22 Internrevisionsfunktion

Instituten bör se till att deras dotterföretag och filialer vidtar åtgärder för att säkerställa att deras verksamhet följer lokala lagar och förordningar. Om lokala lagar och förordningar lägger hinder i vägen för tillämpningen av striktare förfaranden och efterlevnadssystem som koncernen har genomfört, och särskilt om de förhindrar att nödvändig information röjs eller utbyts mellan koncernens företag, bör dotterföretag och filialer informera det konsoliderande institutets efterlevnadsansvariga eller efterlevnadschef.

Varje institut bör inrätta en oberoende och effektiv internrevisionsfunktion med beaktande av de proportionalitetskriterier som anges i avdelning I och utse en person som ansvarar för denna funktion i hela institutet. Internrevisionsfunktionen bör vara oberoende och ha tillräcklig auktoritet och tyngd samt tillräckliga resurser. I synnerhet bör institutet se till att internrevisionsfunktionens personal är tillräckligt kvalificerad och att funktionen har tillräckliga resurser, särskilt när det gäller revisionsverktyg och metoder för riskanalys, för institutets storlek och de platser där det verkar samt för karaktären, omfattningen och komplexiteten hos de risker som institutets affärsmodell, verksamhet, riskkultur och riskaptit medför.

Internrevisionsfunktionen bör vara oberoende av de granskade verksamheterna. Därför får internrevisionsfunktionen inte kombineras med någon annan funktion. EBA Regular Use

Internrevisionsfunktionen bör, på grundval av en riskbaserad metod, utföra en oberoende granskning och ge en objektiv försäkran om att samtliga institutets verksamheter och enheter, inklusive den verksamhet som omfattas av utkontraktering, följer såväl institutets policyer och förfaranden som alla externa krav. Alla enheter inom koncernen bör omfattas av internrevisionsfunktionens arbete.

Internrevisionsfunktionen bör inte delta i utformningen, valet, inrättandet eller genomförandet av specifika policyer, mekanismer och förfaranden för internkontroll eller av riskgränser. Detta bör emellertid inte hindra ledningsorganet i sin ledningsfunktion från att begära utlåtanden från internrevisionen om ärenden som berör risk, internkontroll och efterlevnad av gällande regler.

Internrevisionsfunktionen bör bedöma huruvida institutets ramverk för internkontroll enligt avsnitt 15 är ändamålsenligt och effektivt. I synnerhet bör internrevisionsfunktionen bedöma

• a. lämpligheten i institutets ramverk för styrning,
• b. huruvida befintliga policyer och förfaranden är fortsatt lämpliga, följer lagar och förordningar och är förenliga med institutets riskstrategi och riskaptit,
• c. efterlevnaden av förfarandena inom ramen för gällande lagar och förordningar samt ledningsorganets beslut,
• d. huruvida förfarandena genomförs korrekt och effektivt (t.ex. efterlevnad i samband med transaktioner, faktisk risknivå osv.) samt
• e. tillräckligheten, kvaliteten och ändamålsenligheten hos de kontroller och den rapportering som utförs av affärsenheterna med försvarsinriktning och av riskhanterings- och efterlevnadsfunktionerna.

Internrevisionsfunktionen bör särskilt granska de processer som säkerställer att institutets metoder och tekniker, dess antaganden och de informationskällor som används i dess interna modeller (t.ex. riskmodeller och redovisningsberäkningar) är tillförlitliga. Den bör även utvärdera kvaliteten och användningen av verktyg för identifiering och bedömning av kvalitativa risker samt de åtgärder som vidtagits för att reducera riskerna.

Internrevisionsfunktionen bör ha obegränsad tillgång till institutets register, dokument, information och byggnader. Detta bör innefatta tillgång till ledningsinformationssystem och protokoll från samtliga kommittéer och beslutsfattande organ.

Internrevisionsfunktionen bör följa nationella och internationella branschstandarder. Exempel på sådana branschstandarder är de standarder som utarbetats av institutet för internrevisorer (Institute of Internal Auditors). EBA Regular Use

Internrevisionen bör genomföras i enlighet med en revisionsplan och ett detaljerat revisionsprogram på grundval av en riskbaserad strategi.

En internrevisionsplan bör upprättas minst en gång om året med utgångspunkt i internrevisionens årliga kontrollmål. Internrevisionsplanen bör godkännas av ledningsorganet.