5.5. Sisäisen valvonnan toiminnot

Arvioidessaan luottolaitoksen sisäisen valvonnan toimintoja toimivaltaisten viranomaisten tulisi arvioida, noudattaako luottolaitos hallintoa ja ohjausta koskevia EPV:n ohjeita sekä asetuksen (EU) 2022/2554 (DORA-asetus) asiaankuuluvia säännöksiä²¹ . Tässä yhteydessä toimivaltaisten viranomaisten tulisi arvioida muun muassa sitä,

• a. onko laitoksella asianmukainen, kaikki toiminta-alueet kattava sisäisen valvonnan kehys, jossa noudatetaan ”kolmen puolustuslinjan” mallia ja johon kuuluvat hyvin toimivat, tehokkaat ja riippumattomat riskienhallinnan, sääntöjen noudattamisen valvonnan ja sisäisen tarkastuksen toiminnot
• b. onko sisäisten valvontatoimintojen johtajat i) sijoitettu riittävän korkealle hierarkiatasolle, joka tarjoaa heille velvollisuuksien täyttämiseen tarvittavan asianmukaisen toimivallan ja painoarvon, ii) onko heillä suora yhteys valvontatehtäväänsä hoitavaan ylimpään hallintoelimeen ja voivatko he raportoida suoraan sille ja iii) onko heillä kaikki tehtäviensä suorittamiseen tarvittavat resurssit
• c. onko laitoksella käytössä asianmukaiset kirjalliset sisäisen valvonnan toimintaperiaatteet, jotka on toimeenpantu tehokkaasti, sekä selkeä vastuunjako sisäisen valvonnan puitteiden toteuttamisessa, tehtävien eriyttäminen, luotettavat hallinto- ja kirjanpitomenettelyt sekä vankat raportointijärjestelyt.

²¹ DORA-asetus – Euroopan parlamentin ja neuvoston asetus (EU) 2022/2554, annettu 14 päivänä joulukuuta 2022, finanssialan digitaalisesta häiriönsietokyvystä ja asetusten (EY) N:o 1060/2009, (EU) N:o 648/2012, (EU) N:o 600/2014, (EU) N:o 909/2014 ja (EU) 2016/1011 muuttamisesta (EUVL L 333, 27.12.2022, s. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

Toimivaltaisten viranomaisten tulisi arvioida, kattaako riskienhallintatoiminto koko laitoksen toiminnot, onko sillä kokonaisvaltainen näkemys kaikista riskeistä, osallistuuko se aktiivisesti jo varhaisessa vaiheessa laitoksen riskistrategian laatimiseen ja valvooko se sen tehokasta täytäntöönpanoa. Toimivaltaisten viranomaisten tulisi myös selvittää, tarjoaako riskienhallintatoiminto ylimmälle hallintoelimelle riskeistä kattavaa, ajantasaista ja olennaista tietoa, jonka perusteella voidaan määrittää laitoksen riskinottohalun taso ja siihen liittyvät riskirajat. Toimivaltaisten viranomaisten tulisi myös ottaa huomioon riskienhallintatoiminnon arvio riskistrategian ja riskinottohalun vakaudesta ja kestävyydestä sekä sen osallistuminen arviointiin siitä, miten merkittävät muutokset tai poikkeukselliset liiketoimet vaikuttavat laitoksen ja (soveltuvin osin) konsernin kokonaisriskiin.

Toimivaltaisten viranomaisten tulisi arvioida, arvioiko ja vähentääkö säännösten noudattamista valvova toiminto tehokkaasti säännösten noudattamiseen liittyviä riskejä, jotka johtuvat sovellettavien lainsäädäntö- ja sääntelyvaatimusten, sopimusvelvoitteiden tai sisäisten sääntöjen ja käytännesääntöjen, myös eettisten käytännesääntöjen, noudattamatta jättämisestä, ja varmistaako se, että kyseiset riskit otetaan asianmukaisesti huomioon kaikissa olennaisissa riskienhallintapäätöksissä.

Toimivaltaisten viranomaisten tulisi arvioida, tarkasteleeko ja varmentaako sisäisen tarkastuksen toiminto objektiivisesti sille vahvistetun tarkastussuunnitelman ja yksityiskohtaisemman työsuunnitelman mukaisella tavalla ja riippumattomasti sitä, ovatko laitoksen toimintaperiaatteet, menettelytavat ja sisäiset valvontamenetelmät asianmukaisia ja tehokkaita, sekä sitä, ovatko kaikki laitoksen toiminnot – myös palveluntarjoajina olevien kolmansien osapuolten suorittamat toiminnot – lakien ja säännösten mukaisia. Toimivaltaisten viranomaisten tulisi soveltuvin osin arvioida, onko konsernin laajuinen sisäisen tarkastuksen toiminto riippumaton, onko laadittu konsernin laajuinen riskiperusteinen tarkastussuunnitelma, ovatko sen resurssit ja organisatorinen painoarvo riittäviä ja onko konsolidoidun laitoksen ylimpään hallintoelimeen olemassa suora raportointiyhteys.