16. Komórka ds. audytu wewnętrznego

Komórka ds. audytu wewnętrznego (KAW), o ile istnieje, powinna być niezależna oraz dysponować wystarczającymi uprawnieniami, rangą i zasobami. W szczególności emitenci tokenów powiązanych z aktywami powinni zapewnić, aby kwalifikacje pracowników KAW oraz zasoby KAW, zwłaszcza jej narzędzia audytu i metody analizy ryzyka, były stosowne do wielkości i lokalizacji emitenta tokenów powiązanych z aktywami, a także charakteru, skali i złożoności ryzyka związanego z modelem biznesowym emitenta tokenów powiązanych z aktywami, jego działalnością, kulturą ryzyka i apetytem na ryzyko.

KAW powinna być niezależna od działalności podlegającej audytowi. Dlatego też KAW nie powinna być łączona z żadną inną komórką.

KAW powinna, przy zastosowaniu podejścia opartego na ocenie ryzyka, niezależnie dokonywać przeglądu zgodności całej działalności i jednostek emitenta tokenów powiązanych z aktywami, w tym korzystania z podmiotów zewnętrznych, z jego polityką i procedurami oraz zewnętrznymi wymogami regulacyjnymi, a także przedstawić obiektywne zapewnienia tej zgodności.

KAW nie powinna uczestniczyć w projektowaniu, wyborze, ustanawianiu ani wdrażaniu konkretnej polityki, mechanizmów i procedur kontroli wewnętrznej, a także limitów ryzyka. Nie powinno to jednak powstrzymywać organu zarządzającego pełniącego funkcję zarządczą przed żądaniem od komórki ds. audytu wewnętrznego przekazywania informacji w sprawach związanych z ryzykiem, kontrolą wewnętrzną i przestrzeganiem obowiązujących zasad.

KAW powinna oceniać, czy ramy kontroli wewnętrznej emitenta tokenów powiązanych z aktywami określone w tytule V są skuteczne i efektywne. W szczególności KAW powinna oceniać:

• a. odpowiedniość ram zarządzania u emitenta tokenów powiązanych z aktywami;
• b. czy dotychczasowe polityka i procedury są nadal odpowiednie i zgodne z wymogami prawnymi oraz regulacyjnymi, a także z określoną przez emitenta tokenów powiązanych z aktywami strategią w zakresie ryzyka i jego apetytem na ryzyko;
• c. zgodność procedur z obowiązującymi przepisami i regulacjami oraz decyzjami organu zarządzającego;
• d. czy procedury są prawidłowo i skutecznie wdrażane (np. zgodność transakcji, poziom faktycznie ponoszonego ryzyka itp.); oraz
• e. odpowiedniość, jakość i skuteczność realizowania czynności kontrolnych oraz sprawozdawczych przez jednostki biznesowe (pierwsza linia obrony), a także komórki ds. zarządzania ryzykiem i ds. zgodności z prawem.

KAW powinna w szczególności weryfikować integralność procesów zapewniających wiarygodność – stosowanych przez emitenta tokenów powiązanych z aktywami – metod i technik kwantyfikacji ryzyka, w tym modeli. Powinna także oceniać jakość i sposób wykorzystania narzędzi służących do jakościowej identyfikacji i oceny ryzyka oraz środków wdrożonych w celu ograniczania ryzyka.

KAW powinna dokonać przeglądu adekwatności procesów opracowywania dokumentów informacyjnych, ich zatwierdzania oraz procesów publicznego oferowania tokenów powiązanych z aktywami.

KAW powinna mieć swobodny dostęp do wszystkich ewidencji, dokumentów, informacji i budynków emitenta tokenów powiązanych z aktywami w obrębie całej jego organizacji. Powinno to obejmować dostęp do systemów informacji zarządczej oraz protokołów z posiedzeń wszystkich komitetów i organów decyzyjnych.

KAW powinna przestrzegać krajowych i międzynarodowych standardów zawodowych. Przykładem standardów zawodowych, o których jest mowa, są standardy ustanowione przez Instytut Audytorów Wewnętrznych.

Prace w ramach audytu wewnętrznego powinny być prowadzone regularnie i zgodnie z planem audytu oraz szczegółowym programem audytu przy zastosowaniu podejścia opartego na ocenie ryzyka.

Plan audytu wewnętrznego powinien być sporządzany co najmniej raz w roku na podstawie rocznych celów kontrolnych audytu wewnętrznego. Plan audytu wewnętrznego powinien zostać zatwierdzony przez organ zarządzający.

Wszystkie zalecenia poaudytowe powinny podlegać formalnej procedurze działań następczych na odpowiednich szczeblach zarządzania, powinny być przekazywane organowi zarządzającemu emitenta tokenów powiązanych z aktywami i udostępniane właściwemu organowi w celu zapewnienia skutecznego i terminowego ich rozwiązania oraz sporządzania sprawozdań na ten temat.