22 Internrevisionsfunktion

Internrevisionsfunktionen bör inte delta i utformningen, valet, inrättandet eller genomförandet av specifika policyer, mekanismer och förfaranden för internkontroll eller av riskgränser. Detta bör emellertid inte hindra ledningsorganet i sin ledningsfunktion från att begära utlåtanden från internrevisionen om ärenden som berör risk, internkontroll och efterlevnad av gällande regler.

Internrevisionsfunktionen bör bedöma huruvida institutets ramverk för internkontroll enligt avsnitt 15 är ändamålsenligt och effektivt. I synnerhet bör internrevisionsfunktionen bedöma

• a. lämpligheten i institutets ramverk för styrning,
• b. huruvida befintliga policyer och förfaranden är fortsatt lämpliga, följer lagar och förordningar och är förenliga med institutets riskstrategi och riskaptit,
• c. efterlevnaden av förfarandena inom ramen för gällande lagar och förordningar samt ledningsorganets beslut,
• d. huruvida förfarandena genomförs korrekt och effektivt (t.ex. efterlevnad i samband med transaktioner, faktisk risknivå osv.) samt
• e. tillräckligheten, kvaliteten och ändamålsenligheten hos de kontroller och den rapportering som utförs av affärsenheterna med försvarsinriktning och av riskhanterings- och efterlevnadsfunktionerna.

Internrevisionsfunktionen bör särskilt granska de processer som säkerställer att institutets metoder och tekniker, dess antaganden och de informationskällor som används i dess interna modeller (t.ex. riskmodeller och redovisningsberäkningar) är tillförlitliga. Den bör även utvärdera kvaliteten och användningen av verktyg för identifiering och bedömning av kvalitativa risker samt de åtgärder som vidtagits för att reducera riskerna.

Internrevisionsfunktionen bör ha obegränsad tillgång till institutets register, dokument, information och byggnader. Detta bör innefatta tillgång till ledningsinformationssystem och protokoll från samtliga kommittéer och beslutsfattande organ.

Internrevisionsfunktionen bör följa nationella och internationella branschstandarder. Exempel på sådana branschstandarder är de standarder som utarbetats av institutet för internrevisorer (Institute of Internal Auditors). EBA Regular Use

Internrevisionen bör genomföras i enlighet med en revisionsplan och ett detaljerat revisionsprogram på grundval av en riskbaserad strategi.

En internrevisionsplan bör upprättas minst en gång om året med utgångspunkt i internrevisionens årliga kontrollmål. Internrevisionsplanen bör godkännas av ledningsorganet.

Alla rekommendationer från revisorerna bör bli föremål för formella uppföljningar på respektive ledningsnivå, för att säkerställa att de skyndsamt och effektivt beaktas och att resultaten rapporteras.