20 Komórka audytu wewnętrznego

Komórka audytu wewnętrznego (KAW) powinna być niezależna oraz dysponować wystarczającymi uprawnieniami, statusem i zasobami. W szczególności firma inwestycyjna powinna zapewnić, aby kwalifikacje pracowników KAW oraz zasoby KAW, a zwłaszcza jej narzędzia audytu i metody analizy ryzyka, były stosowne do wielkości i lokalizacji firmy inwestycyjnej, a także charakteru, skali i złożoności ryzyka związanego z modelem biznesowym firmy inwestycyjnej, jej działalnością, kulturą ryzyka i gotowością do podejmowania ryzyka.

KAW powinna być niezależna od działalności podlegającej audytowi. Dlatego też KAW nie powinna być łączona z żadną inną komórką.

KAW powinna, na podstawie analiz y ryzyka, niezależnie oceniać zgodność wszystkich działań i jednostek firmy inwestycyjnej (w tym czynności objętych outsourcingiem) z jej polityką i procedurami oraz wymogami zewnętrznymi, a także dostarczyć obiektywnego zapewnienia tej zgodności. Każdy podmiot należący do grupy powinien być objęty zakresem działań KAW.

KAW nie powinna uczestniczyć w projektowaniu, wyborze, ustanawianiu ani wdrażaniu konkretnej polityki, mechanizmów i procedur kontroli wewnętrznej, a także limitów ryzyka. Nie powinno to jednak powstrzymywać organ u zarządzającego w ramach jego funkcj i zarządczej przed żądaniem od komórki audytu wewnętrznego przekazywania informacji w sprawach związanych z ryzykiem, kontrolą wewnętrzną i przestrzeganiem obowiązujących zasad.

KAW powinna oceniać, czy ramy kontroli wewnętrznej firmy inwestycyjnej określone w sekcji 15 są skuteczne i efektywne. W szczególności KAW powinna oceniać:

• a. odpowiedniość ram zarządzania w firmie inwestycyjnej;
• b. czy dotychczasowa polityka i procedury są nadal odpowiednie i zgodne z wymogami prawnymi oraz regulacyjnymi, a także ze strategią firmy inwestycyjnej w zakresie ryzyka i jej gotowością do podejmowania ryzyka;
• c. zgodność procedur z obowiązującymi przepisami i regulacjami oraz decyzjami organu zarządzającego;
• d. czy procedury są prawidłowo i skutecznie wdrażane (np. zgodność transakcji, poziom efektywnie ponoszonego ryzyka itp.); oraz
• e. odpowiedniość, jakość i skuteczność realizowania czynności kontrolnych oraz sprawozdawczych przez jednostki biznesowe (pierwsza linia obrony), a także komórki ds. zarządzania ryzykiem i ds. nadzoru zgodności z prawem.

KAW powinna zwłaszcza weryfikować rzetelność procesów zapewniających wiarygodność metod i technik stosowanych przez firmę inwestycyjną, a także założeń oraz źródeł informacji wykorzystywanych w jej modelach wewnętrznych (np. modelowania ryzyka i wycen y księgowej). Powinna także oceniać jakość i sposób wykorzystania narzędzi służących do jakościowej identyfikacji i oceny ryzyka oraz środków wdrożonych w celu minimalizacji ryzyka.

KAW powinna mieć swobodny dostęp do całej ewidencji, dokumentów, informacji i budynków firmy inwestycyjnej. Powinno to obejmować dostęp do systemów informacji zarządczej oraz protokołów z posiedzeń wszystkich komitetów i organów decyzyjnych.

KAW powinna przestrzegać krajowych i międzynarodowych standardów zawodowych. Przykładem standardów zawodowych, o których jest mowa, są standardy ustanowione przez Instytut Audytorów Wewnętrznych.

Prace w ramach audytu wewnętrznego powinny być prowadzone zgodnie z planem audytu oraz szczegółowym programem audytu w oparciu o analizę ryzyka.

P lan audytu wewnętrznego powinien być sporządzany co najmniej raz w roku na podstawie rocznych celów kontrolnych audytu wewnętrznego. Plan audytu wewnętrznego powinien zostać zatwierdzony przez organ zarządzający.

Wszystkie zalecenia z audytu powinny skutkować formalnymi działaniami następczymi podejmowanymi na odpowiednich szczeblach kierownictwa w celu zapewnienia rozwiązania problemów w skuteczny i terminowy sposób i przedłożenia stosownych sprawozdań.