5.5. Funciones de control interno

Al evaluar las funciones de control interno de la entidad, las autoridades competentes examinarán el cumplimiento por parte de la entidad de las Directrices de la ABE sobre gobierno interno y de las disposiciones pertinentes del Reglamento (UE) 2022/2554 (Reglamento DORA o Reglamento de Resiliencia Operativa Digital)²¹ . En este contexto, las autoridades competentes considerarán, entre otros aspectos, si:

• a. la entidad cuenta con un marco de control interno adecuado que abarca todas las áreas, en consonancia con el modelo de «tres líneas de defensa», e incluye funciones de gestión de riesgos, de cumplimiento normativo y de auditoría interna que funcionan correctamente y son eficaces e independientes;
• b. los responsables de las funciones de control interno: i) están establecidos en un nivel jerárquico adecuado que les proporciona la autoridad y el rango necesarios para cumplir sus responsabilidades; ii) disponen de acceso directo al órgano de administración en su función de supervisión y le pueden rendir cuentas directamente; y iii) disponen de todos los recursos necesarios para desempeñar sus funciones;
• c. la entidad cuenta con políticas de control interno adecuadas, redactadas por escrito y aplicadas de manera eficaz, así como con una asignación clara de responsabilidades para la aplicación del marco, una segregación de funciones, procedimientos administrativos y contables adecuados y un sistema de comunicación riguroso.

²¹ Reglamento (UE) 2022/2554 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, sobre la resiliencia operativa digital del sector financiero y por el que se modifican los Reglamentos (CE) n.° 1060/2009, (UE) n.° 648/2012, (UE) n.° 600/2014, (UE) n.° 909/2014 y (UE) 2016/1011 (DO L 333 de 27.12.2022, p. 1; ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

Las autoridades competentes evaluarán si la función de gestión de riesgos abarca la totalidad de la entidad, tiene una visión global de todos los riesgos, participa activamente desde una fase temprana en la elaboración de la estrategia de riesgo de la entidad y realiza un seguimiento de su aplicación efectiva. Asimismo determinarán si la función de gestión de riesgos proporciona al órgano de administración información completa, actualizada y pertinente sobre los riesgos, que permite establecer el nivel de apetito de riesgo de la entidad y los límites de riesgo correspondientes. Las autoridades competentes considerarán también la evaluación que realiza la función de gestión de riesgos sobre la solidez y sostenibilidad de la estrategia y el apetito de riesgo, así como su participación en la evaluación del impacto que tienen los cambios significativos o las operaciones excepcionales en el riesgo global de la entidad y del grupo (cuando proceda).

Las autoridades competentes evaluarán si la función de cumplimiento evalúa y mitiga de manera eficaz los riesgos de cumplimiento derivados del incumplimiento de los requerimientos legales y regulatorios aplicables, las obligaciones contractuales o las normas internas y los códigos de conducta (incluidas las normas éticas) y si garantiza que todas las decisiones importantes en materia de gestión de riesgos tengan debidamente en cuenta dichos riesgos.

Las autoridades competentes evaluarán si la función de auditoría interna examina de forma independiente y proporciona certeza objetiva, de conformidad con el plan de auditoría y el programa de trabajo detallado, de la idoneidad y la eficacia de las políticas, los procedimientos y los controles internos de la entidad, así como de que todas las actividades de la entidad, incluidas las realizadas por proveedores terceros de servicios, cumplen los requerimientos legales y regulatorios . Cuando proceda, las autoridades competentes evaluarán si la función de auditoría interna a nivel de grupo es independiente, cuenta con un plan de auditoría basado en el riesgo a nivel de grupo, con los recursos y el rango adecuados, y tiene una línea de comunicación directa con órgano de administración de la entidad en base consolidada.