22 Interne auditfunctie

De IAF dient te beoordelen of het kader voor interne controle van de instelling zoals dat is uiteengezet in hoofdstuk 15 zowel effectief als doeltreffend is. De IAF dient in het bijzonder het volgende te beoordelen:

• a. de geschiktheid van het governancekader van de instelling;
• b. of bestaand beleid en bestaande procedures toereikend blijven en voldoen aan juridische en regelgevingsvereisten en aan de risicostrategie en risicobereidheid van de instelling;
• c. of de procedures in overeenstemming zijn met de toepasselijke wet- en regelgeving en met besluiten van het leidinggevend orgaan;
• d. of de procedures op correcte en doeltreffende wijze worden uitgevoerd (bijv. nakoming van transacties, het risiconiveau dat daadwerkelijk wordt bereikt enz.); en
• e. de toereikendheid, kwaliteit en doeltreffendheid van de controles die worden uitgevoerd door en de verslaglegging die wordt gedaan door de diverse bedrijfsonderdelen en de risicobeheer- en nalevingsfuncties.

De IAF dient met name de integriteit van de processen te controleren en daarbij de betrouwbaarheid te waarborgen van de methoden en technieken, en de aannames en informatiebronnen die in de interne modellen van de instelling worden gebruikt (bijv. risicomodellering en boekhoudkundige metingen). Voorts dient de IAF de kwaliteit en het gebruik van de instrumenten voor kwalitatieve risico-identificatie en -beoordeling en de genomen risicobeperkende maatregelen te beoordelen.

De IAF dient onbelemmerde instellingsbrede toegang te hebben tot alle gegevens, documenten, informatie en gebouwen van de instelling. Daartoe behoort ook toegang tot managementinformatiesystemen en notulen van alle comités en besluitvormingsorganen.

De IAF dient nationale en internationale beroepsnormen in acht te nemen. Een voorbeeld hiervan zijn de normen zoals vastgesteld door het Institute of Internal Auditors.

Werkzaamheden in het kader van de interne-auditfunctie dienen te worden verricht op basis van een auditplan en een gedetailleerd op risico’s gebaseerd auditprogramma.

Ten minste eenmaal per jaar dient een intern auditplan te worden opgesteld op basis van de jaarlijkse interne audit-controledoelstellingen. Het interne auditplan dient te worden goedgekeurd door het leidinggevend orgaan.

Alle auditaanbevelingen dienen op de passende managementniveaus te worden onderworpen aan een formele follow-upprocedure om de doeltreffende en tijdige omzetting ervan te waarborgen en rapporteren.

Instellingen dienen een gedegen bedrijfscontinuïteitsbeheer- en herstelplan op te stellen dat ervoor zorgt dat zij op permanente basis kunnen opereren en dat verliezen door ernstige verstoringen van de bedrijfsactiviteiten worden beperkt.