4.6 Λειτουργία εσωτερικής επιθεώρησης

⁵⁴ Προβλέπει τα εξής: «Οι πολιτικές, οι έλεγχοι και οι διαδικασίες που αναφέρονται στην παράγραφο 3 περιλαμβάνουν: (α) τη διαμόρφωση εσωτερικών πολιτικών, ελέγχων και διαδικασιών, όπως υποδείγματα πρακτικών διαχείρισης κινδύνου, δέουσα επιμέλεια ως προς τον πελάτη, υποβολή αναφορών, τήρηση αρχείων, εσωτερικό έλεγχο, διαχείριση της συμμόρφωσης, συμπεριλαμβανομένου, όπου ενδείκνυται λόγω του μεγέθους και της φύσης της δραστηριότητας, του διορισμού υπευθύνου για τον έλεγχο της συμμόρφωσης σε επίπεδο διοίκησης, και έλεγχο της ασφάλειας («screening») των εργαζομένων· (β) όταν ενδείκνυται λόγω του μεγέθους και της φύσης των δραστηριοτήτων, μια ανεξάρτητη υπηρεσία ελέγχου για την εξακρίβωση των εσωτερικών πολιτικών, ελέγχων και διαδικασιών που αναφέρονται στο στοιχείο α)».

Οι αρμόδιες αρχές, λαμβάνοντας υπόψη τα κριτήρια αναλογικότητας που ορίζονται στις παραγράφους 17–21 , θα πρέπει να αξιολογούν την ανεξάρτητη και αποτελεσματική λειτουργία εσωτερικής επιθεώρησης που έχει συσταθεί από το αιτούν πιστωτικό ίδρυμα. Οι αρμόδιες αρχές πρέπει να διαμορφώσουν σαφή άποψη ότι η λειτουργία εσωτερικής επιθεώρησης θα είναι σε θέση, εφαρμόζοντας μια προσέγγιση βάσει κινδύνου, να προβαίνει σε ανεξάρτητη αξιολόγηση και να παρέχει αντικειμενική διαβεβαίωση όσον αφορά τη συμμόρφωση όλων των δραστηριοτήτων και των μονάδων του πιστωτικού ιδρύματος, συμπεριλαμβανομένων των λειτουργιών που αποτελούν αντικείμενο εξωτερικής ανάθεσης, με τις πολιτικές και τις διαδικασίες του ιδρύματος, καθώς και με άλλες εξωτερικές (μη προληπτικές) απαιτήσεις.

Για τον σκοπό αυτό, οι αρμόδιες αρχές θα πρέπει να αξιολογήσουν εάν η λειτουργία εσωτερικής επιθεώρησης προστατεύει την οργανωτική της ανεξαρτησία και την αντικειμενικότητα των εσωτερικών ελεγκτών αναφέροντας άμεσα στο διοικητικό όργανο και διαθέτοντας επαρκείς πόρους για την εκτέλεση των καθηκόντων της. Για τον σκοπό αυτό, θα πρέπει επίσης να διασφαλιστεί ότι η λειτουργία εσωτερικής επιθεώρησης έχει απεριόριστη πρόσβαση σε όλα τα αρχεία, τα έγγραφα, τις πληροφορίες και τα κτίρια του ιδρύματος για την εκτέλεση των καθηκόντων της.

Οι αρμόδιες αρχές θα πρέπει επίσης να αξιολογήσουν εάν στη λειτουργία εσωτερικής επιθεώρησης έχουν ανατεθεί τουλάχιστον τα εξής:

• (α) η καταλληλότητα του πλαισίου εσωτερικού ελέγχου, συμπεριλαμβανομένης της επάρκειας της πολιτικής και των διαδικασιών και της συμμόρφωσης με τις νομικές και κανονιστικές απαιτήσεις·
• (β) η ανάπτυξη σχεδίου εσωτερικής επιθεώρησης τουλάχιστον μία φορά ανά έτος με βάση τους ετήσιους στόχους εσωτερικής επιθεώρησης, το οποίο θα εγκρίνεται από το διοικητικό όργανο·
• (γ) η υποβολή συστάσεων με βάση τα πορίσματα των δραστηριοτήτων της.

Θα πρέπει επίσης να επιβεβαιώνουν ότι το περίγραμμα της μεθοδολογίας και του σχεδίου εσωτερικής επιθεώρησης που καλύπτει τα τρία πρώτα έτη δραστηριότητας, συμπεριλαμβανομένου του ελέγχου των εξωτερικών υπηρεσιών, συνάδουν με την οργανωτική δομή, τους τύπους δραστηριοτήτων και το προφίλ κινδύνου που προκύπτει από το επιχειρηματικό σχέδιο το οποίο αξιολογείται σύμφωνα με την ενότητα 7.

10.4.7 Λειτουργική ανθεκτικότητα και πολιτική και σχέδιο επιχειρησιακής συνέχειας

Τα προσχέδια της πολιτικής και του σχεδίου επιχειρησιακής συνέχειας θα πρέπει να διασφαλίζουν ότι ο αιτών θα έχει ένα σχέδιο χρηστής διαχείρισης της επιχειρησιακής συνέχειας που να διασφαλίζει την ικανότητά του να λειτουργεί σε συνεχή βάση και να περιορίζει τις ζημίες σε περίπτωση σοβαρής διακοπής της επιχειρησιακής λειτουργίας. Θα πρέπει να διασφαλίζει ότι η πολιτική και το σχέδιο επιχειρησιακής συνέχειας περιλαμβάνουν ανάλυση των κύριων κινδύνων διακοπής της επιχειρησιακής λειτουργίας και επισκόπηση των μέτρων μετριασμού και διασφαλίζουν την τακτική δοκιμή του σχεδίου επιχειρησιακής συνέχειας.

10.4.8 Πολιτική και συστήματα ΤΠΕ

Οι αρμόδιες αρχές θα πρέπει να αξιολογήσουν εάν η πολιτική ΤΠΕ θα παρέχει στο πιστωτικό ίδρυμα αξιόπιστα συστήματα πληροφοριών και επικοινωνιών και εάν τα συστήματα ΤΠΕ θα είναι σε θέση να υποστηρίξουν πλήρως τις δυνατότητες συγκέντρωσης δεδομένων για τον κίνδυνο σε κανονικές περιόδους, καθώς και σε περιόδους ακραίων καταστάσεων. Ειδικότερα, οι αρμόδιες αρχές θα πρέπει να αξιολογούν εάν το πιστωτικό ίδρυμα θα είναι τουλάχιστον σε θέση:

• (α) να παράγει ακριβή και αξιόπιστα δεδομένα σχετικά με τους κινδύνους ·
• (β) να αποτυπώνει και να συγκεντρώνει όλα τα σημαντικά δεδομένα σχετικά με τους κινδύνους του ιδρύματος·
• (γ) να παράγει εγκαίρως συγκεντρωτικά και επικαιροποιημένα δεδομένα σχετικά με τους κινδύνους·
• (δ) να παράγει συγκεντρωτικά δεδομένα σχετικά με τους κινδύνους για να ανταποκρίνεται σε ένα ευρύ φάσμα αιτημάτων που υποβάλλονται από το διοικητικό όργανο ή τις αρμόδιες αρχές·
• (ε) να διασφαλίζει τη χρηστή, αξιόπιστη και ασφαλή λειτουργία των συστημάτων πληροφοριών και επικοινωνιών που υποστηρίζουν τις στοχευμένες δραστηριότητες των ιδρυμάτων.

Όσον αφορά τον κίνδυνο ΤΠΕ και ασφάλειας⁵⁵ , οι αρμόδιες αρχές θα πρέπει να βεβαιωθούν ότι το πλαίσιο διαχείρισης θα διασφαλίζει τη χρηστή, αξιόπιστη και ασφαλή λειτουργία των συστημάτων πληροφοριών και επικοινωνιών που υποστηρίζουν τις δραστηριότητες των πιστωτικών ιδρυμάτων, καθώς και την επαρκή πρόληψη, την παρακολούθηση και τον μετριασμό των κινδύνων ΤΠΕ σε κανονικές περιόδους, καθώς και σε περιόδους ακραίων καταστάσεων. Οι αρμόδιες αρχές θα πρέπει να αξιολογούν, ιδίως, τα εξής:

• (α) εάν το διοικητικό όργανο έχει τη συνολική ευθύνη για τον καθορισμό, την έγκριση και την επίβλεψη της εφαρμογής της στρατηγικής ΤΠΕ των χρηματοδοτικών ιδρυμάτων, η οποία θα πρέπει να εναρμονίζεται με τη συνολική επιχειρηματική στρατηγική των χρηματοδοτικών ιδρυμάτων·
• (β) τον σαφή καθορισμό και την κατανομή των βασικών ρόλων και αρμοδιοτήτων και των σχετικών γραμμών αναφοράς, ώστε το πλαίσιο διαχείρισης κινδύνων ΤΠΕ και ασφάλειας να είναι αποτελεσματικό, συμπεριλαμβανομένης της διάθεσης κατάλληλου προϋπολογισμού για την επαρκή υποστήριξη των επιχειρησιακών αναγκών σε θέματα ΤΠΕ και της διαχείρισης κινδύνων ΤΠΕ και ασφάλειας·
• (γ) εάν η διαχείριση και η επίβλεψη των κινδύνων ΤΠΕ και ασφάλειας έχουν ανατεθεί σε ανεξάρτητη και αντικειμενική λειτουργία ελέγχου, η οποία είναι κατάλληλα διαχωρισμένη από τις επιχειρησιακές διαδικασίες ΤΠΕ και δεν είναι υπεύθυνη για οποιαδήποτε εσωτερική επιθεώρησης, καθώς και σε ανεξάρτητη λειτουργία εσωτερικής επιθεώρησης·
• (δ) τις ρυθμίσεις για τη διασφάλιση του εντοπισμού, της δημιουργίας και της διατήρησης επικαιροποιημένης χαρτογράφησης των επιχειρηματικών λειτουργιών, ρόλων και υποστηρικτικών διεργασιών ώστε να προσδιορίζεται η σημασία καθενός και των αλληλεξαρτήσεών τους σε σχέση με τους κινδύνους ΤΠΕ και ασφάλειας·
• (ε) στον βαθμό που οι πληροφορίες διατηρούνται σε συστήματα ΤΠΕ, εάν θα ισχύουν απαιτήσεις για την ασφάλεια των πληροφοριών·
• (στ) την κλίμακα, την πολυπλοκότητα και τη σημασία των αλληλεξαρτήσεων που σχετίζονται με τις ΤΠΕ, εάν προβλέπεται η εξωτερική ανάθεση λειτουργιών των υπηρεσιών ΤΠΕ και οποιασδήποτε δραστηριότητας σχετικής με τα συστήματα ΤΠΕ – μεταξύ άλλων σε οντότητες του ομίλου – ή η χρήση τρίτων μερών σε σχέση με τις εν λόγω λειτουργίες και δραστηριότητες.

⁵⁵ Όπως ορίζεται στις κατευθυντήριες γραμμές της ΕΑΤ για τη διαχείριση κινδύνων ασφάλειας ΤΠΕ , «Κίνδυνος ΤΠΕ και ασφάλειας» σημαίνει: «Κίνδυνος ζημίας λόγω παραβίασης της εμπιστευτικότητας, αστοχίας της ακεραιότητας συστημάτων και δεδομένων, ακαταλληλότητας ή μη διαθεσιμότητας συστημάτων και δεδομένων, ή αδυναμίας αλλαγής τεχνολογίας πληροφοριών (ΤΠ) εντός εύλογου χρονικού διαστήματος και με εύλογο κόστος όταν οι απαιτήσεις του περιβάλλοντος ή των επιχειρηματικών δραστηριοτήτων μεταβάλλονται (δηλ. ευελιξία). Στο πλαίσιο αυτό περιλαμβάνονται κίνδυνοι ασφάλειας που προκύπτουν λόγω ανεπάρκειας ή αστοχίας εσωτερικών διεργασιών ή εξωτερικών συμβάντων, μεταξύ των οποίων περιλαμβάνονται και οι επιθέσεις στον κυβερνοχώρο ή η ανεπαρκής υλική ασφάλεια».