5.5. Funzioni di controllo interno

Nel valutare le funzioni di controllo interno dell’ente, le autorità competenti dovrebbero valutare la conformità dell’ente agli orientamenti dell’ABE sulla governance interna e alle disposizioni pertinenti del regolamento (UE) 2022/2554 (DORA) (²¹ ). In tale contesto, le autorità competenti dovrebbero valutare, tra l’altro, se:

• a. l’ente disponga di un adeguato sistema di controllo interno che copre tutti i settori, in linea con il modello delle «tre linee di difesa», comprese funzioni di gestione dei rischi, di conformità e di audit interno ben funzionanti, efficaci e indipendenti;
• b. i responsabili delle funzioni di controllo interno i) siano stabiliti a un livello gerarchico adeguato che fornisce loro l’autorità e la levatura appropriate e necessarie per adempiere alle loro responsabilità, ii) abbiano accesso diretto e possano riferire direttamente all’organo di amministrazione nella sua funzione di vigilanza e iii) dispongano di tutte le risorse necessarie per svolgere i loro compiti;
• c. l’ente disponga di adeguate politiche di controllo interno scritte ed efficacemente attuate, nonché di una chiara ripartizione delle responsabilità per l’attuazione del quadro, della separazione dei compiti, di solide procedure amministrative e contabili e di modalità di segnalazione ben strutturate.

(²¹ ) DORA: regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, relativo alla resilienza operativa digitale per il settore finanziario e che modifica i regolamenti (CE) n. 1060/2009, (UE) n. 648/2012, (UE) n. 600/2014, (UE) n. 909/2014 e (UE) 2016/1011 (GU L 333 del 27.12.2022, pag. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

Le autorità competenti dovrebbero valutare se la funzione di gestione dei rischi copra l’intero ente, abbia una visione olistica di tutti i rischi, sia attivamente coinvolta sin dalle prime fasi nell’elaborazione della strategia in materia di rischi dell’ente e ne monitori l’efficace attuazione. Le autorità competenti dovrebbero inoltre stabilire se la funzione di gestione dei rischi fornisca all’organo di amministrazione informazioni complete, aggiornate e pertinenti relative ai rischi per consentire di stabilire il livello di propensione al rischio dell’ente e i relativi limiti di rischio. Le autorità competenti dovrebbero inoltre considerare la valutazione della funzione di gestione dei rischi circa la solidità e la sostenibilità della strategia in materia di rischi e della propensione al rischio, nonché il suo coinvolgimento nella valutazione dell’impatto di modifiche sostanziali o di transazioni eccezionali sul rischio complessivo dell’ente e del gruppo (ove applicabile).

Le autorità competenti dovrebbero valutare se la funzione di conformità valuti e attenui efficacemente i rischi di conformità derivanti dalla non conformità con i requisiti giuridici e normativi applicabili, gli obblighi contrattuali o le norme e i codici di condotta interni, comprese le norme etiche, e garantisca che tutte le decisioni rilevanti in materia di gestione dei rischi tengano adeguatamente conto di tali rischi.

Le autorità competenti dovrebbero valutare se la funzione di audit interno esamini in modo indipendente e fornisca una oggettiva garanzia, in conformità del piano di audit e del programma di lavoro dettagliato, sull’adeguatezza e sull’efficacia delle politiche, delle procedure e dei controlli interni dell’ente, nonché sulla conformità di tutte le attività dell’ente, comprese le attività svolte da fornitori terzi di servizi, ai requisiti giuridici e normativi. Ove applicabile, le autorità competenti dovrebbero valutare se la funzione di audit interno a livello di gruppo sia indipendente, abbia un piano di audit basato sul rischio a livello di gruppo, disponga di risorse e levatura adeguati e risponda direttamente all’organo di amministrazione dell’ente consolidante.