16. Internrevisionsfunktion

Om en internrevisionsfunktion har inrättats bör den vara oberoende och ha tillräckliga befogenheter och resurser samt tillräcklig ställning. Utgivare av tillgångsanknutna token bör i synnerhet se till att kvalificeringen av internrevisionsfunktionens personal och internrevisionsfunktionens resurser, särskilt dess revisionsverktyg och riskanalysmetoder, är lämplig för storleken på och placeringen av utgivaren av tillgångsanknutna token samt för arten, omfattningen och komplexiteten av de risker som är förknippade med affärsmodellen, verksamheten, riskkulturen och riskaptiten för utgivaren av tillgångsanknutna token.

Internrevisionsfunktionen bör vara oberoende av den verksamhet som den granskar. Den bör därför inte kombineras med andra funktioner.

Internrevisionsfunktionen bör, genom ett riskbaserat tillvägagångssätt, på ett oberoende sätt granska och ge objektiv försäkran om att alla verksamheter och enheter hos en utgivare av tillgångsanknutna token, inbegripet användningen av tredjepartsenheter, följer utgivarens policyer och förfaranden och uppfyller externa lagstadgade krav.

Internrevisionsfunktionen bör inte vara delaktig i utformningen, urvalet, fastställandet eller genomförandet av specifika policyer, mekanismer, förfaranden och riskgränser för intern kontroll. Detta bör dock inte hindra ledningsorganet i dess ledningsfunktion från att begära in synpunkter från internrevisionsfunktionen i frågor som rör risker, intern kontroll och efterlevnad av tillämpliga regler.

Internrevisionsfunktionen bör bedöma om ramen för intern kontroll för utgivaren av tillgångsanknutna token enligt avdelning V är både ändamålsenlig och effektiv. Internrevisionsfunktionen bör särskilt bedöma

• a. lämpligheten hos styrningsramen för utgivaren av tillgångsanknutna token,
• b. huruvida befintliga policyer och förfaranden fortfarande är lämpliga och överensstämmer med krav enligt lagar och andra författningar samt med riskstrategin och riskaptiten för utgivaren av tillgångsanknutna token,
• c. att förfarandena är förenliga med tillämpliga lagar och förordningar och med ledningsorganets beslut,
• d. huruvida förfarandena genomförs på ett korrekt och ändamålsenligt sätt (t.ex. efterlevnad i samband med transaktioner och den faktiska risknivå som föreligger),
• e. lämpligheten, kvaliteten och ändamålsenligheten avseende de kontroller som utförs och den rapportering som görs av affärsenheterna (första försvarslinjen) samt av funktionerna för riskhantering och regelefterlevnad.

Internrevisionsfunktionen bör särskilt kontrollera integriteten hos de processer som säkerställer tillförlitligheten hos de metoder och tekniker för riskkvantifiering som utgivaren av tillgångsanknutna token använder, inbegripet modeller. Den bör också utvärdera kvaliteten på och användningen av verktyg för identifiering och bedömning av kvalitativa risker och de riskreducerande åtgärder som vidtagits.

Internrevisionsfunktionen bör granska lämpligheten i processerna för utarbetande av vitböcker, deras godkännande och processerna för hur tillgångsanknutna token erbjuds allmänheten.

Internrevisionsfunktionen bör ha obehindrad tillgång till alla register, dokument, uppgifter och byggnader för utgivaren av tillgångsanknutna token. Detta bör innefatta tillgång till förvaltningsinformationssystem och protokoll från alla kommittéer och beslutsfattande organ.

Internrevisionsfunktionen bör följa nationella och internationella yrkesstandarder. Ett exempel på sådana yrkesstandarder är de normer som föreskrivs av Institute of Internal Auditors.

Internrevisionsarbetet bör utföras regelbundet enligt en revisionsplan och ett detaljerat revisionsprogram som utgår från en riskbaserad metod.

En internrevisionsplan bör utarbetas minst en gång per år på grundval av de årliga målen för internrevisionskontroll. Internrevisionsplanen bör godkännas av ledningsorganet.

Alla revisionsrekommendationer bör bli föremål för ett formellt uppföljningsförfarande på lämplig ledningsnivå, meddelas ledningsorganet för utgivaren av tillgångsanknutna token och göras tillgängliga för den behöriga myndigheten för att man ska kunna säkerställa och rapportera om deras effektiva och snabba åtgärdande.