16. Função de auditoria interna

Sempre que tenha sido estabelecida, a FAI deve ser independente e ter autoridade, estatuto e recursos suficientes. Em especial, o emitente de criptofichas referenciadas a ativos deve assegurar que as qualificações dos membros do pessoal da FAI e os recursos da FAI, nomeadamente as suas ferramentas de auditoria e métodos de análises de risco, são adequados à dimensão e à localização do emitente de criptofichas referenciadas a ativos, bem como à natureza, escala e complexidade dos riscos associados ao modelo de negócio, atividades, cultura de risco e apetência pelo risco do emitente de criptofichas referenciadas a ativos.

A FAI deve ser independente em relação às atividades auditadas. Por conseguinte, não deve ser combinada com outras funções.

Adotando uma abordagem baseada no risco, a FAI deve avaliar com independência e fornecer uma garantia objetiva da conformidade de todas as atividades e unidades do emitente de criptofichas referenciadas a ativos, incluindo as atividades subcontratadas, com as políticas e os procedimentos do emitente de criptofichas referenciadas a ativos e com os requisitos regulamentares externos.

A FAI não deve ser envolvida na conceção, seleção ou implementação de políticas, mecanismos, procedimentos, políticas específicas de controlo interno ou limites de risco. Contudo, tal não deve impedir o órgão de administração na sua função de gestão de solicitar o parecer da auditoria interna sobre questões relativas ao risco, controlos internos e conformidade com as regras aplicáveis.

A FAI deve avaliar se o quadro de controlo interno do emitente de criptofichas referenciadas a ativos, tal como definido no título V , é efetivo e eficiente. Em especial, a função de auditoria interna deve avaliar:

• a. A adequação do quadro de governo do emitente de criptofichas referenciadas a ativos;
• b. Se as políticas e os procedimentos existentes continuam a ser adequados e cumprem com os requisitos jurídicos e regulamentares e com a estratégia de risco e a apetência pelo risco do emitente de criptofichas referenciadas a ativos;
• c. A conformidade dos procedimentos com a legislação e regulamentos aplicáveis e com as decisões do órgão de administração;
• d. se os procedimentos são implementados de forma correta e efetiva (p. ex., a conformidade das operações, o nível do risco efetivamente incorrido, etc.); e
• e. A adequação, qualidade e efetividade dos controlos efetuados e do reporte realizado pelas unidade de negócio (primeira linha de defesa) e pelas funções de gestão de riscos e de conformidade.

A FAI deve verificar, em particular, a integridade dos processos que garantem a fiabilidade dos métodos e técnicas de quantificação do risco do emitente de criptofichas referenciadas a ativos, incluindo os modelos. Deve avaliar igualmente a qualidade e a utilização de ferramentas qualitativas de identificação e avaliação dos riscos e as medidas de mitigação dos riscos tomadas.

A FAI deve analisar a adequação dos processos de elaboração de livros brancos, a sua aprovação e os processos através dos quais as criptofichas referenciadas a ativos são disponibilizadas ao público.

A FAI deve ter livre acesso, ao nível de toda o emitente de criptofichas referenciadas a ativos, a todos os registos, documentos, informações e instalações do emitente de criptofichas referenciadas a ativos. Tal deve incluir o acesso aos sistemas de informação de gestão e a atas de todos os comités e órgãos de decisão.

A FAI deve observar as normas profissionais nacionais e internacionais. São exemplo das normas profissionais aqui referidas as normas estabelecidas pelo Instituto de Auditores Internos (Institute of Internal Auditors - IIA).

O trabalho de auditoria interna deve ser efetuado regularmente de acordo com um plano de auditoria e com programas de auditoria pormenorizados, utilizando uma abordagem baseada no risco.

Deve ser elaborado um plano de auditoria interna, pelo menos, uma vez por ano, com base nos objetivos anuais de controlo da auditoria interna. O plano de auditoria interna deve ser aprovado pelo órgão de administração.

Todas as recomendações de auditoria devem ser objeto de um procedimento formal de acompanhamento por parte dos níveis de gestão adequados, comunicadas ao órgão de administração do emitente de criptofichas referenciadas a ativos e disponibilizadas à autoridade competente para assegurar a sua resolução eficaz e atempada e apresentar um relatório sobre essa resolução.