5.5. Funcții de control intern

În cadrul evaluării funcțiilor de control intern ale instituției, autoritățile competente trebuie să evalueze conformitatea instituției cu Ghidul ABE privind cadrul de administrare a activității și cu dispozițiile relevante din Regulamentul (UE) 2022/2554 (DORA)²¹ . În acest context, autoritățile competente trebuie să ia în considerare, printre altele, dacă:

• a. instituția dispune de un cadru de control intern adecvat, care acoperă toate domeniile, în conformitate cu modelul „celor trei linii de apărare”, incluzând funcții de administrare a riscurilor, de conformitate și de audit intern care funcționează corespunzător, sunt eficace și independente;
• b. responsabilii funcțiilor de control intern (i) sunt numiți la un nivel ierarhic adecvat, care le conferă autoritatea și prestigiul necesare pentru a-și îndeplini responsabilitățile, (ii) au acces direct și pot raporta direct organului de conducere în funcția sa de supraveghere și (iii) dispun de toate resursele necesare pentru a-și îndeplini sarcinile;
• c. instituția dispune de politici scrise de control intern, adecvate și implementate în mod eficace, precum și de o repartizare clară a responsabilităților pentru implementarea cadrului de control, de separarea funcțiilor, de proceduri administrative și contabile solide și de mecanisme solide de raportare.

²¹ DORA – Regulamentul (UE) 2022/2554 al Parlamentului European și al Consiliului din 14 decembrie 2022 privind reziliența operațională digitală a sectorului financiar și de modificare a Regulamentelor (CE) nr. 1060/2009, (UE) nr. 648/2012, (UE) nr. 600/2014, (UE) nr. 909/2014 și (UE) 2016/1011 (JO L 333, 27.12.2022, p. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

Autoritățile competente trebuie să evalueze dacă funcția de administrare a riscurilor acoperă întreaga instituție, având o viziune de ansamblu asupra tuturor riscurilor, este implicată activ încă dintr-o etapă timpurie în elaborarea strategiei de risc a instituției și monitorizează implementarea efectivă a acesteia. Autoritățile competente trebuie, de asemenea, să stabilească dacă funcția de administrare a riscurilor furnizează organului de conducere informații complete, actualizate și relevante legate de riscuri pentru a permite stabilirea nivelului de apetit la risc al instituției și a limitelor de risc aferente. Autoritățile competente trebuie să ia în considerare și evaluarea de către funcția de administrare a riscurilor a robusteții și sustenabilității strategiei privind administrarea riscurilor și a apetitului la risc, precum și implicarea ei în evaluarea impactului modificărilor semnificative sau al tranzacțiilor excepționale asupra riscului general al instituției și al grupului (după caz).

Autoritățile competente trebuie să evalueze dacă funcția de conformitate evaluează și atenuează în mod eficace riscurile de conformitate care decurg din nerespectarea cerințelor legale și de reglementare aplicabile, a obligațiilor contractuale sau a normelor interne și a codurilor de conduită, inclusiv a normelor de etică, și să se asigure că toate deciziile semnificative de administrare a riscurilor iau în considerare în mod adecvat aceste riscuri.

Autoritățile competente trebuie să evalueze dacă funcția de audit intern examinează în mod independent și oferă asigurări obiective, în conformitate cu planul de audit și cu programul detaliat de lucru, cu privire la caracterul adecvat și eficacitatea politicilor, procedurilor și controalelor interne ale instituției, precum și cu privire la conformitatea tuturor activităților instituției, inclusiv a celor prestate de furnizorii terți de servicii, cu cerințele legale și de reglementare. După caz, autoritățile competente trebuie să evalueze dacă funcția de audit intern la nivelul grupului este independentă, are un plan de audit bazat pe riscuri la nivelul grupului, are resursele și statutul adecvate și are o linie de raportare directă către organul de conducere al instituției consolidante.