20 Sisäisen tarkastuksen toiminto

Mahdollisen sisäisen tarkastuksen toiminnon tulee olla riippumaton, ja sillä tulee olla riittävä toimivalta, painoarvo ja resurssit. Erityisesti sijoituspalveluyritysten tulee varmistaa, että sisäisen tarkastuksen toiminnon henkilöstön jäsenten pätevyys ja sisäisen tarkastuksen toiminnon resurssit, varsinkin sen tarkastusvälineet ja riskianalyysimenetelmät, vastaavat sijoituspalveluyrityksen kokoa ja sijaintipaikkoja sekä sijoituspalveluyrityksen liiketoimintamalliin, toimintaan, riskikulttuuriin ja riskinottohaluun liittyvien riskien luonnetta, laajuutta ja monimuotoisuutta.

Sisäisen tarkastuksen toiminnon tulee olla tarkastetuista toimista riippumaton. Sisäisen tarkastuksen toimintoa ei siten tule yhdistää mihinkään toiseen toimintoon.

Sisäisen tarkastuksen toiminnon tulee riskinoton määrään suhteutettua lähestymistapaa noudattaen arvioida riippumattomasti sijoituspalveluyrityksen kaikkien toimien ja yksiköiden, myös ulkoistettujen toimien, osalta, miten ne noudattavat sijoituspalveluyrityksen käytäntöjä ja menettelyjä sekä ulkoisia sääntelyvaatimuksia, ja antaa siitä objektiivinen varmistus. Kaikkien konsernin yksiköiden tulee kuulua sisäisen tarkastuksen toiminnon soveltamisalaan.

Sisäisen tarkastuksen toiminnon ei tule olla osallisena erityisten sisäisen valvonnan käytäntöjen, mekanismien, menettelyiden tai riskirajojen suunnittelussa, valinnassa, laadinnassa tai täytäntöönpanossa. Tämän ei tulisi kuitenkaan estää johtotehtäväänsä hoitavaa ylintä hallintoelintä pyytämästä sisäisen tarkastuksen toiminnon näkemystä riskeihin, sisäiseen valvontaan ja sovellettavien sääntöjen noudattamiseen liittyvissä kysymyksissä.

Sisäisen tarkastuksen toiminnon tulee arvioida, onko sijoituspalveluyrityksen 15 jaksossa määritelty sisäisen valvonnan järjestelmä vaikuttava ja tehokas. Sisäisen tarkastuksen toiminnon tulee erityisesti arvioida

• a. sijoituspalveluyrityksen hallintojärjestelmän asianmukaisuutta;
• b. ovatko olemassa olevat käytännöt ja menettelyt edelleen riittäviä ja lakisääteisten vaatimusten ja sääntelyvaatimusten sekä sijoituspalveluyrityksen riskistrategian ja riskinottohalun mukaisia;
• c. ovatko menettelyt sovellettavien lakien ja säännösten sekä ylimmän hallintoelimen päätösten mukaisia;
• d. onko menettelyt pantu täytäntöön oikein ja tehokkaasti (esim. liiketoimien säännöstenmukaisuus, tosiasiallisesti muodostuvan riskin taso jne.); ja
• e. liiketoimintayksiköiden (ensimmäinen puolustuslinja) sekä riskienhallintatoiminnon ja säännösten noudattamista valvovan toiminnon valvonnan ja raportoinnin riittävyyttä, laatua ja vaikuttavuutta.

Sisäisen tarkastuksen toiminnon on todennettava erityisesti sijoituspalveluyrityksen sisäisissä malleissa käytettyjen menetelmien ja tekniikoiden, oletusten ja tietolähteiden (esim. riskimallinnus ja tilinpäätöstietojen mittaaminen) luotettavuuden varmistamisessa sovellettavien prosessien koskemattomuus. Sen on arvioitava myös laadullisten riskientunnistus- ja riskienarviointivälineiden laatua ja käyttöä sekä suoritettuja riskienlievennystoimenpiteitä.

Sisäisen tarkastuksen toiminnolla tulee olla esteetön sijoituspalveluyrityksen laajuinen pääsy kaikkiin yrityksen tallenteisiin, asiakirjoihin, tietoihin ja rakennuksiin. Tämä sisältää pääsyn johdon tietojärjestelmiin ja kaikkien komiteoiden ja päätöksentekoelinten pöytäkirjoihin.

Sisäisen tarkastuksen toiminnon tulee noudattaa alan kansallisia ja kansainvälisiä standardeja. Tässä viitataan esimerkiksi sisäisten tarkastajien järjestön (Institute of Internal Auditors) laatimiin kansainvälisiin ammattistandardeihin.

Sisäistä tarkastustoimintaa on toteutettava tarkastussuunnitelman ja yksityiskohtaisen tarkastusohjelman mukaisesti noudattaen riskiperusteista lähestymistapaa.

Sisäinen tarkastussuunnitelma tulee laatia vähintään kerran vuodessa vuosittaisten sisäisen tarkastuksen valvontatavoitteiden perusteella. Ylimmän hallintoelimen tulee hyväksyä sisäinen tarkastussuunnitelma.

Kaikki tarkastuksen perusteella tehtävät suositukset on asetettava viralliseen seurantaan asianomaisilla hallintotasoilla, jotta voidaan varmistaa niiden tehokas ja oikea-aikainen täytäntöönpano ja siitä raportointi.