9.4 Okvir unutarnje kontrole

Nadležna tijela trebaju procijeniti je li kreditna institucija koja podnosi zahtjev uspostavila odgovarajući okvir unutarnje kontrole razmjeran predviđenim djelatnostima, poslovnom modelu, složenosti i povezanim rizicima kreditne institucije (npr. upisivanje klijenata putem inter neta, mjere i mehanizmi kibersigurnosti). Nadležna tijela trebaju se uvjeriti u prikladnost dodijeljenih ljudskih resursa u smislu broja iskazanog kao ekvivalent punog radnog vremena (FTE) i kvalifikacija, primjerenost sustava i proračunskih sredstava za podršku obavljanju zadaća.

Nadležna tijela trebaju pregledati dokumente u sklopu zahtjeva i uvjeriti se da će raspodjela zadaća i odgovornosti upravljačkom tijelu omogućiti da u potpunosti poznaje strukturu kreditne institucije⁴⁹ te da će upravljačko tijelo „osigurati neovisnost kontrolnih funkcija u odnosu na poslovne linije koje nadziru, uključujući prikladno razgraničavanje dužnosti, kao i odgovarajuće financijske i ljudske resurse te ovlasti koji su im potrebni za učinkovito obavljanje njihovih zadaća. Linije izvješćivanja i raspodjela odgovornosti, posebno među nositeljima ključnih funkcija, u instituciji trebaju biti jasne, dobro definirane, dosljedne, izvršive i propisno dokumentirane”⁵⁰ .

⁴⁹ Točka 71. EBA- inih Smjernica o internom upravljanju.

⁵⁰ Točka 68. EBA- inih Smjernica o internom upravljanju.

Nadležna tijela trebaju se uvjeriti da okvir unutarnje kontrole obuhvaća sva područja institucije i da odražava model „tri crte obrane” za identifikaciju funkcija za suočavanje s rizicima i upravljanje njima.

U tu svrhu nadležna tijela trebaju provjeriti jesu li uspostavljeni mehanizmi kojima se jamči da će poslovne jedinice i jedinice podrške, kao prva crta obrane, biti prve jedinice odgovorne za utvrđivanje rizika i upravljanje rizicima koji nastaju u okviru obavljanja njihovih djelatnosti te za uspostavljanje i održavanje prikladnih procesa i nadzora kojima se jamči da se takvi rizici analiziraju, mjere, prate, da se o njima izvješćuje i da ostaju unutar ograničenja sklonosti preuzimanju rizika kreditne institucije te da su u skladu s unutarnjim i vanjskih regulatornim zahtjevima.

Funkcija upravljanja rizicima i funkcija praćenja usklađenosti, druga crta obrane, zajedno s funkcijom unutarnje revizije, koja predstavlja treću crtu obrane, čine kontrolne funkcije unutar okvira unutarnje kontrole. Nadležna tijela trebaju se uvjeriti da će te funkcije biti uspostavljene, uzimajući u obzir kriterije proporcionalnosti utvrđene točkama 17. – 21 ., te da će im biti dodijeljene primjerene i dostatne ovlasti, uporište i izravan pristup upravljačkom tijelu za izvršavanje njihovih funkcija.

Kako bi zajamčila da kontrolne funkcije ispunjavaju zahtjeve neovisnosti⁵¹ , nadležna tijela na temelju dokumenata u sklopu zahtjeva trebaju provjeriti je li predviđeno sljedeće:

• (a) njihovi radni ci ne smiju obavljati operativne zadaće unutar opsega aktivnosti koje kontrolne funkcije trebaju pratiti i nadzirati;
• (b) organizacijski su odvojene od aktivnosti koje trebaju pratiti i nadzirati;
• (c) ne dovodeći u pitanje cjelokupnu odgovornost članova upravljačkog tijela institucije, osoba odgovorna za rad kontrolne funkcije ne smije biti podređena osobi koja je odgovorna za upravljanje aktivnostima koje kontrolna funkcija prati i nadzire;
• (d) primitci radnika kontrolnih funkcija ne smiju biti povezani s rezultatima aktivnosti koje kontrolna funkcija prati i nadzire te ne smije biti vjerojatno da će na neki drugi način ugroziti njihovu objektivnost.

⁵¹ Vidjeti točku 175. EBA- inih Smjernica o internom upravljanju.

Nadležna tijela trebaju provjeriti ispunjavaju li osobe odgovorne za rad unutarnjih kontrolnih funkcija sljedeće zahtjeve:

• a) bit će uspostavljene na odgovarajućoj hijerarhijskoj razini kako bi se osobi odgovornoj za rad kontrolne funkcije osigurale dostatne ovlasti i uporište za izvršavanje njezinih odgovornosti;
• b) bit će neovisne od poslovnih linija ili jedinica koje nadziru;
• c) izvješćivat će upravljačko tijelo i izravno mu odgovarati, a upravljačko tijelo treba provjeravati rezultate njihova rada;
• d) ako je to potrebno, imat će pristup i upravljačkom tijelu u nadzornoj funkciji i izravno ga izvješćivati kako bi iskazale zabrinutost i upozorile nadzornu funkciju, gdje je potrebno, o određenim događajima koji utječu ili bi mogli utjecati na instituciju.

Kako bi zajamčila da se funkcije unutarnje kontrole mogu učinkovito obavljati, nadležna tijela trebaju se uvjeriti da su im dodijeljeni dostatni proračunski i ljudski resursi s prikladnim kvalifikacija s obzirom na vrstu ciljanih djelatnosti, te da raspolažu odgovarajućim sustavom IKT - a i podrškom.

9.4.2 Funkcija upravljanja rizicima

Nadležna tijela trebaju se uvjeriti da će, u sklopu okvira unutarnje kontrole, kreditna institucija imati holistički okvir upravljanja rizicima na razini kreditne institucije kojim se u potpunosti prepoznaje gospodarska priroda cjelokupne izloženosti rizicima kreditne institucije.

Nadležna tijela trebaju se uvjeriti da će funkcija upravljanja rizicima olakšavati provedbu dobrog okvira upravljanja rizicima u svim dijelovima institucije te da njezina uloga unutar kreditne institucije obuhvaća njezino sudjelovanje u: (a) strategiji upravljanja rizicima i odlukama o rizicima; (b) ocjenjivanju značajnih promjena; (c) utvrđivanju, mjerenju, procjeni, smanjenju i praćenju rizika te upravljanju i izvješćivanju o njima; (d) procjeni kršenja sklonosti preuzimanju rizika ili prekoračenja ograničenja rizika te davanju preporuka o mogućim ispravcima. U tu svrhu nadležna tijela također trebaju pregledati i procijeniti strategiju upravljanja takvim rizicima, uključujući izjavu o toleranciji rizika i sklonosti preuzimanju rizika te mjere za usklađivanje procijenjenog rizika sa sklonošću preuzimanju rizika.

Što se tiče uloge funkcije upravljanja rizicima u izradi strategije upravljanja rizicima i donošenju odluka o rizicima, svrha pregleda nadležnih tijela treba biti provjera toga je li zahtjevom predviđeno aktivno uključivanje funkcije upravljanja rizicima u ranoj fazi u razradu strategije upravljanja rizicima kreditne institucije, u postupak osiguranja da kreditna institucija ima uspostavljene učinkovite postupke upravljanja rizicima te u pružanje upravljačkom tijelu svih bi tnih informacija koje će mu omogućiti određivanje razine sklonosti institucije preuzimanju rizika. Nadležna tijela trebaju zajamčiti da je predviđeno da će funkcija upravljanja rizicima procijeniti robusnost i održivost strategije upravljanja rizicima i sklonosti preuzimanju rizika te da je sklonost preuzimanju rizika na odgovarajući način pretočena u specifična ograničenja rizika, uključujući na razini poslovnih jedinica, te da je funkcija upravljanja rizicima uključena prije nego što upravljačko tijelo donese odluku o strategijama upravljanja rizicima.

U pogledu uloge funkcije upravljanja rizicima u ocjenjivanju značajnih promjena, nadležna tijela trebaju provjeriti je li njezino sudjelovanje predviđeno prije donošenja odluka o izvanrednim transakcijama kako bi ta funkcija procijenila učinak takvih promjena i izvanrednih transakcija na cjelokupan rizik kreditne institucije te izravno izvijestila upravljačko tijelo o svojim nalazima prije nego što se donese odluka.

Što se tiče uloge funkcije upravljanja rizicima u utvrđivanju, mjerenju, procjeni, smanjenju i praćenju rizika i povezanih koncentracija rizika koje treba odobriti upravljačko tijelo te izvješćivanju o njima, nadležna tijela trebaju se uvjeriti da su uspostavljene politike i procedure te da će funkcija upravljanja rizikom imati pristup svim poslovnim linijama i drugim unutarnjim jedinicama koje bi mogle stvoriti rizik.

Uloga funkcije upravljanja rizicima također treba obuhvaćati neovisnu procjenu kršenja sklonosti preuzimanju rizika ili prekoračenja ograničenja rizika (uključujući utvrđivanje uzroka te provedbu pravne i ekonomske analize stvarnog troška zatvaranja, smanjenja ili zaštite od izloženosti u odnosu na potencijalni trošak njezina zadržavanja). Treba biti predviđeno da će funkcija upravljanja rizicima obavijestiti predmetne poslovne jedinice i upravljačko tijelo te preporučiti moguće ispravke. U tu svrhu treba imati mogućnost izravnog izvješćivanja upravljačkog tijela u nadzornoj funkciji kada je kršenje značajno, ne dovodeći u pitanje obvez u funkcije upravljanja rizicima da izvješćuje druge unutarnje funkcije i odbore.

9.4.3 Politika primitaka

U pogledu politike primitaka, osim procjene usklađenosti sa zahtjevima rodne neutralnosti u skladu s člankom 92. stavkom 2. točkom (aa) Direktive o kapitalnim zahtjevima, nadležna tijela osobito trebaju provjeriti jesu li odredbe politike o članovima osoblja čije profesionalne djelatnosti imaju značajan utjecaj na profil rizičnosti kreditne institucije⁵² u skladu s člankom 94. Direktive o kapitalnim zahtjevim a te EBA-inim Smjernicama o politici primitaka .

⁵² Podneseno u skladu s Regulatornim tehničkim standardima o informacijama za izdavanje odobrenja za rad.

Osobito trebaju provjeriti sljedeće: (a) je li politika primitaka u skladu s predviđenom sklonosti institucije preuzimanju rizika, njezinom poslovnom strategijom i dugoročnim interesima te je li predviđeno da će je održavati, odobriti i nadzirati upravljačko tijelo; (b) je li njome predviđeno da će članovi osoblja koji imaju značajan utjecaj na profil rizičnosti institucije biti prikladno identificirani u skladu s člankom 92. stavkom 3. te člankom 94. stavkom 3. Direktive

• o kapitalnim zahtjevima; (c) jesu li njome predviđeni posebni zahtjevi u pogledu primitaka za te članove osoblja, među ostalim: i. omjer varijabilnih i fiksnih primitaka u skladu s člankom 94. stavkom 1. točkom (g) Direktive o kapitalnim zahtjevima te ii. isplata u instrumentima, mehanizmi odgode uključujući malus ili povrat primitaka u skladu s člankom 94. stavkom 1. točkama (l), (m) i (n) Direktive o kapitalnim zahtjevima⁵³ .

9.4.4 Funkcija praćenja usklađenosti

⁵³ Osobito u pogledu odstupanja predviđenih člankom 94. stavcima 3. i 4. Direktive o kapitalnim zahtjevima.

Nadležna tijela trebaju provjeriti je li predviđeno da će funkcija praćenja usklađenosti upravljati rizikom u području usklađenosti, da će savjetovati upravljačko tijelo o mjerama koje se moraju poduzeti kako bi se osigurala usklađenost s primjenjivim zakonima, pravilima, propisi ma i standardima te da će, pod nadzorom upravljačkog tijela, provoditi politike i postupke upravljanja rizicima u pogledu usklađenosti te osiguranja usklađenosti. Nadležna tijela trebaju provjeriti je li funkcija praćenja usklađenosti primjerena s obzirom na vrste i zemljopisnu raspodjelu djelatnosti (npr. usklađenost s primjenjivim nacionalnim pravom različitih jurisdikcija u slučaju djelatnosti koje se obavljaju prekogranično), rizike i složenost u skladu s poslovnim modelom i procjenu poslovnog plana provedenu u skladu s odjeljkom 7. ovih smjernica.

Funkcija praćenja usklađenosti treba osigurati provedbu praćenja usklađenosti u okviru strukturiranog i dobro utvrđenog programa praćenja usklađenosti te treba osigurati pridržavanje politike usklađenosti. Također treba biti predviđeno da će funkcija praćenja usklađenosti i funkcija upravljanja rizicima surađivati i razmjenjivati informacije kako bi mogle izvršiti svoje zadaće.

Nadležna tijela također trebaju provjeriti hoće li funkcija praćenja usklađenosti, u bliskoj suradnji s funkcijom upravljanja rizicima i jedinicom za pravne poslove, provjeravati jesu li novi proizvodi i novi postupci u skladu s važećim pravnim okvirom i, kad je to prikladno, sa svim poznatim predstojećim izmjenama zakonodavstva, propisa i nadzornih zahtjeva.

Nadležna tijela trebaju provjeriti je li uspostavljanje funkcije praćenja usklađenosti s posebnim propisima i internim politikama u području SPNFT - a predviđeno u okviru funkcije praćenja usklađenosti ili odvojeno od nje.

9.4.5 Politika sprj ečavanja pranja novca i financiranja terorizma (SPNFT)

Nadležna tijela trebaju provjeriti sadrži li politika sprječavanja pranja novca i financiranja terorizma (SPNFT), koju je kreditna institucija koja podnosi zahtjev dostavila u skladu s člankom 5. stavk om 1. točkom (c) podtočkom iii. Regulatornih tehničkih standarda o informacijama za izdavanje odobrenja za rad , pregled ključnih politika i postupaka, kako je utvrđeno člankom 8. stavkom 3. Direktive o sprječavanju pranja novca, koji će biti uspostavljeni u svrhu suzbijanja rizika od pranja novca i financiranja terorizma. U tu svrhu nadležna tijela uzimaju u obzir kriterije proporcionalnosti utvrđene u točkama 17. – 21.

Nadležna tijela trebaju provjeriti jesu li nacrtom politike obuhvaćeni svi elementi utvrđeni u članku 8. stavku 4.⁵⁴ Direktive o sprječavanju pranja novca i je li objašnjeno kako će kreditna institucija koja podnosi zahtjev zajamčiti da može ublažavati i učinkovito upravljati rizicima od pranja novca i financiranja terorizma kojima će biti izložena od dana pristupanja tržištu.

9.4.6 Funkcija unutarnje revizije

⁵⁴ Članak 8. stavak 4. glasi kako slijedi: „Politike, kontrole i postupci iz stavka 3. uključuju: (a) razvoj unutarnjih politika, kontrola i postupaka, uključujući modele praksi upravljanja rizikom, dubinsku analizu stranke, izvješćivanje, vođenje evidencije, unutarnju kontrolu, upravljanje usklađenošću, uključujući, kada je primjereno veličini i prirodi posla, imenovanje službenika za usklađenost na upravljačkoj razini, i provjeru zaposlenika; (b) ako je prikladno s obzirom na veličinu i prirodu posla, neovisnu revizorsku funkciju za testiranje unutarnjih politika, kontrola i postupaka iz točke (a)”.

Uzimajući u obzir kriterije proporcionalnosti utvrđene u točkama 17. – 21 ., nadležna tijela trebaju procijeniti neovisnu i učinkovitu funkciju unutarnje revizije koju je uspostavila kreditna institucija koja podnosi zahtjev. Nadležna tijela trebaju se uvjeriti da će funkcija unutarnje revizije, primjenom pristupa koji se temelji na procjeni rizika, obavljati neovisnu provjeru i izraziti objektivno uvjerenje o usklađenosti svih aktivnosti i jedinica kreditne institucije, u ključujući eksternaliziranih aktivnosti, s politikama i postupcima institucije te drugim vanjskim (nebonitetnim) zahtjevima.

U tu svrhu nadležna tijela trebaju procijeniti ima li funkcija unutarnje revizije organizacijsku neovisnost te je li nepristranost unutarnjih revizora zaštićena izravnim izvješćivanjem upravljačkog tijela te odgovarajućim sredstvima za obavljanje zadaća. U tu svrhu također treba zajamčiti da funkcija unutarnje revizije ima neometan pristup svim evidencijama, dokumentima, informacijama i objektima cijele institucije kako bi mogla obavljati svoju funkciju.

Nadležna tijela također trebaju provjeriti jesu li funkciji unutarnje revizije povjerene barem sljedeće zadaće:

• (a) primjerenost okvira unutarnje kontrole, uključujući prikladnost politike i postupaka te usklađenost s pravnim i regulatornim zahtjevima;
• (b) izrada plana revizije barem jedanput godišnje na temelju godišnjih ciljeva unutarnje revizije i kontrole, koji treba odobriti upravljačko tijelo;
• (c) davanje preporuka na temelju nalaza u okviru obavljanja djelatnosti.

Također trebaju provjeriti jesu li metodologija i plan unutarnje revizije za prve tri godine obavljanja djelatnosti, uključujući reviziju eksternaliziranih usluga, u skladu s organizacijskom strukturom, vrstama djelatnosti i profilom rizičnosti koji proizlaze iz poslovnog plana procijenjenog u skladu s odjeljkom 7.

9.4.7 Operativna otpornost te politika i plan za kontinuitet poslovanja

Nacrtom politike i plana za kontinuitet poslovanja treba biti zajamčeno da će podnositelj zahtjeva imati dobar plan upravljanja kontinuitetom poslovanja kako bi se zajamčila njegova sposobnost neprekidnog poslovanja i ograničenja gubitaka u slučaju ozbiljnog prekida poslovanja. Treba biti zajamčeno da politika i plan za kontinuitet poslovanja obuhvaćaju analizu glavnih rizika od prekida poslovanja te pregled mjera ublažavanja rizika, kao i redovito testiranje plana za kontinuitet poslovanja.

9.4.8 Politika i sustavi IKT -a

Nadležna tijela trebaju procijeniti hoće li politika IKT - a kreditnoj instituciji pružiti pouzdane informacijske i komunikacijske sustave te podržavaju li ti sustavi u potpunosti sposobnosti objedinjavanja podataka o rizicima u normalnim uvjetima poslovanja kao i u vrijeme stresa. Nadležna tijela osobito trebaju procijeniti je li kreditna institucija sposobna barem:

• (a) generirati točne i pouzdane podatke o rizicima;
• (b) identificirati i objediniti sve podatke o značajnim rizicima u cijeloj instituciji;
• (c) pravovremeno generirati objedinjene i ažurne podatke o rizicima;
• (d) generirati objedinjene podatke o rizicima kako bi ispunila širok raspon zahtjeva na traženje upravljačkog tijela ili nadležnih tijela;
• (e) zajamčiti dobro, pouzdano i sigurno funkcioniranje informacijskih i komunikacijskih sustava koji podržavaju ciljane djelatnosti institucija.

Što se tiče rizika informacijske i komunikacijske tehnologije i sigurnosnih rizika⁵⁵ , nadležna tijela trebaju se uvjeriti da će okvirom upravljanja biti zajamčeno dobro, pouzdano i sigurno funkcioniranje informacijskih i komunikacijskih sustava koji podržavaju djelatnosti kreditnih institucija, kao i primjereno sprječavanje, praćenje i ublažavanje rizika IKT - a u normalnim uvjetima poslovanja kao i u vrijeme stresa. Nadležna tijela osobito trebaju procijeniti sljedeće:

• (a) je li upravljačko tijelo općenito odgovorno za uspostavu, odobravanje i nadzor provedbe strategije IKT - a financijske institucije, koja treba biti usklađena s cjelokupnom poslovnom strategijom financijske institucije;
• (b) jasnu definiciju i dodjelu ključnih uloga i odgovornosti te relevantnih linija izvješćivanja, kako bi okvir za upravljanje rizicima IKT - a i sigurnosnim rizicima bio učinkovit, uključujući dodjelu primjerenog proračuna za prikladno podržavanje operativnih potreba IKT -a te upravljanje rizicima IKT - a i sigurnosnim rizicima;
• (c) jesu li upravljanje i nadzor nad rizicima IKT - a i sigurnosnim rizicima povjereni neovisnoj i nepristranoj kontrolnoj funkciji, koja je na primjeren način odvojena od operativnih procesa IKT - a i nije odgovorna za unutarnje revizije, te neovisnoj funkciji unutarnje revizije;
• (d) mehanizme za osiguranje utvrđivanja, uspostave i redovitog održavanja ažuriranih mapiranja poslovnih funkcija, uloga i procesa za podršku kako bi se njihova utvrdila pojedinačna važnost i njihova međuovisnost povezana s rizicima IKT -a i sigurnosnim rizicima;
• (e) u mjeri u kojoj se informacije drže u sustavima IKT - a, hoće li biti uspostavljeni zahtjevi za informacijsku sigurnost;
• (f) razmjer, složenost i važnost ovisnosti povezanih s IKT - om, ako je predviđena eksternalizacija operativnih funkcija usluga IKT - a i bilo koja djelatnost sustava IKT - a, uključujući subjektima unutar grupe, ili uporaba trećih strana u pogledu takvih funkcija i djelatnosti.

⁵⁵ Kako je definirano u EBA -inim Smjernicama o upravljanju rizicima IKT - a i sigurnosnim rizici ma , „Rizik IKT -a i sigurnosni rizik” znači: „Rizik gubitaka uslijed povrede povjerljivosti, gubitka integriteta sustava i podataka, neprikladnosti ili nedostupnosti sustava i podataka ili nemogućnosti promjene informacijskih tehnologija (IT -a) unutar razumnog roka i uz razumne troškove u slučaju promjene zahtjeva okruženja ili poslovanja (to jest prilagodljivosti). To obuhvaća sigurnosne rizike koji proizlaze iz neadekvatnih ili neuspješnih internih postupaka ili vanjskih događaja, uključujući kibernapade ili neadekvatnu fizičku sigurnost”.