22 Fonction d’audit interne

La FAI devrait déterminer si le cadre de contrôle interne de l’établissement, tel qu’énoncé à la section 15, est effectif et efficace. La FAI devrait notamment évaluer:

• a. l’adéquation du cadre de gouvernance de l’établissement ;
• b. le fait pour les politiques et procédures existantes de rester ou non adéquates et de respecter ou non les exigences juridiques et réglementaires, ainsi que la stratégie en matière de risque et l’appétit pour le risque de l’établissement ;
• c. la conformité des procédures aux lois et réglementations applicables et aux décisions de l’organe de direction ;
• d. la mise en œuvre appropriée et efficace, ou non, des procédures (par exemple la conformité des transactions, le niveau de risque réellement subi etc.) ; et
• e. l’adéquation, la qualité et l’efficacité des contrôles réalisés et les rapports rendus par les unités opérationnelles de la première ligne de défense et les fonctions de gestion des risques et de vérification de la conformité.

La FAI devrait en particulier vérifier l’intégrité des processus garantissant la fiabilité des méthodes et techniques de l’établissement, ainsi que des hypothèses et des sources d’information utilisées pour ses modèles internes (par exemple la modélisation des risques et les mesures comptables). Elle devrait également évaluer la qualité et l’utilisation des outils qualitatifs de détection et d’évaluation des risques et les mesures prises pour atténuer les risques.

La FAI devrait avoir libre accès, à l’échelle de l’établissement, à tous les dossiers, documents, informations et immeubles de l’établissement. Cela devrait inclure l’accès aux systèmes de gestion de l’information et aux procès-verbaux de tous les comités et organes de prise de décisions.

La FAI devrait respecter les normes professionnelles nationales et internationales. Les normes professionnelles susmentionnées sont, par exemple, celles établies par l’Institut des auditeurs internes.

Le travail d’audit interne devrait être réalisé conformément à un plan d’audit et à un programme d’audit détaillé, suivant une approche fondée sur les risques.

Un plan d’audit interne devrait être établi au moins une fois par an en fonction des objectifs de contrôle de l’audit interne annuel. Le plan d’audit interne devrait être approuvé par l’organe de direction.

Toutes les recommandations relatives à l’audit devraient être soumises à une procédure de suivi formelle aux niveaux hiérarchiques appropriés, afin de garantir leur mise en œuvre effective et en temps utile et afin de rendre des comptes à ce sujet.

Les établissements devraient mettre en place un plan de gestion saine de la continuité de leurs activités et de reprise des activités, afin de garantir leur capacité à fonctionner sans interruption et à limiter les pertes en cas de perturbation grave de leurs activités.