+5.5. Belsőkontroll-funkciók
---+85. In assessing the institution’s internal control functions, competent authorities should assess …
---+86. Competent authorities should assess whether the risk management function covers the whole …
---+87. Competent authorities should assess whether the compliance function effectively assesses and …
---+88. Competent authorities should assess whether the internal audit function independently reviews …

5.5. Belsőkontroll-funkciók

85.Az intézmény belsőkontroll-funkcióinak értékelése során az illetékes hatóságoknak meg kell vizsgálniuk, hogy a pénzintézet betartja-e az EBA belső irányításról szóló iránymutatásait, valamint az (EU) 2022/2554 rendelet (DORA-rendelet) vonatkozó rendelkezéseit²¹ . Ebben az összefüggésben az illetékes hatóságoknak többek között a következőket kell mérlegelniük:

a. az intézmény megfelelő, minden területet lefedő belsőkontroll-keretrendszerrel rendelkezik-e, amely összhangban áll a három védelmi vonalra épülő modellel, valamint jól működő, eredményes és független kockázatkezelési, megfelelési és belső ellenőrzési funkciókat foglal magában;
b. a belsőkontroll-funkciók vezetői i. a szervezeti hierarchia azon szintjén kerülnek-e kinevezésre, amely biztosítja számukra a feladataik ellátásához szükséges megfelelő hatáskört és tekintélyt, ii. közvetlen kapcsolatban állnak-e az irányítási funkciót ellátó vezető testülettel, és közvetlenül annak számolnak-e be, valamint iii. rendelkeznek-e a feladataik ellátásához szükséges valamennyi erőforrással;
c. az intézmény rendelkezik-e megfelelő, írásban rögzített, hatékonyan alkalmazott belsőkontroll-szabályzatokkal, továbbá egyértelműen meghatározta-e a keretrendszer végrehajtásával kapcsolatos felelősségi köröket, a feladatkörök szétválasztását, valamint a megbízható adminisztratív és számviteli eljárásokat, illetve a szilárd jelentéstételi szabályokat.

86.Az illetékes hatóságoknak értékelniük kell, hogy a kockázatkezelési funkció a teljes intézményt lefedi-e, átfogó képet ad-e az összes kockázatról, aktívan részt vesz-e már a korai szakaszban az intézmény kockázati stratégiájának kidolgozásában, és figyelemmel kíséri-e annak hatékony végrehajtását. Az illetékes hatóságoknak azt is meg kell állapítaniuk, hogy a kockázatkezelési funkció teljes körű, naprakész és releváns kockázati információkat nyújt-e a vezető testületnek, amelyek alapján meg lehet állapítani az intézmény kockázatvállalási hajlandósági szintjét és a kapcsolódó kockázati határértékeket. Az illetékes hatóságoknak figyelembe kell venniük továbbá a kockázatkezelési funkció által a kockázati stratégiáról és kockázatvállalási hajlandóságról készített, azok stabilitását és fenntarthatóságát értékelő elemzést, valamint azt is, hogy a funkció milyen mértékben vesz részt a lényeges változások vagy rendkívüli tranzakciók által az intézmény és – adott esetben – a csoport átfogó kockázatára gyakorolt hatás értékelésében.

87.Az illetékes hatóságoknak értékelniük kell, hogy a megfelelési funkció hatékonyan felméri és csökkenti-e az alkalmazandó jogi és szabályozási követelmények, a szerződéses kötelezettségek, illetve a belső szabályok és magatartási kódexek – köztük az etikai szabályok – be nem tartásából eredő megfelelési kockázatokat, és biztosítja-e, hogy minden lényeges kockázatkezelési döntés megfelelően figyelembe vegye ezeket a kockázatokat.

88.Az illetékes hatóságoknak értékelniük kell, hogy a belső ellenőrzési funkció az ellenőrzési tervvel és a részletes munkaprogrammal összhangban független felülvizsgálatot végez-e, és objektív biztosítékot nyújt-e az intézmény szabályzatainak, eljárásainak és belső kontrollmechanizmusainak megfelelőségéről és hatékonyságáról, valamint arról, hogy az intézmény valamennyi tevékenysége – a harmadik fél szolgáltatók által végzett tevékenységeket is beleértve – megfelel-e a jogi és szabályozási követelményeknek. Az illetékes hatóságoknak adott esetben értékelniük kell, hogy a csoportszintű belső ellenőrzési funkció független-e, rendelkezik-e csoportszintű kockázatalapú ellenőrzési tervvel, a megfelelő erőforrásokkal és mérettel, valamint közvetlen jelentéstételi kapcsolatban áll-e a konszolidáló intézmény vezető testületével.

²¹ Az Európai Parlament és a Tanács (EU) 2022/2554 rendelete (2022. december 14.) a pénzügyi ágazat digitális működési rezilienciájáról, valamint az 1060/2009/EK, a 648/2012/EU, a 600/2014/EU, a 909/2014/EU és az (EU) 2016/1011 rendelet módosításáról (HL L 333., 2022.12.27., 1. o., ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

1. Áttekintés

Megnevezés	Szabályozás
85. In assessing the institution’s internal control functions, competent authorities should assess …	In assessing the institution’s internal control functions, competent authorities should assess institution’s compliance with the EBA Guidelines on Internal Governance and the relevant provisions of the Regulation (EU) 2022/2554 (DORA)³⁰ . In this context, competent authorities should consider inter alia whether: a. the institution has an appropriate internal control framework covering all areas, consistent with the ‘three lines of defence’ model, including well -functioning, effective and independent risk management, compliance and internal audit functions; b. the heads of internal control functions (i) are established at an adequate hierarchical level that provides them with the appropriate authority and stature needed to fulfil their responsibilities, (ii) have direct access and can report directly to the management body in its supervisory function, and (iii) have all the resources necessary to perform their tasks; c. the institution has adequate written internal control policies effectively implemented and a clear allocation of responsibilities for the implementation of the framework, segregation of duties, sound administrative and accounting procedures and robust reporting arrangements. ³⁰ DORA - Regulation (EU) No 2022/2554 of the European Parliament and of the Council of 14 December 2022 on digital operational resilience for the financial sector and amending Regulations (EC) No 1060/2009, (EU)No 648/2012, (EU) No 600/2014, (EU) No 909/2014 and (EU) 2016/1011 (OJ L 333, 27.12.2022, p.1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).
86. Competent authorities should assess whether the risk management function covers the whole …	Competent authorities should assess whether the risk management function covers the whole institution, having a holistic view of all risks, is actively involved at an early stage in elaborating the institution’s risk strategy and monitors its effective implementation. Competent authorities should also determine whether the risk management function provides the management body with complete, updated and relevant risk-related information to enable setting the institution’s risk appetite level and related risk limits. Competent authorities should also consider the risk management function’s assessment of the robustness and sustainability of the risk strategy and appetite as well as its involvement in the evaluation of the impact of material changes or exceptional transactions on the institution’s and group’s (where applicable) overall risk.
87. Competent authorities should assess whether the compliance function effectively assesses and …	Competent authorities should assess whether the compliance function effectively assesses and mitigates compliance risks arising from non-compliance with applicable legal and regulatory requirements, contractual obligations or internal rules and codes of conduct, including rules on ethics, and ensures that all material risk management decisions adequately take into account these risks.
88. Competent authorities should assess whether the internal audit function independently reviews …	Competent authorities should assess whether the internal audit function independently reviews and provides objective assurance, in accordance with the audit plan and detailed work programme, on the appropriateness and effectiveness of the institution’s policies, procedures and internal controls and on the compliance of all the institution’s activities, including activities provided by third-party service providers, with legal and regulatory requirements. Where applicable, competent authorities should assess whether the group-wide internal audit function is independent, has a group-wide risk-based audit plan, has appropriate resources and stature and has a direct reporting line to the management body of the consolidating institution.

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabványok

2. Azonosított követelmények

Követelmények
Forrás	Követelmény

3. Kapcsolódó szabványok

Szabványok
Forrás	Követelmény

EBA -
EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.