22 Funcția de audit intern

Instituțiile trebuie să înființeze o funcție de audit intern independentă și eficace (FAI), ținând cont de criteriile de proporționalitate enunțate la titlul I, și trebuie să numească o persoană care să fie responsabilă de această funcție în întreaga instituție. FAI trebuie să fie independentă și să aibă suficientă autoritate, statut și resurse. În mod specific, instituția trebuie să se asigure de caracterul adecvat al calificării membrilor personalului FAI și al resurselor FAI, în special al instrumentele de audit și al metodelor de analiză a riscurilor, pentru dimensiunea și locațiile instituției, precum și pentru natura, amploarea și complexitatea riscurilor asociate modelului de afaceri, activităților, culturii privind riscurile și apetitului pentru risc.

FAI trebuie să fie independentă de activitățile auditate. Prin urmare, FAI nu trebuie să fie combinată cu alte funcții.

Pe baza unei abordări bazate pe riscuri, FAI trebuie să verifice în mod independent și să ofere certitudinea obiectivă cu privire la conformitatea tuturor activităților și unităților unei instituții, inclusiv a activităților externalizate, cu politicile și procedurile instituției, precum și cu cerințele de reglementare. Fiecare entitate din cadrul grupului trebuie să intre sub incidența acțiunii FAI.

FAI nu trebuie să fie implicată în proiectarea, selectarea, stabilirea și aplicarea de politici, mecanisme și proceduri specifice de control intern, precum și în stabilirea limitelor privind riscurile. Acest fapt nu trebuie însă să împiedice organul de conducere în funcția sa de supraveghere să solicite aportul auditului intern cu privire la chestiuni legate de riscuri, măsuri de control intern și conformitatea cu regulile aplicabile.

FAI trebuie să evalueze eficiența și eficacitatea cadrului de control intern al instituției, în conformitate cu secțiunea 15. În mod specific, FAI trebuie să evalueze:

• a. caracterul adecvat al cadrului de administrare al instituției;
• b. dacă politicile și procedurile existente rămân adecvate și respectă cerințele legale și de reglementar e, precum și strategia privind administrarea riscurilor și apetitul pentru risc ale instituției;
• c. conformitatea procedurilor cu legile și regulamentele aplicabile, precum și cu deciziile organului de conducere;
• d. dacă procedurile sunt puse în aplicare în mod corect și eficace (de exemplu, conformitatea tranzacțiilor, nivelul de risc suportat efectiv etc.) și
• e. adecvarea, calitatea și eficacitatea măsurilor de control aplicate și a raportării efectuate de către unitățile operaționale de apărare și de către funcți a de administrare a riscurilor și cea de asigurare a conformității.

FAI trebuie să verifice în special integritatea procedurilor care asigură credibilitatea metodelor și tehnicilor instituției, precum și ipotezele și sursele de informare utilizate în modelele sale interne (de exemplu, utilizarea modelelor de risc și a evaluărilor contabile). Aceasta trebuie să evalueze, de asemenea, calitatea și modul de utilizare a instrumentelor calitative de identificare și de evaluare a riscurilor, precum și măsuri le luate pentru diminuarea riscurilor.

FAI trebuie să aibă acces neîngrădit, la nivelul instituției, la toate evidențele, documentele, informațiile și clădirile instituției. Acesta trebuie să includă accesul la sistemele informatice ale conducerii și la pr ocesele- verbale ale tuturor comitetelor și organelor decizionale.

FAI trebuie să respecte standarde profesionale naționale și internaționale. Un exemplu de standard profesional menționat aici îl reprezintă standardele stabilite de Institutul Auditorilor Interni.

Activitatea de audit intern trebuie desfășurată în conformitate cu un plan de audit și cu un program detaliat de audit, având la bază o abordare bazată pe riscuri.

Trebuie întocmit un plan de audit intern cel puțin o dată pe an, pe baz a obiectivelor anuale de control privind auditul intern. Planul de audit intern trebuie să fie aprobat de către organul de conducere.

Toate recomandările în urma auditului trebuie să facă obiectul unei proceduri oficiale de urmărire de către nivelurile adecvate de conducere, pentru a asigura și raporta soluționarea eficace și promptă a acestora.