9.4 Okvir notranje kontrole

Pristojni organi bi morali oceniti, ali ima kreditna institucija vložnica ustrezen okvir notranje kontrole, ki je sorazmeren z njenimi predvidenimi dejavnostmi, poslovnim modelom, kompleksnostjo in povezanimi tveganji (npr. spletno vključevanje strank, kibernetska varn ost in ureditev). Pristojni organi bi se morali prepričati o ustreznosti dodeljenih človeških virov tako glede števila ekvivalentov polnega delovnega časa kot glede kvalifikacij ter o ustreznosti sistemov in proračuna za podporo pri izvajanju nalog.

Pristojni organi bi morali pregledati dokumente iz vloge in se prepričati, da se bo lahko upravljalni organ na podlagi dodeljenih nalog in odgovornosti v celoti seznanil s strukturo kreditne institucije⁴⁹ in zagotovil, „da bodo funkcije notranjih kontrol neodvisne od poslovnih področij, ki jih nadzorujejo, vključno z zagotavljanjem primernega ločevanja nalog, ustreznih finančnih in kadrovskih virov ter pooblastil za učinkovito izvajanje svoje vloge. Sistem poročanja in razdelitev odgovornosti v instituciji, zlasti med nosilce ključnih funkcij, bi morala biti jasna, dobro opredeljena, dosledna, izvršljiva in ustrezno dokumentirana“⁵⁰ .

⁴⁹ Odstavek 71 smernic organa EBA o notranjem upravljanju.

⁵⁰ Odstavek 68 smernic organa EBA o notranjem upravljanju.

Pristojni organi bi se morali nedvomno prepričati, da okvir notranje kontrole zajema vsa področja institucije in upošteva model tre h obrambnih linij za opredelitev funkcij za obravnavanje in upravljanje tveganj.

Za ta namen bi morali pristojni organi preveriti, ali so vzpostavljene ureditve za zagotovitev, da bodo poslovne in podporne enote, tj. prva obrambna linija, v prvi vrsti odgovorne za opredelitev in upravljanje tveganj pri opravljanju svojih dejavnosti ter za vzpostavitev in vzdrževanje ustreznih postopkov in kontrol za zagotovitev, da se taka tveganja analizirajo, merijo in spremljajo, se o njih ustrezno poroča ter da so v ok viru omejitev nagnjenosti kreditne institucije k prevzemanju tveganj in v skladu z notranjimi in zunanjimi regulativnimi zahtevami.

Funkcija upravljanja tveganj in funkcija skladnosti poslovanja, tj. druga obramba linija, skupaj s funkcijo notranje revizije, ki je tretja obrambna linija, so funkcije notranje kontrole, ki jih vključuje okvir notranje kontrole. Pristojni organi bi morali preveriti, ali bodo vzpostavljene v skladu z meril sorazmernosti iz odstavkov 17–21 ter ali bodo imele ustrezna in zadostna pooblastila, ugled in neposreden stik z upravljalnim organom, da bodo izpolnile svojo nalogo.

Za zagotovitev, da funkcije notranje kontrole izpolnjujejo zahteve za neodvisnost⁵¹ , bi morali pristojni organi preveriti, ali je na podlagi dokumentov iz vloge, predvideno, da:

• (a) njihovi zaposleni ne opravljajo nobenih operativnih nalog, ki spadajo v obseg dejavnosti, ki naj bi jih funkcije notranjih kontrol spremljale in kontrolirale;
• (b) so organizacijsko ločene od dejavnosti, ki jih spremljajo in kontrolirajo;
• (c) ne glede na splošno odgovornos t članov upravljalnega organa institucije vodja funkcije notranje kontrole ne bi smel biti podrejen osebi, ki je odgovorna za upravljanje dejavnosti, ki jih funkcija notranje kontrole spremlja in kontrolira;
• (d) prejemki zaposlenih v funkcijah notranjih kontrol niso povezani z uspešnostjo dejavnosti, ki jih funkcija notranje kontrole spremlja in kontrolira, in tudi sicer ne smejo ogrožati njihove objektivnosti.

⁵¹ Glej odstavek 175 smernic organa EBA o notranjem upravljanju.

Pristojni organi bi morali preveriti, ali vodje funkcij notranje kontrole izpolnjujejo naslednje zaht eve:

• a) biti morajo na hierarhični ravni dovolj visoko, da so jim zagotovljena ustrezna pooblastila in ugled, potreben za izvajanje njihovih dejavnosti;
• b) biti morajo neodvisni od poslovnih področij ali enot, ki jih kontrolirajo;
• c) morajo poročati in biti odgovor ni neposredno upravljalnemu organu, ki bi moral pregledovati tudi njihovo delo;
• d) po potrebi morajo imeti dostop do upravljalnega organa v njegovi nadzorni funkciji in mu neposredno poročati, da izrazijo pomisleke in nadzorno funkcijo po potrebi opozorijo na posebne dogodke, ki vplivajo ali bi lahko vplivali na institucijo.

Za zagotovitev učinkovitega izvajanja funkcij notranje kontrole bi se morali pristojni organi prepričati, da so jim dodeljeni zadostni proračunski in človeški viri z ustreznimi kvalifikaci jami glede na vrste predvidenih dejavnosti ter da imajo na voljo primeren sistem in podporo IKT.

9.4.2 Funkcija upravljanja tveganj

Pristojni organi bi se morali prepričati, da bo okvir notranje kontrole kreditne institucije vključeval okvir celovitega upravljan ja tveganj na ravni institucije, ki bo v celoti upošteval ekonomsko vsebino vseh njenih izpostavljenosti tveganjem.

Pristojni organi bi se morali prepričati, da bo funkcija upravljanja tveganj spodbujala izvajanje okvira za dobro upravljanje tveganj v instituciji in da njena vloga v instituciji zajema njeno vključitev v: a) odločanje o strategiji obvladovanja tveganja; b) oceno pomembnih sprememb;

• c) opredelitev, merjenje, ocenjevanje, upravljanje in zmanjševanje tveganj ter poročanje o njih;
• d) ocenjevanje kršitev nagnjenosti k prevzemanju tveganja ali omejitev in predlaganje popravnih ukrepov. Za ta namen bi morali pregledati in oceniti tudi opis strategije za upravljanje teh tveganj ter vključitev dopustnega tveganja, izjave o nagnjenosti k prevzemanju tveganja in ukrepov za uskladitev ocenjenega tveganja z nagnjenostjo k prevzemanju tveganja.

Cilj pristojnih organov pri pregledu vloge funkcije upravljanja tveganj v strategiji obvladovanja tveganja bi moral biti preveriti, ali vloga predvideva dejavno vklj učitev funkcije upravljanja tveganj v oblikovanje strategije kreditne institucije za obvladovanje tveganja v zgodnji fazi poslovanja, v zagotovitev, da bo imela kreditna institucija vzpostavljene postopke za učinkovito upravljanje tveganj, in v zagotavljanje upravljalnemu odboru vseh pomembnih informacij, povezanih s tveganjem, da bi se lahko določila raven nagnjenosti kreditne institucije k prevzemanju tveganja. Pristojni organi bi morali zagotoviti, da je funkcija upravljanja tveganj predvidena za oceno t rdnosti in vzdržnosti strategije obvladovanja tveganja in nagnjenosti k prevzemanju tveganja ter da je ta nagnjenost ustrezno izražena z določenimi omejitvami tveganja, vključno na ravni poslovnih enot, ter da je vključena pred odločitvijo upravljalnega odbora o strategijah obvladovanja tveganj.

Glede vloge funkcije upravljanja tveganj pri oceni pomembnih sprememb bi morali pristojni organi preveriti, ali je vključitev funkcije upravljanja tveganj predvidena pred sprejetjem odločitev o izjemnih transakcijah , da oceni vpliv teh sprememb in izjemnih transakcij na skupno tveganje kreditne institucije in o svojih ugotovitvah poroča neposredno upravljalnemu odboru pred sprejetjem odločitve.

Glede vloge funkcije upravljanja tveganj pri opredelitvi, merjenju, spremljanju in zmanjševanju tveganj in njihovih koncentracij ter poročanju o njih, ki jih mora odobriti upravljalni odbor, bi morali pristojni organi zagotoviti, da so vzpostavljene politike in postopki ter da bo imela funkcija upravljanja tveganj dostop do vse h poslovnih področij in drugih enot, ki lahko ustvarjajo tveganja.

Vloga funkcije upravljanja tveganj bi morala vključevati tudi neodvisno oceno kršitev nagnjenosti k prevzemanju tveganja ali omejitev (vključno z ugotavljanjem vzroka za kršitve ter izvedbo pravne in ekonomske analize dejanskih stroškov zaprtja, zmanjšanja ali varovanja izpostavljenosti glede na morebitne stroške njene ohranitve). Predvideti je treba, da bo funkcija upravljanja tveganj obveščala zadevne poslovne enote in upravljalni o rgan ter predlagala možne popravne ukrepe. Za ta namen bi se ji moralo omogočiti, da pri velikih kršitvah poroča neposredno upravljalnemu organu v nadzorni funkciji, brez poseganja v poročanje funkcije upravljanja tveganj drugim notranjim funkcijam in odbo rom.

9.4.3 Politika prejemkov

V zvezi z opisom politike prejemkov bi morali pristojni organi oceniti izpolnjevanje zahtev za nevtralnost glede na spol iz člena 92(2)(aa) direktive CRD, posebej pa bi morali preveriti tudi, ali je opis politike za zaposlene, katerih poklicne dejavnosti pomembno vplivajo na profil tveganosti kreditne institucije⁵² , v skladu s členom 94 direktive CRD in smernicami organa EBA

• o politiki prejemkov .

⁵² Ki se predloži v skladu z regulativnimi tehničnimi standardi o informacijah za izdajo dovoljenja.

Oceniti bi morali zlasti, ali: a) je opis politike prejemkov v skladu s predvideno nagnjenostjo institucije k prevzemanju tveganja, njeno poslovno strategijo in dolgoročnimi interesi ter ali je predvideno, da jo bo vzdrževal, odobril in nadzoroval upravljalni odbor; b) predvideva, da bodo zaposleni, ki pomembno vplivajo na profil tveganosti institucije, ustrezno opredeljeni v skladu s členom 92(3) in členom 94(3) direktive CRD; c) predvideva posebne zahteve glede prejemkov za te zaposlene, med drugim (i) razmerje med fiksnim in variabilnim prejemkom v skladu s točko (g) člena 9 4(1) direktive CRD ter (ii) izplačilo v instrumentih, odlog, vključno z malusom in vračilom sredstev v skladu s točkami (l), (m) in (n) člena 94(1) direktive CRD⁵³ .

9.4.4 Funkcija skladnosti poslovanja

⁵³ Zlasti v zvezi z od stopanji iz člena 94(3) in (4) direktive CRD.

Pristojni organi bi morali preveriti, ali je predvideno, da bo funkcija skladnosti poslovanja upravljala tveganje skladnosti, svetovala upravljalnemu odboru glede ukrepov, ki jih je treba sprejeti za zagotovitev skladnosti z veljavnimi zakoni, pravili, predpisi in standardi, ter da bo pod nadzorom upravljalnega odbora izvajala politike in postopke za upravljanje tveganj skladnosti in zagotavljanje skladnosti. Pristojni organi bi morali preveriti, ali funkcija skladnosti poslovanja ustreza vrstam in geografski porazdelitvi dejavnosti (npr. skladnost z veljavno nacio nalno zakonodajo različnih jurisdikcij pri dejavnostih, ki se izvajajo na čezmejni podlagi), tveganjem ter kompleksnosti v skladu z oceno poslovnega modela in poslovnega načrta, opravljeno v skladu z oddelkom 7 teh smernic.

Funkcija skladnosti poslovanja b i morala zagotavljati izvajanje nadzora skladnosti v okviru strukturiranega in dobro opredeljenega programa za spremljanje skladnosti ter spoštovanje politike skladnosti. Funkcija skladnosti poslovanja in funkcija upravljanja tveganj bosta pri opravljanju svojih nalog po potrebi sodelovali in si izmenjevali informacije.

Pristojni organi bi morali tudi preveriti, ali bo funkciji skladnosti zaupano preverjanje, v tesnem sodelovanju s funkcijo upravljanja tveganj in pravno enoto, ali so novi produkti in novi postopki v skladu z veljavnim pravnim okvirjem ter po potrebi z morebitnimi znanimi prihodnjimi spremembami zakonodaje in drugih predpisov ter nadzornih zahtev.

Pristojni organi bi morali preveriti, ali je predvidena vzpostavitev funkcije skladnosti na podr očju preprečevanja pranja denarja/financiranja terorizma za zagotavljanje skladnosti s posebnimi predpisi o preprečevanju pranja denarja/financiranja terorizma in notranjimi politikami, bodisi v okviru funkcije skladnosti poslovanja ali ločeno od nje.

9.4.5 Politika preprečevanja pranja denarja/financiranja terorizma

Pristojni organi bi morali preveriti, ali politika preprečevanja pranja denarja/financiranja terorizma, ki jo predloži kreditna institucija vložnica v skladu z alinejo (iii) člena 5(1)(c) Regulativnih tehničnih standardov o informacijah za izdajo dovoljenja , vsebuje pregled predvidenih ključnih politik in postopkov iz člena 8(3) direktive o preprečevanju pranja denarja za preprečevanje tveganja PD/FT. Za ta namen bodo pristojni organi upoštevali meril a sorazmernosti iz odstavkov 17–21.

Pristojni organi bi morali preveriti, ali opis zajema vse elemente iz člena 8(4)⁵⁴ direktive o preprečevanju pranja denarja in utemeljuje, kako bo kreditna institucija vložnica zagotovila, da bo lahko od dneva dostopa na trg zmanjševala in učinkovito upravljala tveganja PD/FT, katerim je izpostavljena.

9.4.6 Funkcija notranje revizije

⁵⁴ Glasi se: „Politike, kontrole in postopki iz odstavka 3 vključujejo:

Pristojni organi bi morali v skladu z merili sorazmernosti iz odstavkov 17–21 oceniti neodvisno in učinkovito funkcijo notranje revizije, ki jo vzpostavi kreditna institucija vložnica. Pridobiti bi morali jasno zagotovitev, da bo funkcija notranje revizije na podlagi pristopa, ki temelji na tveganju, sposobna opraviti neodvisni pregled in dati nepristransko zagotovilo glede skladnosti vseh dejavnosti in enot fina nčne institucije, vključno z dejavnostmi, oddanimi v zunanje izvajanje, s politikami in postopki institucije ter drugimi zunanjimi (nebonitetnimi) zahtevami.

Za ta namen bi morali pristojni organi oceniti, ali je funkcija notranje revizije organizacijsko n eodvisna in ali je objektivnost notranjih revizorjev zaščitena z neposrednim poročanjem upravljalnemu organu in ustreznimi viri za izvajanje njenih nalog. Za ta namen bi morali tudi zagotoviti, da ima funkcija notranje revizije za izvajanje svojih nalog neomejen dostop do vseh evidenc, dokumentov, informacij in stavb na ravni celotne institucije.

Pristojni organi bi morali oceniti tudi, ali je funkciji notranje revizije zaupano vsaj naslednje:

• (a) ustreznost okvira notranje kontrole, vključno z ustreznostjo pol itike in postopkov, ter izpolnjevanje vseh pravnih in regulativnih zahtev;
• (b) priprava revizijskega načrta vsaj enkrat letno na podlagi letnih ciljev nadzora notranje revizije, ki ga mora odobriti upravljalni odbor;
• (c) predložitev priporočil na podlagi ugotovitev svojih dejavnosti.

Preveriti bi morali tudi, ali je opis metodologije in načrta notranje revizije za prva tri leta dejavnosti, vključno z revizijo storitev, oddanih v zunanje izvajanje, v skladu z organizacijsko strukturo, vrstami dejavnosti in profilom tveganosti, ki izhaja iz poslovnega načrta, ocenjenega v skladu z oddelkom 7.

9.4.7 Operativna odpornost ter politika in načrt neprekinjenega poslovanja

Opis politike in načrta neprekinjenega poslovanja bi moral zagotoviti, da bo vložnica imela dober na črt upravljanja neprekinjenega poslovanja, ki ji bo omogočal neprekinjeno poslovanje in omejitev izgub v primeru resne motnje poslovanja. Zagotoviti bi moral, da politika in načrt

• (a) razvoj notranjih politik, kontrol in postopkov, vključno z referenčnimi praksami obvladovanja tveganj, skrbnim preverjanjem strank, poročan jem, vodenjem evidenc, notranjim nadzorom, zagotavljanjem skladnosti s predpisi, vključno z imenovanjem uradne osebe za zagotavljanje skladnosti s predpisi na vodstveni ravni, kadar je to primerno glede na obseg in naravo poslovanja, in varnostnim preverjanjem zaposlenih;
• (b) neodvisno revizijsko funkcijo za preskušanje notranjih politik, kontrol in postopkov iz točke (a), kadar je to primerno glede na obseg in naravo poslovanja. neprekinjenega poslovanja vključujeta analizo glavnih tveganj prekinitve pos lovanja in pregled ukrepov za zmanjšanje tveganj, ter redno preskušanje načrta neprekinjenega poslovanja.

9.4.8 Politika in sistemi IKT

Pristojni organi bi morali oceniti, ali bo politika IKT kreditni instituciji zagotavljala zanesljive informacijske in komunikacijske sisteme ter ali bodo ti sistemi lahko v celoti podpirali zmogljivosti za združevanje podatkov v običajnih in stresnih razmerah. Oceniti bi morali zlasti, ali bo kreditna institucija lahko vsaj:

• (a) zagotavljala točne in zanesljive podatke o tveganjih;
• (b) p ridobivala in združevala podatke o vseh pomembnih tveganjih na ravni institucije;
• (c) pravočasno zagotavljala združene in posodobljene podatke o tveganjih;
• (d) zagotavljala združene podatke o tveganjih za izpolnitev različnih zahtev upravljalnega organa ali pristojnih organov;
• (e) zagotavljala dobro, zanesljivo in varno delovanje informacijskih in komunikacijskih sistemov, ki podpirajo ciljno usmerjene dejavnosti institucij.

Glede tveganja, povezana z IKT in varnostjo⁵⁵ , bi se morali pristojni organi prepričati, da bo okvir upravljanja zagotavljal dobro, zanesljivo in varno delovanje informacijskih in komunikacijskih sistemov, ki podpirajo dejavnosti kreditnih institucij, ter ustrezno preprečevanje, spremljanje in zmanjševanje tveganj IKT v običajnih i n stresnih razmerah. Pristojni organi bi morali oceniti zlasti:

• (a) ali je upravljalni organ v celoti odgovoren za opredelitev in odobritev strategije IKT finančne institucije ter nadzor nad njenim izvajanjem, kar bi moralo biti v skladu z njeno splošno poslovno strategijo;
• (b) jasno opredelitev ter določitev ključnih vlog in odgovornosti ter ustreznih linij poročanja za zagotovitev učinkovitosti okvira upravljanja tveganja, povezanega z IKT in varnostjo, vključno z dodelitvijo primernega proračuna za ustrezn o podporo operativnim potrebam IKT in upravljanju tveganj, povezanih z IKT in varnostjo;
• (c) ali sta upravljanje in nadzor tveganj, povezanih z IKT in varnostjo, zaupana neodvisni in objektivni funkciji kontrole, ustrezno ločeni od operativnih procesov IKT, ki ni odgovorna za nobeno notranjo revizijo, in neodvisni funkciji notranje revizije;
• (d) ureditev za zagotovitev opredelitve, vzpostavitve in sprotnega pregledovanja poslovnih funkcij, vlog in podpornih procesov, da se opredelijo pomen vsakega od njih in njihove soodvisnosti od tveganj, povezanih z IKT in varnostjo;
• (e) če so informacije shranjene v sistemih IKT, ali bodo sprejete zahteve za informacijsko varnost;
• (f) obseg, kompleksnost in pomen odvisnosti, povezanih z IKT, če je predvidena oddaja operativnih funkcij storitev IKT in katere koli dejavnosti sistemov IKT v zunanje izvajanje, tudi subjektom iz skupine, ali uporaba tretjih oseb v zvezi s temi funkcijami in dejavnostjo.

⁵⁵ Kot je določeno v smernicah organa EBA o upravljanju tveganj, povezanih z IKT in varnostjo , „Tveganje, povezano z IKT in varnostjo“ pomeni: Tveganje izgube zaradi kršitve zaupnosti, nezagotavljanja celovitosti sistemov in podatkov, neustreznosti ali nerazpoložljivosti sistemov in podatkov ali nezmožnosti, da se zaradi sprememb okolj a ali poslovnih zahtev v razumnem času in z razumnimi stroški spremeni tudi informacijska tehnologija (tj. agilnost). To vključuje varnostna tveganja, ki so posledica neustreznih ali neuspešnih notranjih procesov ali zunanjih dogodkov, vključno s kibernets kimi napadi ali neustreznim fizičnim varovanjem“.