5.5. Vidaus kontrolės funkcijos

Vertindamos įstaigos vidaus kontrolės funkcijas, kompetentingos institucijos turėtų vertinti, kaip įstaiga laikosi EBI vidaus valdymo gairių ir atitinkamų Reglamento (ES) 2022/2554 (SVAA)²¹ nuostatų. Atsižvelgiant į tai, kompetentingos institucijos turėtų, be kita ko, vertinti, ar:

• a. įstaiga turi tinkamą visas sritis apimančią vidaus kontrolės sistemą, atitinkančią „trijų gynybos linijų“ modelį, įskaitant tinkamai vykdomas, veiksmingas ir nepriklausomas rizikos valdymo, atitikties užtikrinimo ir vidaus audito funkcijas;
• b. vidaus kontrolės funkcijų vadovai i) skiriami tinkamu hierarchiniu lygiu, kuriuo jiems užtikrinami atitinkami įgaliojimai ir autoritetas, reikalingas jų pareigoms vykdyti, ii) turi tiesioginę prieigą prie valdymo organo, atliekančio priežiūros funkciją, ir gali jam tiesiogiai atsiskaityti, bei iii) turi visus užduočių vykdymui būtinus išteklius;
• c. įstaiga yra nustačiusi tinkamą rašytinę vidaus kontrolės politiką ir aiškiai paskirsto sistemos įgyvendinimo pareigas, atskiria pareigas, taiko patikimas administracines ir apskaitos procedūras ir patikimą ataskaitų teikimo tvarką.

²¹ SVAA – 2022 m. gruodžio 14 d. Europos Parlamento ir Tarybos reglamentas (ES) 2022/2554 dėl skaitmeninės veiklos atsparumo finansų sektoriuje, kuriuo iš dalies keičiami reglamentai (EB) Nr. 1060/2009, (ES) Nr. 648/2012, (ES) Nr. 600/2014, (ES) Nr. 909/2014 ir (ES) 2016/1011, (OL L 333, 2022 12 27, p. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

Kompetentingos institucijos turėtų vertinti, ar rizikos valdymo funkcija veikla apima visą įstaigą, ar susidaromas išsamus vaizdas apie visą riziką, aktyviai dalyvaujama rengiant įstaigos rizikos strategiją nuo pat pradžių ir stebima, kaip ji veiksmingai įgyvendinama. Kompetentingos institucijos taip pat turėtų nustatyti, ar rizikos valdymo funkcijas vykdantys darbuotojai suteikia valdymo organui išsamią, atnaujintą ir svarbią su rizika susijusią informaciją, kad jis galėtų nustatyti įstaigos norimos prisiimti rizikos lygį ir susijusias rizikos ribas. Kompetentingos institucijos taip pat turėtų atsižvelgti į rizikos valdymo funkciją vykdančių darbuotojų atliktą rizikos strategijos ir norimos prisiimti rizikos patikimumo ir tvarumo vertinimą ir jų dalyvavimą vertinant reikšmingų pokyčių arba išimtinių sandorių poveikį įstaigos ir grupės bendrai rizikai (jei taikytina).

Kompetentingos institucijos turėtų įvertinti, ar atitikties užtikrinimo funkciją vykdantys darbuotojai veiksmingai vertina ir mažina atitikties rizikas, kylančias dėl taikomų teisinių ir reguliavimo reikalavimų, sutartinių įsipareigojimų arba vidaus taisyklių ir elgesio kodeksų, įskaitant etikos taisykles, nesilaikymo, bei užtikrina, kad priimant visus svarbius rizikos valdymo sprendimus į šias rizikas būtų tinkamai atsižvelgiama.

Kompetentingos institucijos turėtų įvertinti, ar vidaus audito funkciją vykdantys darbuotojai nepriklausomai peržiūri įstaigos politikos, procedūrų ir vidaus kontrolės priemonių tinkamumą bei veiksmingumą ir ar visa įstaigos veikla, įskaitant trečiųjų šalių paslaugų teikėjų vykdomą veiklą, atitinka teisinius ir reguliavimo reikalavimus, ir pateikia objektyvų patikinimą pagal audito planą ir išsamią darbo programą. Kai taikytina, kompetentingos institucijos turėtų vertinti, ar visos grupės vidaus audito funkcija yra nepriklausoma, ar ji turi visos grupės rizika pagrįstą audito planą, tinkamus išteklius ir svarbą, taip pat ar funkcijai priskirta tiesioginė ataskaitų teikimo konsoliduojančiosios įstaigos valdymo organui linija.