9.4 Ramy kontroli wewnętrznej

Właściwe organy powinny ocenić, czy wnioskująca instytucja kredytowa posiada odpowiednie ramy kontroli wewnętrznej, które są proporcjonalne do planowanej działalności instytucji kredytowej, jej modelu biznesowego, złożoności i powiązanych rodzajów ryzyka ( np. onboarding klientów przez internet, ochrona i zasady dotyczące cyberbezpieczeństwa). Właściwe organy powinny być przekonane o adekwatności przydzielonych zasobów ludzkich zarówno pod względem liczby etatów przeliczeniowych, jak i kwalifikacji, a także

• o adekwatności systemów i budżetu do wspierania realizacji zadań.

Właściwe organy powinny dokonać przeglądu dokumentacji wniosku i upewnić się, że podział zadań i obowiązków pozwoli organowi zarządzającemu na pełną znajomość struktury instytucji kredytowej⁴⁹ oraz pozwoli zapewnić, „aby komórki kontroli wewnętrznej były niezależne od kontrolowanych przez nie linii biznesowych, w tym zapewnić właściwy podział obowiązków, a także odpowiednie zasoby finansowe i ludzkie oraz uprawnienia umożliwiające skuteczne p ełnienie ich funkcji. Hierarchia służbowa oraz podział obowiązków, zwłaszcza między osobami pełniącymi najważniejsze funkcje w obrębie instytucji, powinny być jasne, dobrze określone, spójne, możliwe do wyegzekwowania oraz należycie udokumentowane”⁵⁰ .

⁴⁹ Punkt 71 wytycznych EUNB w sprawie zarządzania wewnętrznego .

⁵⁰ Punkt 68 wytycznych EUNB w sprawie zarządzania wewnętrznego .

Właściwe organy powinny uzyskać jasny pogląd, że ramy kontroli wewnętrznej obejmują wszystkie obszary instytucji i odzwierciedlają model trzech linii obrony w celu określenia funkcji służących do reagowania na ryzyko i zarządzania nim.

W tym celu właściwe organy powinny sprawdzić, czy wprowadzono rozwiązania gwarantujące, że jednostki biznesowe i pomocnicze, stanowiące pierwszą linię obrony, będą w pierwszej kolejności odpowiedzialne za identyfikację ryzyka, na które są narażone w trakcie prowadzenia działalności, oraz za zarządzanie nim, a także za ustanowienie i utrzymanie odpowiednich procesów i środków kontroli zapewniających analizę, pomiar, monitorowanie, należyte zgłaszanie i utrzymywanie tego ryzyka w granicach gotowości instytucji kredytowej do podejmo wania ryzyka oraz zapewniających jego zgodność z wewnętrznymi i zewnętrznymi wymogami regulacyjnymi.

Komórka ds. zarządzania ryzykiem i komórka ds. nadzoru zgodności z prawem, stanowiące drugą linię obrony, wraz z komórką audytu wewnętrznego, która jest trzecią linią obrony, tworzą komórki kontroli wewnętrznej w ramach kontroli wewnętrznej. Właściwe organy powinny sprawdzić, czy zostaną one ustanowione z uwzględnieniem kryteriów proporcjonalności określonych w pkt 17–21 oraz czy zostaną wyposażone w odpowiednie i wystarczające uprawnienia, status i bezpośredni dostęp do organu zarządzającego, aby mogły wypełniać swoją misję.

Aby zapewnić zgodność komórek kontroli wewnętrznej z wymogami dotyczącymi niezależności⁵¹ , właściwe organy powinny sprawdzić, czy na podstawie dokumentacji wniosku przewiduje się następujące warunki:

• (a) ich pracownicy nie wykonują żadnych zadań operacyjnych wchodzących w zakres działalności, którą komórki kontroli wewnętrznej mają monitorować i kontrolować;
• (b) są one oddzielone organizacyjnie od działalności, którą mają monitorować i ko ntrolować;
• (c) niezależnie od ogólnej odpowiedzialności członków organu zarządzającego za instytucję kierownik komórki kontroli wewnętrznej nie powinien podlegać osobie ponoszącej odpowiedzialność za zarządzanie działalnością, którą monitoruje i kontroluje komórka kontroli wewnętrznej;
• (d) wynagrodzenie pracowników komórek kontroli wewnętrznej nie powinno być uzależnione od wyników działalności, którą monitoruje i kontroluje komórka kontroli wewnętrznej, oraz nie powinno w inny sposób potencjalnie n egatywnie wpływać na ich obiektywizm.

⁵¹ Zobacz pkt 175 wytycznych EUNB w sprawi e zarządzania wewnętrznego .

Właściwe organy powinny sprawdzić, czy kierownicy komórek kontroli wewnętrznej spełniają następujące wymagania:

• a) będą znajdować się na odpowiednim poziomie hierarchii, który zapewnia kierownikowi komórki kontrolnej odpowiednie uprawnienia i status niezbędne do wypełniania jego obowiązków;
• b) będą niezależni od kontrolowanych przez siebie linii biznesowych lub jednostek;
• c) będą podlegać organowi zarządzającemu oraz ponosić bezpośrednią odpowiedzialność przed nim, a oceny ich wyników powinien dokonywać organ zarządzający;
• d) w razie konieczności będą mieć dostęp do organu zarządzającego pełniącego funkcję nadzorczą i bezpośrednio go informować, aby zwrócić uwagę na zagrożenia i ostrzec, gdy jest to wskazane, jeśli konkretne czynniki wpływają albo mogą wpłynąć na instytucję.

Aby zapewnić możliwość skutecznego wykonywania funkcji kontroli wewnętrznej, właściwe organy powinny upewnić się, że przydzielono jej wystarczające zasoby budżetowe i ludzkie

• o odpowiednich kwalifika cjach, z uwzględnieniem rodzajów docelowych działań, oraz że do ich dyspozycji jest odpowiedni system ICT i wsparcie. 9.4.2 Komórka ds. zarządzania ryzykiem

Właściwe organy powinny upewnić się, że w ramach kontroli wewnętrznej instytucja kredytowa będzie posiadać całościowy system zarządzania ryzykiem obejmujący całą instytucję kredytową, w pełni uwzględniający istotę ekonomiczną wszystkich ekspozycji instytucji kredytowej na ryzyko.

Właściwe organy powinny być przekonane, że komórka zarządzania ryzykiem (KZR) uł atwi wdrożenie solidnych ram zarządzania ryzykiem w całej instytucji oraz że jej rola w instytucji kredytowej obejmuje zaangażowanie w: a) strategię i decyzje dotyczące ryzyka; b) ocenę istotnych zmian; c) identyfikację, pomiar, ocenę, zarządzanie, ograniczanie, monitorowanie i sprawozdawczość w zakresie ryzyka; d) ocenę naruszeń w zakresie gotowości do podejmowania ryzyka lub limitów ryzyka oraz zalecanie środków naprawczych. W tym celu właściwe organy powinny również dokonać przeglądu założeń strategii zarządzania takim ryzykiem i ocenić te założenia, w tym oświadczenie o tolerancji na ryzyko i gotowości do podejmowania ryzyka oraz środki mające na celu dostosowanie ocenianego ryzyka do gotowości do podejmowania ryzyka.

Jeśli chodzi o rolę KZR w strategii ryzyka i procesie decyzyjnym, celem przeglądu dokonywanego przez właściwe organy powinno być sprawdzenie, czy wniosek przewiduje aktywny udział KZR w opracowywaniu strategii ryzyka instytucji kredytowej na wczesnym etapie jej istnienia, w zapewnianiu, by i nstytucja kredytowa dysponowała skutecznymi procesami zarządzania ryzykiem oraz w dostarczaniu organowi zarządzającemu wszelkich istotnych informacji związanych z ryzykiem, umożliwiających ustalenie poziomu gotowości instytucji kredytowej do podejmowania r yzyka. Właściwe organy powinny dopilnować, aby KZR była uprawniona do oceny solidności i trwałości strategii ryzyka i gotowości do podejmowania ryzyka oraz aby ten ostatni został odpowiednio przełożony na konkretne limity ryzyka, w tym na poziomie jednoste k gospodarczych, oraz aby była zaangażowana na etapie przed podjęciem przez organ zarządzający decyzji dotyczącej strategii ryzyka.

Jeśli chodzi o rolę KZR w ocenie istotnych zmian, właściwe organy powinny sprawdzić, czy przewiduje się zaangażowanie KZR przed podjęciem decyzji o transakcjach nadzwyczajnych, tak aby mogła ona ocenić wpływ takich zmian i transakcji nadzwyczajnych na ogólne ryzyko instytucji kredytowej oraz przekazać swoje ustalenia bezpośrednio organowi zarządzającemu przed podjęciem decyzji.

Jeżeli chodzi o rolę KZR w identyfikacji, pomiarze, monitorowaniu, minimalizacji i raportowaniu ryzyka oraz związanych z tym koncentracji ryzyka, które mają być zatwierdzone przez organ zarządzający, właściwe organy powinny upewnić się, że istnieją polity ka i procedury oraz że KZR będzie miała dostęp do wszystkich linii biznesowych i innych jednostek, które mogą potencjalnie generować ryzyko.

Rola KZR powinna również obejmować dokonywanie niezależnej oceny przypadków naruszeń w zakresie gotowości do podejmowania ryzyka lub limitów ryzyka (w tym ustalanie ich przyczyn oraz analiza pod kątem prawnym i ekonomicznym rzeczywistego kosztu zamknięcia, redukcji lub zabezpieczenia ekspozycji w porównaniu z potencjalnym kosztem jej utrzymywania). Strategia powinna przywidywać, że KZR będzie informować właściwe jednostki gospodarcze oraz organ zarządzający i zalecać możliwe działania naprawcze. W tym celu KZR powinna móc przedstawić sprawozdanie bezpośrednio organowi zarządzającemu pełniącemu funkcję nadzorczą, bez uszczerbku dla sprawozdawczości KZR dla innych wewnętrznych komórek i komitetów.

9.4.3 Polityka wynagrodzeń

Jeżeli chodzi o zarys polityki wynagrodzeń, oprócz oceny zgodności z wymogami dotyczącymi neutralności pod względem płci na mocy art. 92 ust. 2 lit. aa) CRD, właściwe organy powinny zwrócić szczególną uwagę na sprawdzenie, czy założenia polityki dotyczącej członków personelu, których działalność zawodowa ma istotny wpływ na profil ryzyka instytucji kredytowej⁵² , są zgodne z art. 94 CRD i wytycznym i EUNB dotyczącymi prawidłowej polityki wynagrodzeń .

⁵² Przekazanych zgodnie z regulacyjnymi standardami technicznymi dotyczącymi informacji w zakresie zezwoleń.

W szczególności powinny one ocenić, czy: a) założenia polityki wynagrodzeń są zgodne z przewidywaną gotowością instytucji do podejmowania ryzyka, jej strategią biznesową i jej długoterminowymi interesami oraz czy przewiduje się, że polityka ta będzie utrzymywana, zatwierdzana i nadzorowana przez organ zarządzający; b) przewiduje się, że pracownicy, którzy mają istotny wpływ na profil ryzyka instytucji, będą odpowiednio określani zgodnie z art. 92 ust. 3 i art. 94 ust. 3 CRD; c) przewiduje się szczególne wymogi dotyczące wynagrodzeń dla tych konkretnych pracowników, między innymi (i) stosunek składników wynagrodzenia zmiennego do składników wynagrodzenia stałego zgodnie z art. 94 ust. 1 lit. g) CRD oraz (ii) wypłatę w instrumentach, ustalenia dotyczące zmniejszenia wysokości lub cofnięcia wypłaty zgodnie z art. 94 ust. 1 lit. l), m) i n) CRD⁵³ .

9.4.4 Komórka ds. nadzoru zgodności z prawem

⁵³ W szczególności w odniesieniu do odstępstw przewidzianych w art. 94 ust. 3 i 4 CRD.

Właściwe organy powinny sprawdzić, czy przewiduje się, że komórka ds. nadzor u zgodności z prawem będzie zarządzać ryzykiem braku zgodności, doradzać organowi zarządzającemu w zakresie środków, które należy podjąć w celu zapewnienia zgodności z obowiązującymi przepisami, zasadami, regulacjami i standardami, oraz wdrażać, pod nadzor em organu zarządzającego, politykę i procesy mające na celu zarządzanie ryzykiem braku zgodności i zapewnienie zgodności. Właściwe organy powinny sprawdzić, czy komórka ds. nadzoru zgodności z prawem jest odpowiednio zorganizowana pod względem rodzajów i geograficznego rozmieszczenia działalności (np. zgodność z obowiązującym prawem krajowym różnych jurysdykcji w przypadku działalności transgranicznej ), ryzyka i złożoności zgodnie z modelem biznesowym i oceną biznesplanu przeprowadzoną zgodnie z sekcją 7 niniejszych wytycznych.

Komórka ds. nadzoru zgodności z prawem powinna zapewnić, aby monitorowanie zgodności z prawem było prowadzone w ramach ustrukturyzowanego i należycie określonego programu monitorowania zgodności oraz aby przestrzegano polityki zgodnoś ci z przepisami. Strategia powinna przywidywać, że komórka ds. nadzoru zgodności z prawem i KZR będą w stosownych przypadkach współpracować i wymieniać informacje, aby móc wykonywać swoje zadania.

Właściwe organy powinny również sprawdzić, czy komórka ds. nadzoru zgodności z prawem będzie weryfikować, w ścisłej współpracy z KZR i działem prawnym, czy nowe produkty i procedury są zgodne z obecnymi ramami prawnymi , a także, w stosownych przypadkach, ze wszelkimi znanymi nadchodzącymi zmianami przepisów, regul acji i wymogów nadzorczych.

Właściwe organy powinny sprawdzić, czy przewiduje się utworzenie komórki ds. nadzoru zgodności z przepisami dotyczącymi przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu w celu zapewnienia zgodności z konkretnymi regulacjami w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu i z polityką wewnętrzną, w ramach komórki ds. nadzoru zgodności z prawem lub niezależnie od niej.

9.4.5 Polityka przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu

Właściwe organy powinny sprawdzić, czy polityka przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, przedłożona przez wnioskującą instytucję kredytową zgodnie z art. 5 ust. 1 lit. c) pkt (iii) regulacyjnych standardów technicznych dotyczących informacji w za kresie zezwoleń, zawiera przegląd kluczowych strategii i procedur, określonych w art. 8 ust. 3 dyrektywy w sprawie przeciwdziałania praniu pieniędzy, które zostaną wdrożone w celu przeciwdziałania ryzyku związanemu z praniem pieniędzy i finansowaniem terroryzmu. W tym celu właściwe organy wezmą pod uwagę kryteria proporcjonalności określone w pkt 17–21.

Właściwe organy powinny sprawdzić, czy założenia obejmują wszystkie elementy określone w art. 8 ust. 4⁵⁴ dyrektywy w sprawie przeciwdziałania praniu pieniędzy, oraz uzasadnić, w jaki sposób w nioskująca instytucja kredytowa zapewni możliwość ograniczania ryzyka związanego z praniem pieniędzy i finansowaniem terroryzmu oraz skutecznego zarządzania tym ryzykiem, na które jest narażona od dnia uzyskania dostępu do rynku.

9.4.6 Komórka audytu wewnętrzneg o

⁵⁴ Zgodnie z treścią artykułu: „Strategie, środki kontroli i procedury, o których mowa w ust. 3, obejmują: (a) opracowanie wewnętrznych strategii, środków kontroli i procedur, obejmujących wzorcowe praktyki dotyczące zarządzania ryzykiem, zasady należytej staranności wobec klienta, procedury zgłaszania, przechowywanie dokumentacji, kontrolę wewnętrzną, zarządzanie zgodnością z przepisami, w tym, o ile jest to stosowne z uwagi na wielkość i charakter działalności, wyznaczenie pracownika odpowiedzialnego za zapewnienie zgodności z odpowiednimi przepisami na szczeblu kadry kierowniczej, oraz kontrole pracowników; (b) o ile jest to stosowne z uwagi na wielkość i charakter działalności – zapewnienie niezależnej funkcji audytu w celu sprawdzenia wewnętrznych strategii, środków kontroli i procedur, o których mowa w lit. a)”.

Właściwe organy, biorąc pod uwagę kryteria proporcjonalności określone w pkt 17–21 , powinny ocenić niezależność i skuteczność komórki audytu wewnętrznego (KAW) ustanowionej przez wnioskującą instytucję kredytową. Właściwe organy powinny uzyskać jasny pogląd, że KAW, w oparciu o analizę ryzyka, bę dzie w stanie niezależnie oceniać zgodność wszystkich działań i jednostek instytucji kredytowej (w tym czynności objętych outsourcingiem) z jej polityką i procedurami oraz innymi wymogami zewnętrznymi (innymi niż ostrożnościowe), a także dostarczyć obiekty wne zapewnienie tej zgodności.

W tym celu właściwe organy powinny ocenić, czy KAW posiada niezależność organizacyjną, a obiektywizm audytorów wewnętrznych jest chroniony poprzez bezpośrednie raportowanie do organu zarządzającego oraz czy audytorzy posiadają odpowiednie zasoby, aby wykonywać swoje zadania. W tym celu należy również zapewnić KAW swobodny dostęp do wszystkich ewidencji, dokumentów, informacji i budynków w całej instytucji w celu pełnienia jej funkcji.

Właściwe organy powinny również ocenić, czy KAW powierzono co najmniej następujące zadania:

• a) zapewnienie odpowiedniości ram kontroli wewnętrznej, w tym zapewnienie, aby polityka i procedury były odpowiednie i zgodne z wymogami prawnymi oraz regulacyjnymi;
• b) opracowanie planu audytu co najmniej raz w roku na podstawie rocznych celów kontroli audytu wewnętrznego, który to plan ma zostać zatwierdzony przez organ zarządzający;
• c) przedstawianie zaleceń opartych na wynikach jej działań.

Powinny one również sprawdzić, czy założenia metodyki i plan audytu wewnętrznego obejmujący pierwsze trzy lata działalności, w tym audyt usług zewnętrznych, są zgodne ze strukturą organizacyjną, rodzajami działalności i profilem ryzyka wynikającymi z biznesplanu ocenionego zgodnie z sekcją 7.

9.4.7 Polityka i plan w zakresie odporności operacyjnej i ciągłości działania

Założenia polityki i planu ciągłości działania powinny gwarantować, że wnioskodawca będzie dysponował skutecznym planem zarządzania ciągłością działania w celu zapewnienia zdolności do prowadzenia bieżącej działalności i ograniczenia strat w przypadku poważnego zakłócenia działalności. Założenia powinny zapewniać, aby polityka i plan ciągłości działania obejmowały analizę głównych zagrożeń związanych z zakłóceniem działalności oraz przegląd środków łagodzących, a ta kże regularne testowanie planu ciągłości działania.

9.4.8 Polityka i systemy ICT

Właściwe organy powinny ocenić, czy polityka ICT zapewni instytucji kredytowej niezawodne systemy informacyjno- komunikacyjne oraz czy systemy te będą w stanie w pełni wspierać zdoln ości w zakresie agregacji danych dotyczących ryzyka w normalnych warunkach, jak również w warunkach skrajnych. Właściwe organy powinny zwłaszcza ocenić, czy instytucja kredytowa będzie posiadać co najmniej zdolność do:

• a) generowania dokładnych i wiarygodnych danych dotyczących ryzyka;
• b) gromadzenia i agregowania danych o wszystkich istotnych rodzajach ryzyka występujących w całej instytucji;
• c) terminowego generowania zagregowanych i aktualnych danych;
• d) generowania zagregowanych danych o ryzyku, które to dane można przedstawić w odpowiedzi na żądanie organu zarządzającego lub właściwych organów;
• e) zapewnienia solidnego, niezawodnego i bezpiecznego funkcjonowania systemów informacyjno- komunikacyjnych wspierających ukierunkowaną działalność instytucji.

W odniesieniu do ryzyka związanego z technologiami i bezpieczeństwem ICT⁵⁵ właściwe organy powinny upewnić się, że ramy zarządzania zapewnią skuteczne, niezawodne i bezpieczne funkcjonowanie systemów informacyjno- komunikacyjnych wspierających działalność instytucji kredytowych, a także odpowiednie zapobieganie ryzyku związanemu z ICT w normalnych warunkach i w warunkach skrajnych oraz monitorowanie i ograniczanie tego ryzyka . Właściwe organy powinny w szczególności ocenić:

• a) czy organ zarządzający ponosi ogólną odpowiedzialność za ustalenie, zatwierdzenie i nadzorowanie realizacji strategii ICT przez instytucje finansowe w ramach ich ogólnej strategii biznesowej;
• b) czy jasno określono i przypisano najważniejsze role i obowiązki oraz stosowną hierarchię służbową w celu zapewnienia skuteczności ram zarządzania ryzykiem związanym z technologiami i bezpieczeństwem ICT, w tym zapewniono odpowiedni budżet w celu odpowiedniego wsparcia potrzeb operacyjnych ICT oraz zarządzania ryzykiem związanym z technologiami i bezpieczeństwem ICT;
• c) czy zarządzanie ryzykiem związanym z technologiami i bezpie czeństwem ICT oraz nadzór nad nim powierzono niezależnej i obiektywnej funkcji kontrolnej, odpowiednio oddzielonej od procesów operacyjnych ICT i nieodpowiadającej za audyt wewnętrzny, oraz niezależnej komórce audytu wewnętrznego;
• d) rozwiązania zapewniające określenie, ustanowienie i utrzymanie zaktualizowanego schematu funkcji biznesowych, ról i procesów pomocniczych w celu określenia znaczenia każdej i każdego z nich oraz zależności między nimi w związku z ryzykiem związanym z technologiami i bezpieczeństwem ICT;
• e) w zakresie, w jakim informacje są przechowywane w systemach ICT, czy zostaną ustanowione wymogi dotyczące bezpieczeństwa informacji;
• f) skalę i stopień złożoności oraz znaczenie zależności związanych z ICT, jeżeli przewiduje się outsourcing funkcji ope racyjnych usług ICT i jakiejkolwiek działalności systemów ICT – w tym do podmiotów z grupy – lub korzystanie z usług osób trzecich w odniesieniu do takich funkcji i działalności.

⁵⁵ Zgodnie z definicją zawartą w wytycznych EUNB w sprawie zarządzania ryzykiem związanym z technologiami i bezpieczeństwem ICT „ryzyko związane z technologiami i bezpieczeństwem ICT” oznacza: „[r]yzyko strat wynikające z naruszenia poufności, nieprzestrzegania integralności systemów i danych, nieodpowiedniości lub niedostępności systemów i danych, lub też niezdolności do zmiany technologii informacyjnej w rozsądnym czasie i przy uwzględnie niu rozsądnych kosztów w przypadku zmiany wymogów w zakresie otoczenia lub prowadzenia działalności gospodarczej (tj. elastyczność). Obejmuje to ryzyko związane z bezpieczeństwem ICT wynikające z nieodpowiednich lub niepomyślnie zrealizowanych procesów wew nętrznych lub zdarzeń zewnętrznych, w tym cyberataków lub nieodpowiedniego zabezpieczenia fizycznego”.