16 Invoering van een kader voor interne controle

Het leidinggevend orgaan dient verantwoordelijk te zijn voor de totstandbrenging en monitoring van de adequaatheid en doeltreffendheid van het kader voor interne controle, zijn procedures en mechanismen, en voor het toezicht op alle bedrijfsonderdelen en interne eenheden, met inbegrip van interne controlefuncties (zoals risicobeheer, naleving, AML/CTF-naleving als dat een afzonderlijke controlefunctie is, en interne auditfuncties). Instellingen dienen door het leidinggevend orgaan goed te keuren adequaat schriftelijk beleid en adequate schriftelijke mechanismen en procedures voor interne controle op te stellen, deze te handhaven regelmatig bij te werken.

Een instelling dient te beschikken over een duidelijk, transparant en gedocumenteerd besluitvormingsproces en te zorgen voor een heldere toewijzing van verantwoordelijkheden en bevoegdheden binnen haar kader voor interne controle, met inbegrip van haar bedrijfsonderdelen, interne eenheden en interne controlefuncties.

Instellingen dienen alle personeelsleden van dit beleid en van deze mechanismen en procedures op de hoogte te stellen, evenals van belangrijke wijzigingen daarop.

Bij de implementatie van het kader voor interne controle dienen instellingen een adequate scheiding van taken tot stand te brengen – waarbij bijvoorbeeld conflicterende activiteiten binnen de verwerking van transacties of bij het verlenen van diensten, alsmede toezichts- en rapportageverantwoordelijkheden in verband met conflicterende activiteiten aan verschillende personen worden toegewezen – en informatiebarrières op te stellen, bijvoorbeeld door middel van de fysieke scheiding van bepaalde afdelingen.

De interne controlefuncties dienen te controleren of het beleid, de mechanismen en de procedures die worden uiteengezet in het kader voor interne controle, correct ten uitvoer worden gelegd in hun respectieve bevoegdheidsgebieden.

Interne controlefuncties dienen regelmatig schriftelijk verslag uit te brengen aan het leidinggevend orgaan over grote vastgestelde gebreken. Deze verslagen dienen voor elk nieuw vastgesteld belangrijk gebrek de relevante betrokken risico’s, een effectbeoordeling, aanbevelingen en te nemen corrigerende maatregelen te bevatten. Het leidinggevend orgaan dient de bevindingen van de interne controlefuncties tijdig en doeltreffend op te volgen en toereikende herstelacties te vereisen. Er dient een formele follow-upprocedure voor bevindingen en corrigerende maatregelen te worden opgesteld.