15 Wdrażanie ram kontroli wewnętrznej

Organ zarządzający powinien być odpowiedzialny za ustanowienie i monitorowanie adekwatności oraz skuteczności ram kontroli wewnętrznej, procesów i mechanizmów, a także za nadzorowanie wszystkich linii biznesowych i jednostek wewnętrznych, w tym komórek kontroli wewnętrznej (takich jak komórki ds. zarządzania ryzykiem, ds. nadzoru zgodności z przepisami o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu – jeśli funkcjonują oddzielnie od komórki ds. nadzoru zgodności z prawem, oraz komórki zarządzania ryzykiem i audytu wewnętrznego, o ile ustanowione). Firmy inwestycyjne powinny ustanowić, utrzymywać i regularnie aktualizować odpowiednią pisemną politykę, mechanizmy i procedury kontroli wewnętrznej, które powinny zostać zatwierdzone przez organ zarządzający. W przypadku braku komórki zarządzania ryzykiem organ zarządzający jest odpowiedzialny za ustanowienie i monitorowanie odpowiednich procedur i polityki zarządzania ryzykiem.

Firma inwestycyjna powinna wdrożyć jasny, przejrzysty i udokumentowany proces decyzyjny oraz jasny podział obowiązków i uprawnień związanych z ramami kontroli wewnętrznej, obejmujący jej linie biznesowe, jednostki wewnętrzne i komórki kontroli wewnętrznej.

Firmy inwestycyjne powinny poinformować wszystkich pracowników o polityce, mechanizmach i procedurach kontroli wewnętrznej za każdym razem, gdy zostają w nich wprowadzone istotne zmiany.

Komórki kontroli wewnętrznej powinny sprawdzać, czy polityka, mechanizmy i procedury określone w ramach kontroli wewnętrznej są prawidłowo wdrażane w poszczególnych obszarach, za które komórki te odpowiadają.

Komórki kontroli wewnętrznej powinny regularnie przekazywać organowi zarządzającemu pisemne sprawozdania na temat najważniejszych wykrytych uchybień. W przypadku każdego nowego wykrytego poważnego uchybienia sprawozdania te powinny zawierać informację o związanych z tym zagrożeniach, ocenę wpływu, zalecenia i działania naprawcze, które należy podjąć. Organ zarządzający powinien odpowiednio szybko i skutecznie reagować na ustalenia funkcji kontroli wewnętrznej oraz żądać adekwatnych działań naprawczych. Należy opracować formalną procedurę reagowania na dokonane ustalenia i podejmowania działań naprawczych.