9.4 Internal control framework

Kompetentingos institucijos turėtų įvertinti, ar prašymą pateikusi kredito įstaiga turi tinkamą vidaus kontrolės sistemą, atitinkančią numatomą kredito įstaigos veiklą, verslo modelį, sudėtingumą ir susijusią riziką (pvz., klientų registravimas internetu, kibernetinio saugumo apsauga ir priemonės). Kompetentingos institucijos turėtų įsitikinti skirtų žmogiškųjų išteklių pakankamumu tiek pagal visos darbo dienos ekvivalentų skaičių, tiek pagal kvalifikaciją, sistemų ir biudžeto tinkamumu užduotims vykdyti.

Kompetentingos institucijos turėtų peržiūrėti prašymo dokumentus ir įsitikinti, kad užduočių ir atsakomybės sričių paskirstymas leis valdymo organui visapusiškai žinoti savo kredito įstaigos struktūrą⁴⁹ ir „užtikrinti, kad vidaus kontrolės funkcijų vykdytojai būtų nepriklausomi nuo jų kontroliuojamų verslo linijų, įskaitant tai, kad pareigos būtų tinkamai atskirtos ir kad jie turėtų pakankamus finansinius ir žmogiškuosius išteklius ir įgaliojimus veiksmingai savo vaidmeniui atlikti. Atskaitomybės ryšiai ir atsakomybės pasiskirstymas, visų pirma tarp pagrindines funkcijas atliekančių asmenų, įstaigoje turėtų būti aiškūs, gerai apibrėžti, nuoseklūs, įmanomi ir tinkamai įforminami dokumentais“.⁵⁰

⁴⁹ EBI vidaus valdymo gairių 71 punktas.

⁵⁰ EBI vidaus valdymo gairių 68 punktas.

Kompetentingos institucijos turėtų aiškiai suprasti, kad vidaus kontrolės sistema apima visas įstaigos sritis ir atspindi tris gynybos modelio linijas, skirtas rizikos mažinimo ir valdymo funkcijoms nustatyti.

Šiuo tikslu kompetentingos institucijos turėtų patikrinti, ar yra nustatytos priemonės, kuriomis užtikrinama, kad verslo ir paramos padaliniai, kurie yra pirmoji gynybos linija, pirmiausia būtų atsakingi už rizikos, kurią jie patiria vykdydami savo veiklą, nustatymą ir valdymą, taip pat už tinkamų procesų ir kontrolės priemonių sukūrimą ir palaikymą, siekiant užtikrinti, kad tokia rizika būtų analizuojama, vertinama, stebima, apie ją būtų tinkamai pranešama, kad ji neviršytų kredito įstaigos norimos prisiimti rizikos ribų ir kad ji atitiktų vidaus ir išorės reguliavimo reikalavimus.

Rizikos valdymo funkcijos vykdytojas ir atitikties užtikrinimo funkcijos vykdytojas – antroji gynybos linija, kartu su vidaus audito funkcijos vykdytoju, kuri yra trečioji gynybos linija, yra vidaus kontrolės sistemos vidaus kontrolės funkcijų vykdytojai. Kompetentingos institucijos turėtų patikrinti, ar jie bus paskirti, atsižvelgiant į šių gairių 17–21 punktuose nustatytus proporcingumo kriterijus, ir kad jie būtų pakankamai autoritetingi ir svarbūs ir, vykdydami savo užduotis, turėtų galimybę tiesiogiai kreiptis į valdymo organą.

Siekdamos užtikrinti, kad vidaus kontrolės funkcijų vykdytojai atitiktų nepriklausomumo reikalavimus⁵¹ , kompetentingos institucijos turėtų patikrinti, ar, remiantis prašymo dokumentais, numatoma, kad:

• (a) jų darbuotojai neatlieka jokių užduočių veiklos srityse, kurias vidaus kontrolės funkcija turi stebėti ir kontroliuoti;
• (b) organizaciniu požiūriu jie atskirti nuo veiklos, kurią jiems pavesta stebėti ir kontroliuoti;
• (c) neatsižvelgiant į bendrą įstaigos valdymo organo narių atsakomybę, vidaus kontrolės funkcijos vadovas neturėtų būti pavaldus asmeniui, atsakingam už veiklos, kurią stebi ir kontroliuoja vidaus kontrolės funkcijos vykdytojai, valdymą;
• (d) vidaus kontrolės funkcijų vykdytojų atlygis neturėtų būti susietas su veiklos, kurią stebi ir kontroliuoja vidaus kontrolės funkcijų vykdytojai, vykdymu ir kitaip neturėtų mažinti jų objektyvumo.

⁵¹ Žr. EBI vidaus valdymo gairių 175 punktą.

Kompetentingos institucijos turėtų patikrinti, ar vidaus kontrolės funkcijų vadovai atitinka šiuos reikalavimus:

• a) bus tinkamo hierarchijos lygmens, kad kontrolės funkcijos vadovas būtų pakan kamai autoritetingas ir svarbus, kad galėtų eiti savo pareigas;
• b) bus nepriklausomi nuo jų kontroliuojamų verslo linijų ar padalinių;
• c) teiks ataskaitas ir tiesiogiai atsiskaitys valdymo organui, o valdymo organas turėtų peržiūrėti jų veiklos rezultatus;
• d) kai būtina, turės galimybę kreiptis į priežiūros funkciją vykdantį valdymo organą ir tiesiogiai jam atsiskaityti, išreikšti susirūpinimą ir, atitinkamais atvejais, perspėti priežiūros funkcijos vykdytojus, kai tam tikri įvykiai turi arba gali turėti poveikį įstaigai.

Siekiant užtikrinti, kad vidaus kontrolės funkcijos galėtų būti veiksmingai vykdomos, kompetentingos institucijos turėtų įsitikinti, kad joms skirta pakankamai biudžeto ir žmogiškųjų išteklių, turinčių tinkamą kvalifikaciją, atsižvelgiant į tikslinės veiklos rūšis ir tinkamą IRT sistemą bei jų turimą paramą.

9.4.2 Rizikos valdymo funkcija

Kompetentingos institucijos turėtų įsitikinti, kad bendroje vidaus kontrolės sistemoje kredito įstaigos įdiegs visą įstaigą apimančią rizikos valdymo sistemą, visiškai atsižvelgiant į visų jos rizikos pozicijų ekonominę esmę.

Kompetentingos institucijos turėtų įsitikinti, kad rizikos valdymo funkcijos (RVF) vykdytojai padės įgyvendinti patikimą rizikos valdymo sistemą visoje įstaigoje ir kad jų vaidmuo kredito įstaigoje apima jų dalyvavimą: a) nustatant rizikos strategiją ir priimant sprendimus; b) vertinant svarbius pokyčius; c) nustatant, matuojant, vertinant, valdant, mažinant ir stebint riziką ir pranešant apie ją; d) vertinant priimtiną riziką ar ribų pažeidimus ir teikiant rekomendacijas dėl taisomųjų priemonių. Šiuo tikslu kompetentingos institucijos taip pat turėtų peržiūrėti ir įvertinti tokios rizikos valdymo strategijos apibūdinimą, įskaitant toleruotinos ir priimtinos rizikos pareiškimą bei priemones, skirtas įvertintą riziką suderinti su priimtina rizika.

Kalbant apie RVF vykdytojų vaidmenį rizikos strategijoje ir priimant sprendimus, atlikdamos peržiūrą, kompetentingos institucijos turėtų patikrinti, ar prašyme numatytas aktyvus RVF vykdytojų dalyvavimas ankstyvame veiklos tęstinumo etape rengiant kredito įstaigos rizikos strategiją, užtikrinant, kad kredito įstaigoje bus įdiegti veiksmingi rizikos valdymo procesai, ir teikiant valdymo organui visą svarbią su rizika susijusią informaciją, kad būtų galima nustatyti kredito įstaigai priimtinos rizikos lygį. Kompetentingos institucijos turėtų užtikrinti, kad būtų numatyta, jog RVF vykdytojai vertins rizikos strategijos ir priimtinos rizikos patikimumą ir tvarumą ir kad būtų tinkamai nustatytos konkrečios rizikos ribos, įskaitant verslo padalinių lygmeniu, ir dalyvaus procese prieš valdymo organui priimant sprendimą dėl rizikos strategijų.

Kiek tai susiję su RVF vykdytojų vaidmeniu vertinant svarbius pokyčius, kompetentingos institucijos turėtų patikrinti, ar numatyta, kad prieš priimant sprendimus dėl išimtinių sandorių RVF vykdytojai turi dalyvauti įvertinant tokių pokyčių ir išimtinių sandorių poveikį bendrai kredito įstaigos rizikai ir apie nustatytus faktus pranešti tiesiogiai valdymo organui prieš priimant sprendimą.

Kalbant apie RVF vykdytojų vaidmenį nustatant, matuojant, stebint, mažinant riziką ir pranešant apie ją ir susijusias rizikos koncentracijas, kurį turi patvirtinti valdymo organas, kompetentingos institucijos turėtų užtikrinti, kad būtų nustatyta politika ir procedūros ir kad RVF vykdytojai galėtų kreiptis į visas verslo linijas ir kitus padalinius, dėl kurių gali kilti rizika.

RVF vykdytojai taip pat turėtų nepriklausomai vertinti priimtinos rizikos ar ribų pažeidimus (be kita ko, nustatyti priežastį ir atlikti teisinę ir ekonominę faktinių pozicijos uždarymo, sumažinimo ar apsidraudimo išlaidų analizę, palyginti su galimomis pozicijos išlaikymo išlaidomis). Turėtų būti numatyta, kad RVF vykdytojai informuos atitinkamus padalinius ir valdymo organą ir rekomenduos galimas taisomąsias priemones. Šiuo tikslu RVF vykdytojai turėtų galėti būti tiesiogiai atskaitingi priežiūros funkciją vykdančiam valdymo organui, kai pažeidimas yra reikšmingas, nepažeidžiant RVF vykdytojų galimybių teikti ataskaitas kitų vidaus funkcijų vykdytojams ir komitetams.

9.4.3 Atlygio politika

Kalbant apie atlygio politikos apibūdinimą, kompetentingos institucijos turėtų ne tik įvertinti, ar laikomasi KRD 92 straipsnio 2 dalies aa punkte nustatytų neutralumo lyčių aspektu reikalavimų, bet ir ypatingą dėmesį skirti patikrinimui, ar politikos, susijusios su darbuotojais, kurių profesinė veikla daro reikšmingą poveikį kredito įstaigos rizikos pobūdžiui⁵² , apibūdinimas atitinka KRD 94 straipsnį ir EBI atlygio politikos gaires .

⁵² Pateikta pagal TRS dėl informacijos veiklos leidimui gauti.

Visų pirma jos turėtų įvertinti ar a) atlygio politika atitinka įstaigos numatomą priimtiną riziką, jos verslo strategiją ir ilgalaikius interesus ir ar numatoma, kad valdymo organas ją palaikys, tvirtins ir prižiūrės; b) joje numatyta, kad darbuotojai, darantys reikšmingą poveikį įstaigos rizikos pobūdžiui, bus tinkamai nustatyti pagal KRD 92 straipsnio 3 dalį ir 94 straipsnio 3 dalį;

• c) joje numatyti konkretūs atlygio reikalavimai tiems konkretiems darbuotojams, inter alia i) kintamojo ir fiksuotojo atlyginimo dalies santykis pagal KRD 94 straipsnio 1 dalies g punktą ir
• ii) išmokėjimas priemonėmis, atidėjimo tvarka, įskaitant sumažinimą ir susigrąžinimą pagal KRD 94 straipsnio 1 dalies l, m ir n punktus⁵³ .

9.4.4 Atitikties užtikrinimo funkcija

⁵³ Ypač atsižvelgiant į KRD 94 straipsnio 3 ir 4 dalyse numatytas leidžiančias nukrypti nuostatas.

Kompetentingos institucijos turėtų patikrinti, ar numatyta, kad atitikties užtikrinimo funkcijos vykdytojai valdys atitikties riziką, konsultuos valdymo organą dėl priemonių, kurių reikia imtis siekiant užtikrinti atitiktį taikomiems įstatymams, taisyklėms, teisės aktams ir standartams, ir prižiūrint valdymo organui įgyvendins atitikties rizikos valdymo ir atitikties užtikrinimo politiką bei procesus. Kompetentingos institucijos turėtų patikrinti, ar atitikties užtikrinimo funkcija atitinka veiklos rūšis ir geografinį pasiskirstymą (pvz., atitiktį įvairių jurisdikcijų taikomiems nacionalinės teisės aktams, kai veikla vykdoma tarpvalstybiniu mastu), riziką ir sudėtingumą pagal verslo modelį ir verslo plano vertinimą, atliktą pagal šių gairių 7 skirsnį.

Atitikties užtikrinimo funkcijos vykdytojai turėtų užtikrinti, kad atitikties stebėsena būtų vykdoma pagal geros struktūros ir aiškiai apibrėžtą atitikties stebėsenos programą ir kad būtų laikomasi atitikties užtikrinimo politikos. Be to, turėtų būti numatyta, kad atitikties užtikrinimo funkcijos vykdytojai ir RVF vykdytojai turi tinkamai bendradarbiauti ir keistis informacija, kad atliktų jiems patikėtas užduotis.

Kompetentingos institucijos taip pat turėtų patikrinti, ar atitikties užtikrinimo funkcijos vykdytojams patikėta glaudžiai bendradarbiaudami su RVF ir teisės skyriumi, patikrinti, kad nauji produktai ir naujos procedūros atitiktų galiojančią teisinę sistemą ir tam tikrais atvejais bet kokius žinomus planuojamus įstatymų ir kitų teisės aktų ir priežiūros reikalavimų pakeitimus.

Kompetentingos institucijos turėtų patikrinti, ar numatyta nustatyti kovos su pinigų plovimu ir teroristų finansavimu atitikties užtikrinimo funkciją, kad būtų laikomasi konkretaus kovos su PP / TF reglamento ir vidaus politikos, arba atitikties užtikrinimo funkcijos viduje, arba atskirai nuo jos.

9.4.5 Kovos su pinigų plovimu ir teroristų finansavimu politika

Kompetentingos institucijos turėtų patikrinti, ar prašymą pateikusios kredito įstaigos pagal TRS dėl informacijos veiklos leidimui gauti 5 straipsnio 1 dalies c punkto iii papunktį pateiktoje kovos su pinigų plovimu ir teroristų finansavimu politikoje pateikta pagrindinės politikos ir procedūrų, nustatytų KPPD 8 straipsnio 3 dalyje, kurios bus taikoma siekiant kovoti su PP / TF rizika, apžvalga. Šiuo tikslu kompetentingos institucijos atsižvelgs į proporcingumo kriterijus, nustatytus šių gairių 17–21 punktuose.

Kompetentingos institucijos turėtų patikrinti, ar politikos apibūdinimas apima visus KPPD⁵⁴ 8 straipsnio 4 dalyje nustatytus elementus, ir pagrįsti, kaip prašymą pateikusi kredito įstaiga užtikrins, kad ji galės veiksmingai sumažinti ir valdyti PP ir TF riziką, kuri jai kyla nuo patekimo į rinką dienos.

9.4.6 Vidaus audito funkcija

⁵⁴ Jame nustatyta: „3 dalyje nurodyta politika, kontrolė ir procedūros apima: (a) vidaus politikos, kontrolės priemonių ir procedūrų, įskaitant pavyzdines rizikos valdymo priemones, deramą klientų tikrinimą, pranešimą, įrašų saugojimą, vidaus kontrolę, atitikties užtikrinimo valdymą, įskaitant atitikties užtikrinimo pareigūno paskyrimą vadovybės lygiu, kai tikslinga atsižvelgiant į verslo apimtį ir pobūdį, taip pat darbuotojų tikrinimą, parengimą; (b) kai tikslinga atsižvelgiant į verslo apimtį ir pobūdį – nepriklausomą audito funkciją, a punkte nurodytai vidaus politikai, kontrolės priemonėms ir procedūroms išbandyti“.

Kompetentingos institucijos turėtų, atsižvelgdamos į šių gairių 17–21 punktuose nustatytus proporcingumo kriterijus, įvertinti prašymą pateikusios kredito įstaigos įsteigtą nepriklausomą ir veiksmingą vidaus audito funkciją (VAF). Kompetentingos institucijos, remdamosi rizika pagrįstu požiūriu, turėtų susidaryti aiškią nuomonę, kad VAF vykdytojai sugebės nepriklausomai peržiūrėti ir pateikti objektyvų patikinimą dėl visos kredito įstaigos veiklos ir padalinių, įskaitant užsakomąsias paslaugas, atitikties įstaigos politikai ir procedūroms bei kitiems išorės (ne riziką ribojantiems) reikalavimams.

Šiuo tikslu kompetentingos institucijos turėtų įvertinti, ar VAF organizaciniu požiūriu yra nepriklausoma, o vidaus auditorių objektyvumas yra saugomas nustačius tiesioginę jų atskaitomybę valdymo organui, ir skiriama pakankamai išteklių jai priskirtoms užduotims vykdyti Šiuo tikslu taip pat turėtų būti užtikrinta, kad VAF vykdytojai turėtų galimybę visoje įstaigoje nekliudomai susipažinti su visais įrašais, dokumentais ir informacija, patekti į visas įstaigos patalpas.

Kompetentingos institucijos taip pat turėtų įvertinti, ar VAF vykdytojams patikėta bent:

• (a) vidaus kontrolės sistemos tinkamumo, įskaitant politikos ir procedūrų tinkamumą ir teisinių bei reguliavimo reikalavimų laikymąsi, sritis;
• (b) rengti audito planą bent kartą per metus, remiantis metiniais vidaus audito kontrolės tikslais ir kurį turi patvirtinti valdymo organas;
• (c) teikti rekomendacijas, pagrįstas jų veiklos rezultatais.

Jos taip pat turėtų patikrinti, ar metodikos apibūdinimas ir vidaus audito planas, apimantis pirmuosius trejus veiklos metus, įskaitant išorės paslaugų auditą, atitinka organizacinę struktūrą, veiklos rūšis ir rizikos pobūdį, nustatytus verslo plane, įvertintame pagal šių gairių 7 skirsnį.

9.4.7 Veiklos atsparumo ir veiklos tęstinumo politika ir planas

Veiklos tęstinumo politikos ir plano apibūdinimas turėtų užtikrinti, kad prašymo teikėjas turėtų patikimą veiklos tęstinumo valdymo planą, kad būtų užtikrintas jo gebėjimas nuolat vykdyti veiklą ir būtų apriboti nuostoliai veiklai rimtai sutrikus. Jis turėtų užtikrinti, kad į veiklos tęstinumo politiką ir planą būtų įtraukta pagrindinės veiklos sutrikimo rizikos analizė ir rizikos mažinimo priemonių apžvalga, ir užtikrinti, kad veiklos tęstinumo planas būtų reguliariai tikrinamas.

9.4.8 IRT politika ir sistemos

Kompetentingos institucijos turėtų įvertinti, ar vadovaudamasi IRT politika kredito įstaiga turės patikimų informacijos ir ryšių sistemų ir ar jas naudojant rizikos duomenis bus galima visapusiškai apibendrinti ir įprastais, ir nepalankiausių sąlygų laikotarpiais. Pirmiausia kompetentingos institucijos turėtų vertinti, ar kredito įstaiga bent jau galės:

• (a) parengti tikslius ir patikimus rizikos duomenis;
• (b) parengti ir apibendrinti visus reikšmingos rizikos duomenis visos įstaigos lygmeniu;
• (c) laiku parengti apibendrintus ir naujus rizikos duomenis;
• (d) parengti apibendrintus rizikos duomenis, kad būtų galima patenkinti įvairius valdymo organo arba kompetentingų institucijų pagal poreikį pateikiamus prašymus;
• (e) užtikrinti gerą, patikimą ir saugų informacijos ir ryšių sistemų, padedančių įstaigoms vykdyti tikslinę veiklą, veikimą.

Kalbant apie IRT ir saugumo riziką⁵⁵ , kompetentingos institucijos turėtų įsitikinti, kad valdymo sistema užtikrins gerą, patikimą ir saugų informacijos ir ryšių sistemų, padedančių kredito įstaigoms vykdyti veiklą, veikimą, taip pat tinkamą IRT rizikos prevenciją, stebėseną ir mažinimą įprastais ir nepalankiausių sąlygų laikotarpiais. Kompetentingos institucijos visų pirma turėtų įvertinti:

• (a) ar valdymo organas apskritai atsako už finansų įstaigų IRT strategijos, kuri turėtų būti suderinta su bendra finansų įstaigų verslo strategija, parengimą, patvirtinimą ir įgyvendinimo priežiūrą;
• (b) ar yra aiškiai apibrėžtos ir priskirtos pagrindinės funkcijos ir atsakomybės sritys bei nustatyti atitinkami atskaitomybės ryšiai, kad IRT ir saugumo rizikos valdymo sistema būtų veiksminga, įskaitant tinkamo biudžeto skyrimą, kad būtų tinkamai patenkinti IRT veiklos poreikiai ir IRT bei saugumo rizikos valdymas;
• (c) ar IRT ir saugumo rizikos valdymas ir priežiūra pavedami nepriklausomiems ir objektyviems kontrolės funkcijos vykdytojams, tinkamai atskirtiems nuo IRT veiklos procesų ir neatsakingiems už vidaus auditą, ir nepriklausomiems vidaus audito funkcijos vykdytojams;
• (d) tvarką, kuria siekiama nustatyti, parengti ir palaikyti atnaujintą savo verslo funkcijų, vaidmenų ir pagalbinių procesų apžvalgą, kad būtų galima nustatyti kiekvieno su IRT ir saugumo rizika susijusio tarpusavio priklausomybės ryšio svarbą;
• (e) tiek, kiek informacija saugoma IRT sistemose, ar bus nustatyti informacijos saugumo reikalavimai;
• (f) su IRT susijusių priklausomybių mastą, sudėtingumą ir svarbą, jei numatoma IRT paslaugų operacines funkcijas ir bet kokią IRT sistemų veiklą užsakyti, be kita ko iš grupės subjektų, arba kai pasitelkiamos trečiosios šalys.

⁵⁵ Kaip apibrėžta EBI IRT ir saugumo rizikos valdymo gairėse , „IRT ir saugumo rizika“ tai: „Rizika patirti nuostolių dėl konfidencialumo pažeidimo, sistemų ir duomenų vientisumo pažeidimo, sistemų ir duomenų netinkamumo ar jų neprieinamumo arba dėl nesugebėjimo per pagrįstą laiką ir patiriant pagrįstas sąnaudas pakeisti informacines technologijas (IT), kai pasikeičia aplinka ar verslo poreikiai (t. y.) operatyvumas). Ji apima saugumo riziką, kylančią dėl netinkamų ar nevykusių vidaus procesų arba išorės įvykių, įskaitant kibernetines atakas arba nepakankamą fizinį saugumą“.