5.5. Sisekontrolli funktsioonid

Finantsinstitutsiooni sisekontrolli funktsioonide hindamisel peaksid pädevad asutused hindama, kas finantsinstitutsioon järgib EBA suuniseid sisejuhtimise kohta ja määruse (EL) 2022/2554 (digitaalse tegevuskerksuse määrus)²¹ asjakohaseid sätteid. Sellega seoses peaksid pädevad asutused muu hulgas kaaluma, kas:

• a. finantsinstitutsioonil on olemas asjakohane sisekontrolliraamistik, mis hõlmab kõiki valdkondi ning on kooskõlas „kolme kaitseliini“ mudeliga, sealhulgas hästitoimivad, tõhusad ja sõltumatud riskijuhtimise, nõuetele vastavuse ning siseauditi funktsioonid;
• b. sisekontrolli funktsioonide juhid i) on määratud asjakohasel hierarhilisel tasandil, mis tagab neile nende kohustuste täitmiseks vajaliku pädevuse ja positsiooni, ii) omavad otsest juurdepääsu juhtorganile ja saavad anda aru otse juhtorganile selle järelevalvefunktsiooni raames ning iii) omavad kõiki oma ülesannete täitmiseks vajalikke ressursse;
• c. finantsinstitutsioonil on piisavad kirjalikud sisekontrollipõhimõtted, mida rakendatakse tõhusalt, ning raamistiku rakendamise osas on selgelt jaotatud vastutus, ülesanded on selgelt eraldatud, haldus- ja raamatupidamisprotseduurid on usaldusväärsed ning aruandluskord on kindel.

²¹ Euroopa Parlamendi ja nõukogu 14. detsembri 2022. aasta määrus (EL) 2022/2554, mis käsitleb finantssektori digitaalset tegevuskerksust ning millega muudetakse määrusi (EÜ) nr 1060/2009, (EL) nr 648/2012, (EL) nr 600/2014, (EL) nr 909/2014 ja (EL) 2016/1011 (ELT L 333, 27.12.2022, lk 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

Pädevad asutused peaksid hindama, kas riskijuhtimise funktsioon hõlmab kogu finantsinstitutsiooni, pakub terviklikku ülevaadet kõigist riskidest, osaleb aktiivselt finantsinstitutsiooni riskistrateegia väljatöötamise varases etapis ja jälgib selle tõhusat rakendamist. Pädevad asutused peaksid samuti kindlaks tegema, kas riskijuhtimise funktsioon annab juhtorganile täielikku, ajakohastatud ja asjakohast riskiteavet, mis võimaldab määrata kindlaks finantsinstitutsiooni riskivalmiduse taseme ja sellega seotud riskilimiidid. Pädevad asutused peaksid arvestama ka riskijuhtimise funktsiooni hinnangut riskistrateegia ja -valmiduse usaldusväärsuse ning kestlikkuse kohta ning selle kaasamist oluliste muudatuste või erandlike tehingute mõju hindamisse finantsinstitutsiooni ja konsolideerimisgrupi (kui see on asjakohane) üldriskile.

Pädevad asutused peaksid hindama, kas vastavuskontrolli funktsioon hindab ja maandab tulemuslikult vastavusriske, mis tulenevad kohaldatavate õiguslike ja regulatiivsete nõuete, lepinguliste kohustuste või sise-eeskirjade ja käitumisjuhendite, sealhulgas eetikanormide täitmata jätmisest, ning tagab, et kõigis olulistes riskijuhtimisotsustes võetakse neid riske piisavalt arvesse.

Pädevad asutused peaksid hindama, kas siseauditi funktsioon vaatab sõltumatult läbi ning annab kooskõlas auditikava ja üksikasjaliku tööprogrammiga objektiivse kindluse finantsinstitutsiooni põhimõtete, menetluste ja sisekontrolli asjakohasuse ning tõhususe kohta ning finantsinstitutsiooni kogu tegevuste, sealhulgas kolmandast isikust teenuseosutajate tegevuse vastavuse kohta õiguslikele ja regulatiivsetele nõuetele. Kui asjakohane, peaksid pädevad asutused hindama, kas kontserniülene siseauditi funktsioon on sõltumatu, kas sellel on kontserniülene riskipõhine auditikava, asjakohased vahendid ja staatus ning kas sellel on otsene aruandlusliin konsolideeriva finantsinstitutsiooni juhtorganile.