21 Función de cumplimiento

Las entidades deberían establecer una función de auditoría interna (FAI) independiente y eficaz, teniendo en cuenta los criterios de proporcionalidad establecidos en el título I, y nombrar a una persona responsable de esta función en toda la entidad. La FAI debería ser independiente y tener la autoridad, el rango y los recursos adecuados. En concreto, la entidad debería asegurarse de que la cualificación del personal de la FAI y los recursos de esta función, en particular sus herramientas de auditoría y métodos de análisis de los riesgos, sean adecuados al tamaño y el emplazamiento de la entidad, así como a la naturaleza, escala y complejidad de los riesgos asociados al modelo de negocio, las actividades, la cultura de riesgos y el apetito de riesgo de la entidad.

La FAI debería ser independiente de las actividades auditadas. Por tanto, la FAI no debería combinarse con ninguna otra función.

Utilizando un enfoque basado en el riesgo, la FAI debería verificar de forma independiente y proporcionar una certeza objetiva de que todas las actividades y unidades de una entidad, incluidas las actividades externalizadas, cumplen con las políticas y los procedimientos de la entidad y con los requisitos regulatorios. Todas las entidades del grupo estarán incluidas en el ámbito de competencias de la FAI.

La FAI no debería involucrarse en el diseño, selección, establecimiento y aplicación de políticas, mecanismos y procedimientos específicos de control interno y límites de riesgo. Sin embargo, esto no debería impedir que el órgano de dirección en su función de dirección solicite información a la función de auditoría interna sobre cuestiones relacionadas con el riesgo, los controles internos y el cumplimiento de las normas aplicables.