9.4 Cadrul de control intern

Autoritățile competente trebuie să evalueze dacă instituția de credit solicitantă dispune de un cadru de control intern corespunzător, proporțional cu activitățile, modelu l de afaceri, complexitatea și riscurile asociate avute în vedere de instituția de credit (de exemplu, înregistrarea online a clienților, protecția și mecanismele de securitate cibernetică). Autoritățile competente trebuie să se asigure cu privire la carac terul adecvat al resurselor umane alocate, atât în ceea ce privește numărul de ENI, cât și calificările, cu privire la adecvarea sistemelor și a bugetului pentru a facilita îndeplinirea sarcinilor.

Autoritățile competente trebuie să examineze documentele aferente cererii și să se asigure că alocarea sarcinilor și a responsabilităților va permite organului de conducere să cunoască pe deplin structura instituției de credit⁴⁹ și „să asigure faptul că funcțiile de control intern sunt independente d e liniile de activitate pe care le controlează, inclusiv faptul că există o separare adecvată a sarcinilor, și că acestea dețin resursele financiare și umane adecvate, precum și competențele necesare pentru a - și îndeplini rolul în mod eficace. Liniile de raportare și repartizarea responsabilităților, în special între persoanele care dețin funcții - cheie în cadrul unei instituții de credit, trebuie să fie clare, bine stabilite, coerente, obligatorii și documentate în mod corespunzător”⁵⁰ .

⁴⁹ Punctul 71 din Ghidul ABE privind cadrul de administrare a activității.

⁵⁰ Punctul 68 din Ghidul ABE privind cadrul de administrare a activității.

Autoritățile competente trebuie să - și formeze o opinie clară cu privire la cadrul de control intern, și anume dacă acesta acoperă toate domeniile instituției și reflectă modelul celor trei linii de apărare pentru identificarea funcțiilor de abordare și administrare a riscuril or.

În acest scop, autoritățile competente trebuie să verifice dacă există mecanisme care să asigure că unitățile operaționale și de sprijin, prima linie de apărare, vor fi responsabile, în primul rând, de identificarea și administrarea riscurilor la care sunt expuse în desfășurarea activităților lor și de stabilirea și menținerea unor procese și controale adecvate pentru a se asigura că aceste riscuri sunt analizate, măsurate, monitorizate, raportate în mod corespunzător și menținute în limitele apetitului pentru risc al instituției de credit și că sunt conforme cu cerințele de reglementare interne și externe.

Funcția de administrare a riscurilor și funcția de conformitate, a doua linie de apărare, împreună cu funcția de audit intern, care este a treia linie de apărare, alcătuiesc funcțiile de control intern din cadrul de control intern. Autoritățile competente trebuie să verifice dacă acestea vor fi instituite, ținându - se seama de criteriile de proporționalitate stabilite la punctele 17-21 , și dacă vor fi învestite cu autoritate, statut și acces d irect la organul de conducere corespunzătoare și suficiente pentru a - și îndeplini misiunea.

Pentru a se asigura că funcțiile de control intern respectă cerințele de independență⁵¹ , autoritățile competente trebuie să verifice dacă, pe baza documentelor afer ente cererii, se are în vedere că:

• (a) personalul acestora nu îndeplinește sarcini operaționale care intră în sfera activităților pe care funcțiile de control intern sunt destinate să le monitorizeze și să le controleze;
• (b) sunt separate din punct de vedere organ izațional de activitățile pe care sunt însărcinate să le monitorizeze și să le controleze;
• (c) fără a aduce atingere responsabilității generale a membrilor organului de conducere pentru instituție, coordonatorul unei funcți i de control intern nu trebuie să fie subordonat unei persoane care răspunde de administrarea activităților pe care le monitorizează și le controlează funcția de control intern;
• (d) remunerarea personalului care exercită funcții de control intern nu trebuie să fie corelată cu desfășurarea activităților pe care funcția de control intern le monitorizează și le controlează și nu trebuie să - i compromită astfel obiectivitatea.

⁵¹ Vezi punctul 175 din Ghidul ABE privind cadrul de administrare a activității.

Autoritățile competente trebuie să verifice dacă coordonatorii funcțiilor de control intern îndeplinesc următoarele cerințe:

• a) vor fi stabiliți la un nivel ierarhic adecvat care să le confere acestora autoritatea și statutul adecvat necesar pentru a- și îndeplini responsabilitățile;
• b) vor fi independen ț i de liniile de activitate sau de unitățile operaționale pe care le controlează;
• c) vor raporta și vor răspunde direct în fața organului de conducere, iar performanța acestora trebuie să fie analizată de către organul de conducere;
• d) dacă este necesar, vor avea acces la organul de conducere, în funcția sa de supraveghere, și îi vor raporta direct acestuia, pentru a face sesizări și pentru a avertiza organul de conducere în funcția sa de supraveghere, după caz, atunci când anumite evoluții specifice afectează sau ar putea să afecteze instituția.

Pentru a se as igura că funcțiile de control intern pot fi exercitate în mod eficace, autoritățile competente trebuie să se asigure că acestora li se alocă suficiente resurse bugetare și umane cu calificări adecvate, ținându - se seama de tipurile activităților vizate, precum și că li se pune la dispoziție un sistem TIC și asistență corespunzătoare.

9.4.2 Funcția de administrare a riscurilor

Autoritățile competente trebuie să se asigure că, în cadrul de control intern, instituția de credit va avea un cadru holistic de administrar e a riscurilor la nivelul instituției de credit, cu recunoașterea deplină a semnificației economice a tuturor expunerilor sale la risc.

Autoritățile competente trebuie să se asigure că funcția de administrare a riscurilor (FAR) va facilita punerea în aplicare a unui cadru solid de administrare a riscurilor în întreaga instituție și că rolul acesteia în cadrul instituției de credit acoperă implicarea sa în: a) strategia privind administrarea riscurilor și în procesul decizional; b) evaluarea modificărilor semnificative;

• c) identificarea, măsurarea, evaluarea, administrarea, atenuarea, monitorizarea și raportarea riscurilor; d) evaluarea încălcărilor privind nivelul sau limitele apetitului pentru risc și în recomandarea de măsuri corective. În acest scop, autoritățile competente trebuie, de asemenea, să examineze și să evalueze descrierea strategiei de administrare a acestor riscuri și să includă o situație privind toleranța și apetitul pentru risc, precum și măsuri de aliniere a riscului evaluat la apetitul pentru risc.

În ceea ce privește rolul FAR în strategia de administrare a riscurilor și în procesul decizional, examinarea efectuată de către autoritățile competente trebuie să vizeze verificarea faptului dacă cererea prevede implicarea activă a FAR într -o e tapă incipientă, în desfășurarea normală a activităților, în elaborarea strategiei privind administrarea riscurilor a instituției de credit, în asigurarea faptului că instituția de credit va institui procese eficace de administrare a riscurilor și în punerea la dispoziția organului de conducere a tuturor informațiilor relevante privind riscurile, pentru a permite stabilirea nivelului de apetit pentru risc al instituției de credit. Autoritățile competente trebuie să se asigure că FAR este avută în vedere în scopul evaluării solidității și sustenabilității strategiei privind administrarea riscurilor și a apetitului pentru risc și că acesta din urmă este transpus în mod corespunzător în limite de risc specifice, inclusiv la nivelul unităților operaționale, precum și că este implicată înainte ca organul de conducere să ia o decizie cu privire la strategiile privind administrarea riscurilor.

În ceea ce privește rolul FAR în evaluarea modificărilor semnificative, autoritățile competente trebuie să verifice dacă implicarea FAR este avută în vedere înainte să fie luate decizii cu privire la tranzacțiile excepționale, pentru ca aceasta să evalueze impactul unor astfel de modificări și tranzacții excepționale asupra riscului general al instituției de credit și să raporteze constatările sale direct organului de conducere înainte de luarea unei decizii.

În ceea ce privește rolul FAR în identificarea, măsurarea, monitorizarea, atenuarea și raportarea concentrărilor de riscurilor și a concentrărilor de riscuri asociate care urmează să fie aprobate de organul de conducere, autoritățile competente trebuie să se asigure că există politici și proceduri și că FAR va avea acces la toate liniile de activitate și la alte unități care au potențialul de a genera riscuri.

Rolul FAR trebuie să includă, de asemenea, evaluarea independentă a încălcărilor la nivelul apetitului pentru risc sau ale limitelor (inclusiv constatarea cauzei și efectuarea unei analize juridice și economice a costului real al închiderii, reducerii sau acoperirii expunerii în raport cu costul potențial al menținerii acesteia). Trebuie să se aibă în vedere dacă FAR va informa unitățile operaționale vizate și organul de conducere și va recomanda posibile măsuri corective. În acest scop, aceasta trebuie să fie în măsură să raporteze direct organului de conducere în funcția sa de supraveghere atunci când o încălcare este semnificativă, fără a aduce atingere faptului că FAR raportează altor funcții și comitete interne.

9.4.3 Politica de remunerare

În ceea ce privește descrierea politicii de remunerare, pe lângă evaluarea conformității cu cerințele privind remunerarea neutră în funcție de gen, prevăzute la articolul 92 alineatul (2) litera (aa) din CRD, autoritățile competente trebuie să acorde o atenție deosebită verificării faptului dacă descrierea politicii referitoare la membrii personalului ale căror activități profesionale au un impact semnificativ asupra profilului de risc⁵² al instituției de credit este în conformitate cu articolul 94 din CRD ș i cu Ghidul ABE privind politica de remunerare .

⁵² Transmis în conformitate cu STR privind informațiile pentru autorizare.

În special, acestea trebuie să aprecieze dacă: a) descrierea politicii de remunerare este în concordanță cu apetitul pentru risc avut în vedere de instituție, cu strategia sa de afaceri și cu interesele sale pe termen lung și dacă se are în vedere să fie menținută, aprobată și supravegheată de organul de conducere; b) prevede că personalul care are un impact semnificativ asupra profilului de risc al instituției va fi identificat în mod corespunzător, în conformitate cu articolul 92 alineatul (3) și cu artic olul 94 alineatul (3) din CRD; c) prevede cerințe specifice privind remunerarea pentru acest personal în special, printre care (i) un raport între componenta fixă și componenta variabilă în conformitate cu articolul 94 alineatul (1) litera (g) din CDR și (ii) plata în instrumente, cerințele de amânare , inclusiv acordurile de tip „malus” sau de tip „clawback”, în conformitate cu articolul 94 alineatul (1) literele (l), (m) și (n) din CDR⁵³ .

9.4.4 Funcția de conformitate

⁵³ În ceea ce privește, în special, derogările prevăzute la articolul 94 alineatele (3) și (4) din CRD.

Autoritățile competente trebuie să verifice dacă se are în vedere ca funcția de conformitate să gestioneze riscul de conformitate, să ofere consultanță organului de conducere cu privire la măsurile care trebuie luate pentru a asigura conformitatea cu legile, normele, reglementările și standardele aplicabile, precum și să pună în aplicare, sub supravegherea organului de conducere, politici și procese pentru a gestiona riscurile de conformitate și pentru a asigura conformitatea. Autoritățile competente trebuie să verifice dacă funcția de conformitate e ste adecvată tipurilor și distribuției geografice a activităților (de exemplu, respectarea dreptului intern aplicabil din diferite jurisdicții în cazul activităților desfășurate la nivel transfrontalier), riscurilor și complexității, în conformitate cu modelul de afaceri și cu evaluarea planului de afaceri efectuată în conformitate cu secțiunea 7 din prezentul ghid.

Funcția de conformitate trebuie să asigure că monitorizarea conformității este desfășurată printr- un program de monitorizare a conformității structurat și bine definit și că politica de conformitate este respectată. De asemenea, trebuie să se aibă în vedere dacă funcția de conformitate și FAR vor coopera și vor face schimb de informații, după caz, pentru a - și îndeplini sarcinile ce le revin.

Auto ritățile competente trebuie, de asemenea, să verifice dacă funcția de conformitate va avea sarcina de a verifica, în strânsă colaborare cu FAR și cu funcția juridică, dacă produsele și procedurile noi respectă cadrul juridic actual și, după caz, orice modificări cunoscute în perspectivă ale legislației, regulamentelor și cerințelor de supraveghere.

Autoritățile competente trebuie să verifice dacă se are în vedere instituirea unei funcții de conformitate privind CSB/CFT pentru a asigura conformitatea cu regulamentul și politicile interne specifice privind spălarea banilor și finanțarea terorismului, fie în cadrul funcției de conformitate, fie separat de aceasta.

9.4.5 Politica de combatere a spălării banilor și a finanțării terorismului

Autoritățile competente trebuie să verifice dacă politica de combatere a spălării banilor și a finanțării terorismului, transmisă de instituția de credit solicitantă în temeiul articolului 5 alineatul (1) litera (c) punctul (iii) din STR privind informațiile pentru autorizare , oferă o imagine de ansamblu asupra principalelor politici și proceduri, astfel cum au fost prevăzute la articolul 8 alineatul (3) din DCSB, care vor fi instituite pentru a contracara riscul de spălare a banilor și de finanțare a terorismului. În acest scop, autoritățile competente vor ține seama de criteriile de proporționalitate prevăzute la punctele 17-21.

Autoritățile competente trebuie să verifice dacă descrierea cuprinde toate elementele prevăzute la articolul 8 alineatul (4)⁵⁴ din DCSB și să justifice modul în care instituția de credit solicitantă se va asigura că poate atenua și gestiona în mod eficace riscurile de spălare a banilor și de finanțare a terorismului la care este expusă din prima zi de acces pe piață.

9.4.6 Funcția de audit intern

⁵⁴ Articolul prevede că: „Politicile, controalele și procedurile menționate la alineatul (3) cuprind: (a) elaborarea de politici, controale și proceduri interne, inclusiv practici model de gestionare a riscurilor, precauția privind clientela, raportarea, păstrarea evidențelor, controlul intern, managementul conformității inclusiv, atunci când este cazul având în vedere dimensiunea și natura activității, numirea în funcție a unui responsabil de conformitate la nivelul conducerii și procesul de verificare a angajaților; (b) când este cazul având în vedere mărimea și natura activității, o funcție de audit independent în scopul testării politicilor, controalelor si procedurilor interne menționate la litera (a)”.

Autoritățile competente, ținând seama de criteriile de proporționalitate prevăzute la punctele 17-21 , trebuie să evalueze funcția independentă și eficace de audit intern (FAI) înființată de instituția de credit solicitantă. Autoritățile competente trebuie să - și formeze o opinie clară cu privire la faptul dacă FAI, urmând o abordare bazată pe riscuri, va fi în măsură să verifice în mod independent și să ofere certitudinea obiectivă cu p rivire la conformitatea tuturor activităților și unităților instituției de credit, inclusiv a activităților externalizate, cu politicile și procedurile instituției și cu alte cerințe externe (neprudențiale).

În acest scop, autoritățile competente trebuie să evalueze dacă independența organizațională a FAI și obiectivitatea auditorilor interni sunt protejate prin raportare directă către organul de conducere și prin resurse adecvate în vederea îndeplinirii sarcinilor sale. În acest scop, trebuie să se asigure, de asemenea, că FAI are acces neîngrădit, la nivelul instituției, la toate evidențele, documentele, informațiile și clădirile instituției în vederea îndeplinirii funcției sale.

De asemenea, autoritățile competente trebuie să evalueze dacă FAI îi sunt încredințate cel puțin următoarele:

• (a) adecvarea cadrului de control intern, inclusiv a politicii și a procedurilor, și conformitatea cu cerințele legale și de reglementare;
• (b) elaborarea unui plan de audit cel puțin o dată pe an, pe baza obiectivelor anuale de con trol privind auditul intern, care urmează să fie aprobat de organul de conducere;
• (c) transmiterea de recomandări pe baza rezultatelor activităților sale.

Acestea trebuie, de asemenea, să verifice dacă descrierea metodologiei și a planului de audit intern care acoperă primii trei ani de activitate, inclusiv auditul serviciilor externalizate, sunt în concordanță cu structura organizatorică, tipurile de activități și profilul de risc care rezultă din planul de afaceri evaluat în conformitate cu secțiunea 7.

9.4.7 Politica și planul de reziliență operațională și de continuitate a activității

Descrierea politicii și a planului de continuitate a activității trebuie să asigure faptul că solicitantul va avea un plan solid de administrare a continuității activității pentru a se asigura că, în caz de întrerupere gravă a acesteia, este în măsură să funcționeze în continuare și să limiteze pierderile. Trebuie să asigure că politica și planul de continuitate a activității includ o analiză a principalelor riscuri de întrerupere a activității și o prezentare generală a măsurilor de atenuare, precum și testarea periodică a planului de continuitate a activității.

9.4.8 Politica și sistemele TIC

Autoritățile competente trebuie să evalueze dacă politica TIC va pune la dispoziția instituției de credit sisteme fiabile de informare și comunicare și dacă sistemele TIC vor putea să sprijine pe deplin capacitățile de agregare a datelor referitoare la riscuri atât în perioade normale, cât și în perioade de criză. În special, autoritățile competente trebuie să evalueze dacă instituția de credit va avea cel puțin capacitatea de:

• (a) a genera date exacte și fiabile referitoare la riscuri;
• (b) a include și agrega toate datele referitoare la riscuri semnificative din cadrul instituției;
• (c) a genera cu promptitudine date agregate și actualizate referitoare la riscuri;
• (d) a genera date agregate referitoare la riscuri pentru a satisface o mare diversitate de cereri specif ice din partea organului de conducere sau a autorităților competente;
• (e) a asigura funcționarea corectă, fiabilă și sigură a sistemelor de informare și comunicare care sprijină activitățile vizate ale instituțiilor.

În ceea ce privește riscul TIC și de securi tate⁵⁵ , autoritățile competente trebuie să se asigure că cadrul de administrare va asigura funcționarea corectă, fiabilă și sigură a sistemelor de informare și comunicare care sprijină activitățile instituțiilor de credit, precum și prevenirea, monitorizarea și atenuarea adecvată a riscurilor TIC atât în perioade normale, cât și în perioade de criză. Autoritățile competente trebuie să evalueze, în special:

• (a) dacă organul de conducere este pe deplin răspunzător de stabilirea, aprobarea și supravegherea punerii în aplicare a strategiei TIC a instituțiilor financiare, care ar trebui să fie aliniată la strategia generală de afaceri a instituțiilor financiare;
• (b) definirea și atribuirea clară a rolurilor și responsabilităților - cheie, precum și a l iniilor de raportare relevante, în vederea asigurării eficacității cadrului de administrare a riscurilor TIC și de securitate, inclusiv alocarea unui buget corespunzător pentru a sprijini în mod adecvat nevoile operaționale TIC și administrarea riscurilor TIC și de securitate;
• (c) dacă administrarea și supravegherea riscurilor TIC și de securitate sunt încredințate unei funcții de control independente și obiective, separată în mod corespunzător de procesele operaționale TIC și care nu este responsabilă de niciun audit intern, precum și unei funcții independente de audit intern;
• (d) măsurile de asigurare a identificării, stabilirii și menținerii la zi a punerii în corespondență a funcțiilor aferente activității, a rolurilor și a proceselor suport, pentru a identifica importanța fiecăruia și interdependențele lor, în legătură cu riscurile TIC și de securitate;
• (e) în măsura în care informațiile sunt stocate pe sisteme TIC, dacă vor fi instituite cerințele privind securitatea informațiilor;
• (f) amploarea, complexitatea și importanța dependențelor legate de TIC, dacă se are în vedere externalizarea funcțiilor operaționale ale serviciilor TIC și a oricărei activități a sistemelor TIC – inclusiv către entitățile din grup – sau utilizarea unor terți în legătură cu astfel de funcții și activități.

⁵⁵ Astfel cum este definit în Ghidul ABE privind administrarea riscurilor TIC și de securitate , „Risc TIC și de securitate” înseamnă: „Riscul înregistrării de pierderi din cauza încălcării confidențialității, pierderii integrității sistemelor și a datelor, caracterului necorespunzător sau indisponibilității sistemelor și datelor sau incapacității de a schimba tehnologia informației (TI) într - o perioadă de timp rezonabilă și la costuri rezonabile, atunci când cerințele de mediu sau de afaceri se schimbă (agilitate). Acesta include riscuri de securitate care rezultă fie di n procese interne inadecvate sau care nu și - au îndeplinit funcția în mod corespunzător, fie din evenimente externe, inclusiv din atacuri cibernetice sau din securitatea fizică inadecvată”.