20 Internrevisionsfunktion

I de fall en internrevisionsfunktion har inrättats ska den vara oberoende och ha tillräcklig auktoritet och ställning samt tillräckliga resurser. Värdepappersföretag ska i synnerhet se till att kompetensen hos internrevisionsfunktionens personal och funktionens resurser, särskilt dess revisionsverktyg och riskanalysmetoder, är tillräckliga i förhållande till värdepappersföretagets storlek och belägenhet, samt till karaktären, omfattningen och komplexiteten hos de risker som är förknippade med värdepappersföretagets affärsmodell, verksamhet, riskkultur och riskaptit.

Internrevisionsfunktionen ska vara oberoende av den verksamhet som den granskar. Den ska därför inte kombineras med andra funktioner.

Internrevisionsfunktionen ska, utifrån en riskbaserad metod, oberoende granska och objektivt garantera att alla verksamheter och enheter i ett värdepappersföretag, inklusive utkontrakterad verksamhet, efterlever värdepappersföretagets policyer och förfaranden samt lagstadgade krav. Samtliga enheter inom koncernen ska omfattas av internrevisionsfunktionens verksamhetsområde.

Internrevisionsfunktionen ska inte vara delaktig i utformningen, urvalet, fastställandet eller genomförandet av specifika policyer, mekanismer, förfaranden och riskgränser för intern kontroll. Detta ska dock inte hindra ledningsorganet i dess ledningsfunktion från att begära in synpunkter från internrevisionsfunktionen i frågor som rör risker, interna kontroller och efterlevnad av tillämpliga regler.

Internrevisionsfunktionen ska bedöma om värdepappersföretagets ram för intern kontroll, som föreskrivs i avsnitt 15, är både ändamålsenlig och verkningsfull. Internrevisionsfunktionen ska särskilt bedöma

• a. lämpligheten i värdepappersföretagets styrningsram,
• b. huruvida befintliga policyer och förfaranden är tillräckliga och uppfyller kraven i lagar och förordningar samt överensstämmer med värdepappersföretagets riskstrategi och riskaptit,
• c. att förfarandena är förenliga med tillämpliga lagar och förordningar och med ledningsorganets beslut,
• d. huruvida förfarandena genomförs på ett korrekt och ändamålsenligt sätt (t.ex. efterlevnad i samband med transaktioner och den faktiska risknivå som föreligger),
• e. ändamålsenligheten, kvaliteten och effektiviteten i de kontroller som utförs och den rapportering som görs av affärsenheterna (första försvarslinjen) och av funktionerna för riskhantering och regelefterlevnad.

Internrevisionsfunktionen ska i synnerhet kontrollera integriteten hos de processer som säkerställer tillförlitligheten i värdepappersföretagets metoder och tekniker samt de antaganden och informationskällor som används i dess interna modeller (t.ex. riskmodellering och värderingar i redovisning). Den ska också utvärdera kvaliteten på och användningen av verktyg för identifiering och bedömning av kvalitativa risker och de riskreducerande åtgärder som vidtagits.

Internrevisionsfunktionen ska ha obegränsad tillgång till värdepappersföretagens samtliga register, handlingar, uppgifter och byggnader. Detta ska innefatta tillgång till förvaltningsinformationssystem och protokoll från alla kommittéer och beslutsfattande organ.

Internrevisionsfunktionen ska följa nationella och internationella yrkesstandarder. Ett exempel på sådana yrkesstandarder är de normer som föreskrivs av Institute of Internal Auditors.

Internrevisionsarbetet ska utföras enligt en revisionsplan och ett detaljerat revisionsprogram som utgår från en riskbaserad metod.

En internrevisionsplan ska utarbetas minst en gång per år på grundval av de årliga målen för internrevisionskontroll. Internrevisionsplanen ska godkännas av ledningsorganet.

Alla revisionsrekommendationer ska vara föremål för ett formellt uppföljningsförfarande på lämplig ledningsnivå som syftar till att säkerställa och upprätta rapporter om det effektiva uppfyllandet av rekommendationerna.