5.5. Komórki kontroli wewnętrznej

Oceniając komórki kontroli wewnętrznej instytucji, właściwe organy powinny ocenić, czy instytucja stosuje się do wytycznych EUNB w sprawie zarządzania wewnętrznego oraz czy przestrzega odpowiednich przepisów rozporządzenia (UE) 2022/2554 (DORA)²¹ . W tym kontekście właściwe organy powinny rozważyć między innymi, czy:

• a. instytucja posiada odpowiednie ramy kontroli wewnętrznej obejmujące wszystkie obszary, zgodne z modelem „trzech linii obrony”, w tym dobrze funkcjonujące, skuteczne i niezależne komórki ds. zarządzania ryzykiem, ds. zgodności i ds. audytu wewnętrznego;
• b. osoby kierujące komórkami kontroli wewnętrznej (i) są umiejscowione na właściwym szczeblu hierarchii, co zapewnia im odpowiednie uprawnienia i pozycję niezbędne do wypełniania powierzonych im obowiązków, (ii) mają bezpośredni dostęp do organu zarządzającego pełniącego funkcję nadzorczą i mogą bezpośrednio mu podlegać, oraz (iii) dysponują wszystkimi zasobami niezbędnymi do wykonywania swoich zadań;
• c. instytucja dysponuje odpowiednimi, sformułowanymi na piśmie zasadami kontroli wewnętrznej, które są skutecznie wdrażane, a także jasnym podziałem obowiązków w zakresie wdrażania tych zasad, rozdziałem obowiązków, rzetelnymi procedurami administracyjnymi i księgowymi oraz solidnymi mechanizmami sprawozdawczości.

²¹ DORA [ang. Regulation on digital operational resilience for the financial sector ] – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz.U. L 333 z 27.12.2022, s. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

Właściwe organy powinny ocenić, czy komórka ds. zarządzania ryzykiem obejmuje zakresem działania całą instytucję, czy zapewnia całościowe spojrzenie na wszystkie rodzaje ryzyka, czy aktywnie angażuje się na wczesnym etapie w opracowywanie strategii instytucji w zakresie ryzyka oraz czy monitoruje jej skuteczne wdrażanie. Właściwe organy powinny również ustalić, czy komórka ds. zarządzania ryzykiem przekazuje organowi zarządzającemu kompletne, aktualne i istotne informacje związane z ryzykiem, umożliwiające ustalenie poziomu apetytu na ryzyko i powiązanych z nim limitów. Właściwe organy powinny również uwzględnić przeprowadzoną przez komórkę ds. zarządzania ryzykiem ocenę solidności i realności strategii w zakresie ryzyka i apetytu na ryzyko, a także jej zaangażowanie w ocenę wpływu istotnych zmian lub transakcji nadzwyczajnych na ogólny profil ryzyka instytucji i grupy (w stosownych przypadkach).

Właściwe organy powinny ocenić, czy komórka ds. zgodności skutecznie ocenia i ogranicza ryzyko związane z nieprzestrzeganiem obowiązujących wymogów prawnych i regulacyjnych, zobowiązań umownych oraz wewnętrznych zasad i kodeksów postępowania, w tym zasad etycznych, a także czy dba o to, by we wszystkich istotnych decyzjach dotyczących zarządzania ryzykiem odpowiednio uwzględniano te rodzaje ryzyka.

Właściwe organy powinny ocenić, czy komórka ds. audytu wewnętrznego dokonuje przeglądów w sposób niezależny i zapewnia obiektywną pewność – zgodnie z planem audytu i szczegółowym programem prac – co do adekwatności i skuteczności polityk, procedur i mechanizmów kontroli wewnętrznej instytucji, a także co do zgodności wszystkich działań instytucji – w tym działań realizowanych przez zewnętrznych dostawców usług – z wymogami prawnymi i regulacyjnymi. W stosownych przypadkach właściwe organy powinny ocenić, czy komórka ds. audytu wewnętrznego na poziomie całej grupy jest niezależna, czy dysponuje planem audytu opartym na analizie ryzyka obejmującym całą grupę, czy posiada odpowiednie zasoby i status oraz czy podlega bezpośrednio organowi zarządzającemu instytucji konsolidującej