5.5. Interne kontrolne funkcije

Pri procjeni internih kontrolnih funkcija institucije, nadležna tijela trebaju procijeniti usklađenost institucije sa Smjernicama EBA-e o internom upravljanju i relevantnim odredbama Uredbe (EU) 2022/2554 (DORA)²¹ . U tom kontekstu nadležna tijela trebala bi, među ostalim, razmotriti sljedeće:

• a. ima li institucija primjeren okvir interne kontrole koji obuhvaća sva područja, u skladu s modelom „tri linije obrane”, uključujući dobro funkcioniranje, učinkovito i neovisno upravljanje rizicima, funkciju praćenja usklađenosti i funkciju unutarnje revizije;
• b. osobe odgovorne za rad kontrolnih funkcija i. postavljene su na odgovarajuću hijerarhijsku razinu koja im pruža odgovarajuće ovlasti i uporište za izvršavanje svojih odgovornosti; ii. imaju izravan pristup i mogu izravno izvještavati upravljačko tijelo u nadzornoj funkciji i iii. imaju sve resurse potrebne za izvršavanje svojih zadaća;
• c. ima li institucija odgovarajuće pisane politike interne kontrole koje se učinkovito provode i jasnu raspodjelu odgovornosti za provedbu okvira, razdvajanje dužnosti, dobre administrativne i računovodstvene postupke te pouzdane mehanizme izvještavanja.

²¹ DORA – Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća od 14. prosinca 2022. o digitalnoj operativnoj otpornosti za financijski sektor i izmjeni uredbi (EZ) br. 1060/2009, (EU) br. 648/2012, (EU) br. 600/2014, (EU) br. 909/2014 i (EU) 2016/1011 (SL L 333, 27.12.2022., str. 1., ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

Nadležna tijela trebaju procijeniti pokriva li funkcija upravljanja rizicima cijelu instituciju, ima li holistički pogled na sve rizike, je li aktivno uključena u ranoj fazi izrade strategije institucije za upravljanje rizicima i nadzire li njezinu učinkovitu provedbu. Nadležna tijela također bi trebala utvrditi pruža li funkcija upravljanja rizicima upravljačkom tijelu potpune, ažurirane i relevantne informacije o rizicima kako bi se omogućilo određivanje razine sklonosti riziku institucije i pripadajućih granica rizika. Nadležna tijela također trebaju razmotriti procjenu pouzdanosti i održivosti strategije i sklonosti preuzimanju rizika funkcije upravljanja rizicima, kao i njezino sudjelovanje u procjeni utjecaja značajnih promjena ili izvanrednih transakcija na (ako je primjenjivo) ukupni rizik institucije i grupe.

Nadležna tijela trebaju procijeniti učinkovitost funkcije praćenja usklađenosti u procjenjivanju i ublažavanju rizika u pogledu usklađenosti koji proizlaze iz nepoštivanja primjenjivih zakonskih i regulatornih zahtjeva, ugovornih obveza ili internih pravila i kodeksa ponašanja, uključujući pravila o etici, te osigurati da sve odluke o upravljanju značajnim rizicima adekvatno uzimaju u obzir te rizike.

Nadležna tijela trebaju procijeniti provodi li funkcija interne revizije neovisno provjere i pruža li objektivna jamstva, u skladu s planom revizije i detaljnim radnim programom, o prikladnosti i učinkovitosti politika, postupaka i internih kontrola institucije te o usklađenosti svih aktivnosti institucije, uključujući aktivnosti koje pružaju pružatelji usluga trećih strana, s pravnim i regulatornim zahtjevima. Ako je primjenjivo, nadležna tijela trebaju procijeniti je li funkcija interne revizije na razini grupe neovisna, ima li plan revizije na razini grupe koji se temelji na rizicima, ima li odgovarajuće resurse i status te postoji li izravna linija izvještavanja upravljačkom tijelu konsolidirajuće institucije.