22 Siseauditi funktsioon

Krediidiasutused ja investeerimisühingud peaksid looma sõltumatu ja tõhusa siseauditi funktsiooni, võttes arvesse I jaotises sätestatud proportsionaalsuse kriteeriumeid, ning nimetama ametisse kogu krediidiasutuses või investeerimisühingus selle funktsiooni eest vastutava isiku. Siseauditi funktsioon peaks olema sõltumatu ning tal peaks olema piisavalt võimu, kaalu ja vahendeid. Eeskätt peaks krediidiasutus või investeerimisühing tagama, et siseauditi funktsiooni täitvate töötajate kvalifikatsioon ja funktsiooni ressursid (eeskätt auditeerimisvahendid ja riskianalüüsimeetodid) oleksid proportsionaalsed krediidiasutuse või investeerimisühingu suuruse ja tegevuskohtadega ning selle ärimudeli, tegevuse, riskikultuuri ja riskiisuga seotud riskide olemuse, mastaabi ja keerukusega.

Siseauditi funktsioon peaks olema sõltumatu auditeeritavatest tegevustest. Seetõttu ei tohiks siseauditi funktsiooni kombineerida ühegi teise funktsiooniga.

Siseauditi funktsioon peaks riskipõhist lähenemisviisi rakendades erapooletult hindama krediidiasutuse või investeerimisühingu kõigi tegevuste ja üksuste (sh edasiantavate tegevuste) vastavust nii krediidiasutuse või investeerimisühingu põhimõtetele ja menetlustele kui ka õigusaktidega sätestatud nõuetele ning seda objektiivselt kinnitama. Siseauditifunktsioon peaks hõlmama konsolideerimisgrupi kõiki üksusi.

Siseauditi funktsioon ei tohiks olla seotud konkreetsete sisekontrolli põhimõtete, mehhanismide ja menetluste ega riskilimiitide kujundamise, valimise, kehtestamise ning rakendamisega. Seejuures peaks juhtimisfunktsiooni täitev juhtorgan siiski saama pöörduda siseauditi funktsiooni poole riski, sisekontrolli ja nõuetele vastavusega seotud küsimustes.

Siseauditi funktsioon peaks hindama, kas jaos 15 täpsustatud krediidiasutuse või investeerimisühingu sisekontrolli raamistik on tõhus ja toimiv. Eriti peaks siseauditi funktsioon hindama alljärgnevat:

• a. krediidiasutuse või investeerimisühingu juhtimisraamistiku sobivus;
• b. kas olemasolevad põhimõtted ja menetlused on jätkuvalt adekvaatsed ning vastavuses nii seadustest tulenevate ja regulatiivsete nõuetega kui ka krediidiasutuse või investeerimisühingu riskistrateegia ja riskiisuga;
• c. kas menetlused on kooskõlas kohaldatavate õigusaktide ja eeskirjadega ning juhtorgani otsustega;
• d. kas menetlusi rakendatakse õigesti ja efektiivselt (nt tehingute nõuetele vastavus, riskitaseme tõhus haldamine jne); ja
• e. kas kaitsefunktsiooni täitvate äriüksuste ning vastavuskontrolli funktsiooni ja riskijuhtimise funktsiooni tehtud kontrollid ja aruandlus on adekvaatsed, kvaliteetsed ja mõjusad.

Siseauditi funktsioon peaks eelkõige kontrollima krediidiasutuse või investeerimisühingu meetodite ja tehnikate usaldusväärsust tagavate protsesside ning sisemudelites kasutatavate eelduste ja andmeallikate (nt riskimodelleerimise ja raamatupidamise andmete) terviklikkust. Lisaks tuleks hinnata kvalitatiivsete riskituvastuse ja -hindamise vahendite ning võetud riskimaandusmeetmete kvaliteeti ja kasutamist.

Siseauditi funktsioonil peaks olema asutuseülene vaba juurdepääs kõigile aruannetele, dokumentidele, teabele ning krediidiasutuse või investeerimisühingu hoonetele. See peaks hõlmama ligipääsu juhtkonna infosüsteemidele ning kõigi komiteede ja otsuseid tegevate organite protokollidele.

Siseauditi funktsioon peaks järgima riiklikke ja rahvusvahelisi kutsestandardeid. Siin viidatud kutsestandardite näidete hulka kuuluvad Siseaudiitorite Instituudi kehtestatud standardid.

Siseaudit tuleks teha kooskõlas auditi kava ja üksikasjaliku auditi programmiga, järgides riskipõhist lähenemisviisi.

Siseauditi kava tuleks koostada vähemalt üks kord aastas iga-aastase siseauditi kontrolleesmärkide alusel. Siseauditi kava peaks kinnitama juhtorgan.

Kõigile auditi soovitustele tuleks kohaldada juhtkonna asjakohastel tasanditel ametlikku järelkontrolli, et tagada soovituste tõhus ja õigeaegne järgimine ning vastav aruandlus.