Wydanie Rekomendacji H dotyczącej systemu kontroli wewnętrznej w bankach.

Dzienniki resortowe

Dz.Urz.KNF.2011.11.40

Akt utracił moc

Wersja od: 19 lipca 2011 r.

UCHWAŁA Nr 180/2011

KOMISJI NADZORU FINANSOWEGO

z dnia 19 lipca 2011 r.

w sprawie wydania Rekomendacji H dotyczącej systemu kontroli wewnętrznej w bankach

Na podstawie art. 137 pkt 5 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz. U. z 2002 r. Nr 72, poz. 665, z późn. zm.) i art. 11 ust. 1 ustawy z dnia 21 lipca 2006 r., o nadzorze nad rynkiem finansowym (Dz. U. Nr 157, poz. 1119, z późn. zm.) uchwala się, co następuje:

§ 1. Wydaje się Rekomendację H dotyczącą systemu kontroli wewnętrznej w bankach, stanowiącą załącznik do uchwały.

§ 2. Rekomendacja, o której mowa w § 1, obowiązuje po upływie 6 miesięcy od dnia wejścia w życie uchwały.

§ 3. Traci moc uchwała Komisji Nadzoru Bankowego z dnia 11 grudnia 2002 r. w sprawie wydania Rekomendacji H dotyczącej kontroli wewnętrznej w banku, po upływie 6 miesięcy od dnia wejścia w życie uchwały.

§ 4. Uchwała podlega ogłoszeniu w Dzienniku Urzędowym Komisji Nadzoru Finansowego.

§ 5. Uchwała wchodzi w życie z dniem podjęcia.

ZAŁĄCZNIK 

Komisja Nadzoru Finansowego

___________________________________________________________________________

Rekomendacja H

dotycząca systemu kontroli wewnętrznej w bankach

___________________________________________________________________________

Warszawa, 2011 r.

WSTĘP

Niniejsza rekomendacja wydana jest na podstawie art. 137 pkt 5 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (tj. Dz. U. z 2002 r. Nr 72, poz. 665 z późn. zm.) i stanowi nowelizację rekomendacji H dotyczącej kontroli wewnętrznej w banku, opracowanej w 1999 r. i zaktualizowanej w 2002 r. przez Generalny Inspektorat Nadzoru Bankowego.

Rekomendacja stanowi zbiór dobrych praktyk w zakresie systemu kontroli wewnętrznej w banku, które uszczegółowiają przepisy dotyczące funkcjonowania systemu kontroli wewnętrznej, określone w ustawie z dnia 29 sierpnia 1997 r. - Prawo bankowe oraz w uchwale nr 383/2008 Komisji Nadzoru Finansowego z dnia 17 grudnia 2008 r. w sprawie szczegółowych zasad funkcjonowania systemu zarządzania ryzykiem i systemu kontroli wewnętrznej oraz szczegółowych warunków szacowania przez banki kapitału wewnętrznego i dokonywania przeglądów procesu szacowania i utrzymywania kapitału wewnętrznego.

Zapisy rekomendacji oparte zostały m.in. na opracowanych przez Bazylejski Komitet Nadzoru Bankowego (Basel Committee on Banking Supervision, BCBS) dokumentach: "Framework for Internal Control Systems in Banking Organisations" (wrzesień 1998 r.), "Internal audit in banks and the supervisor's relationship with auditors" (sierpień 2001 r.), oraz wytycznych dotyczących funkcjonowania kontroli wewnętrznej w bankach, opisanych w dokumencie konsultacyjnym Komitetu Europejskich Nadzorców Bankowych (Committee of European Banking Supervisors, CEBS): "Consultation paper on the Guidebook on Internal Governance (CP 44)" (13 października 2010 r.).

Zapisy rekomendacji powinny być stosowane z uwzględnieniem skali i złożoności działalności prowadzonej przez bank.

Zasady określone w niniejszej rekomendacji stosuje się odpowiednio do banków spółdzielczych, w których na podstawie ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe i zawartej umowy zrzeszenia, audyt wewnętrzny realizowany jest przez bank zrzeszający. Podobnie, zasady określone w niniejszej rekomendacji stosuje się odpowiednio do banków funkcjonujących w strukturze holdingowej.

Znaczenie i rola kontroli wewnętrznej w banku powinny być powszechnie znane pracownikom na wszystkich szczeblach. Istotne jest, aby cała kadra w banku rozumiała znaczenie kontroli wewnętrznej i była aktywnie angażowana w proces kontroli. W różnym stopniu, kontrola wewnętrzna należy do obowiązków każdego pracownika banku. Prawie wszyscy pracownicy są źródłem informacji wykorzystywanych w systemie kontroli wewnętrznej lub podejmują działania mające wpływ na prowadzone kontrole. Istotnym elementem efektywnego systemu kontroli wewnętrznej jest uznanie przez wszystkich pracowników konieczności wykonywania swoich obowiązków w sposób efektywny i przekazywania na właściwy szczebel zarządzania informacji o istotnych nieprawidłowościach, przypadkach braku zgodności z regulacjami oraz naruszania innych zasad lub nielegalnych działań, które zostały zaobserwowane. Szczegółowe procedury w tym zakresie powinny być wyraźnie spisane w dokumentacji dostępnej dla wszystkich pracowników.

Zarząd i kadra zarządzająca wyższego szczebla, a także rada nadzorcza, są odpowiedzialni za promowanie wysokich standardów etycznych oraz tworzenie i stosowanie zasad kultury kontroli obowiązującej wewnątrz całej organizacji. Wypowiedzi, postawy, działania zarządu i kadry zarządzającej wyższego szczebla w kontaktach biznesowych, zarówno wewnątrz, jak i na zewnątrz organizacji, mają wpływ na kształt kultury kontroli obowiązującej w banku.

W ramach promowania wartości etycznych, banki powinny unikać stosowania polityk i praktyk, które mogą nieświadomie zachęcać lub stanowić pokusę do niewłaściwych działań. Przykłady takich polityk i praktyk, to np. nadmierny nacisk na cele wydajnościowe lub inne wyniki operacyjne, szczególnie te krótkoterminowe, które mogą ignorować długoterminowe ryzyko; system wynagrodzeń, który jest zbyt uzależniony od wyników krótkoterminowych; nieefektywny podział obowiązków, mogący umożliwiać nadużywanie zasobów lub ukrywanie niezadowalających wyników; oraz niewspółmierne kary za niewłaściwe zachowania.

PODSTAWOWE DEFINICJE I TERMINOLOGIA

1) Audyt zewnętrzny - w szczególności jest to niezależne badanie sprawozdania finansowego dokonywane przez biegłego rewidenta w celu sprawdzenia, czy jest ono zgodne co do formy i treści z obowiązującymi jednostkę przepisami prawa, statutem lub umową. Celem tego badania jest stwierdzenie, czy sprawozdanie finansowe jest prawidłowe oraz rzetelnie i jasno przedstawia sytuację majątkową i finansową, jak też wynik finansowy oraz czy zostało sporządzone na podstawie prawidłowo prowadzonych ksiąg rachunkowych. Audytem zewnętrznym może też być specjalistyczne badanie (np. bezpieczeństwa systemu informatycznego) wykonane przez niezależny podmiot zewnętrzny.

2) Biegły rewident - osoba uprawniona do dokonywania badania sprawozdań finansowych, spełniająca warunki do wyrażenia bezstronnej i niezależnej opinii o sprawozdaniu finansowym; biegły rewident, zgodnie z zapisami ustawy o biegłych rewidentach i ich samorządzie.

3) Dokumentacja robocza - wszelkie opracowania, informacje, notatki, analizy, sprawozdania, oceny sporządzane na potrzeby audytu wewnętrznego.

4) Komitet audytu - rozumiany zgodnie z dokumentem "Rekomendacje dotyczące funkcjonowania Komitetu Audytu" Urzędu Komisji Nadzoru Finansowego z listopada 2010 r.

5) Audytor wewnętrzny - pracownik komórki audytu wewnętrznego wykonujący w banku czynności kontrolne, posiadający kwalifikacje, doświadczenie i umiejętności w zakresie badania ryzyka występującego w działalności banku oraz postępujący zgodnie z przyjętymi w banku standardami praktyki zawodowej oraz zasadami etyki audytora wewnętrznego.

6) Niezależność audytu wewnętrznego - brak okoliczności, które zagrażają bezstronnemu wykonywaniu obowiązków przez audyt wewnętrzny. W szczególności, są to wskazane w uchwale KNF mechanizmy funkcjonujące w banku, zapewniające niezależność komórki audytu wewnętrznego od istotnych nacisków podczas przeprowadzania kontroli według ustalonych metod, dokonywania ocen skuteczności procedur i regulaminów oraz sporządzania raportów pokontrolnych.

7) Obiektywizm audytu wewnętrznego - niezależność osądu dokonywanego przez audytorów wewnętrznych podczas przeprowadzania kontroli, od czynników pozamerytorycznych.

8) Raport pokontrolny - dokument sporządzany po każdej kontroli, zawierający w szczególności opis ustaleń kontroli, zastosowanych metod badania oraz wnioski i ew. zalecenia (w zależności od ich istotności).

9) "Rekomendacje dotyczące funkcjonowania Komitetu Audytu" - zbiór dobrych praktyk dotyczących funkcjonowania komitetu audytu, opracowany przez Urząd Komisji Nadzoru Finansowego (listopad 2010 r.).

10) System kontroli wewnętrznej - zgodnie z ustawą - Prawo bankowe, funkcjonuje w ramach systemu zarządzania w banku i obejmuje: mechanizmy kontroli ryzyka, badanie zgodności działania banku z przepisami prawa i regulacjami wewnętrznymi oraz audyt wewnętrzny. Celem systemu kontroli wewnętrznej jest wspomaganie procesów decyzyjnych, przyczyniające się do zapewnienia skuteczności i efektywności działania banku, wiarygodności sprawozdawczości finansowej oraz zgodności działania banku z przepisami prawa i regulacjami wewnętrznymi.

11) Ustawa - Prawo bankowe - ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz. U. z 2002 r. Nr 72, poz. 665 z późn. zm.¹⁾).

12) Ustawa o biegłych rewidentach i ich samorządzie - ustawa z dnia 7 maja 2009 r. o biegłych rewidentach i ich samorządzie, podmiotach uprawnionych do badania sprawozdań finansowych oraz o nadzorze publicznym (Dz. U. Nr 77, poz. 649 z późn. zm.²⁾).

13) Uchwała KNF - uchwała uchwalona na podstawie art. 9f oraz art. 128 ust. 6 pkt 2 ustawy - Prawo bankowe, obecnie - uchwała nr 383/2008 Komisji Nadzoru Finansowego z dnia 17 grudnia 2008 r. w sprawie szczegółowych zasad funkcjonowania systemu zarządzania ryzykiem i systemu kontroli wewnętrznej oraz szczegółowych warunków szacowania przez banki kapitału wewnętrznego i dokonywania przeglądów procesu szacowania i utrzymywania kapitału wewnętrznego (Dz. Urz. KNF Nr 8, poz. 37 z późn. zm.³⁾).

LISTA REKOMENDACJI

I. System kontroli wewnętrznej

Rekomendacja 1

W banku funkcjonuje efektywny system kontroli wewnętrznej, dostosowany do charakteru oraz profilu ryzyka i skali działalności banku, w sposób trwały i spójny wkomponowany w system zarządzania banku jako całości.

A. Cele i organizacja systemu kontroli wewnętrznej

Rekomendacja 2

Zarząd banku powinien opracować i wdrożyć spójną i kompleksową strukturę systemu kontroli wewnętrznej, w ramach której funkcjonują mechanizmy kontroli ryzyka, badanie zgodności działania banku z przepisami prawa i regulacjami wewnętrznymi oraz audyt wewnętrzny, i która przyczyni się do zapewnienia, że cel systemu zostanie zrealizowany.

A.1. Nadzór ze strony zarządu i rady nadzorczej

Rekomendacja 3

Rada nadzorcza banku jest odpowiedzialna za zapewnienie efektywnego nadzoru nad funkcjonowaniem systemu kontroli wewnętrznej. Zarząd banku jest odpowiedzialny za wprowadzanie w życie zasad i ustaleń rady nadzorczej dotyczących funkcjonowania systemu kontroli wewnętrznej oraz za ich przestrzeganie, dokonywanie okresowych przeglądów i weryfikacji, mających na celu dostosowanie do zmieniającej się sytuacji wewnętrznej w banku i otoczenia banku.

A.2. Komitet audytu

Rekomendacja 4

W bankach, z wyłączeniem banków spółdzielczych, funkcjonuje komitet audytu, w skład którego wchodzi odpowiednia liczba niezależnych członków, posiadających specjalistyczną wiedzę i doświadczenie.

A.3. Czynności kontrolne wykonywane przez pracowników i podział obowiązków

Rekomendacja 5

Kontrola jest wykonywana na każdym etapie działania banku i wykonywanych zadań i czynności przez pracowników.

A.4. Informacja i jej komunikowanie

Rekomendacja 6

Należy wprowadzić i zapewnić funkcjonowanie odpowiedniego systemu informacji zarządczej (sprawozdań) w zakresie systemu kontroli wewnętrznej, pozwalającego na podejmowanie właściwych decyzji na poszczególnych poziomach zarządzania.

A.5. Monitorowanie mechanizmów kontrolnych i korygowanie błędów

Rekomendacja 7

W ramach monitorowania efektywności wewnętrznych mechanizmów kontrolnych, zarząd banku powinien określić obszary działalności banku, procesy, operacje, transakcje oraz inne czynności, które będą podlegały monitorowaniu stałemu oraz weryfikacji okresowej.

B. Funkcjonowanie systemu kontroli wewnętrznej

B.1. Mechanizmy kontroli ryzyka

Rekomendacja 8

Mechanizmy identyfikacji, oceny i kontroli ryzyka, powinny uwzględniać ocenę ilościową, jakościową, brać pod uwagę szacunek wpływu ryzyka na bezpieczeństwo banku i rentowność działalności, wiarygodność sprawozdawczości oraz przestrzeganie przepisów i regulacji.

B.2. Badanie zgodności działania banku z przepisami prawa i regulacjami wewnętrznymi

Rekomendacja 9

Zarząd banku jest wyposażony w informacje o przepisach prawa, zasadach, regulacjach i normach, które bank musi przestrzegać, wraz z szacunkową oceną możliwego wpływu istotnych zmian w tym zakresie, na działalność banku i zapewnienie zgodności działania z tymi przepisami.

B.3. Funkcje komórki audytu wewnętrznego

B.3.1. Usytuowanie, uprawnienia, zakres badań i odpowiedzialności komórki audytu wewnętrznego

Rekomendacja 10

Komórka audytu wewnętrznego powinna działać w oparciu o sformalizowany dokument określający cel, uprawnienia oraz zakres zadań i odpowiedzialności komórki.

B.3.1.1. Usytuowanie komórki audytu wewnętrznego

Rekomendacja 11

Komórka audytu wewnętrznego powinna być usytuowana w strukturze organizacyjnej banku, w sposób gwarantujący jej wykonywanie zadań w sposób w pełni niezależny i obiektywny.

B.3.1.2. Uprawnienia komórki audytu wewnętrznego

Rekomendacja 12

Audytorzy wewnętrzni powinni mieć zapewniony dostęp do wszystkich informacji i sprawozdań, niezbędnych do wykonania czynności kontrolnych, prawo do żądania ustnych i pisemnych wyjaśnień, dostępu do systemu informatycznego, sprawdzania i kopiowania dokumentów źródłowych oraz sporządzania dokumentacji roboczej.

B.3.1.3. Zakres badań komórki audytu wewnętrznego

Rekomendacja 13

System kontroli wewnętrznej powinien być zorientowany na rozpoznanie i ocenę ryzyka całego banku. Wpływ ryzyka na poszczególne obszary funkcjonowania banku powinien być oceniany pod względem jego istotności. Komórka audytu wewnętrznego ma na celu zapewnienie, że w banku funkcjonują adekwatne systemy, metody, procedury/czynności kontrolne, które mają na celu niedopuszczanie do przekraczania m.in. ustalonych limitów wewnętrznych (o których mowa w uchwale KNF).

B.3.1.4. Odpowiedzialność komórki audytu wewnętrznego

Rekomendacja 14

Odpowiedzialność komórki audytu wewnętrznego powinna być szczegółowo zdefiniowana w regulaminie kontroli.

B.3.2. Zapewnienie profesjonalnego poziomu wykonywania kontroli

Rekomendacja 15

Audytorzy wewnętrzni powinni: posiadać odpowiednie kwalifikacje, doświadczenie i umiejętności do wykonywania powierzanych im zadań, cechować się odpowiednią postawą etyczną, mieć zapewnione wynagrodzenie na poziomie umożliwiającym zatrudnianie i utrzymywanie wysoko wykwalifikowanych specjalistów oraz możliwości udziału w szkoleniach, w celu podnoszenia kwalifikacji.

Rekomendacja 16

Działanie komórki audytu wewnętrznego powinno podlegać regularnej ocenie zewnętrznej, nie rzadziej jednak niż co pięć lat.

B.3.3. Planowanie i wykonywanie kontroli

Rekomendacja 17

Kontrola prowadzona przez komórkę audytu wewnętrznego powinna przebiegać zgodnie z wewnętrznymi procedurami, według ustalonego porządku (obszary kontroli i harmonogram).

Rekomendacja 18

W planowaniu kontroli przez komórkę audytu wewnętrznego powinny być uwzględnione programy i plany kilkuletnie oraz roczne, a także harmonogramy określające zestaw czynności dotyczących poszczególnych kontroli.

Rekomendacja 19

W fazie przygotowania kontroli należy właściwie zaplanować czas niezbędny do przeprowadzenia kontroli oraz dokonać szczegółowego podziału zadań pomiędzy pracowników/członków zespołu kontrolującego, w celu zapewnienia odpowiedniej wydajności pracy, jakości badań.

Rekomendacja 20

Kontrola powinna być przeprowadzana na podstawie zatwierdzonego planu i pisemnych upoważnień dostarczonych przez kierującego komórką audytu wewnętrznego, zawierających zakres i termin jej przeprowadzenia oraz poprzedzona odpowiednim powiadomieniem (z wyjątkiem kontroli niezapowiedzianych). Podczas kontroli, pracownicy weryfikują i analizują uzyskane informacje. Wszelkie uwagi i wątpliwości pojawiające się podczas kontroli powinny być na bieżąco omawiane i wyjaśniane z odpowiednimi pracownikami.

Rekomendacja 21

Zasady sporządzania raportów pokontrolnych powinny być sformalizowane.

Rekomendacja 22

Jednostka poddana kontroli realizuje - w zakresie swoich kompetencji - zalecenia pokontrolne i jest zobowiązana do przekazania komórce audytu wewnętrznego informacji o terminach i skutkach podjętych działań naprawczych związanych z przeprowadzoną kontrolą.

B.3.4. Kontrola wewnętrzna w oddziałach banku

Rekomendacja 23

Struktura audytu wewnętrznego w banku powinna wynikać ze struktury organizacyjnej banku.

B.3.5. Współpraca komórki audytu wewnętrznego z nadzorem bankowym i audytorem zewnętrznym

Rekomendacja 24

Należy zapewnić właściwą koordynację działań kontrolnych w banku oraz odpowiednie warunki do współpracy z podmiotami zewnętrznymi uprawnionymi do dokonywania kontroli, celem wymiany informacji, doświadczeń i opinii.

I.

SYSTEM KONTROLI WEWNĘTRZNEJ

Rekomendacja 1

W banku funkcjonuje efektywny system kontroli wewnętrznej, dostosowany do charakteru oraz profilu ryzyka i skali działalności banku, w sposób trwały i spójny wkomponowany w system zarządzania banku jako całości.

1.1. Kontrolowanie działalności bankowej są to czynności ciągłe (samokontrola), a także niezależna i obiektywna działalność wykonywana przez wyspecjalizowane komórki, polegające na dokładnym badaniu i ocenie wszystkich wewnętrznych procesów banku, obserwowaniu i wprowadzaniu korekt do bieżących działań.

1.2. Obowiązek zorganizowania efektywnego systemu kontroli wewnętrznej w banku wynika bezpośrednio z przepisów ustawy - Prawo bankowe oraz uchwały KNF.

1.3. System kontroli wewnętrznej winien być w sposób trwały i spójny wkomponowany w system zarządzania banku. Organizacja i zasady funkcjonowania systemu kontroli wewnętrznej sprawowanej w poszczególnych jednostkach organizacyjnych banku, mają na celu ciągłą analizę oraz kontrolę przebiegu i rezultatów pracy poszczególnych pracowników i zespołów.

Regularne kontrolowanie wszystkich procesów, czynności, ma na celu zapewnienie ich zgodności z procedurami i mechanizmami kontroli. Kontrola taka stanowi dodatkowo podstawę weryfikacji poprawności procedur i sprawności działania mechanizmów kontrolnych na wszystkich szczeblach organizacyjnych i obejmuje m.in. sprawdzenie przestrzegania przepisowi instrukcji wewnętrznych, limitów, fizycznych zabezpieczeń dostępu, uprawomocnienia i autoryzacji, a także badanie, czy występuje rozdzielenie sprzecznych ze sobą funkcji i obowiązków. W szczególności zaznaczyć należy, iż występowanie powiązań personalnych pomiędzy pracownikami pozostającymi w relacjach bezpośredniej podległości może utrudniać lub całkowicie uniemożliwiać poprawną ocenę.

A.

CELE I ORGANIZACJA SYSTEMU KONTROLI WEWNĘTRZNEJ

Rekomendacja 2

Zarząd banku powinien opracować i wdrożyć spójną i kompleksową strukturę systemu kontroli wewnętrznej, w ramach której funkcjonują mechanizmy kontroli ryzyka, badanie zgodności działania banku z przepisami prawa i regulacjami wewnętrznymi oraz audyt wewnętrzny, i która przyczyni się do zapewnienia, że cel systemu zostanie zrealizowany.

2.1. System kontroli wewnętrznej, jako istotne narzędzie kontrolne działalności banku, obejmuje wbudowane w procesy banku: mechanizmy kontroli ryzyka, kontrolę zgodności działania banku z przepisami prawa i regulacjami oraz komórkę audytu wewnętrznego. Cel systemu kontroli wewnętrznej jest zdefiniowany w ustawie - Prawo bankowe.

2.2. Zarząd banku powinien opracować i wdrożyć spójną i kompleksową strukturę systemu kontroli wewnętrznej, która przyczyni się do zapewnienia, że cel systemu zostanie zrealizowany, w szczególności przez zapewnienie ostrożności w prowadzeniu działalności gospodarczej poprzez odpowiednią kontrolę rodzajów ryzyka występujących w działalności bankowej, wiarygodności raportowanych informacji finansowych i niefinansowych - zarówno wewnętrznie, jak i zewnętrznie oraz zgodności działalności z przepisami prawa, regulacjami, wymaganiami nadzorczymi oraz wewnętrznymi regulaminami i decyzjami.

2.3. Osiągnięcie założonych celów w strategii banku oraz utrzymywanie dobrej sytuacji ekonomiczno-finansowej wymaga sprawnego działania systemu kontroli wewnętrznej. Aby system kontroli wewnętrznej działał sprawnie, niezbędne jest funkcjonowanie i współdziałanie wszystkich elementów systemu kontroli.

A.1. Nadzór ze strony zarządu i rady nadzorczej

Rekomendacja 3

Rada nadzorcza banku jest odpowiedzialna za zapewnienie efektywnego nadzoru nad funkcjonowaniem systemu kontroli wewnętrznej. Zarząd banku jest odpowiedzialny za wprowadzanie w życie zasad i ustaleń rady nadzorczej dotyczących funkcjonowania systemu kontroli wewnętrznej oraz za ich przestrzeganie, dokonywanie okresowych przeglądów i weryfikacji, mających na celu dostosowanie do zmieniającej się sytuacji wewnętrznej w banku i otoczenia banku.

3.1. Systemem kontroli wewnętrznej powinno w szczególności być objęte dokładne i niezależne badanie obszarów działalności banku, na podstawie których zarząd i rada nadzorcza banku otrzymają informacje dotyczące:

1) przestrzegania przepisów prawa, w tym regulacji ostrożnościowych i innych norm zewnętrznych oraz obowiązujących w banku regulacji wewnętrznych (instrukcji, procedur i przepisów wewnętrznych):

- niezbędne jest ustalenie i monitorowanie wpływu tych przepisów na bezpieczeństwo, efektywność i skuteczność działania banku, w celu wskazania sposobów i metod podniesienia wydajności i jakości operacyjnej oraz efektywnego wykorzystania zasobów banku,

- wszystkie czynności wykonywane przez pracowników na poszczególnych stanowiskach powinny być opracowane w formie pisemnej, ustalona odpowiedzialność za ich wykonywanie, a także opisane dopuszczalne, ewentualne odstępstwa od przyjętych zasad. Należy także ocenić wpływ istniejących instrukcji, procedur i przepisów wewnętrznych na funkcjonowanie banku i generowaną sprawozdawczość, w celu wskazania na konieczność dokonania zmian lub opracowania nowych instrukcji, procedur i limitów ostrożnościowych itp.,

2) funkcjonowania w banku systemu informacji zarządczej, w tym: ryzyka zarządzania, łącznie z przestrzeganiem zasad bezpiecznego prowadzenia działalności bankowej:

- system informowania zarządu i rady nadzorczej powinien gwarantować otrzymywanie kompletnych, wiarygodnych i terminowych, a także użytecznych i spójnych informacji, które mogą stanowić podstawę do podejmowania właściwych (optymalnych) decyzji oraz zapewniać, że kanały komunikowania się są efektywne,

3) skuteczności ujawniania w ramach kontroli funkcjonalnej błędów i nieprawidłowości oraz podejmowania skutecznych działań naprawczych lub korygujących:

- w celu stwierdzenia, czy są one efektem świadomego działania, czy też ich źródłem jest słabość procesów zarządzania, istniejących procedur, wadliwa lub nieefektywna organizacja pracy lub niedostateczne wyposażenie w niezbędny sprzęt albo słabość systemów kontrolnych,

4) realizacji określonych i wymaganych przez zarząd celów i polityki banku:

- banki powinny posiadać opracowaną politykę i strategię rozwoju, przy czym badanie winno obejmować sprawdzanie ich realności i aktualności oraz sposób realizacji,

5) kompletności, prawidłowości i kompleksowości procedur księgowych:

- procedury księgowe powinny być poddawane regularnemu przeglądowi w celu wyeliminowania ewentualnych strat z tytułu popełnianych błędów, nieostrożności, czy opóźnień ewidencji wykonywanych operacji,

6) jakości (dokładności i niezawodności) systemów: księgowego, sprawozdawczego i operacyjnego:

- celem badania powinno być dostosowanie instrukcji, procedur i limitów do aktualnych potrzeb banku,

7) adekwatności, funkcjonalności i bezpieczeństwa systemu informatycznego:

- celem badania jest sprawdzenie, czy zapewniono przygotowanie systemów wewnętrznych banku w zakresie zarządzania ryzykiem towarzyszącym systemom informatycznym oraz czy zostały opracowane adekwatne procedury zabezpieczające i kontrolne, w tym zasady funkcjonowania systemów awaryjnych,

8) efektywności wykorzystania dostępnych środków, w tym funduszy własnych i zasobów we wszystkich obszarach działalności banku:

- celem badania jest ustalenie, czy posiadany majątek jest prawidłowo wykorzystywany oraz znajduje się pod stałą i pełną kontrolą,

9) oceny struktury organizacyjnej banku, podziału kompetencji i koordynacji działań pomiędzy poszczególnymi jednostkami organizacyjnymi i stanowiskami pracy, a także systemu tworzenia i obiegu dokumentów i informacji oraz istnienia mechanizmów gwarantujących podejmowanie decyzji w sposób wykluczający ryzyko związane z występowaniem powiązań personalnych pomiędzy uczestnikami procesów decyzyjnych:

- badanie winno mieć na celu wyeliminowanie tworzenia dokumentów i przesyłania informacji, które nie są wykorzystywane przez adresatów lub są wielokrotnie opracowywane w różnych jednostkach banku. Ocenie powinna być także poddana zasadność, efektywność działania i realizacja zaleceń komitetów problemowych działających w banku,

10) oceny funkcjonowania systemów wewnętrznych w aspekcie poprawy efektywności działania banku jako całości,

11) czynności zlecanych przez bank do wykonania podmiotom zewnętrznym, nawet jeśli są one powiązane organizacyjnie lub kapitałowo z bankiem:

- banki są zobowiązane zachować ostrożność w zakresie delegowania swoich funkcji innym podmiotom, w szczególności, gdy właściciele danej firmy są powiązani personalnie z zarządem lub radą nadzorczą banku, przy czym przykładowe wymagania obejmują:

* zlecenie wykonania usług musi być sporządzone w formie pisemnej i zaakceptowane przez zarząd lub umocowanych przez zarząd pracowników,

* bank musi posiadać efektywną kontrolę nad zleceniobiorcą w zakresie realizacji usług,

* bank musi na bieżąco monitorować sytuację i zdolność realizacji usług przez zleceniobiorcę,

* bank musi opracować plan awaryjny na wypadek niezdolności dostarczenia usług przez zleceniobiorcę.

A.2. Komitet audytu

Rekomendacja 4

W bankach, z wyłączeniem banków spółdzielczych, funkcjonuje komitet audytu, w skład którego wchodzi odpowiednia liczba niezależnych członków, posiadających specjalistyczną wiedzę i doświadczenie.

4.1. Zgodnie z ustawą - Prawo bankowe, rada nadzorcza banku może powołać spośród swoich członków komitet do spraw audytu wewnętrznego, który sprawuje nadzór nad działalnością komórki audytu wewnętrznego. Z kolei ustawa o biegłych rewidentach i ich samorządzie, nakłada obowiązek powołania komitetu audytu w jednostkach zainteresowania publicznego (w tym bankach krajowych, z wyłączeniem banków spółdzielczych, w rozumieniu ustawy - Prawo bankowe), określając również w szczególności skład i zadania komitetu.

4.2. Szczegółowe kwestie dotyczące komitetu audytu, w tym m.in. jego skład, zadania oraz rekomendacje w sprawie realizacji tych zadań, określa zbiór dobrych praktyk dotyczących funkcjonowania komitetu audytu, opracowany przez Urząd Komisji Nadzoru Finansowego w dokumencie: "Rekomendacje dotyczące funkcjonowania Komitetu Audytu" (listopad 2010 r.).

A.3. Czynności kontrolne wykonywane przez pracowników i podział obowiązków

Rekomendacja 5

Kontrola jest wykonywana na każdym etapie działania banku i wykonywanych zadań i czynności przez pracowników.

5.1. W procesie kontroli wewnętrznej powinni być zaangażowani wszyscy pracownicy (tzw. samokontrola), przy czym:

* w zależności od miejsca pracownika w hierarchii organizacyjnej i istnienia związków z innymi pracownikami, zakres wykonywanych przez niego czynności kontrolnych powinien być adekwatny do funkcji pełnionej w banku i powierzonego zakresu odpowiedzialności,

* podział obowiązków i odpowiedzialności nie powinien powodować ewentualnych konfliktów interesów i stwarzać możliwości dokonywania manipulacji i zatajania niewłaściwych działań - czemu sprzyjać może istnienie powiązań personalnych pomiędzy pracownikami na różnych szczeblach organizacji.

5.2. Celem zapewnienia jak największej skuteczności czynności kontrolnych wykonywanych przez pracowników, czynności te powinny mieć taką formę i charakter, aby możliwa była szybka i skuteczna reakcja na stwierdzone nieprawidłowości oraz zmieniające się warunki.

5.3. Skuteczny system kontroli wewnętrznej wymaga odpowiedniego podziału obowiązków oraz nieprzypisywania pracownikom obowiązków, które mogłyby mieć sprzeczny charakter. Przy analizowaniu przyczyn powstania większych strat bankowych spowodowanych przez niewłaściwą kontrolę wewnętrzną, jedną z głównych ich przyczyn jest właśnie brak odpowiedniego podziału obowiązków. Przypisanie sprzecznych obowiązków jednej osobie (np. odpowiedzialność zarówno za funkcjonowanie front-, jak i back-office'u w ramach usług wykonywania transakcji na rynkach, lub też ocena adekwatności dokumentacji kredytowej, połączona z monitorowaniem tego samego kredytobiorcy po udzieleniu kredytu), otwiera jej możliwość do manipulowania danymi finansowymi dla uzyskania osobistych korzyści lub ukrycia strat. W związku z tym, obowiązki w banku powinny być odpowiednio rozdzielone, w możliwym zakresie, pomiędzy różnych pracowników, w celu zmniejszenia ryzyka manipulowania danymi finansowymi lub sprzeniewierzenia aktywów.

5.4. Obszary potencjalnego konfliktu powinny być identyfikowane, minimalizowane i poddane starannemu monitorowaniu przez niezależną osobę trzecią. Powinny być również prowadzone okresowe przeglądy obowiązków i zadań kluczowych pracowników, w celu zapewnienia wykluczenia możliwości niewłaściwych działań.

A.4. Informacja i jej komunikowanie

Rekomendacja 6

Należy wprowadzić i zapewnić funkcjonowanie odpowiedniego systemu informacji zarządczej (sprawozdań) w zakresie systemu kontroli wewnętrznej, pozwalającego na podejmowanie właściwych decyzji na poszczególnych poziomach zarządzania.

6.1. Skuteczny system kontroli wewnętrznej wymaga:

* zapewnienia odpowiedniego systemu otrzymywania informacji (w tym raportów, sprawozdań, analiz) przez osoby odpowiedzialne za podejmowanie decyzji; informacje te powinny być odpowiednie, wiarygodne, kompletne i terminowe oraz dostarczane w formacie pozwalającym na ich właściwą interpretację i wykorzystanie,

* zorganizowania i utrzymywania adekwatnych systemów informatycznych; systemy te powinny zapewniać właściwe przechowywanie i przetwarzanie danych, ułatwiać pomiar i monitorowanie poszczególnych rodzajów ryzyka oraz generować informacje użyteczne do podejmowania decyzji,

* ustalenia zasad przepływu i otrzymywania informacji w celu zapewnienia, że odpowiednie informacje są otrzymywane przez osoby do tego upoważnione.

6.2. Rada nadzorcza i zarząd banku powinny zwrócić szczególną uwagę na wdrożenie właściwych zabezpieczeń systemów informatycznych, które uniemożliwiają niepożądanym osobom wgląd lub dokonywanie zmian w systemach.

A.5. Monitorowanie mechanizmów kontrolnych i korygowanie błędów

Rekomendacja 7

W ramach monitorowania efektywności wewnętrznych mechanizmów kontrolnych, zarząd banku powinien określić obszary działalności banku, procesy, operacje, transakcje oraz inne czynności, które będą podlegały monitorowaniu stałemu oraz weryfikacji okresowej.

7.1. Monitorowanie efektywności wewnętrznych mechanizmów kontrolnych powinno być prowadzone w sposób ciągły, w celu dostosowania do wprowadzanych rozwiązań organizacyjnych oraz otoczenia banku. Zarząd banku powinien określić obszary działalności banku, procesy, operacje, transakcje oraz inne czynności, które będą podlegały:

* monitorowaniu stałemu,

* weryfikacji okresowej.

7.2. Ciągłość lub okresowość monitorowania zależy od wyników analizy ryzyka towarzyszącego określonej działalności, czy operacji oraz częstotliwości i charakteru zmian związanych z poszczególnymi rodzajami ryzyka.

B.

FUNKCJONOWANIE SYSTEMU KONTROLI WEWNĘTRZNEJ

System kontroli wewnętrznej obejmuje obszary określone w ustawie - Prawo bankowe:

B.1. mechanizmy kontroli ryzyka,

B.2. badanie zgodności działania banku z przepisami prawa i regulacjami wewnętrznymi,

B.3. audyt wewnętrzny.

B.1. Mechanizmy kontroli ryzyka

Rekomendacja 8

Mechanizmy identyfikacji, oceny i kontroli ryzyka, powinny uwzględniać ocenę ilościową, jakościową, brać pod uwagę szacunek wpływu ryzyka na bezpieczeństwo banku i rentowność działalności, wiarygodność sprawozdawczości oraz przestrzeganie przepisów i regulacji.

8.1. Ryzyko związane jest z prowadzeniem każdej działalności. Istotna jest zatem konieczność zidentyfikowania ryzyka i czynników (wewnętrznych i zewnętrznych) generujących to ryzyko, pomiar, jak również stała kontrola ryzyka.

8.2. Identyfikacja, pomiar i ocena ryzyka powinna wskazać, które rodzaje ryzyka bank powinien i może kontrolować i w jakim zakresie, które elementy ryzyka podlegają ocenie jakościowej, a które ocenie ilościowej. Ważną kwestią jest również identyfikacja, pomiar i ocena tych czynników zewnętrznych i wewnętrznych, które mogłyby niekorzystnie wpływać na rentowność działalności, wiarygodność sporządzanej sprawozdawczości oraz przestrzeganie przepisów i regulacji. Do czynników takich należy zaliczyć również występowanie powiązań personalnych pomiędzy pracownikami pozostającymi w relacji podległości służbowej.

8.3. W banku funkcjonują adekwatne systemy, metody, procedury/czynności kontrolne, które mają na celu niedopuszczanie do przekraczania ustalonych limitów wewnętrznych (o których mowa w uchwale KNF). Częste przekraczanie limitów jest sygnałem, że procedury, które miały zapobiegać przekraczaniu limitów, są zawodne i należy je poprawić. W przypadku stwierdzenia przekroczenia limitu, powinny być bezzwłocznie podjęte stosowne czynności przewidziane w regulaminie, które doprowadzą do obniżenia danego typu ryzyka w działalności banku. Każde przekroczenie limitu, podjęte działania oraz skutki tych działań, powinny być rejestrowane i raportowane, zgodnie z obowiązującymi w banku zasadami.

8.4. Bank powinien posiadać pisemne uzasadnienie każdej decyzji o odstąpieniu od obowiązku ustalenia procedur kontrolnych.

B.2. Badanie zgodności działania banku z przepisami prawa i regulacjami wewnętrznymi

Rekomendacja 9

Zarząd banku jest wyposażony w informacje o przepisach prawa, zasadach, regulacjach i normach, które bank musi przestrzegać, wraz z szacunkową oceną możliwego wpływu istotnych zmian w tym zakresie, na działalność banku i zapewnienie zgodności działania z tymi przepisami.

9.1. Badanie zgodności działań banku z przepisami realizowane jest przez wyspecjalizowaną komórkę.

9.2. Ryzyko braku zgodności może stanowić zagrożenie dla zysków lub kapitałów z uwagi pojawienia się konieczności poniesienia dodatkowych kosztów wynikających z np. nałożonych kar, poniesionych szkód, anulowanych kontraktów lub utraty reputacji (wiarygodności dla kontrahentów) banku.

B.3. Funkcje komórki audytu wewnętrznego

9.3. Podstawy prawne funkcjonowania oraz zadania i czynności realizowane w ramach komórki audytu wewnętrznego są zdefiniowane w ustawie - Prawo bankowe oraz uchwale KNF.

B.3.1. Usytuowanie, uprawnienia, zakres badań i odpowiedzialności komórki audytu wewnętrznego

Rekomendacja 10

Komórka audytu wewnętrznego powinna działać w oparciu o sformalizowany dokument określający cel, uprawnienia oraz zakres zadań i odpowiedzialności komórki.

10.1. Usytuowanie, uprawnienia, zakres badań i odpowiedzialności komórki audytu wewnętrznego muszą być sformalizowane, zgodne z wewnętrznymi przepisami, statutem i schematem organizacyjnym banku oraz odpowiednio udokumentowane w regulaminie kontroli, zatwierdzonym przez radę nadzorczą. Regulamin kontroli w przedmiotowym zakresie podlega okresowej weryfikacji i aktualizacji.

10.2. Komórka audytu wewnętrznego powinna posiadać opracowane procedury badania obszarów działalności banku i operacji wykonywanych przez pracowników banku, pod kątem skuteczności, adekwatności oraz efektywności i poprawności tych działań.

B.3.1.1. Usytuowanie komórki audytu wewnętrznego

Rekomendacja 11

Komórka audytu wewnętrznego powinna być usytuowana w strukturze organizacyjnej banku, w sposób gwarantujący jej wykonywanie zadań w sposób w pełni niezależny i obiektywny.

11.1. Odpowiednia pozycja komórki audytu wewnętrznego i jej niezależność powinny być zagwarantowane w statucie banku, w celu zapewnienia jej obiektywizmu i sprawnego funkcjonowania. Szczególna uwaga powinna być zwrócona na prawidłowe relacje i współpracę komórki audytu wewnętrznego z radą nadzorczą, zarządem i jednostkami organizacyjnymi banku. Istnienie powiązań personalnych osób wykonujących audyt wewnętrzny, osób pracujących na kontrolowanych stanowiskach i osób wchodzących w skład zarządu, rady nadzorczej, kierownictwa jednostek organizacyjnych banku, może mieć negatywny wpływ na przebieg i ustalenia kontroli.

11.2. Komórka audytu wewnętrznego powinna być usytuowana w banku, w sposób gwarantujący jej wykonywanie ustawowych zadań w sposób w pełni niezależny i obiektywny oraz właściwą rangę i niezależność, także z punktu widzenia warunków w pełni obiektywnej oceny. Komórka audytu wewnętrznego jest integralną częścią banku i funkcjonuje w ramach strategii i polityki ustalanej przez zarząd banku i akceptowanej przez radę nadzorczą banku. W przypadku banków spółdzielczych, audyt może być wykonywany przez bank zrzeszający.

11.3. Obiektywizm audytu wewnętrznego stanowi jedno z najważniejszych kryteriów oceny jakości pracy audytora wewnętrznego. Audytorzy wewnętrzni powinni zachować bezstronność i obiektywizm. Audytorzy wewnętrzni powinni przeprowadzać kontrole w taki sposób, aby zachować poufność wyników kontroli oraz nie zgadzać się na żadne rozwiązania lub kompromisy, które mogłyby mieć negatywny wpływ na zachowanie wysokiej jakości swojej pracy. Wyniki kontroli powinny być przedstawiane bez względu na konsekwencje, jakie mogą wywołać oraz powiązania (formalne i nieformalne), które mogą naruszać.

11.4. Właściwe usytuowanie w strukturze organizacyjnej banku powinno zapewnić komórce audytu wewnętrznego niezależność, ale nie izolację. Miejsce komórki audytu wewnętrznego w strukturze organizacyjnej banku musi umożliwiać skuteczne wykonywanie funkcji kontrolnych. Skuteczność komórki audytu wewnętrznego w dużej mierze uwarunkowana jest niezależnością audytorów wewnętrznych, o której decyduje m.in. umiejscowienie jej w strukturze organizacyjnej banku.

11.5. Kierujący komórką audytu wewnętrznego powinien bezpośrednio podlegać prezesowi zarządu banku. Efektywna współpraca zarządu, rady nadzorczej banku, komitetu audytu i komórki audytu wewnętrznego, jest niezbędna dla utrzymania kontroli wewnętrznej na wysokim poziomie.

11.6. Wiarygodność komórki audytu wewnętrznego jest wynikiem trafności opinii realizacji zaleceń, bezstronności i profesjonalizmu, a także umiejętności jej pracowników. Na prawidłowe działanie komórki audytu wewnętrznego mają wpływ m.in. takie czynniki, jak: ilość pracowników, ich przygotowanie zawodowe (kwalifikacje i doświadczenie), fluktuacja kadr. Organizacja pracy, w tym adekwatna ilość pracowników, w komórce audytu wewnętrznego, powinna wynikać ze specyfiki działalności banku.

11.7. Mechanizmy zapewniające niezależność komórki audytu wewnętrznego są określone w uchwale KNF. Należy stosować zasadę wyłączania z czynności kontrolnych pracowników komórki audytu wewnętrznego, w sytuacji zaistnienia powiązań personalnych pomiędzy kontrolowanym a kontrolującym, które mogłyby powodować jakąkolwiek wątpliwość, co do pełnego obiektywizmu kontroli. Ponadto, należy zaznaczyć, że pracownicy komórki audytu wewnętrznego, w toku wykonywania swoich zadań, nie mogą być angażowani w wykonywanie czynności operacyjnych, takich jak np. przeksięgowania, ponowna wycena składników majątku, opracowywanie procedur, itp.

B.3.1.2. Uprawnienia komórki audytu wewnętrznego

Rekomendacja 12

Audytorzy wewnętrzni powinni mieć zapewniony dostęp do wszystkich informacji i sprawozdań, niezbędnych do wykonania czynności kontrolnych, prawo do żądania ustnych i pisemnych wyjaśnień, dostęp do systemu informatycznego, sprawdzania i kopiowania dokumentów źródłowych oraz sporządzania dokumentacji roboczej.

12.1. Gwarantem skuteczności komórki audytu wewnętrznego, jest wyposażenie jej w niezbędne instrumenty do wypełniania wyznaczonych celów.

12.2. Komórka audytu wewnętrznego musi posiadać formalne uprawnienia do wykonywania swoich zadań, określone w regulaminie kontroli, zgodnym również z uchwałą KNF.

12.3. Pracownicy komórki audytu wewnętrznego powinni mieć zapewniony dostęp do wszystkich informacji (w tym również informacji poufnych i wrażliwych) i sprawozdań, pracowników banku oraz jego pomieszczeń, niezbędnych do wykonania czynności kontrolnych w sposób rzetelny i obiektywny oraz przedstawienia adekwatnych i kompletnych wyników oraz ewentualnych rekomendacji mających na celu eliminację zidentyfikowanych nieefektywności lub błędów.

12.4. Każda faza procesu kontroli, w tym też jakość prac wykonywanych przez każdego pracownika, powinny być oceniane przez kierującego kontrolą.

12.5. W toku wykonywanych czynności, audytorzy mają prawo m.in. do: sprawdzania dokumentów źródłowych, sporządzania dokumentacji roboczej, żądania ustnych i pisemnych wyjaśnień odnośnie wykonywanych czynności, będących przedmiotem kontroli i stwierdzonych podczas kontroli faktów. Ponieważ stwierdzone nieprawidłowości muszą być udokumentowane, pracownicy komórki audytu wewnętrznego muszą mieć zagwarantowaną możliwość przeglądania i kopiowania dokumentów papierowych, jak również danych zapisanych w formie innej niż papierowa (np. przetrzymywanych na nośnikach informacji takich jak pamięć USB typu Pendrive, nośniki CD/DVD lub inne), o ile jest to konieczne, otrzymywania wydruków niezbędnych danych z systemu komputerowego (np. w odniesieniu do kontroli zarządzania poszczególnymi rodzajami ryzyka, które towarzyszą systemom informatycznym). Audytorzy wewnętrzni powinni również posiadać prawa dostępu do systemu informatycznego, bez możliwości ingerencji w zasoby.

12.6. Kierujący komórką audytu wewnętrznego powinien określić tryb sporządzania dokumentacji roboczej, sposób przechowywania (archiwizacji) i udostępniania innym osobom. Sprawdzenia dokumentacji pod względem formalnym i merytorycznym powinien dokonywać kierujący komórką audytu wewnętrznego w celu uzyskania pewności, że jest ona kompletna i może stanowić podstawę do formułowania wniosków. Obowiązek sprawdzenia dokumentacji pod względem formalnym i merytorycznym może być delegowany na pracownika wyznaczonego przez kierującego komórką audytu wewnętrznego.

B.3.1.3. Zakres badań komórki audytu wewnętrznego

Rekomendacja 13

System kontroli wewnętrznej powinien być zorientowany na rozpoznanie i ocenę ryzyka całego banku. Wpływ ryzyka na poszczególne obszary funkcjonowania banku powinien być oceniany pod względem jego istotności. Komórka audytu wewnętrznego ma na celu zapewnienie, że w banku funkcjonują adekwatne systemy, metody, procedury / czynności kontrolne, które mają na celu niedopuszczanie do przekraczania m.in. ustalonych limitów wewnętrznych (o których mowa w uchwale KNF).

13.1. Praca komórki audytu wewnętrznego musi być zorientowana na ocenę funkcjonowania banku, ze szczególnym uwzględnieniem braków i nieprawidłowości w funkcjonowaniu banku oraz powinna wskazywać sposoby ich likwidacji. System kontroli wewnętrznej powinien być zorientowany na rozpoznanie i ocenę ryzyka związanego z funkcjonowaniem całego banku (w zależności od struktury organizacyjnej, badania komórki audytu wewnętrznego będą obejmować np. zarówno jednostki terenowe banku, jak i departamenty centrali), włączając w to również, zgodnie z uchwałą KNF, nadzór nad ryzykiem związanym z działalnością podmiotów zależnych banku.

13.2. Badaniu i ocenie przez audytora wewnętrznego muszą podlegać wszystkie systemy, procesy, operacje, funkcje i czynności w ramach banku. W przypadku, gdy nie jest uzasadnione badanie całego obszaru lub nie jest możliwe przeprowadzenie analizy pełnego kompletu dokumentów, ich dobór winien wynikać z oceny ryzyka (być uzasadniony).

13.3. W przypadku pracowników komórki audytu wewnętrznego, zakres czynności kontrolnych należy ustalić tak, by zapewniał on skuteczność mechanizmów kontroli wewnętrznej wbudowanych w procesy decyzyjne, systemy informatyczne, oraz procedury postępowania dotyczące każdego produktu, czy usługi znajdującej się w ofercie banku.

13.4. Wpływ ryzyka na poszczególne obszary funkcjonowania banku powinien być oceniany pod względem jego istotności, np. w przypadku stwierdzenia w toku kontroli okoliczności narażających bank na straty, przeprowadzający kontrolę powinien wystąpić z pisemnym wnioskiem o wydanie polecenia służbowego natychmiastowego usunięcia zagrożenia; natomiast w przypadku wykrycia nadużyć - należy zabezpieczyć dowody i objąć kontrolą wszystkie operacje i dokumenty za dany okres i w takim zakresie, jaki okaże się niezbędny do pełnego ustalenia rozmiarów nadużycia i poniesionych strat.

13.5. W każdej sytuacji odstąpienia od badania, należy uzasadnić przyczyny podjęcia takiej decyzji. Częstotliwość kolejnych badań w tych obszarach powinna być wyższa, niż w przypadku innych obszarów.

13.6. W celu zapewnienia sprawnego przebiegu kontroli, zgodnie z uchwałą KNF, komórka audytu wewnętrznego powinna posiadać opracowaną pisemnie metodykę prowadzenia kontroli.

13.7. Dokument określający metodykę prowadzenia kontroli, winien precyzować w szczególności:

* sposób doboru zespołów kontrolnych - wykluczający powiązania personalne pomiędzy kontrolującym a kontrolowanym,

* obszary ryzyka - dziedziny działalności bankowej charakteryzujące się możliwością wystąpienia strat, obszary organizacyjne, które mają kluczowe znaczenie dla sprawności funkcjonowania banku jako całości,

* zakres kontroli dla wyróżnionych obszarów ryzyka - w zależności od stopnia ryzyka związanego z wyróżnionym obszarem, ustala się, czy kontrola powinna mieć charakter kompleksowy, problemowy, czy doraźny,

* częstotliwość kontroli - obszary obarczone wyższym ryzykiem powinny być kontrolowane regularnie i z większą częstotliwością,

* opis zakresu badania - lista wymaganych dokumentów, kontrolowanych operacji, opis poszczególnych czynności kontrolnych,

* wzór raportu pokontrolnego - ustalający jego standardowe elementy oraz inne wymagania dotyczące tego dokumentu,

* rozdzielnik dostarczenia raportu pokontrolnego - określający adresatów raportu pokontrolnego i zapewniający przekazanie odpowiednich informacji jednostkom decyzyjnym,

* tryb sprawdzenia wykonania zaleceń pokontrolnych - w obszarach obarczonych wyższym ryzykiem, sprawdzenie wykonania zaleceń pokontrolnych powinno mieć charakter regularny, w pewnych przypadkach można dopuszczać zobowiązanie kierownictwa jednostki kontrolowanej do przekazania komórce audytu wewnętrznego - w określonym czasie - pisemnej informacji o podjętych działaniach naprawczych i ich rezultatach,

* procedurę procesu odwoławczego - tryb postępowania w przypadku, gdy kierujący jednostką kontrolowaną nie zgadza się z ustaleniami lub wnioskami z kontroli.

13.8. Komórka audytu wewnętrznego do przeprowadzania kontroli w oddziałach banku i jednostkach organizacyjnych centrali, może wykorzystywać własną mapę ryzyka banku. Pozwala ona na ocenę ryzyka za pomocą przyjętego zestawu wskaźników ryzyka oraz wskaźnika syntetycznego, charakterystycznego dla danej jednostki organizacyjnej banku.

B.3.1.4. Odpowiedzialność komórki audytu wewnętrznego

Rekomendacja 14

Odpowiedzialność komórki audytu wewnętrznego powinna być szczegółowo zdefiniowana w regulaminie kontroli.

14.1. Komórka audytu wewnętrznego ponosi odpowiedzialność określoną zakresem obowiązków wynikających z regulaminu kontroli. W szczególności, odpowiedzialność powinna dotyczyć właściwego określenia celu kontroli, zakresu, szczegółowych zasad jej przebiegu, użycia odpowiednich i opisanych metod badań, służących dokonaniu wyboru próby do kontroli, trafności i istotności ocen oraz wniosków końcowych, sposobu ich prezentacji dla odbiorców, a także zaadresowania zaleceń pokontrolnych w sposób nie budzący wątpliwości, co do obiektywizmu działań kontrolnych. Audytorzy wewnętrzni powinni wykazać się znajomością badanej problematyki, wyjaśnić wszelkie wątpliwości pojawiające się w trakcie badań, a także kontrolować terminowość i skutki podjętych działań naprawczych.

14.2. Dodatkowo, pracownicy komórki audytu wewnętrznego są odpowiedzialni za właściwe zabezpieczenie wszystkich materiałów i dokumentów zebranych w toku kontroli, w tym także ich pełne zabezpieczenie przed dostępem niepowołanych osób. W tym celu, jak również w celu archiwizacji, wszystkie dokumenty sporządzone podczas kontroli, stosownie do obowiązujących zasad w tym zakresie, powinny być rejestrowane. Potwierdzeniem kontroli może być podpis osoby dokonującej kontroli lub prowadzenie stosownej ewidencji. Audytorzy wewnętrzni mają również obowiązek sporządzania dokumentacji roboczej z kontroli, umożliwiając weryfikację wniosków zawartych w raporcie pokontrolnym. Praktycznym sposobem rejestrowania przebiegu kontroli, tj. czasu poświęconego na wykonywanie poszczególnych czynności i dokumentów wykorzystanych do badań, jest prowadzenie ewidencji/harmonogramu wykorzystania czasu pracy.

14.3. Kierujący komórką audytu wewnętrznego dokonuje oceny przeprowadzonych kontroli (pod względem ujawnienia ich słabych i mocnych stron) i na tej podstawie formułuje wnioski w zakresie usprawnienia funkcjonowania komórki audytu wewnętrznego.

14.4. Ocena efektywności działania komórki audytu wewnętrznego odbywa się na podstawie przepisów uchwały KNF. Sprawozdanie podsumowujące pracę komórki audytu wewnętrznego (przygotowane przez kierującego komórką audytu wewnętrznego) dla rady nadzorczej i prezesa zarządu, powinno być sporządzone przynajmniej raz na rok. Umożliwi ono zarządowi i radzie nadzorczej banku ocenę systemów kontroli wewnętrznej w banku, pracy audytorów wewnętrznych oraz wskaże problemy w zakresie niezależności komórki audytu wewnętrznego, czy współpracy komórki z innymi jednostkami organizacyjnymi banku. Oprócz powyższego, sprawozdanie powinno również zawierać propozycje wskazujące nowe kierunki badań w obszarze audytu wewnętrznego, czy doskonalenia procesów pracy i procedur zarządzania.

B.3.2. Zapewnienie profesjonalnego poziomu wykonywania kontroli

Rekomendacja 15

Audytorzy wewnętrzni powinni: posiadać odpowiednie kwalifikacje, doświadczenie i umiejętności do wykonywania powierzanych im zadań, cechować się odpowiednią postawą etyczną, mieć zapewnione wynagrodzenie na poziomie umożliwiającym zatrudnianie i utrzymywanie wysoko wykwalifikowanych specjalistów oraz możliwości udziału w szkoleniach, w celu podnoszenia kwalifikacji.

15.1. Szybkie tempo zmian w sektorze bankowym i pojawianie się nowych, złożonych produktów bankowych wymaga od audytorów wewnętrznych ciągłego uzupełniania wiedzy w tym zakresie, a także w zakresie technik zarządzania ryzykiem. Obowiązkiem rady nadzorczej i zarządu banku jest zapewnienie, że audytorzy wewnętrzni posiadają wystarczające kwalifikacje, doświadczenie i umiejętności do badania wszystkich istotnych rodzajów ryzyka, które występują w działalności banku (np. zapewnienie odpowiedniego przeszkolenia pracowników komórki audytu wewnętrznego, zatrudnienie specjalistów wysokiej klasy itp.). Niskiej jakości kontroli wewnętrznej nie można tłumaczyć brakiem pracowników o odpowiednich kwalifikacjach zawodowych. Zatrudniając zatem pracownika w komórce audytu wewnętrznego, należy kierować się przede wszystkim oceną merytorycznej i etycznej postawy kandydata, a następnie zapewnić mu uczestnictwo w szkoleniach, w celu podnoszenia kwalifikacji. Należy również zwrócić uwagę na możliwość zaistnienia konfliktu interesów, mogącego wynikać z faktu zatrudnienia osoby, która jest powiązana personalnie z zarządem lub radą nadzorczą, kierownictwem jednostek organizacyjnych banku. Bank powinien ustalić poziom wynagrodzeń w komórce audytu wewnętrznego na poziomie, umożliwiającym zatrudnianie wysoko wykwalifikowanych specjalistów. Jednocześnie banki powinny posiadać opracowane metody okresowego sprawdzania kwalifikacji i oceny wyników pracy audytorów wewnętrznych.

15.2. Kontrolą mogą kierować tylko osoby, które posiadają wiedzę i umiejętności, a także doświadczenie wystarczające do wykonywania czynności kontrolnych w banku, oraz których bezstronność nie może być podważana.

15.3. Kierujący komórką audytu wewnętrznego powinien mieć zagwarantowaną możliwość współpracy ze specjalistami z danej dziedziny lub uzupełnienia składu zespołu przeprowadzającego kontrolę o takich specjalistów (np. ds. systemów informatycznych, prawników), którzy będą wykonywać swoje zadania niezależnie i obiektywnie, zachowując równocześnie tajemnicę w zakresie uzyskanych podczas kontroli informacji.

15.4. W wyjątkowych przypadkach, gdy bank nie posiada zasobów pozwalających na zapewnienie odpowiedniego poziomu jakości kontroli wykonywanej przez audytorów wewnętrznych odnośnie danego obszaru, dopuszcza się możliwość korzystania ze wsparcia podmiotów zewnętrznych, dysponujących niezbędną wiedzą w tym zakresie. Należy przy tym wyraźnie podkreślić, że powyższe nie oznacza możliwości przekazania kompetencji i odpowiedzialności komórki audytu wewnętrznego w zakresie przeprowadzanej kontroli, ewentualne korzystanie ze wsparcia podmiotów zewnętrznych, może mieć bowiem tylko i wyłącznie charakter pozyskania dodatkowej wiedzy eksperckiej.

W każdym przypadku skorzystania z wyżej wymienionej możliwości, w raporcie pokontrolnym należy wyraźnie zaznaczyć, iż kontrola przeprowadzana była z wykorzystaniem zasobów zewnętrznych, jak również przedstawić szczegółowe uzasadnienie zastosowania takiego rozwiązania.

15.5. Zarząd i rada nadzorcza banku powinny zapewnić wszelką niezbędną pomoc w prawidłowym i rzetelnym wykonywaniu obowiązków przez pracowników komórki audytu wewnętrznego, w tym umożliwić podnoszenie kwalifikacji, w celu utrzymywania odpowiedniej jakości audytu wewnętrznego.

Rekomendacja 16

Działanie komórki audytu wewnętrznego powinno podlegać regularnej ocenie zewnętrznej, nie rzadziej jednak niż co pięć lat.

16.1. Działanie komórki audytu wewnętrznego powinno podlegać regularnej ocenie zewnętrznej, nie rzadziej jednak niż co pięć lat. Nadzór oczekuje, iż pierwsze takie oceny zostaną przeprowadzone nie później niż do 31 grudnia 2013 r.

B.3.3. Planowanie i wykonywanie kontroli

Rekomendacja 17

Kontrola prowadzona przez komórkę audytu wewnętrznego powinna przebiegać zgodnie z wewnętrznymi procedurami, według ustalonego porządku (obszary kontroli i harmonogram).

17.1. Kontrola wykonywana przez audyt wewnętrzny powinna przebiegać według następujących etapów:

1) planowanie,

2) przygotowanie,

3) przeprowadzenie kontroli i sformułowanie wniosków,

4) czynności pokontrolne.

17.2. Kontrola powinna przebiegać zgodnie z wewnętrznymi procedurami, według ustalonego porządku (obszary kontroli i harmonogram). Kontrola nie może nadmiernie zakłócać rytmu pracy oraz utrudniać wykonywania obowiązków przez pracowników jednostek objętych kontrolą. Kierujący komórką audytu wewnętrznego jest odpowiedzialny za właściwy nadzór kontroli, począwszy od etapu planowania do jej zakończenia, łącznie z postępowaniem pokontrolnym.

Rekomendacja 18

W planowaniu kontroli przez komórkę audytu wewnętrznego powinny być uwzględnione programy i plany kilkuletnie oraz roczne, a także harmonogramy określające zestaw czynności dotyczących poszczególnych kontroli.

18.1. W planowaniu kontroli powinny być uwzględnione programy i plany kilkuletnie oraz roczne, a także harmonogramy określające zestaw czynności dotyczących poszczególnych kontroli. Programy i plany kilkuletnie lub roczne powinny określać częstotliwość kontroli, w zależności od przyjętych w banku wyników identyfikacji zagrożeń i poziomu ryzyka. Częściej należy kontrolować obszary o zwiększonym stopniu ryzyka lub mające większe znaczenie dla funkcjonowania banku oraz zwiększać częstotliwość kontroli, jeśli ujawnione zostały znaczące/istotne nieprawidłowości i problemy, albo jeśli wprowadzono istotne zmiany w odniesieniu do oferowanych produktów i usług, metodologii, pomiaru i monitorowania ryzyka czy ogólnego profilu ryzyka banku.

18.2. Plany kilkuletnie oraz roczne, sporządzone w formie pisemnej, powinny być przedłożone do akceptacji radzie nadzorczej banku (w przypadku szczególnych badań zlecanych przez radę nadzorczą banku, dokument nie musi być zaakceptowany przez zarząd) i zatwierdzenia prezesowi zarządu. Są one również udostępnione audytorom zewnętrznym i nadzorowi bankowemu - badającym i oceniającym skuteczność systemu kontroli wewnętrznej.

18.3. Dodatkowo, plany kontroli (poza wynikami wstępnego procesu identyfikacji obszarów ryzyka), powinny uwzględniać potwierdzone zdarzenia zaobserwowane podczas monitorowania poszczególnych czynności, uwagi pracowników oraz propozycje i wymagania zarządu i rady nadzorczej banku, a także nadzoru bankowego i audytora zewnętrznego. Wskazane jest również, aby w planach kontroli zostały uwzględnione planowane zmiany zachodzące w banku, np. restrukturyzacja.

18.4. Powinny być przeprowadzane również kontrole nieplanowane, na zlecenie zarządu lub rady nadzorczej banku, we wskazanych obszarach działalności banku lub obejmujących określone zagadnienia, czy transakcje.

18.5. Plan każdej kontroli powinien być opracowany w formie harmonogramu (kolejne czynności, zadania i odpowiedzialność poszczególnych pracowników ujęte w ramy czasowe), obejmującego etap przygotowania, kontroli właściwej i działań pokontrolnych. Plan kontroli powinien wynikać z planów kilkuletnich, bądź rocznych i mieć jasno określony:

* cel,

* termin,

* przedmiot badania (np. funkcjonowanie jednostki organizacyjnej, procesu),

* procedury i metody przeprowadzenia kontroli,

* czas przeznaczony na badanie,

* podział szczegółowych zadań między członkami zespołu kontrolującego.

18.6. Plan kontroli powinien być zatwierdzony przez kierującego komórką audytu wewnętrznego.

Rekomendacja 19

W fazie przygotowania kontroli należy właściwie zaplanować czas niezbędny do przeprowadzenia kontroli oraz dokonać szczegółowego podziału zadań pomiędzy pracowników/członków zespołu kontrolującego, w celu zapewnienia odpowiedniej wydajności pracy, jakości badań.

19.1. Podjęcie czynności kontrolnych powinno być poprzedzone ustaleniem celu i zasadności przeprowadzenia kontroli. W fazie przygotowania kontroli, istotnymi elementami są:

* zebranie podstawowych informacji dotyczących obszaru poddanego kontroli, tj. struktura organizacyjna, kopie regulaminów i innych przepisów, charakter i ilość wykonywanych operacji, tryb załatwiania reklamacji i sposób ich rejestracji, które pozwolą oszacować czas niezbędny do przeprowadzenia kontroli, oraz

* wyznaczenie pracowników posiadających niezbędne kwalifikacje, wiedzę, doświadczenie i niezależną pozycję wobec kontrolowanych pracowników, aby założony cel kontroli został osiągnięty.

19.2. Właściwe zaplanowanie czasu pracy niezbędnego do przeprowadzenia kontroli oraz szczegółowy podział zadań pomiędzy pracowników/członków zespołu kontrolującego, powinny zapewnić odpowiednią wydajność pracy i jakość badań.

Rekomendacja 20

Kontrola powinna być przeprowadzana na podstawie zatwierdzonego planu i pisemnych upoważnień dostarczonych przez kierującego komórką audytu wewnętrznego, zawierających zakres i termin jej przeprowadzenia oraz poprzedzona odpowiednim powiadomieniem (z wyjątkiem kontroli niezapowiedzianych). Podczas kontroli, pracownicy weryfikują i analizują uzyskane informacje. Wszelkie uwagi i wątpliwości pojawiające się podczas kontroli powinny być na bieżąco omawiane i wyjaśniane z odpowiednimi pracownikami.

20.1. Kontrola powinna być przeprowadzana na podstawie zatwierdzonego planu i pisemnych upoważnień dostarczonych przez kierującego komórką audytu wewnętrznego, zawierających zakres i termin jej przeprowadzenia. Kontrola powinna być przeprowadzona w dniach i godzinach pracy obowiązujących w jednostce kontrolowanej. Ewentualna zmiana terminu, czy zakresu kontroli wymaga pisemnej akceptacji kierującego komórką audytu wewnętrznego lub zlecającego kontrolę. Oznacza to, że kontrola powinna być przeprowadzona po uprzednim powiadomieniu kierującego jednostką kontrolowaną (z co najmniej 3-dniowym wyprzedzeniem). Niezapowiedziane kontrole, także takie, które nie zostały ujęte w planie, powinny być przeprowadzane w przypadku podejrzeń o nadużycia (np. mogą to być kontrole zagadnień kasowo-skarbcowych, systemów rozliczeń płatniczych i kontroli systemów informatycznych) lub w przypadku konieczności przeprowadzenia badań w związku ze zdarzeniami i zmianami w środowisku banku, których nie można było przewidzieć (np. skargi klientów do KNF, UOKiK, GIODO). Audyt badając te zagadnienia, nie powinien uczestniczyć w działaniach mogących mieć wpływ na merytoryczne rozstrzyganie tego typu problemów (skarg). Skargi i reklamacje winny być rozpatrywane przez właściwe komórki merytoryczne, niezależne od tych, których dotyczą skargi lub jednostki nadrzędne, a audyt bada prawidłowość podjętych działań.

20.2. Podczas przeprowadzania kontroli, pracownicy komórki audytu wewnętrznego powinni weryfikować i analizować uzyskane informacje (np. istotne z punktu widzenia zdarzeń powodujących skutki finansowe), włączać do własnej dokumentacji roboczej kopie materiałów źródłowych oraz wyjaśnienia (w formie pisemnej) uzyskane od pracowników i kierującego jednostką kontrolowaną, na podstawie których stwierdzono nieprawidłowości i sformułowano określone wnioski, bądź zalecenia.

20.3. Wszelkie uwagi i wątpliwości pojawiające się podczas kontroli, powinny być na bieżąco omawiane i wyjaśniane z odpowiednimi pracownikami. Pisemne wyjaśnienia osób kontrolowanych powinny być dołączane do protokołu, w którym to protokole audytorzy odniosą się do stwierdzeń zawartych w takich wyjaśnieniach. Audytorzy wewnętrzni powinni dążyć do tego, aby stwierdzone nieprawidłowości były jak najszybciej usunięte, o ile jest to możliwe nawet podczas kontroli (odpowiedni zapis o tym fakcie powinien znaleźć się w raporcie pokontrolnym).

Rekomendacja 21

Zasady sporządzania raportów pokontrolnych powinny być sformalizowane.

21.1. Wymagania co do formy, zawartości, czy miejsca i terminu złożenia raportu pokontrolnego oraz częstotliwość przekazywania raportów zarządowi, radzie nadzorczej (np. zbiorczy raport kontrolny), powinny być jasno określone i sprecyzowane w regulaminie kontroli. Raport pokontrolny powinien zawierać ustalenia w pełni udokumentowane w materiale roboczym. Istotne ustalenia dotyczące nieprawidłowości, które zostały już usunięte, również powinny być w nim opisane.

21.2. Dodatkowo, raport pokontrolny powinien wskazywać istniejące niepożądane zjawiska i związane z nimi występujące już lub potencjalne ryzyka, które oddziałują lub w najbliższym czasie mogą oddziaływać na działalność banku oraz powinien zawierać zalecenia podjęcia stosownych działań. Jednym z zaleceń może być monitorowanie przez pracowników jednostki podlegającej kontroli, obszaru, w którym stwierdzono nieprawidłowości oraz informowanie komórki audytu wewnętrznego o efektach podjętych działań.

21.3. Audytorzy wewnętrzni powinni także wskazać na elementy otoczenia banku, które mogą mieć wpływ na ryzyko ponoszone przez bank.

21.4. Raport pokontrolny powinien być sporządzony terminowo, w formie pisemnej, powinien być obiektywny, zwięzły i konstruktywny. Wskazane jest, aby zawierał on następujące elementy:

* opis wykonania zaleceń i skutków podjętych działań po ostatniej kontroli,

* cel, zakres oraz przyjęte metody kontroli,

* wskazanie sposobów i metod naprawczych, wraz z terminem ich wykonania.

21.5. Stwierdzone fakty oraz opinie i wyniki kontroli powinny być omówione z kierownictwem jednostki podlegającej kontroli, przy czym w spotkaniu powinien brać udział członek zarządu nadzorujący pracę jednostki poddanej kontroli lub kierujący pionem organizacyjnym, w strukturze którego znajduje się ta jednostka. Celem spotkania jest uzyskanie stanowiska oraz dodatkowych wyjaśnień, o ile nie zostały one wcześniej uwzględnione (ustalenia mogą być omawiane z kierującym jednostką kontrolowaną w trakcie kontroli, etapami). W regulaminie kontroli powinny być ujęte rozwiązania dotyczące ewentualnego procesu odwoławczego, tzn. trybu postępowania w przypadku, gdy jednostka poddana kontroli nie zgadza się z opiniami i wnioskami z kontroli.

21.6. Raport pokontrolny nie musi posiadać akceptacji kierownictwa kontrolowanego obszaru odnośnie jego zawartości, tj. stwierdzonych nieprawidłowości, przed złożeniem raportu pokontrolnego zarządowi banku i/lub radzie nadzorczej banku. Warto przy tym dodać, że oznacza to, że audytorzy wewnętrzni powinni być przygotowani na potencjalną atmosferę konfliktu, nieufności, braku zgody czy aprobaty dla ich pracy ze strony pracowników kontrolowanych jednostek.

21.7. Kierujący komórką audytu wewnętrznego przekazuje raport pokontrolny prezesowi zarządu banku. Wskazane jest omówienie wyników kontroli na posiedzeniach zarządu. Dodatkowo, raporty pokontrolne mogą być na bieżąco udostępniane radzie nadzorczej, a informacje na temat stwierdzonych nieprawidłowości i wniosków wynikających z przeprowadzonego audytu wewnętrznego oraz działań podejmowanych w celu ich usunięcia, rada nadzorcza otrzymuje z częstotliwością określoną w ustawie - Prawo bankowe. Oprócz powyższego, rada nadzorcza otrzymuje również raporty z kontroli, które sama zleciła.

21.8. Szczegółowy zakres informacji, jakie na podstawie czynności kontroli wewnętrznej otrzymuje zarząd i rada nadzorcza, został określony w uchwale KNF.

21.9. Raport pokontrolny jest również udostępniany nadzorowi bankowemu i audytorowi zewnętrznemu.

21.10. Informacje dotyczące wyników sprawowania funkcji kontrolnych, uzyskane bezpośrednio od kierownictwa poszczególnych jednostek organizacyjnych oraz od kierującego komórką audytu wewnętrznego, powinny stanowić dla rady nadzorczej banku i jego zarządu, podstawę do zlecania kontroli określonego obszaru oraz podstawę do podejmowania decyzji w ramach racjonalnego kierowania bankiem, przy czym ważny jest stopień zagrożenia.

21.11. Audytorzy wewnętrzni ponoszą pełną odpowiedzialność za przygotowany raport pokontrolny. Odpowiedzialność audytorów wewnętrznych należy rozpatrywać również w odniesieniu do proponowanych działań naprawczych.

Rekomendacja 22

Jednostka poddana kontroli realizuje - w zakresie swoich kompetencji - zalecenia pokontrolne i jest zobowiązana do przekazania komórce audytu wewnętrznego informacji o terminach i skutkach podjętych działań naprawczych związanych z przeprowadzoną kontrolą.

22.1. Sposób sprawdzenia wykonania zaleceń pokontrolnych w trakcie następnej kontroli lub podczas odrębnego postępowania pokontrolnego, powinien wynikać z regulaminu kontroli. Jednostka poddana kontroli realizuje - w zakresie swoich kompetencji -zalecenia pokontrolne i jest zobowiązana do przekazania komórce audytu wewnętrznego informacji o terminach i skutkach podjętych działań naprawczych związanych z przeprowadzoną kontrolą.

22.2. Z uwagi, iż zalecenie kierowane może być do więcej niż jednej jednostki, regulamin kontroli powinien zawierać tryb wskazania jednostki odpowiedzialnej za realizację zaleceń.

22.3. Realizacja zaleceń pokontrolnych jest monitorowana przez komórkę audytu wewnętrznego.

B.3.4. Kontrola wewnętrzna w oddziałach banku

Rekomendacja 23

Struktura audytu wewnętrznego w banku powinna wynikać ze struktury organizacyjnej banku.

23.1. Banki stosują różne rozwiązania organizacyjne w celu przeprowadzenia badań kontrolnych w oddziałach. Badania te mogą być przeprowadzane przez zespoły audytorów wewnętrznych z centrali banku, bądź też zespoły złożone z pracowników terenowych komórki audytu wewnętrznego. Nadzór bankowy nie preferuje w tym zakresie szczególnego rozwiązania, ale rekomenduje przestrzeganie zasady, że wszyscy pracownicy wykonujący czynności kontrolne są pracownikami komórki audytu wewnętrznego i podlegają kierującemu tą jednostką w centrali banku i otrzymują wynagrodzenie, zgodnie z taryfikatorem ustalonym dla tej jednostki. Odnoszą się do nich zasady szkolenia audytorów wewnętrznych.

23.2. Jakość pracy osób zatrudnionych w oddziale banku, o ile bank zdecyduje się na utworzenie stanowiska audytu wewnętrznego w każdej jednostce organizacyjnej banku, badające jakość oddziałowego systemu kontroli wewnętrznej, powinna okresowo podlegać ocenie przełożonego komórki audytu wewnętrznego z centrali banku.

23.3. Procedury określające organizację pracy w oddziale, muszą zawierać elementy kontroli wewnętrznej. Banki powinny indywidualnie rozważyć celowość utworzenia samodzielnego stanowiska audytora wewnętrznego w danym oddziale banku. W celu zapewnienia niezależności i bezstronności, pracownik ten powinien podlegać kierującemu komórką audytu wewnętrznego (w centrali), a jego skuteczność i jakość pracy wymaga przyznania mu szczególnych uprawnień, polegających na możliwości bezpośredniego zwracania się do dyrektora oddziału o wyjaśnienie wątpliwości. Ponieważ kierujący komórką audytu wewnętrznego w centrali banku odpowiada za kontrolę wewnętrzną w całym banku, plan kontroli powinien obejmować przeprowadzanie kontroli również w oddziałach banku.

23.4. Banki jednooddziałowe bądź te, które zdecydują się na utworzenie stanowiska audytu wewnętrznego w swoich oddziałach, powinny kierować się zasadą, że pracownicy audytu posiadają pełną niezależność, odpowiednie kwalifikacje i wiedzę fachową. Przy wyborze osób na stanowiska audytorów wewnętrznych należy również zwracać szczególną uwagę na możliwości wystąpienia potencjalnych konfliktów interesów, związanym z np. czynnościami, którymi dotychczas zajmował się / zajmuje się nadal pracownik delegowany do komórki audytu, a czynnościami wykonywanymi w ramach audytu wewnętrznego (np. przeglądu należności w oddziale nie może dokonywać inspektor kredytowy, uczestniczący w procesie analizy wniosku kredytowego i przyznania kredytu). Innym obszarem potencjalnego konfliktu interesów, może być istnienie powiązań personalnych audytorów wewnętrznych oraz pracowników oddziału, w którym wykonywane są czynności kontrolne.

B.3.5. Współpraca komórki audytu wewnętrznego z nadzorem bankowym i audytorem zewnętrznym

Rekomendacja 24

Należy zapewnić właściwą koordynację działań kontrolnych w banku oraz odpowiednie warunki do współpracy z podmiotami zewnętrznymi uprawnionymi do dokonywania kontroli, celem wymiany informacji, doświadczeń i opinii.

24.1. Kierujący komórką audytu wewnętrznego powinien zapewnić właściwą koordynację działań kontrolnych w banku. Dlatego też, ustalenia pokontrolne komórki audytu wewnętrznego w banku są udostępniane nadzorowi bankowemu i audytorowi zewnętrznemu, co pozwoli ustalić, bądź zweryfikować zakres ich badań.

24.2. Podobnie, kierujący komórką audytu wewnętrznego powinien znać treść uwag, opinii i zaleceń nadzoru bankowego i audytora zewnętrznego, kierowanych do zarządu banku. Informacje te powinny być uwzględniane w bieżącej oraz planowanej działalności komórki audytu wewnętrznego i obejmować np. nowe rodzaje ryzyka, weryfikację procedur, limitów, czy badanie terminowości realizacji zaleceń wydanych przez nadzór bankowy. Współpraca między w/w podmiotami może przybierać różne formy zaakceptowane przez strony, np. wymiana doświadczeń, opiniowanie czy dyskutowanie w zakresie tworzenia i weryfikacji procedur oraz metodologii pracy audytorów.

24.3. Zarząd banku i rada nadzorcza powinny ustalić zasady współpracy komórki audytu wewnętrznego banku, którego podmiot dominujący ma siedzibę za granicą Rzeczypospolitej Polskiej lub banku z udziałem kapitału zagranicznego, z audytorami tego podmiotu dominującego / udziałowców zagranicznych, mając na uwadze, że podczas wymiany informacji może wystąpić dostęp osób trzecich do informacji prawnie chronionych.

II.

NADZÓR NAD SYSTEMEM KONTROLI WEWNĘTRZNEJ

Rada nadzorcza banku sprawuje nadzór nad wprowadzeniem systemu kontroli wewnętrznej oraz ocenia adekwatność i skuteczność tego systemu, natomiast komitet audytu monitoruje skuteczność systemu kontroli wewnętrznej, audytu wewnętrznego oraz zarządzania ryzykiem. Procedury i mechanizmy kontroli wewnętrznej podlegają przeglądowi i ocenie w ramach audytu wewnętrznego, o którym mowa w ustawie - Prawo bankowe.

III.

STANDARDY PRAKTYKI ZAWODOWEJ ORAZ ZASADY ETYKI AUDYTORA WEWNĘTRZNEGO

W opinii nadzoru bankowego, banki powinny we własnym zakresie opracować podstawowe standardy praktyki zawodowej audytora wewnętrznego, bądź przyjąć uznane standardy, opracowane przez instytucję zewnętrzną (np. Międzynarodowe Standardy Praktyki Zawodowej Audytu Wewnętrznego Instytutu Audytorów Wewnętrznych IIA (International Standards for the Professional Practice of Internal Auditing of The Institute of Internal Audi-tors, IIA)).

Analogicznie, banki powinny we własnym zakresie opracować podstawowe zasady etyczne audytora wewnętrznego, bądź przyjąć uznany kodeks etyki audytorów wewnętrznych, opracowany przez instytucję zewnętrzną (np. Kodeks Etyki Instytutu Audytorów Wewnętrznych IIA (The Code of Ethics of The Institute of Internal Auditors, IIA)).

W szczególności, kodeks nie może stwarzać sytuacji niejasnych i wymagających dokonywania wyboru przez audytorów wewnętrznych pomiędzy tym, co jest lepsze dla banku, a tym, co wygodniejsze dla nich, jako pracowników banku.

W szczególności, od audytorów wewnętrznych oczekuje się stosowania następujących zasad:

1) Audytor wewnętrzny wykonuje swoje obowiązki i zadania obiektywnie, z należytą starannością, skutecznością, ostrożnością, uczciwie i z rozwagą.

2) Audytor wewnętrzny zachowuje lojalność (wobec banku) we wszystkich sprawach odnoszących się do zakresu działalności banku oraz zachowuje w tajemnicy wszystkie fakty ujawnione podczas kontroli.

3) Audytor wewnętrzny nie angażuje się świadomie w żadną działalność, która jest niegodna jego zawodu.

4) Audytor wewnętrzny postępuje w sposób, który nie jest sprzeczny z interesami banku lub może mieć niekorzystny wpływ na jego możliwości zachowania obiektywizmu i niezależności w wykonywaniu zadań i obowiązków.

5) Audytor wewnętrzny nie przyjmuje żadnych korzyści majątkowych od kontrolowanych.

6) Audytor wewnętrzny przeprowadza kontrole zagadnień, które może wykonać i zakończyć na profesjonalnym poziomie.

7) Audytor wewnętrzny jest ostrożny i rozważny w stosowaniu i wykorzystaniu informacji uzyskanych podczas kontroli. Nie wykorzystuje informacji poufnych w sposób sprzeczny z prawem lub szkodliwy dla interesu banku lub w celu osiągania korzyści osobistych.

8) Audytor wewnętrzny ujawnia w raporcie pokontrolnym wszystkie znane zdarzenia, fakty i materiały, w tym te, których zatajenie mogłoby zniekształcić sprawozdanie z kontrolowanej działalności lub świadczyć o występowaniu nielegalnych praktyk.

9) Audytor wewnętrzny utrzymuje swoje kwalifikacje zawodowe na wysokim poziomie i dąży do ich podnoszenia, jak również dba o sprawność, skuteczność i wysoką jakość pracy.

10) Audytor wewnętrzny odznacza się wysokim stopniem kompetencji, etyki zawodowej i godności.

11) Audytor wewnętrzny powinien wykonywać swoje obowiązki zgodnie z ustalonymi standardami.

SPIS TREŚCI

WSTĘP

LISTA REKOMENDACJI

I. SYSTEM KONTROLI WEWNĘTRZNEJ

A. CELE I ORGANIZACJA SYSTEMU KONTROLI WEWNĘTRZNEJ

A.1. Nadzór ze strony zarządu i rady nadzorczej

A.2. Komitet audytu

A.3. Czynności kontrolne wykonywane przez pracowników i podział obowiązków

A.4. Informacja i jej komunikowanie

A.5. Monitorowanie mechanizmów kontrolnych i korygowanie błędów

B. FUNKCJONOWANIE SYSTEMU KONTROLI WEWNĘTRZNEJ

B.1. Mechanizmy kontroli ryzyka

B.2. Badanie zgodności działania banku z przepisami prawa i regulacjami wewnętrznymi

B.3. Funkcje komórki audytu wewnętrznego

B.3.1. Usytuowanie, uprawnienia, zakres badań i odpowiedzialności komórki audytu wewnętrznego

B.3.1.1. Usytuowanie komórki audytu wewnętrznego

B.3.1.2. Uprawnienia komórki audytu wewnętrznego

B.3.1.3. Zakres badań komórki audytu wewnętrznego

B.3.1.4. Odpowiedzialność komórki audytu wewnętrznego

B.3.2. Zapewnienie profesjonalnego poziomu wykonywania kontroli

B.3.3. Planowanie i wykonywanie kontroli

B.3.4. Kontrola wewnętrzna w oddziałach banku

B.3.5. Współpraca komórki audytu wewnętrznego z nadzorem bankowym i audytorem zewnętrznym

II. NADZÓR NAD SYSTEMEM KONTROLI WEWNĘTRZNEJ

III. STANDARDY PRAKTYKI ZAWODOWEJ ORAZ ZASADY ETYKI AUDYTORA WEWNĘTRZNEGO

______

¹⁾ Zmiany tekstu jednolitego wymienionej ustawy zostały ogłoszone w Dz. U. z 2002 r. Nr 126, poz. 1070, Nr 141, poz. 1178, Nr 144, poz. 1208, Nr 153, poz. 1271, Nr 169, poz. 1385 i 1387 i Nr 241, poz. 2074, z 2003 r. Nr 50, poz. 424, Nr 60, poz. 535, Nr 65, poz. 594, Nr 228, poz. 2260 i Nr 229, poz. 2276, z 2004 r. Nr 64, poz. 594, Nr 68, poz. 623, Nr 91, poz. 870, Nr 96, poz. 959, Nr 121, poz. 1264, Nr 146, poz. 1546 i Nr 173, poz. 1808, z 2005 r. Nr 83, poz. 719, Nr 85, poz. 727, Nr 167, poz. 1398 i Nr 183, poz. 1538, z 2006 r. Nr 104, poz. 708, Nr 157, poz. 1119, Nr 190, poz. 1401 i Nr 245, poz. 1775, z 2007 r. Nr 42, poz. 272 i Nr 112, poz. 769, z 2008 r. Nr 171, poz. 1056, Nr 192, poz. 1179, Nr 209, poz. 1315, Nr 231, poz. 1546, z 2009 r. Nr 18, poz. 97, Nr 42, poz. 341, Nr 65, poz. 545, Nr 71, poz. 609, Nr 127, poz. 1045, Nr 131, poz. 1075, Nr 144, poz. 1176, Nr 165, poz. 1316, Nr 166, poz. 1317, Nr 168, poz. 1323, Nr 201, poz. 1540, z 2010 r. Nr 40, poz. 226, Nr 81, poz. 530, Nr 126, poz. 853, Nr 182, poz. 1228, Nr 257, poz. 1724 oraz z 2011 r. Nr 72, poz. 388, Nr 126, poz. 715 i Nr 131, poz. 763.

²⁾ Zmiana tekstu wymienionej ustawy została ogłoszona w Dz. U. z 2010 r. Nr 182, poz. 1228.

³⁾ Zmiana tekstu wymienionej uchwały została ogłoszona w Dz. Urz. KNF z 2010 r. Nr 2, poz. 11.