16. Función de auditoría interna

Cuando se haya establecido, la función de auditoría interna (FAI) debería ser independiente y tener suficiente autoridad, rango y recursos. En concreto, los emisores de fichas referenciadas a activos deberían asegurarse de que la cualificación del personal de la FAI y los recursos de esta función, en particular sus herramientas de auditoría y métodos de análisis de los riesgos, sean adecuados al tamaño y el emplazamiento del emisor de fichas referenciadas a activos, así como a la naturaleza, escala y complejidad de los riesgos asociados al modelo de negocio, las actividades, la cultura de riesgos y el apetito de riesgo del emisor de fichas referenciadas a activos.

La FAI debería ser independiente de las actividades auditadas. Por tanto, la FAI no debería combinarse con ninguna otra función.

Utilizando un enfoque basado en el riesgo, la FAI debería verificar de forma independiente y proporcionar una certeza objetiva de que todas las actividades y unidades de un emisor de fichas referenciadas a activos, incluido el uso de entidades terceras, cumplen con las políticas y los procedimientos del emisor de fichas referenciadas a activos y con los requisitos regulatorios externos.

La FAI no debería involucrarse en el diseño, selección, establecimiento o aplicación de políticas, mecanismos y procedimientos específicos de control interno o límites de riesgo. Sin embargo, esto no debería impedir que el órgano de dirección en su función de dirección solicite información a la función de auditoría interna sobre cuestiones relacionadas con el riesgo, los controles internos y el cumplimiento de las normas aplicables.

La FAI debería evaluar si el marco de control interno del emisor de fichas referenciadas a activos, como se establece en el título V, es eficaz y eficiente. En particular, la FAI debería evaluar:

• a. la adecuación del marco de gobernanza del emisor de fichas referenciadas a activos;
• b. si las políticas y procedimientos existentes siguen siendo apropiados y se adecúan a los requisitos legales y regulatorios, y a la estrategia de riesgo y el apetito de riesgo del emisor de fichas referenciadas a activos;
• c. la adecuación de los procedimientos a las leyes y normativas aplicables y a las decisiones del órgano de dirección;
• d. si los procedimientos se aplican de manera correcta y eficaz (p. ej., conformidad de las operaciones, el nivel de riesgo efectivamente incurrido, etc.), y
• e. la adecuación, calidad y efectividad de los controles realizados y de la información presentada por las unidades de negocio (primera línea de defensa) y por las funciones de gestión de riesgos y de cumplimiento normativo.

La FAI debería verificar, en particular, la integridad de los procesos que garantizan la fiabilidad de los métodos y las técnicas de cuantificación del riesgo del emisor de fichas referenciadas a activos, incluidos los modelos. Debería evaluar asimismo la calidad y la utilización de herramientas cualitativas de identificación y evaluación de los riesgos, y las medidas de mitigación de riesgos adoptadas.

La FAI debería revisar la adecuación de los procesos de elaboración de libros blancos, su aprobación y los procesos de oferta pública de fichas referenciadas a activos.

La FAI debería tener acceso sin restricciones a todos los registros, documentos, información y edificios del emisor de fichas referenciadas a activos. Esto debería incluir el acceso a los sistemas de información de gestión y a las actas de todos los comités y los órganos de decisión.

La FAI debería adherirse a los estándares profesionales nacionales e internacionales. Un ejemplo de estándares profesionales a los que se hace referencia en este apartado son las normas establecidas por el Instituto de Auditores Internos.

Los trabajos de auditoría interna deberían llevarse a cabo regularmente con arreglo a un plan de auditoría y un programa de auditoría detallado siguiendo un enfoque basado en el riesgo.

Debería elaborase un plan de auditoría interna al menos una vez al año basándose en los objetivos anuales de control de la auditoría interna. El plan de auditoría interna debería ser aprobado por el órgano de dirección.

Todas las recomendaciones de auditoría deberían someterse a un procedimiento formal de seguimiento por parte de los niveles de dirección adecuados, comunicarse al órgano de dirección del emisor de fichas referenciadas a activos y ponerse a disposición de la autoridad competente para garantizar e informar de su resolución eficaz y oportuna.