9.4 Internal control framework

Kompetentajām iestādēm jānovērtē, vai pieteikuma iesniedzējai kredītiestādei ir piemērota iekšējās kontroles sistēma, kas ir samērīga ar kredītiestādes paredzētajām darbībām, uzņēmējdarbības modeli, sarežģītību un saistītajiem riskiem (piemēram, klientu piesaistīšanu tiešsaistē, kiberdrošības aizsardzību un pasākumiem). Kompetentajām iestādēm jāpārliecinās par piešķirto cilvēkresursu pietiekamību gan pilnslodzes ekvivalenta skaita un kvalifikācijas ziņā, gan sistēmu un budžeta piemērotību uzdevumu veikšanai.

Kompetentajām iestādēm jāpārskata pieteikuma dokumenti un jābūt pārliecinātām, ka uzdevumu un pienākumu sadale ļaus vadības struktūrai pilnībā zināt savas kredītiestādes struktūru⁴⁹ un “nodrošināt, ka iekšējās kontroles funkcijas ir neatkarīgas no uzņēmējdarbības virzieniem, ko tās kontrolē, tostarp, ka pastāv atbilstīga pienākumu nošķiršana un ka tām ir atbilstoši un ka tām ir atbilstoši finanšu resursi un cilvēkresursi, kā arī pilnvaras efektīvi pildīt savus pienākumus. Pārskatu sniegšanas kārtībai un pienākumu sadalei, jo īpaši starp personām, kuras pilda pamatfunkcijas, iestādē vajadzētu būt skaidrai, pareizi noteiktai, saskanīgai, izpildāmai un pienācīgi dokumentētai”⁵⁰ .

⁴⁹ EBI pamatnostādņu par iekšējo pārvaldību 71. punkts.

⁵⁰ EBI pamatnostādņu par iekšējo pārvaldību 68. punkts.

Kompetentajām iestādēm jāgūst skaidrs priekšstats, ka iekšējās kontroles sistēma aptver visas iestādes jomas un atspoguļo trīs aizsardzības modeļa virzienus riska novēršanas un pārvaldības funkciju noteikšanai.

Šajā nolūkā kompetentajām iestādēm jāpārbauda, vai ir ieviesti pasākumi, lai nodrošinātu, ka uzņēmējdarbības un atbalsta vienības, kas ir pirmā aizsardzības līnija, pirmām kārtām būs atbildīgas par to risku apzināšanu un pārvaldību, ko tās rada savu darbību veikšanā, un par atbilstošu procesu un kontroles izveidi un uzturēšanu, lai nodrošinātu, ka šādi riski tiek analizēti, mērīti, uzraudzīti, pienācīgi paziņoti un turēti kredītiestādes vēlmes uzņemties risku robežās, kā arī tie atbilst iekšējām un ārējām reglamentējošām prasībām.

Riska pārvaldības funkcija un atbilstības funkcija, otrā aizsardzības līnija kopā ar iekšējās revīzijas funkciju, kas ir trešā aizsardzības līnija, veido iekšējās kontroles funkcijas iekšējās kontroles sistēmā. Kompetentajām iestādēm būtu jāpārbauda, vai tās tiks izveidotas, ņemot vērā 20.–24. punktā izklāstītos proporcionalitātes kritērijus, un ka tām tiks piešķirtas atbilstošas un pietiekamas pilnvaras, statuss un tieša piekļuve vadības struktūrai, ļaujot tām pildīt savu uzdevumu .

Lai nodrošinātu iekšējās kontroles funkciju atbilstību neatkarības prasībām⁵¹ , kompetentajām iestādēm jāpārbauda, vai, pamatojoties uz pieteikuma dokumentiem, ir paredzēts, ka:

• (a) to darbinieki neveic nekādus operatīvus uzdevumus, kas ietilpst to darbību jomā, kuru uzraudzībai un kontrolei iekšējās kontroles funkcijas ir paredzētas;
• (b) tās ir organizatoriski nodalītas no darbībām, kuras šīm struktūrām jāuzrauga un jākontrolē;
• (c) neatkarīgi no vadības struktūras locekļu vispārējās atbildības par iestādi iekšējās ko ntroles funkcijas vadītājam nevajadzētu būt pakļautam personai, kas ir atbildīga par iekšējās kontroles funkcijas pārraudzīto un kontroles darbību pārvaldību;
• (d) iekšējās kontroles funkciju darbinieku atalgojums nebūtu jāsaista ar iekšējās kontroles funkcijas pārraudzīto un kontroles darbību veikšanu un citādi nedrīkstētu apdraudēt to objektivitāti.

⁵¹ Skatīt EBI pamatnostādņu par iekšējo pārvaldību 175. punktu.

Kompetentajām iestādēm jāpārbauda, vai iekšējās kontroles funkciju vadītāji atbilst šādām prasībām:

• a) tiks izveidoti atbilstīgā hierarhijas līmenī, kas kontroles funkcijas vadītājam nodrošina atbilstīgas pilnvaras un ietekmi, kas vajadzīgas viņa pienākumu izpildei;
• b) ir neatkarīgi no darbības jomām vai struktūrvienībām, ko tie kontrolē;
• c) sniegs pārskatus vadības struktūrai un būs tieši pakļauti vadības struktūrai, un vadības struktūrai jāpārskata to darbība;
• d) vajadzības gadījumā varēs piekļūt vadības struktūrai, kas pilda uzraudzības funkciju, un sniegt pārskatus tai tieši, lai paustu bažas un attiecīgā gadījumā brīdinātu uzraudzības funkciju, ja konkrētas norises ietekmē vai var ietekmēt iestādi.

Lai nodrošinātu, ka iekšējās kontroles funkcijas var efektīvi īstenot, kompetentajām iestādēm jāpārliecinās, ka tām ir piešķirti pietiekami budžeta resursi un cilvēkresursi ar atbilstošu kvalifikāciju, ņemot vērā paredzēto darbību veidus, kā arī atbilstoša IKT sistēma un to rīcībā esošs atbalsts.

9.4.2 Riska pārvaldības funkcija

Kompetentajām iestādēm jāpārliecinās, ka saskaņā ar iekšējās kontroles sistēmu kredītiestādei būs holistiska kredītiestāžu riska pārvaldības sistēma, pilnībā atzīstot visu kredītiestādes riska darījumu ekonomisko būtību.

Kompetentajām iestādēm jābūt pārliecinātām, ka riska pārvaldības funkcija (RMF) atvieglos stabilas riska pārvaldības sistēmas ieviešanu visā iestādē un ka tās loma kredītiestādē ietver tās iesaisti: a) riska stratēģiju un lēmumu pieņemšanā; b) būtisku izmaiņu novērtējumā; c) risku apzināšanā, novērtēšanā, novērtēšana, pārvaldība, mazināšana, uzraudzībā un ziņošanā par tiem; d) vēlmes uzņemties risku vai ierobežojumu pārkāpumu un tiesiskās aizsardzības līdzekļu ieteikumu novērtēšanā. Šajā nolūkā kompetentajām iestādēm arī jāpārskata un jānovērtē šādu risku pārvaldības stratēģijas izklāsts, ieskaitot paziņojumu par riska toleranci un pasākumus, saskaņotu novērtēto risku ar vēlmi uzņemties risku.

Attiecībā uz RMF lomu riska stratēģijā un lēmumu pieņemšanā kompetentajām iestādēm jāpārbauda, vai pieteikumā ir paredzēta RMF aktīva iesaistīšanās kredītiestādes riska stratēģijas izstrādē jau agrīnā darbības posmā, nodrošinot, ka kredītiestādei būs efektīvi riska pārvaldības procesi, un sniedzot vadības struktūrai visu attiecīgo ar risku saistīto informāciju, lai varētu noteikt kredītiestādes vēlmi uzņemties risku. Kompetentajām iestādēm jānodrošina, ka RMF ir paredzēta, lai novērtētu riska stratēģijas un vēlmes uzņemties risku stabilitāti un ka šī vēlme tiktu pienācīgi pārvērsta specifiskos riska limitos, tostarp uzņēmējdarbības vienību līmenī, un lai tā būtu iesaistīta, pirms vadības struktūra pieņem lēmumu par riska stratēģijām.

Attiecībā uz RMF lomu būtisku izmaiņu novērtēšanā kompetentajām iestādēm jāpārbauda, vai ir paredzēta RMF iesaiste, pirms tiek pieņemti lēmumi par ārkārtas darījumiem, lai novērtētu šādu izmaiņu un ārkārtas darījumu ietekmi uz kredītiestādes vispārējo risku un ziņotu par savie m konstatējumiem tieši vadības struktūrai pirms lēmuma pieņemšanas.

Attiecībā uz RMF lomu riska un saistīto riska koncentrāciju apzināšanā, mērīšanā, uzraudzībā, mazināšanā un ziņošanā, kas jāapstiprina vadības struktūrai, kompetentajām iestādēm jāpārliecinās, ka ir ieviesta politika un procedūras un ka RMF ir piekļuve visām darbības jomām un citām vienībām, kas var radīt riskus.

RMF lomai jāietver arī neatkarīgs novērtējums par gatavības uzņemties risku vai ierobežojumu pārkāpumiem (arī noskaidrojot iemeslu un veicot riska darījuma slēgšanas, samazināšanas vai riska ierobežošanas faktisko izmaksu juridisku un ekonomisku analīzi attiecībā pret potenciālajām izmaksām, kas saistītas ar riska darījuma saglabāšanu). Būtu jāparedz, ka RMF informēs attiecīgās uzņēmējdarbības vienības un vadības struktūru un ieteiks iespējamos tiesiskās aizsardzības līdzekļus. Šajā nolūkā tai jābūt iespējai tieši ziņot vadības struktūrai, kas pilda uzraudzības funkciju, ja pārkāpums ir būtisks, neskarot RMF pārskatu sniegšanu citām iekšējām funkcijām un komitejām.

9.4.3 Atalgojuma politika

Attiecībā uz atlīdzības politikas izklāstu papildus tam, lai novērtētu atbilstību dzimumneitralitātes prasībām saskaņā ar KPD 92. panta 2. punkta aa) apakšpunktu, kompetentajām iestādēm īpaši jāpārbauda, vai politikas izklāsts attiecībā uz darbiniekiem, kuru profesionālajai darbībai ir būtiska ietekme uz kredītiestādes riska profilu⁵² , atbilst KPD 94. pantam un EBI pamatnostādnēm par atalgojuma politiku .

⁵² Iesniegts saskaņā ar RTS par informāciju atļaujas saņemšanai.

Jo īpaši tām jānovērtē, vai: a) atlīdzības politikas izklāsts atbilst iestādes paredzamajai vēlmei uzņemties risku, tās uzņēmējdarbības stratēģijai un ilgtermiņa interesēm, un to ir paredzēts saglabāt, apstiprināt un uzraudzīt vadības struktūrai; b) tajā paredzēts, ka saskaņā ar KPD 92. panta 3. punktu un 94. panta 3. punktu tiks pienācīgi identificēti darbinieki, kuriem ir būtiska ietekme uz iestādes riska profilu; c) tajā ir paredzētas īpašas atlīdzības prasības attiecībā uz šiem konkrētajiem darbiniekiem, inter alia, i) attiecība starp mainīgo un fiksēto atalgojumu saskaņā ar KPD 94. panta 1. punkta g) apakšpunktu un ii) izmaksas instrumentos, atlikšanas kārtība, tostarp malus metode un atpakaļmigrācija saskaņā ar KPD 94. panta 1. punkta l), m) un n) apakšpunktu⁵³ .

9.4.4 Atbilstības nodrošināšanas funkcija

⁵³ Īpaši ņemot vērā KPD 94. panta 3. un 4. punktā paredzētās atkāpes.

Kompetentajām iestādēm jāpārbauda, vai ir paredzēts, ka atbilstības nodrošināšanas funkcija pārvaldīs atbilstības risku, sniegs konsultācijas vadības struktūrai par veicamajiem pasākumiem, lai nodrošinātu atbilstību piemērojamajiem tiesību aktiem, noteikumiem un standartiem, un vadības struktūras uzraudzībā īstenos politiku un procesus atbilstības risku pārvaldībai un atbilstības nodrošināšanai. Kompetentajām iestādēm jāpārbauda, vai atbilstības funkcija ir piemērota darbību veidiem un ģeogrāfiskajam sadalījumam (piemēram, atbilstība dažādu jurisdikciju piemērojamiem valsts tiesību aktiem pārrobežu darbību gadījumā), riskiem un sarežģītībai saskaņā ar uzņēmējdarbības modeli un uzņēmējdarbības plāna novērtējumu, kas veikts saskaņā ar šo Pamatnostādņu 7. iedaļu.

Darbības atbilstības uzraudzības funkcijas struktūrai būtu jānodrošina atbilstības uzraudzības veikšana saskaņā ar strukturētu un pareizi definētu atbilstības uzraudzības programmu un atbilstības politikas ievērošana. Būtu arī jāparedz, ka atbilstības nodrošināšanas funkcija un RMF vajadzības gadījumā sadarbosies un apmainīsies ar informāciju, lai veiktu savus attiecīgos uzdevumus.

Kompetentajām iestādēm arī jāpārbauda, vai atbilstības funkcijai uzticēs ciešā sadarbībā ar RMF un juridisko vienību pārbaudīt, vai jaunie produkti un jaunās procedūras atbilst pašreizējam tiesiskajam regulējumam un attiecīgā gadījumā jebkādām zināmām gaidāmajām izmaiņām tiesību aktos, noteikumos un uzraudzības prasībās.

Kompetentajām iestādēm būtu jāpārbauda, vai ir paredzēts izveidot nelikumīgi iegūtu līdzekļu legalizācijas novēršanas/terorisma finansēšanas apkarošanas atbilstības funkciju, lai nodrošinātu atbilstību konkrētajam nelikumīgi iegūtu līdzekļu legalizācijas novēršanas/terorisma finansēšanas apkarošanas regulējumam un iekšējai politikai — vai nu atbilstības funkcijas ietvaros, vai atsevišķi no tās. 9.4.5 Nelikumīgi iegūtu līdzekļu legalizēšanas un terorisma finansēšanas apkarošanas politika

Kompetentajām iestādēm jāpārbauda, vai nelikumīgi iegūtu līdzekļu legalizācijas novēršanas/terorisma finansēšanas apkarošanas politika, ko iesniegusi pieprasījuma iesniedzēja kredītiestāde saskaņā ar RTS par atļaujas piešķiršanu 5. panta 1. punkta

• c) apakšpunkta (iii) punktu, sniedz pārskatu par galvenajiem politikas virzieniem un procedūrām, kā noteikts Nelikumīgi iegūtu līdzekļu legalizācijas novēršanas direktīvas 8. panta 3. punktā, kas tiks ieviesti, lai novērstu vai nelikumīgi iegūtu līdzekļu legalizācijas/terorisma finansēšanas risku. Šajā nolūkā kompetentās iestādes ņems vērā 17.–21. punktā izklāstītos proporcionalitātes kritērijus.

Kompetentajām iestādēm būtu jāpārbauda, vai struktūrā ir ietverti visi elementi, kas izklāstīti Nelikumīgi iegūtu līdzekļu legalizācijas novēršanas direktīvas 8. panta 4. punktā⁵⁴ , un tiks pamatots, kā pieteikuma iesniedzēja kredītiestāde nodrošinās, ka tā spēs efektīvi mazināt un pārvaldīt ar nelikumīgi iegūtu līdzekļu legalizācijas/terorisma finansēšanu saistītos riskus, kuriem tā ir pakļauta no piekļuves tirgum d ienas.

9.4.6 Iekšējās revīzijas funkcija

⁵⁴ Tajā teikts: “3. punktā minētā politika, kontrole un procedūras ietver: (a) iekšējās politikas, kontroles un procedūru izstrādi, tostarp modeļu riska pārvaldības praksi, klienta uzticamības pārbaudes, ziņošanu, informācijas uzglabāšanu, iekšējo kontroli, atbilstības pārvaldību, tostarp, ja tas ir lietderīgi, ņemot vērā darījumdarbības apmēru un būtību, atbilstības uzraudzības amatpersonas iecelšanu vadības līmenī, un darbinieku pārbaudes; (b) attiecīgā gadījumā, ņemot vērā uzņēmuma lielumu un būtību, neatkarīga revīzijas funkcija, lai pārbaudītu a) apakšpunktā minēto iekšējo politiku, kontroli un procedūras”.

Kompetentajām iestādēm, ņemot vērā 17.–21. punktā izklāstītos proporcionalitātes kritērijus, jānovērtē neatkarīga un efektīva iekšējā revīzijas funkcija (“IAF”), kuru izveidojusi pieprasījuma iesniedzēja kredītiestāde. Kompetentajām iestādēm vajadzētu gūt skaidru priekšstatu, ka IAF, izmantojot uz risku balstītu pieeju, spēs neatkarīgi pārbaudīt un sniegt objektīvu apliecinājumu par visu kredītiestādes darbību un vienību, tostarp ārpakalpojumu sniedzēju darbību, atbilstību iestādes politikai un procedūrām, kā arī citām ārējām (neprudenciālām) prasībām.

Šajā nolūkā kompetentajām iestādēm jānovērtē, vai IAF ir organizatoriski neatkarīga un iekšējo revidentu objektivitāte ir aizsargāta ar tiešu pārskatu sniegšanu vadības struktūrai un pietiekamiem resursiem tās uzdevumu veikšanai. Tāpēc būtu arī jānodrošina, ka IAF ir neierobežota piekļuve visiem iestādes reģistriem, dokumentiem, informācijai un ēkām tās funkciju veikšanai.

Kompetentajām iestādēm arī jānovērtē, vai IAF ir uzticēti vismaz šādi uzdevumi:

• (a) iekšējās kontroles sistēmas piemērotības, tostarp politikas un procedūru atbilstības un atbilstības juridiskajām un normatīvajām prasībām novērtēšana;
• (b) revīzijas plāna izstrāde vismaz reizi gadā, pamatojoties uz iekšējās revīzijas gada kontroles mērķiem, kurš jāapstiprina vadības struktūrai;
• (c) ieteikumu sniegšana, pamatojoties uz tās darbības konstatējumiem.

Tām arī jāpārbauda, vai metodoloģijas un iekšējās revīzijas plāna izklāsts, kas aptver pirmos trīs darbības gadus, tostarp ārpakalpojumu revīziju, atbilst organizatoriskajai struktūrai, darbību veidiem un riska profilam, kas izriet no uzņēmējdarbības plāna, kurš novērtēts saskaņā ar 7. iedaļu.

9.4.7 Darbības noturības un darbības nepārtrauktības politika un plāns

Darbības nepārtrauktības politikas un plāna izklāstam būtu jānodrošina, ka pieteikuma iesniedzējam būs stabils darbības nepārtrauktības pārvaldības plāns, lai nodrošinātu tā spēju pas tāvīgi darboties un ierobežotu zaudējumus nopietnu uzņēmējdarbības traucējumu gadījumā. Tam jānodrošina, ka darbības nepārtrauktības politika un plāns ietver galveno uzņēmējdarbības traucējumu risku analīzi un ietekmes mazināšanas pasākumu pārskatu, un jānodrošina regulāra darbības nepārtrauktības plāna testēšana.

9.4.8 IKT politika un sistēmas

Kompetentajām iestādēm jānovērtē, vai IKT politika nodrošinās kredītiestādei uzticamas informācijas un saziņas sistēmas un vai IKT sistēmas spēs pilnībā atbalstīt riska datu apkopošanas spējas normālos un spriedzes apstākļos. Jo īpaši kompetentajām iestādēm jānovērtē, vai kredītiestāde spēs vismaz:

• (a) ģenerēt precīzus un ticamus riska datus;
• (b) apkopot un rezumēt visus datus par būtisko risku visā iestādē;
• (c) savlaikus ģenerēt apkopotus un atjauninātus riska datus;
• (d) ģenerēt apkopotus riska datus, lai izpildītu vadības struktūras vai kompetento iestāžu plašu prasību klāstu pēc pieprasījuma;
• (e) nodrošināt stabilu, uzticamu un drošu to informācijas un komunikācijas sistēmu darbību , kuras atbalsta iestāžu mērķtiecīgas darbības.

Attiecībā uz IKT un drošības risku⁵⁵ kompetentajām iestādēm jāpārliecinās, ka vadības sistēma nodrošinās stabilu, uzticamu un drošu to informācijas un komunikācijas sistēmu darbību, kuras atbalsta kredītiestāžu darbību, kā arī IKT risku pienācīgu novēršanu, uzraudzību un mazināšanu normālos un spriedzes apstākļos. Kompetentajām iestādēm jo īpaši jāizvērtē:

• (a) vai vadības struktūrai ir vispārēja atbildība par finanšu iestāžu IKT stratēģijas noteikšanu, apstiprināšanu un īstenošanas pārraudzību, kas būtu jāsaskaņo ar finanšu iestāžu vispārējo uzņēmējdarbības stratēģiju;
• (b) lai IKT un drošības riska pārvaldības sistēma būtu efektīva, pastāv skaidri definēti un noteikti galvenie uzdevumi un pienākumi un attiecīga pārskatu sniegšanas kārtība, tostarp atbilstīga budžeta piešķiršana, lai pienācīgi atbalstītu IKT darbības vajadzības un IKT un drošības riska pārvaldību;
• (c) vai IKT un drošības risku pārvaldība un uzraudzība ir uzticēta neatkarīgai un objektīvai kontroles funkcijai, kas ir pienācīgi nošķirta no IKT darbības procesiem un nav atbildīga par iekšējo revīziju, un neatkarīga iekšējās revīzijas funkcija;
• (d) kārtība, kā nodrošināt uzņēmējdarbības funkciju, lomu un atbalsta procesu atjauninātas kartēšanas noteikšanu, izveidi un uzturēšanu, lai noteiktu katras darbības nozīmi un to savstarpējo atkarību saistībā ar IKT un drošības riskiem;
• (e) ciktāl informācija attiecas uz IKT sistēmām, vai tiks ieviestas informācijas drošības prasības;
• (f) ar IKT saistītās atkarības mērogs, sarežģītība un nozīmīgums, ja ir paredzēts izmantot ārpakalpojumus IKT pakalpojumu darbības funkcijām un jebkādai IKT sistēmu darbībai, tostarp grupas struktūrām, vai izmantot trešās personas saistībā ar šādām funkcijām un darbību.

⁵⁵ Kā definēts EBI pamatnostādnēs par IKT drošības riska pārvaldību, “IKT un drošības risks” ir: “Zaudējumu risks konfidencialitātes pārkāpuma, sistēmu un datu integritātes zuduma, sistēmu un datu nepiemērotības vai nepieejamības vai nespējas mainīt informācijas tehnoloģiju (IT) dēļ saprātīgā termiņā un ar saprātīgām izmaksām, ja mainās vide vai darbības prasības (t. i., elastība). Tas ietver drošības riskus, ko rada neatbilstoši vai neveiksmīgi iekšējie procesi vai ārēji notikumi, tostarp kiberuzbrukumi vai nepietiekama fiziskā drošība”.