+5.5. Interne controlefuncties
---+85. In assessing the institution’s internal control functions, competent authorities should assess …
---+86. Competent authorities should assess whether the risk management function covers the whole …
---+87. Competent authorities should assess whether the compliance function effectively assesses and …
---+88. Competent authorities should assess whether the internal audit function independently reviews …

5.5. Interne controlefuncties

85.Bij de beoordeling van de interne-controlefuncties van de instelling beoordelen bevoegde autoriteiten of de instelling de EBA-richtsnoeren inzake interne governance en de relevante bepalingen van Verordening (EU) 2022/2554 (DORA) naleeft²¹ . In dit verband dienen de bevoegde autoriteiten onder meer na te gaan of:

a. de instelling beschikt over een passend intern risicobeheersingskader dat alle gebieden bestrijkt, in overeenstemming met het model van de "drie verdedigingslinies”, met inbegrip van goed functionerende, doeltreffende en onafhankelijke functies op het gebied van risicobeheer, compliance en interne audit;
b. de hoofden van de interne controlefuncties (i) zijn aangesteld op een passend hiërarchisch niveau dat hen de nodige bevoegdheden en het nodige aanzien verschaft om hun verantwoordelijkheden te vervullen, (ii) rechtstreekse toegang hebben tot het leidinggevend orgaan in zijn toezichthoudende functie en rechtstreeks aan dit orgaan kunnen rapporteren, en (iii) beschikken over alle middelen die nodig zijn om hun taken uit te voeren;
c. de instelling beschikt over een toereikend vastgelegd intern controlebeleid dat daadwerkelijk wordt toegepast, alsmede over een duidelijke verdeling van verantwoordelijkheden voor de uitvoering van het kader, scheiding van taken, deugdelijke administratieve en boekhoudkundige procedures en robuuste rapportageregelingen.

86.De bevoegde autoriteiten dienen te beoordelen of de risicobeheerfunctie de gehele instelling bestrijkt, een holistisch beeld heeft van alle risico’s, in een vroeg stadium actief betrokken is bij de uitwerking van de risicostrategie van de instelling en toeziet op de effectieve uitvoering daarvan. Bevoegde autoriteiten bepalen ook of de risicobeheerfunctie het leidinggevend orgaan volledige, actuele en relevante risicogerelateerde informatie verstrekt op basis waarvan de risicobereidheid en de daaraan gerelateerde risicolimieten van de instelling kunnen worden vastgesteld. De bevoegde autoriteiten dienen tevens rekening te houden met de beoordeling door de risicobeheerfunctie van de robuustheid en duurzaamheid van de risicostrategie en de risicobereidheid, alsmede met de betrokkenheid van deze functie bij de evaluatie van de gevolgen van wezenlijke wijzigingen of uitzonderlijke transacties voor het totale risico van de instelling en de groep (indien van toepassing).

87.De bevoegde autoriteiten dienen te beoordelen of de nalevingsfunctie de nalevingsrisico’s die voortvloeien uit het niet naleven van toepasselijke wettelijke en regelgevende vereisten, contractuele verplichtingen of interne regels en gedragscodes – met inbegrip van ethische regels

– daadwerkelijk beoordeelt en beperkt, en ervoor zorgt dat bij alle wezenlijke beslissingen op het gebied van risicobeheer op adequate wijze rekening wordt gehouden met deze risico’s.

88.Bevoegde autoriteiten beoordelen of de interne auditfunctie op onafhankelijke wijze, in overeenstemming met het auditplan en het gedetailleerde werkprogramma, een objectieve zekerheid biedt over de geschiktheid en doeltreffendheid van het beleid, de procedures en de interne controles van de instelling en over de naleving van alle activiteiten van de instelling, met inbegrip van activiteiten die worden verricht door externe dienstverleners, van de wettelijke en regelgevingsvereisten. Waar van toepassing dienen de bevoegde autoriteiten te beoordelen of de groepsbrede interne auditfunctie onafhankelijk is, een groepsbreed, op risico’s gebaseerd auditplan heeft, en beschikt over voldoende middelen en rechtstreeks rapporteert aan het leidinggevend orgaan van het moederbedrijf.

²¹ DORA - Verordening (EU) nr. 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele veerkracht voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

1. Overzicht

Titel	Regelgeving
85. In assessing the institution’s internal control functions, competent authorities should assess …	In assessing the institution’s internal control functions, competent authorities should assess institution’s compliance with the EBA Guidelines on Internal Governance and the relevant provisions of the Regulation (EU) 2022/2554 (DORA)³⁰ . In this context, competent authorities should consider inter alia whether: a. the institution has an appropriate internal control framework covering all areas, consistent with the ‘three lines of defence’ model, including well -functioning, effective and independent risk management, compliance and internal audit functions; b. the heads of internal control functions (i) are established at an adequate hierarchical level that provides them with the appropriate authority and stature needed to fulfil their responsibilities, (ii) have direct access and can report directly to the management body in its supervisory function, and (iii) have all the resources necessary to perform their tasks; c. the institution has adequate written internal control policies effectively implemented and a clear allocation of responsibilities for the implementation of the framework, segregation of duties, sound administrative and accounting procedures and robust reporting arrangements. ³⁰ DORA - Regulation (EU) No 2022/2554 of the European Parliament and of the Council of 14 December 2022 on digital operational resilience for the financial sector and amending Regulations (EC) No 1060/2009, (EU)No 648/2012, (EU) No 600/2014, (EU) No 909/2014 and (EU) 2016/1011 (OJ L 333, 27.12.2022, p.1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).
86. Competent authorities should assess whether the risk management function covers the whole …	Competent authorities should assess whether the risk management function covers the whole institution, having a holistic view of all risks, is actively involved at an early stage in elaborating the institution’s risk strategy and monitors its effective implementation. Competent authorities should also determine whether the risk management function provides the management body with complete, updated and relevant risk-related information to enable setting the institution’s risk appetite level and related risk limits. Competent authorities should also consider the risk management function’s assessment of the robustness and sustainability of the risk strategy and appetite as well as its involvement in the evaluation of the impact of material changes or exceptional transactions on the institution’s and group’s (where applicable) overall risk.
87. Competent authorities should assess whether the compliance function effectively assesses and …	Competent authorities should assess whether the compliance function effectively assesses and mitigates compliance risks arising from non-compliance with applicable legal and regulatory requirements, contractual obligations or internal rules and codes of conduct, including rules on ethics, and ensures that all material risk management decisions adequately take into account these risks.
88. Competent authorities should assess whether the internal audit function independently reviews …	Competent authorities should assess whether the internal audit function independently reviews and provides objective assurance, in accordance with the audit plan and detailed work programme, on the appropriateness and effectiveness of the institution’s policies, procedures and internal controls and on the compliance of all the institution’s activities, including activities provided by third-party service providers, with legal and regulatory requirements. Where applicable, competent authorities should assess whether the group-wide internal audit function is independent, has a group-wide risk-based audit plan, has appropriate resources and stature and has a direct reporting line to the management body of the consolidating institution.

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

Eisen
Bron	Eis

3. Gerelateerde standaarden

Standaarden
Bron	Eis

EBA -
EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.