16. Funcția de audit intern

Dacă există, funcția de audit intern (FAI) trebuie să fie independentă și să aibă suficientă autoritate, statut și resurse. În mod specific, emitenții de tokenuri raportate la active trebuie să se asigure de adecvarea calificării membrilor personalului FAI și a resurselor FAI, în special a instrumentelor de audit și a metodelor de analiză a riscurilor, pentru mărimea și locațiile emitentului de tokenuri raportate la active, precum și pentru natura, amploarea și complexitatea riscurilor asociate modelului de afaceri, activităților, culturii privind riscul și apetitului pentru risc ale emitentului de tokenuri raportate la active.

FAI trebuie să fie independentă de activitățile auditate. Prin urmare, FAI nu trebuie combinată cu alte funcții.

Pe baza unei abordări bazate pe riscuri, FAI trebuie să verifice în mod independent și să ofere certitudinea obiectivă cu privire la conformitatea tuturor activităților și unităților unui emitent de tokenuri raportate la active, inclusiv folosirea de entități terțe, cu politicile și procedurile emitentului de tokenuri raportate la active, precum și cu cerințele de reglementare externe.

FAI nu trebuie implicată în proiectarea, selectarea, stabilirea sau implementarea de politici, mecanisme, proceduri specifice de control intern sau de limite privind riscurile. Acest fapt nu trebuie să împiedice însă organul de conducere în funcția sa de conducere să solicite aportul auditului intern cu privire la chestiuni legate de riscuri, mecanisme de control intern și conformitatea cu normele aplicabile.

FAI trebuie să evalueze eficiența și eficacitatea cadrului de control intern al emitentului de tokenuri raportate la active, în conformitate cu titlul V. În particular, FAI trebuie să evalueze:

• a. adecvarea cadrului de administrare al emitentului de tokenuri raportate la active;
• b. dacă politicile și procedurile existente rămân adecvate și respectă cerințele legale și de reglementare, precum și strategia privind administrarea riscurilor și apetitul pentru risc al emitentului de tokenuri raportate la active;
• c. conformitatea procedurilor cu legile și reglementările aplicabile, precum și cu deciziile organului de conducere;
• d. dacă procedurile sunt aplicate în mod corect și eficace (de exemplu, conformitatea tranzacțiilor, nivelul de risc suportat efectiv etc.) și
• e. adecvarea, calitatea și eficacitatea mecanismelor de control aplicate și a raportării efectuate de unitățile operaționale (prima linie de apărare) și de funcția de administrare a riscurilor și cea de conformitate.

FAI trebuie să verifice, în special, integritatea proceselor care asigură fiabilitatea metodelor și tehnicilor emitentului de tokenuri raportate la active pentru cuantificarea riscurilor, inclusiv a modelelor. Aceasta trebuie să evalueze, de asemenea, calitatea și modul de utilizare a instrumentelor calitative de identificare și de evaluare a riscurilor, precum și măsurile luate pentru riscurilor.

FAI trebuie să revizuiască caracterul adecvat al proceselor de elaborare a cărților albe, aprobarea acestora și procesele prin care tokenurile raportate la active sunt oferite publicului.

FAI trebuie să aibă acces neîngrădit, la nivelul emitentului, la toate evidențele, documentele, informațiile și clădirile emitentului de tokenuri raportate la active. Acesta trebuie să includă accesul la sistemele informatice ale conducerii și la procesele - verbale ale tuturor comitetelor și organelor de decizie.

FAI trebuie să respecte standarde profesionale naționale și internaționale. Un exemplu de standard profesional menționat aici îl reprezintă standardele stabilite de Institutul Auditorilor Interni.

Activitatea de audit intern trebuie desfășurată regulat conform unui plan de audit și unui program detaliat de audit, având la bază o abordare bazată pe riscuri.

Trebuie întocmit un plan de audit intern cel puțin o dată pe an, pe baza obiectivelor anuale de control privind auditul intern. Planul de audit intern trebuie aprobat de organul de conducere.

Toate recomandările de audit trebuie să facă obiectul unei proceduri oficiale de monitorizare de către nivelurile adecvate de conducere, să fie comunicate organului de conducere al emitentului de tokenuri raportate la active și puse la dispoziția autorităț ii competente pentru a asigura și a raporta cu privire la rezoluția eficace și în timp util a acestora.