22 Interne auditfunctie

Instellingen dienen een onafhankelijke en doeltreffende interne auditfunctie (IAF) in te stellen, rekening houdend met de in titel I uiteengezette evenredigheidsbeginselen, en dienen een persoon te benoemen die binnen de gehele instelling verantwoordelijk is voor deze functie. De IAF dient onafhankelijk te zijn en over voldoende gezag, status en middelen te beschikken. De instelling dient er in het bijzonder voor te zorgen dat de kwalificatie van de personeelsleden en de middelen van de IAF, met name haar controle-instrumenten en risico-analysemethoden, toereikend zijn voor de omvang en locaties van de instelling, en voor de aard, schaal en complexiteit van de risico’s die inherent zijn aan het bedrijfsmodel, de werkzaamheden, de risicocultuur en de risicobereidheid van de instelling.

De IAF dient onafhankelijk te zijn van de gecontroleerde activiteiten. De interne auditfunctie dient daarom niet met andere functies te worden gecombineerd.

De IAF dient, op grond van een op risico’s gebaseerde benadering, op onafhankelijke wijze een oordeel te geven en op objectieve wijze zekerheid te verschaffen dat alle activiteiten en eenheden van een instelling, met inbegrip van uitbestede activiteiten, het beleid en de procedures van de instelling en de wettelijke vereisten naleven. Elke entiteit binnen de groep dient onder de IAF te ressorteren.

De IAF dient niet betrokken te zijn bij het ontwerpen, selecteren, tot stand brengen en uitvoeren van specifiek beleid en specifieke mechanismen en procedures voor interne controle, en risicolimieten. Dit dient het leidinggevend orgaan in zijn bestuursfunctie er echter niet van te weerhouden om input te vragen van interne audit over kwesties die verband houden met risico’s, interne controles en naleving van toepasselijke regels.

De IAF dient te beoordelen of het kader voor interne controle van de instelling zoals dat is uiteengezet in hoofdstuk 15 zowel effectief als doeltreffend is. De IAF dient in het bijzonder het volgende te beoordelen:

• a. de geschiktheid van het governancekader van de instelling;
• b. of bestaand beleid en bestaande procedures toereikend blijven en voldoen aan juridische en regelgevingsvereisten en aan de risicostrategie en risicobereidheid van de instelling;
• c. of de procedures in overeenstemming zijn met de toepasselijke wet- en regelgeving en met besluiten van het leidinggevend orgaan;
• d. of de procedures op correcte en doeltreffende wijze worden uitgevoerd (bijv. nakoming van transacties, het risiconiveau dat daadwerkelijk wordt bereikt enz.); en
• e. de toereikendheid, kwaliteit en doeltreffendheid van de controles die worden uitgevoerd door en de verslaglegging die wordt gedaan door de diverse bedrijfsonderdelen en de risicobeheer- en nalevingsfuncties.

De IAF dient met name de integriteit van de processen te controleren en daarbij de betrouwbaarheid te waarborgen van de methoden en technieken, en de aannames en informatiebronnen die in de interne modellen van de instelling worden gebruikt (bijv. risicomodellering en boekhoudkundige metingen). Voorts dient de IAF de kwaliteit en het gebruik van de instrumenten voor kwalitatieve risico-identificatie en -beoordeling en de genomen risicobeperkende maatregelen te beoordelen.

De IAF dient onbelemmerde instellingsbrede toegang te hebben tot alle gegevens, documenten, informatie en gebouwen van de instelling. Daartoe behoort ook toegang tot managementinformatiesystemen en notulen van alle comités en besluitvormingsorganen.

De IAF dient nationale en internationale beroepsnormen in acht te nemen. Een voorbeeld hiervan zijn de normen zoals vastgesteld door het Institute of Internal Auditors.

Werkzaamheden in het kader van de interne-auditfunctie dienen te worden verricht op basis van een auditplan en een gedetailleerd op risico’s gebaseerd auditprogramma.

Ten minste eenmaal per jaar dient een intern auditplan te worden opgesteld op basis van de jaarlijkse interne audit-controledoelstellingen. Het interne auditplan dient te worden goedgekeurd door het leidinggevend orgaan.

Alle auditaanbevelingen dienen op de passende managementniveaus te worden onderworpen aan een formele follow-upprocedure om de doeltreffende en tijdige omzetting ervan te waarborgen en rapporteren.