9.4 Rámec vnútornej kontroly

Príslušné orgány by mali posúdiť, či má žiadajúca úverová inštitúcia vhodný rámec vnútornej kontroly, ktorý je primeraný plánovaným činnostiam úverovej inštitúcie, jej obchodnému modelu, zložitosti a súvisiacim rizikám (napríklad online registrácia klientov, ochrana a opatrenia v oblasti kybernetickej bezpečnosti). Príslušné orgány by mali byť presvedčené o primeranosti pridelených ľudských zdrojov z hľadiska počtu FTE a kvalifikácií, vhodnosti systémov a rozpočtu na podporu vykonávania úloh.

Príslušné orgány by mali preskúmať dokumenty k žiadosti a mali by sa ubezpečiť, že rozdelenie úloh a zodpovedností umožní riadiacemu orgánu plne poznať štruktúru ich úverovej inštitúcie⁴⁹ a „zabezpečiť, aby funkcie vnútornej kontroly boli nezávislé od obchodných línií, ktoré kontrolujú, vrátane toho, že existuje primerané oddelenie povinností a že majú primerané finančné a ľudské zdroje, ako aj právomoci na efektívne vykonávanie svojej úlohy. Hierarchické vzťahy a rozdelenie zodpovedností, najmä medzi osobami zastávajúcimi kľúčové funkcie v rámci úverovej inštitúcie, by mali byť jasné, dobre vymedzené, súdržné, vynútiteľné a riadne zdokumentované⁵⁰ .

⁴⁹ Odsek 71 Usmernení EBA o vnútornom riadení .

⁵⁰ Odsek 68 Usmernení EBA o vnútornom riadení .

Príslušné orgány by mali dospieť k jasnému názoru, že rámec vnútornej kontroly pokrýva všetky oblasti inštitúcie a odráža model troch obranných línií na identifikáciu funkcií na riešenie a riadenie rizík.

Na tento účel by príslušné orgány mali overiť, či sú zavedené opatrenia na zabezpečenie toho, že obchodné a podporné útvary, prvá obranná línia, budú zodpovedné v prvom rade za identifikáciu a riadenie rizík, ktoré podstupujú pri vykonávaní svojich činností, a za stanovenie a udržiavanie primeraných procesov a kontrol, aby sa zabezpečilo, že takéto riziká sa analyzujú, merajú, monitorujú, riadne vykazujú a udržiavajú v medziach rizikového apetítu úverovej inštitúcie a že sú v súlade s internými a externými regulačnými požiadavkami.

Funkcia riadenia rizík a funkcia zabezpečenia súladu, druhá línia obrany, spolu s funkciou vnútorného auditu, ktorá je treťou líniou obrany, tvoria funkcie vnútornej kontroly v rámci vnútornej kontroly. Príslušné orgány by si mali overiť, že budú zriadené, berúc do úvahy kritériá proporcionality uvedené v odsekoch 17 – 21 , a že budú mať primeranú a dostatočnú právomoc, postavenie a priamy prístup k riadiacemu orgánu, aby splnili svoje poslanie.

Aby sa zabezpečilo, že funkcie vnútornej kontroly sú v súlade s požiadavkami nezávislosti⁵¹ , príslušné orgány by mali overiť, či sa na základe dokumentov k žiadosti predpokladá, že:

• (a) ich zamestnanci neplnia žiadne prevádzkové úlohy, ktoré patria do rozsahu činností, ktoré majú funkcie vnútornej kontroly monitorovať a kontrolovať;
• (b) sú organizačne oddelené od činností, ktoré majú monitorovať a kontrolovať;
• (c) bez ohľadu na celkovú zodpovednosť členov riadiaceho orgánu z a inštitúciu, by vedúci funkcie vnútornej kontroly nemal byť podriadený osobe, ktorá je zodpovedná za riadenie činností, ktoré funkcia vnútornej kontroly monitoruje a kontroluje;
• (d) odmeňovanie zamestnancov funkcie vnútornej kontroly by nemalo byť viazané na výkon činností, ktoré funkcia vnútornej kontroly monitoruje a kontroluje, ani iným spôsobom, ktorý by mohol ohroziť ich objektívnosť.

⁵¹ Pozri odsek 175 Usmernení EBA o vnútornom riadení.

Príslušné orgány by mali overiť, či vedúci funkcií vnútornej kontroly spĺňajú tieto požiadavky:

• a) budú vymenovaní na primeranej hierarchickej úrovni, ktorou sa vedúcemu kontrolnej funkcie zabezpečí dostatočná právomoc a vážnosť potrebná na plnenie jeho povinností;
• b) budú nezávislé od obchodných línií alebo jednotiek, ktoré kontrolujú;
• c) budú podávať správy a priamo sa zodpovedať riadiacemu orgánu a ich výkon by mal kontrolovať riadiaci orgán;
• d) V prípade potreby bude mať prístup k riadiacemu orgánu a priamo mu podávať správy, aby mohli s riadiacim orgánom vo funkcii dohľadu prerokovať možné obavy a prípadne ho upozorniť, ak konkrétny vývoj má alebo môže mať vplyv na inštitúciu.

Aby sa zabezpečilo efektívne vykonávanie funkcií vnútornej kontroly, príslušné orgány by sa mali ubezpečiť, že majú pridelené dostatočné rozpočtové a ľudské zdroje s primeranou kvalifikáciou, s ohľadom na typy cieľových činností a vhodný systém IKT a podporu, ktorú majú k dispozícii. 9.4.2 Funkcia riadenia rizík

Príslušné orgány by sa mali ubezpečiť, že ako súčasť rámca vnútornej kontroly bude mať úverová inštitúcia holistický rámec riadenia rizík pre celú úverovú inštitúciu, ktorý plne uznáva ekonomickú podstatu všetkých rizikových expozícií úverovej inštitúcie.

Príslušné orgány by sa mali ubezpečiť, že funkcia riadenia rizík (RMF) uľahčí implementáciu riadneho rámca riadenia rizík v celej inštitúcii a že jej úloha v rámci úverovej inštitúcie zahŕňa jej zapojenie do: a) stratégie a rozhodovania v oblasti rizík; b) posúdenie vecných zmien; c) identifikácia, meranie, posúdenie, riadenie, zmierňovanie, monitorovanie a podávanie správ o rizikách; d) posúdenie porušení rizikového apetítu alebo limitov a odporúčanie nápravných opatrení. Na tento účel by príslušné orgány mali preskúmať a posúdiť aj náčrt stratégie riadenia takýchto rizík vrátane vyhlásenia o tolerancii rizika a rizikovom apetíte a opatrení na zosúladenie posúdeného rizika s rizikovým apetítom .

Pokiaľ ide o úlohu RMF v stratégii rizika a rozhodovaní, preskúmanie príslušných orgánov by sa malo zamerať na overenie toho, či žiadosť počíta s aktívnou účasťou RMF v počiatočnom štádiu nepretržitého pokračovania činnosti pri vypracúvaní stratégie rizika úverovej inštitúcie. zabezpečenie toho, že úverová inštitúcia bude mať zavedené účinné procesy riadenia rizika, a poskytovanie všetkých relevantných informácií súvisiacich s rizikom riadiacemu orgánu, aby sa u možnilo nastavenie rizikového apetítu úverovej inštitúcie. Príslušné orgány by mali zabezpečiť, aby RMF počítala s posúdením spoľahlivosti a udržateľnosti rizikovej stratégie a apetítu a aby sa vhodne premietli do špecifických limitov rizika, a to aj na úrovni obchodných jednotiek, a aby sa zapojili pred tým, ako prijme rozhodnutie riadiaci orgán týkajúce sa rizikových stratégií.

Pokiaľ ide o úlohu RMF pri posúdení podstatných zmien, príslušné orgány by si mali pred prijatím rozhodnutí o mimoriadnych transakciách overiť, či sa so zapojením RMF počíta, aby bolo možné vyhodnotiť vplyv takýchto zmien a mimoriadnych transakcií na celkové riziko úverovej inštitúcie, a oznámiť svoje zistenia priamo riadiacemu orgánu pred prijatím rozhodnutia.

Pokiaľ ide o úlohu RMF pri identifikácii, meraní, monitorovaní, zmierňovaní a vykazovaní rizík a súvisiacich koncentrácií rizík, ktoré má schváliť riadiaci orgán, príslušné orgány by sa mali uistiť, že sú zavedené politiky a postupy a že RMF bude mať prístup ku všetkým obchodným líniám a iným jednotkám, ktoré majú potenciál vytvárať riziká.

Úlohou RMF by malo byť aj nezávislé posúdenie každého prípadu porušenia limitov alebo rizikového apetítu (vrátane posúdenia príčiny a vykonania právnej a ekonomickej analýzy skutočných nákladov na uzavretie, zníženie alebo zabezpečenie angažovanosti v porovnaní s potenciálnymi nákladmi na jej udržanie). Malo by sa počítať s tým, že RMF bude informovať príslušné obchodné útvary a riadiaci orgán a odporúčať možné nápravné opatrenia. Na tento účel by funkcia riadenia rizík mala mať možnosť podávať správy priamo riadiacemu orgánu vo funkcii dohľadu, ak je porušenie významné, a to bez toho, aby bola dotknutá schopnosť RMF podávať správy iným vnútorným funkciám a výborom. 9.4.3 Politika odmeňovania

Pokiaľ ide o hlavné rysy politiky odmeňovania, okrem posúdenia súladu s požiadavkami rodovej neutrality podľa článku 92 ods. 2 písm. aa) CRD, príslušné orgány by mali venovať osobitnú pozornosť overeniu, či sú hlavné rysy politiky týkajúce sa zamestnancov, ktorých profesionálne činnosti majú podstatný vplyv na rizikový profil⁵² úverovej inštitúcie, v súlade s článkom 94 CRD a Usmerneniami EBA o politike odmeňovania .

⁵² Predložené v súlade s RTS týkajúcimi sa informácií na účely povolenia.

Predovšetkým by mali posúdiť, či: a) sú hlavné rysy politiky odmeňovania v súlade s predpokladaným rizikovým apetítom inštitúcie, jej obchodnou stratégiou a jej dlhodobými záujmami a predpokladá sa, že ju bude zachovávať, schvaľovať a dohliadať na ňu riadiaci orgán;

• b) predpokladá, že zamestnanci, ktorí majú významný vplyv na rizikový profil inštitúcie, budú náležite identifikovaní v súlade s článkom 92 ods. 3 a článkom 94 ods. 3 CRD; c) predpokladá osobitné požiadavky na odmeňovanie týchto konkrétnych zamestnancov, okrem iného i) pomer medzi pohyblivou a pevnou zložkou mzdy v súlade s článkom 94 ods. 1 písm. g) CRD a
• ii) vyplácanie v nástrojoch, dojednania o odklade vrátane malusu a spätného vymáhania v súlade s článkom 94 ods. 1 písm. l), m) a n) CRD.⁵³

9.4.4 Funkcia dodržiavania súladu

⁵³ S osobitným zreteľom na výnimky uvedené v článku 94 ods. 3 a 4 CRD.

Príslušné orgány by mali overiť, či sa predpokladá, že funkcia dodržiavania súladu bude riadiť riziko súladu, poskytnúť riadiacemu orgánu rady o opatreniach, ktoré je potrebné prijať na zabezpečenie súladu s platnými zákonmi, pravidlami, nariadeniami a normami, a implementovať pod dohľadom riadiaceho orgánu, politiky a procesy na riadenie rizík zhody a na zabezpečenie zhody. Príslušné orgány by mali overiť, či je funkcia dodržiavania súladu primeraná typom a geografickému rozmiestneniu činností (napr. súlad s platnými vnútroštátnymi predpismi rôznych jurisdikcií v prípade činností vykonávaných na cezhraničnom základe), rizikám a zložitosti v súlade s obchodným modelom a posúdením obchodného plánu v súlade s oddielom 7 týchto Usmernení.

Funkcia dodržiavania súladu by mala zabezpečiť, aby sa monitorovanie súladu vykonávalo prostredníctvom štruktúrovaného a dobre vymedzeného programu monitorovania súladu a aby sa dodržiavala politika dodržiavania súladu s predpismi. Malo by sa tiež počítať s tým, že funkcia dodržiavania súladu a RMF budú v rámci plnenia svojich príslušných úloh spolupracovať a podľa potreby si vymieňať informácie.

Príslušné orgány by tiež mali skontrolovať, či funkcia dodržiavania súladu bude poverená overovaním, v úzkej spolupráci s RMF a právnym oddelením, či nové produkty a nové postupy sú v súlade so súčasným právnym rámcom, a ak je to vhodné, so všetkými známymi pripravovanými zmenami legislatívy, právnych predpisov a požiadaviek orgánu dohľadu.

Príslušné orgány by mali overiť, či sa predpokladá zriadenie funkcie dodržiavania pravidiel boja proti praniu špinavých peňazí a financovaniu terorizmu na zabezpečenie súladu s konkrétnym nariadením o praní špinavých peňazí a financovaním terorizmu a internými politikami, a to buď v rámci funkcie dodržiavania pravidiel alebo oddelene od nej.

9.4.5 Zásady boja proti praniu špinavých peňazí a financovaniu terorizmu

Príslušné orgány by mali overiť, či politika AML/CTF predložená žiadajúcou úverovou inštitúciou podľa článku 5 ods. 1 písm. c) č. iii) RTS týkajúcich sa informácií na účely povolenia poskytuje prehľad kľúčových politík a postupov, ako je uvedené v článku 8 ods. 3 AMLD, ktorá sa zavedie na boj proti riziku prania špinavých peňazí a financovania terorizmu. Na tento účel príslušné orgány zohľadnia kritériá proporcionality stanovené v odsekoch 17 – 21.

Príslušné orgány by si mali overiť, či hlavné rysy pokrývajú všetky prvky uvedené v článku 8 ods. 4⁵⁴ AMLD, a zdôvodniť, ako žiadajúca úverová inštitúcia zabezpečí, že dokáže zmierniť a účinne riadiť riziká prania špinavých peňazí a financovania terorizmu, ktorým je vystavená odo dňa vstupu na trh.

9.4.6 Funkcia vnútorného auditu

⁵⁴ Znie takto: „Politiky, kontroly a postupy uvedené v odseku 3 zahŕňajú: (a) vypracovanie vnútorných politík, kontrol a postupov vrátane vzorových postupov riadenia rizík, povinnej starostlivosti vo vzťahu ku klientovi, ohlasovania, vedenia záznamov, vnútornej kontroly, riadenia dodržiavania súladu aj vtedy, ak je to vhodné vzhľadom na veľkosť a povahu podnikateľského subjektu, vymenovania pracovníka zodpovedného za dodržiavanie súladu s predpismi na riadiacej úrovni, a preverovania zamestnancov; (b) v prípade, že je to vhodné so zreteľom na veľkosť a povahu podnikateľského subjektu, nezávislú funkciu auditu na posúdenie vnútorných politík, kontrol a postupov uvedených v písmene a)“.

Príslušné orgány, berúc do úvahy kritériá proporcionality stanovené v odsekoch 17 – 21 , by mali posúdiť funkciu nezávislého a efektívneho vnútorného auditu (ďalej len „IAF“) zriadenú žiadajúcou úverovou inštitúciou. Príslušné orgány by mali získať jasný názor, že IAF bude na základe rizikovo - orientovaného prístupu schopná nezávisle preskúmať a poskytnúť objektívne uistenie o súlade všetkých činností a útvarov úverovej inštitúcie, vrátane outsourcovaných činností, s politikami inštitúcie a s inými externými (nie obozretnými) požiadavkami.

Na tento účel by príslušné orgány mali posúdiť, či má IAF svoju organizačnú nezávislosť a objektívnosť vnútorných audítorov chránenú priamym podriadením sa riadiacemu orgánu a primeranými zdrojmi na plnenie svojich úloh. Na tento účel by sa malo zabezpečiť aj to, aby IAF mala pre výkon svojej funkcie neobmedzený prístup v rámci celej inštitúcie ku všetkým záznamom, dokumentom, informáciám a budovám inštitúcie.

Príslušné orgány by tiež mali posúdiť, či IAF je poverená minimálne týmito úlohami:

• (a) primeranosťou rámca vnútornej kontroly vrátane primeranosti politiky a postupov a súladu s právnymi a regulačnými požiadavkami;
• (b) vypracovaním plánu auditu najmenej raz ročne na základe ročných cieľov kontroly vnútorného auditu, ktorý schvaľuje riadiaci orgán;
• (c) predkladaním odporúčaní na základe zistení svojej činnosti.

Mali by tiež overiť, že hlavné rysy metodiky a plán interného auditu pokrývajúci prvé tri roky činnosti vrátane auditu externalizovaných služieb sú v súlade s organizačnou štruktúrou, typmi činností a rizikovým profilom vyplývajúcim z obchodného plánu posúdeného v súlade s oddielom 7.

9.4.7 Politika a plán prevádzkovej odolnosti a nepretržitej obchodnej činnosti

Hlavné rysy politiky a plánu nepretržitej obchodnej činnosti by mali zabezpečiť, že žiadateľ bude mať spoľahlivý plán riadenia nepretržitej obchodnej činnosti, aby sa zabezpečila jeho schopnosť nepretržitej prevádzky a aby sa obmedzili straty v prípade vážneho narušenia obchodnej činnosti. Mala by zabezpečiť, aby politika a plán nepretržitej obchodnej činnosti zahŕňali analýzu hlavných rizík narušenia obchodnej činnosti a prehľad opatrení na zmiernenie a zabezpečiť pravidelné testovanie plánu nepretržitej obchodnej činnosti.

9.4.8 Politika a systémy IKT

Príslušné orgány by mali posúdiť, či politika IKT poskytne úverovej inštitúcii spoľahlivé informačné a komunikačné systémy a či systémy IKT budú schopné plne podporovať možnosti agregácie údajov o riziku v normálnych časoch, ako aj v časoch stresu. Príslušné orgány by mali posúdiť najmä to, či úverová inštitúcia dokáže minimálne:

• (a) vytvárať presné a spoľahlivé údaje o rizikách;
• (b) získavať a zhromažďovať všetky údaje o závažných rizikách z celej inštitúcie;
• (c) včas vytvárať súhrnné a aktuálne údaje o rizikách;
• (d) vytvárať súhrnné údaje o rizikách s cieľom vyhovieť širokému spektru požiadaviek predložených riadiacim orgánom alebo príslušnými orgánmi;
• (e) zabezpečiť riadne, spoľahlivé a bezpečné fungovanie informačných a komunikačných systémov podporujúcich cielené aktivity inštitúcií.

Pokiaľ ide o riziko v oblasti IKT a bezpečnosti⁵⁵ , príslušné orgány by sa mali ubezpečiť, že rámec riadenia zabezpečí riadne, spoľahlivé a bezpečné fungovanie informačných a komunikačných systémov na podporu činností úverových inštitúcií, ako aj primeranú prevenciu, monitorovanie a zmiernenie rizík IKT v normálnych časoch a počas stresu. Príslušné orgány by mali posúdiť najmä:

• (a) či má riadiaci orgán celkovú zodpovednosť za určenie, schvaľovanie a dohľad nad implementáciou stratégie IKT finančných inštitúcií, ktorá by mala byť v súlade s celkovou obchodnou stratégiou finančných inštitúcií;
• (b) jasné vymedzenie a pridelenie kľúčových úloh a zodpovedností a príslušných hierarchických vzťahov, aby bol rámec riadenia rizík v oblasti IKT a bezpečnosti účinný, vrátane pridelenia prim eraného rozpočtu na primeranú podporu prevádzkových potrieb IKT a riadenia rizík v oblasti IKT a bezpečnosti;
• (c) či je riadenie a dohľad nad rizikami v oblasti IKT a bezpečnosti zverené nezávislej a objektívnej kontrolnej funkcii, primerane oddelenej od prevádzkových procesov IKT a nemajúcej zodpovednosť za žiadny vnútorný audit, a či je nezávislá funkcia vnútorného auditu;
• (d) opatrenia na zabezpečenie identifikácie, zavedenia a udržiavania aktualizovaného mapovania obchodných funkcií, úloh a podporných procesov na identifikáciu dôležitosti každého z nich a ich vzájomnej závislosti vo vzťahu k rizikám v oblasti IKT a bezpečnosti;
• (e) v rozsahu, v akom sa informácie uchovávajú v systémoch IKT, či budú splnené požiadavky na bezpečnosť informácií;
• (f) rozsah, zložitosť a dôležitosť závislostí súvisiacich s IKT, ak sa počíta s outsourcingom prevádzkových funkcií služieb IKT a akejkoľvek činnosti systémov IKT – vrátane skupinových subjektov – alebo s využitím tretích strán v súvislosti s takýmito funkciami a činnosťou.

⁵⁵ Ako je definované v Usmerneniach EBA k riadeniu rizík v oblasti IKT a bezpečnosti, „riziko v oblasti IKT a bezpečnosti“ znamená: „Riziko strát v dôsledku porušenia dôvernosti, zlyhania integrity systémov a údajov, nevhodnosti alebo nedostupnosti systémov a údajov alebo neschopnosti v primeranom čase a za primerané náklady zmeniť informačné technológie (IT) v prípade zmeny environmentálnych alebo obchodných požiadaviek (t. j. agilita). Zahŕňa bezpečnostné riziká vyplývajúce z neprimeraných alebo zlyhaných interných postupov alebo externých udalostí vrátane kybernetických útokov alebo neprimeranej fyzickej bezpečnosti“.