20 Interne auditfunctie

De interne auditfunctie, indien deze is ingesteld, is onafhankelijk en beschikt over voldoende gezag, status en middelen. De beleggingsonderneming zorgt er in het bijzonder voor dat de kwalificatie van de personeelsleden en de middelen van de interne auditfunctie, met name haar controle-instrumenten en risico-analysemethoden, toereikend zijn voor de omvang en locaties van de beleggingsonderneming, en voor de aard, schaal en complexiteit van de risico’s die inherent zijn aan het bedrijfsmodel, de activiteiten, de risicocultuur en de risicobereidheid van de beleggingsonderneming.

De interne auditfunctie is onafhankelijk van de gecontroleerde activiteiten. Daarom wordt de interne auditfunctie niet met andere functies gecombineerd.

De interne auditfunctie verschaft, op grond van een risicogebaseerd onderzoek, op onafhankelijke en objectieve wijze zekerheid dat alle activiteiten en eenheden van een beleggingsonderneming, met inbegrip van uitbestede activiteiten, in overeenstemming zijn met het beleid en de procedures van de beleggingsonderneming en de wettelijke vereisten. Elke entiteit binnen de groep ressorteert onder de interne auditfunctie.

De interne auditfunctie is niet betrokken bij het ontwerpen, selecteren, tot stand brengen en uitvoeren van specifiek beleid en specifieke mechanismen en procedures voor interne controle, en risicolimieten. Dit mag het leidinggevend orgaan in zijn bestuursfunctie er echter niet van weerhouden input van interne audit te vragen over kwesties die verband houden met risico’s, interne controles en naleving van toepasselijke regels.

De interne auditfunctie beoordeelt of het kader voor interne controle van de beleggingsonderneming zoals dat is uiteengezet in hoofdstuk 15, zowel effectief als doeltreffend is. De interne auditfunctie beoordeelt in het bijzonder:

• a. de geschiktheid van het governancekader van de beleggingsonderneming;
• b. of bestaand beleid en bestaande procedures toereikend blijven en voldoen aan juridische en regelgevingsvereisten en aan de risicostrategie en risicobereidheid van de beleggingsonderneming;
• c. of de procedures in overeenstemming zijn met de toepasselijke wet- en regelgeving en met besluiten van het leidinggevend orgaan;
• d. of de procedures op correcte en doeltreffende wijze ten uitvoer worden gelegd (bijv. nakoming van transacties, het risiconiveau dat daadwerkelijk wordt bereikt enz.); en
• e. de toereikendheid, kwaliteit en doeltreffendheid van de controles die worden uitgevoerd door en de verslaglegging die wordt gedaan door de diverse bedrijfsonderdelen en de risicobeheer- en compliancefuncties.

De interne auditfunctie controleert met name de integriteit van de processen en waarborgt daarbij de betrouwbaarheid van de methoden en technieken, en de aannames en informatiebronnen die in de interne modellen van de beleggingsonderneming worden gebruikt (bijv. risicomodellering en boekhoudkundige metingen). Voorts beoordeelt de interne auditfunctie de kwaliteit en het gebruik van de instrumenten voor kwalitatieve risico-identificatie en -beoordeling en de genomen risicobeperkende maatregelen.

De interne auditfunctie heeft binnen de gehele beleggingsonderneming onbelemmerde toegang tot alle gegevens, documenten, informatie en gebouwen van de beleggingsonderneming. Daartoe behoort ook toegang tot managementinformatiesystemen en notulen van alle comités en besluitvormingsorganen.

De interne auditfunctie neemt nationale en internationale professionele normen in acht. Een voorbeeld hiervan zijn de normen zoals vastgesteld door het Institute of Internal Auditors.

Interne auditwerkzaamheden worden verricht op basis van een auditplan en een gedetailleerd, risicogebaseerd auditprogramma.

Ten minste eenmaal per jaar wordt een intern auditplan opgesteld op basis van de jaarlijkse interne audit-controledoelstellingen. Het interne auditplan wordt goedgekeurd door het leidinggevend orgaan.

Alle auditaanbevelingen dienen op de passende managementniveaus te worden onderworpen aan een formele follow-upprocedure om de doeltreffende en tijdige omzetting ervan te waarborgen en rapporteren.