Zatwierdzony Uchwałą Zarządu Banku Spółdzielczego w Sędziszowie nr 3/2/2019 z dnia 22.02.2019r.
oraz Uchwałą Rady Nadzorczej Banku Spółdzielczego w Sędziszowie nr 3/1/2019 z dnia 26.02.2019r.
REGULAMIN
KONTROLI WEWNĘTRZNEJ
I AUDYTU W BANKU SPÓŁDZIELCZYM W SĘDZISZOWIE
Sędziszów, luty 2019r.
Spis treści
Strona
1. Postanowienia ogólne ...………….. 3
2. Cele systemu kontroli wewnętrznej …....………... ……….. 5
3. Mechanizmy kontrolne ……….. ...………….. 6
4. Kryteria oceny adekwatności i skuteczności systemu kontroli wewnętrznej na 1 i 2 poziomie ...….. 7
5. Organizacja systemu kontroli wewnętrznej ……… 8
6. Komórki kontrolne oraz organizacja zadań w ramach systemu kontroli wewnętrznej ……….. 9
7. Funkcja kontroli ……….. 10
8. Nadzór organów Banku nad systemem kontroli ……… 12
9. Istota, podstawowe zasady i rodzaje kontroli wewnętrznej ……… 14
10. Kryteria i czynności niezależnego monitorowania przestrzegania mechanizmów kontrolnych …… 20
11. Zasady dokonywania testowania (kontroli funkcjonalnej następnej) ………. 21
12. Planowanie testowania (kontroli) ……… 22
13. Zasady kategoryzacja nieprawidłowości wykrytych przez system kontroli wewnętrznej ………….. 23
14. Postępowanie pokontrolne ……….. 24
15. Raportowanie dotyczące wyników testowania oraz statusu realizacji środków naprawczych i dyscyplinujących ……….. 25
16. Ogólne zasady dokonywania audytu wewnętrznego w Banku przez SSOZ BPS ……….. 26
17. Zasady dokonywania kontroli przez zewnętrzne organa kontroli ……….. 27
18. Postanowienia końcowe ……….. 28
Załączniki:
1. Wzór matrycy funkcji kontroli, 2. Wzór planu testowania,
3. Wzór rejestru przeprowadzonych testów/ rejestr nieprawidłowości, 4. Wzór sprawozdania z przeprowadzonych testów,
5. Wzór raportu z testu (raport pokontrolny),
6. Wzór raportu błędów (formatka do raportowania błędów P1, P2)
1. POSTANOWIENIA OGÓLNE
§ 1
1. W celu sformalizowania systemu kontroli wewnętrznej i zapewnienia prawidłowego i skutecznego jej funkcjonowania, wprowadza się "Regulamin kontroli wewnętrznej i Audytu w Banku Spółdzielczym w Sędziszowie" zwany dalej Regulaminem.
2. Niniejszy Regulamin określa cel, zakres i zasady funkcjonowania kontroli wewnętrznej.
§ 2
System kontroli wewnętrznej funkcjonujący w Banku oparty jest o rozwiązania wynikających z:
1) ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe,
2) ustawy z dnia 7 grudnia 2000 r. o funkcjonowaniu banków spółdzielczych, ich zrzeszaniu się i bankach zrzeszających,
3) rozporządzenia Ministra Rozwoju i Finansów z dnia 6 marca 2017 r. w sprawie systemu zarządzania ryzykiem i systemu kontroli wewnętrznej, polityki wynagrodzeń oraz szczegółowego sposobu szacowania kapitału wewnętrznego w bankach,
4) Rekomendacji H KNF dotyczącej systemu kontroli wewnętrznej w bankach,
5) innych powszechnie obowiązujących przepisów prawa oraz dobrych praktyk w zakresie funkcji audytu oraz systemu kontroli wewnętrznej.
§ 3
Użyte w niniejszym Regulaminie pojęcia i skróty oznaczają:
1. Bank - Bank Spółdzielczy w Sędziszowie,
2. Pracownik – osoba zatrudniona na podstawie umowy o pracę w Banku,
3. Audyt wewnętrzny jest działalnością niezależną i obiektywną, której celem jest przysporzenie wartości i usprawnienie działalności operacyjnej organizacji. Polega na systematycznej i dokonywanej w uporządkowany sposób ocenie procesów: zarządzania ryzykiem, kontroli i ładu organizacyjnego, i przyczynia się do poprawy ich działania.
Pomaga organizacji osiągnąć cele dostarczając zapewnienia o skuteczności tych procesów, jak również poprzez doradztwo.
4. Audytor wewnętrzny – pracownik zatrudniony w odpowiedniej komórce Spółdzielni Systemu Ochrony BPS, posiadający odpowiednią wiedzę i kwalifikacje. W przypadku audytu technicznego bezpieczeństwa środowiska teleinformatycznego i informacji – pracownicy posiadający odpowiednie certyfikaty w zakresie audytu bezpieczeństwa IT.
5. Audyt zewnętrzny – w szczególności jest to niezależne badanie sprawozdania finansowego dokonywane przez biegłego rewidenta w celu sprawdzenia, czy jest ono zgodne co do formy i treści z obowiązującymi jednostkę przepisami prawa, statutem lub umową. Celem tego badania jest stwierdzenie, czy sprawozdanie finansowe jest prawidłowe oraz rzetelnie i jasno przedstawia sytuację majątkową i finansową, jak też wynik finansowy oraz czy zostało sporządzone na podstawie prawidłowo prowadzonych ksiąg rachunkowych.
Audytem zewnętrznym może też być specjalistyczne badanie (np. bezpieczeństwa systemu informatycznego) wykonane przez niezależny podmiot zewnętrzny.
6. Bank Zrzeszający – Bank Polskiej Spółdzielczości SA w Warszawie,
7. Centrala - należy przez to rozumieć jednostkę organizacyjną Banku, usytuowaną w siedzibie Banku w Sędziszowie ul. leśna 7, realizującą kluczowe dla całości Banku zadania merytoryczne organizacyjne i sprzedażowe.
8. Funkcja kontroli - element systemu kontroli wewnętrznej, na który składają się wszystkie mechanizmy kontrolne w procesach funkcjonujących w Banku, niezależne monitorowanie przestrzegania tych mechanizmów kontrolnych oraz raportowanie w ramach funkcji kontroli.
9. Komitet Audytu – oznacza Komitetu Audytu powołany w Banku.
10. Komórki organizacyjne - wewnętrzne elementy struktury organizacyjnej, zdefiniowane w Regulaminie organizacyjnym Banku,
11. Komórka odpowiedzialna za zarządzanie ryzykiem – Stanowisko ds. ryzyk i analiz ekonomicznych – odpowiedzialne za zarządzanie ryzykiem w ramach drugiej linii obrony.
12. Komórka ds. zgodności – Stanowisko organizacyjno – administracyjne – ds. zgodności.
13. Komórka audytu wewnętrznego – odpowiednia komórka spółdzielni SOI. W przypadku audytu technicznego bezpieczeństwa środowiska teleinformatycznego i informacji – pracownicy posiadający odpowiednie certyfikaty w zakresie audytu bezpieczeństwa IT.
14. Konflikt interesów – okoliczności mogące doprowadzić do powstania sprzeczności między interesem Banku, osoby powiązanej z Bankiem i obowiązkiem działania przez Bank w sposób rzetelny, z uwzględnieniem najlepiej pojętego interesu Klienta i Banku, jak również znane Bankowi okoliczności mogące doprowadzić do powstania sprzeczności między interesami kilku Klientów Banku. Konflikt interesów może wystąpić na skutek powiązań personalnych.
15. Kluczowy mechanizm kontrolny – mechanizm o kluczowym znaczeniu dla osiągnięcia danego celu ogólnego lub szczegółowego systemu kontroli wewnętrznej w danym procesie, bez przestrzegania / stosowania którego może zaistnieć nieakceptowane przez Bank ryzyko, że taki cel nie zostanie osiągnięty;
16. Matryca funkcji kontroli – opis powiązania celów ogólnych i wyodrębnionych w ich ramach celów szczegółowych (o ile zostaną wyszczególnione) systemu kontroli wewnętrznej z procesami istotnymi funkcjonującymi w Banku oraz kluczowymi mechanizmami kontrolnymi i niezależnym monitorowaniem przestrzegania tych mechanizmów kontrolnych (np. w postaci tabeli);
17. Mechanizm kontrolny – wyróżnione w ramach funkcji kontroli, wszelkie działania lub rozwiązanie wykonywane i stosowane w ramach trzech linii obrony, w tym zwłaszcza w ramach pierwszej linii obrony, mające za zadanie zapewnienie osiągnięcia celów systemu kontroli wewnętrznej;
18. Mechanizm kontroli ryzyka - wyróżnione w ramach systemu zarządzania ryzykiem, rozwiązanie lub działanie wykonywane i stosowane w ramach pierwszej i drugiej linii obrony, mające na celu utrzymanie ryzyka na określonym poziomie (np. limity dopuszczalnej wielkości udzielanych kredytów, zasady oceny zdolności kredytowej, zabezpieczenie spłaty kredytu). Działanie mechanizmu kontroli ryzyka jest zapewniane poprzez stosowanie odpowiednio zaprojektowanych mechanizmów kontrolnych (np.
rejestrowanie przekroczeń danego limitu, podział zadań w procesie oceny zdolności kredytowej, dokumentacja zabezpieczenia spłaty kredytu);
19. Monitorowanie pionowe - niezależne monitorowanie przez drugą linię obrony (weryfikacja bieżąca lub testowanie) przestrzegania mechanizmów kontrolnych w ramach pierwszej linii obrony;
20. Monitorowanie poziome – niezależne monitorowanie w ramach danej linii obrony(weryfikacja bieżąca i testowanie) przestrzegania mechanizmów kontrolnych;
21. Placówka handlowa – jednostka lub komórka organizacyjna zajmująca się bezpośrednią obsługą klienta, zgodnie z Regulaminem organizacyjnym Banku.
22. Powiązania personalne – pokrewieństwo w linii prostej (tj. małżonkowie, wstępni, zstępni i rodzeństwo) wśród pracowników banku oraz członków organów statutowych.
23. Proces – zbiór wszelkich wzajemnie powiązanych ze sobą czynności wykonywanych przez jednostki, komórki, stanowiska organizacyjne banku oraz jego podmioty zależne, których realizacja jest niezbędna do uzyskania określonego rezultatu (np. udzielenie kredytu, sprzedaż wierzytelności, zaksięgowanie transakcji określonego rodzaju, sporządzanie sprawozdania finansowego). W ramach procesów wykonywane są operacje, transakcje oraz inne czynności niezbędne do uzyskania określonego rezultatu;
24. Protokół (dokument) testowy – dokument zawierający ustalenia i wnioski po przeprowadzonym testowaniu wraz z uwzględnieniem kategorii stwierdzonych nieprawidłowości;
25. System zarządzania, system kontroli wewnętrznej i system zarządzania ryzykiem - pojęcia rozumiane zgodnie z art. 9, 9b i 9c ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe.
26. System Ochrony - należy przez to rozumieć system ochrony, o którym mowa w ustawie z dnia 7 grudnia 2000 r. o funkcjonowaniu banków spółdzielczych, ich zrzeszaniu się i bankach zrzeszających.
27.Testowanie – porównywanie na wybranej próbie testowej stanu faktycznego ze stanem wymaganym, dokonywane w celu oceny co najmniej przestrzegania mechanizmów kontrolnych w odniesieniu do zakończonych czynności wykonywanych w ramach procesów funkcjonujących w Banku. Testowanie, jako element niezależnego monitorowania w ramach funkcji kontroli, może być monitorowaniem poziomym (testowanie poziome w ramach danej linii obrony) lub monitorowaniem pionowym (testowanie pionowe pierwszej linii obrony prze drugą linię obrony);
28. Weryfikacja bieżąca – porównywanie stanu faktycznego ze stanem wymaganym, dokonywane w celu oceny co najmniej przestrzegania mechanizmów kontrolnych, przed rozpoczęciem lub w trakcie trwających czynności wykonywanych w ramach procesów funkcjonujących w banku. Weryfikacja bieżąca, jako element niezależnego monitorowania w ramach funkcji kontroli, może być monitorowaniem poziomym (weryfikacja bieżąca pozioma w ramach danej linii obrony) lub monitorowaniem pionowym (weryfikacja bieżąca pionowa pierwszej linii obrony przez drugą linię obrony);
2. CELE SYSTEMU KONTROLI WEWNĘTRZNEJ
§ 4
1. W Banku funkcjonuje system kontroli wewnętrznej, którego celem, zgodnie z art. 9c ust. 1 Prawa bankowego, jest zapewnienie w Banku:
1. skuteczności i efektywności działania;
2. wiarygodności sprawozdawczości finansowej;
3. przestrzegania zasad zarządzania ryzykiem;
4. zgodności działania Banku z przepisami prawa, regulacjami wewnętrznymi i standardami rynkowymi.
2. Funkcjonujący w Banku system kontroli wewnętrznej obejmuje całą działalność Banku, jest dostosowany do struktury organizacyjnej, wielkości i profilu ryzyka, i w szczególności uwzględnia:
1) stopień skomplikowania procesów funkcjonujących w Banku,
2) zasoby, którymi dysponuje Bank,
3) ryzyko zaistnienia nieprawidłowości w zakresie poszczególnych procesów, w tym w szczególności w zakresie procesów istotnych,
4) ocenę dotychczasowej adekwatności i skuteczności pierwszej i drugiej linii obrony.
3. System kontroli wewnętrznej powinien być zaprojektowany, wprowadzony, a jego działanie zapewniane w takim stopniu, aby osiągnąć jego adekwatność i skuteczność, zapewniając tym samym:
1) prawidłowość procedur administracyjnych i księgowych, a także wiarygodną sprawozdawczość finansową oraz rzetelne raportowanie wewnętrzne i zewnętrzne, 2) zgodność działania z przepisami prawa oraz rekomendacjami nadzorczymi, a także
regulacjami wewnętrznymi, w tym dotyczącymi zarządzania ryzykiem.
3. MECHANIZMY KONTROLNE
§ 5
1. W celu zapewnienia realizacji celów systemu kontroli wymienianych w § 4 ust. 1 Bank projektuje wprowadza i zapewnia działanie mechanizmów kontrolnych we wszystkich procesach funkcjonujących w Banku.
2. Mechanizmy kontrolne, w zależności od rodzaju mechanizmu, spełniają rolę:
1) prewencyjną - poprzez zapobieganie nieprawidłowościom (np. poprzez ustalenie ścieżki autoryzacji w procesie odstępstw, wprowadzenia zasad kontroli dostępu),
2) detekcyjną - poprzez wykrywanie nieprawidłowości (np. poprzez samokontrolę w odniesieniu do sporządzonej dokumentacji),
3) korekcyjną - poprzez korektę nieprawidłowości (np. poprzez zapewnienie automatycznego korygowania błędów w systemach informatycznych, w odniesieniu do określonych pól wypełnianych przez pracowników Banku).
3. Rodzaje mechanizmów kontrolnych dostosowywane są do określonych celów systemu kontroli wewnętrznej, stopnia złożoności procesów, ryzyka zaistnienia nieprawidłowości uwzględniając dostępne zasoby Banku.
4. Mechanizmy kontrolne posiadane przez Bank składają się z odpowiedniego zbioru dostosowanego do czynników wymienionych w ust. 3, obejmującego co najmniej:
1) procedury - rozumiane jako zdefiniowany sposób określonego postępowania przez pracowników poszczególnych komórek i jednostek organizacyjnych,
2) podział obowiązków - rozumiany jako podział zadań i uprawnień przypisanych pracownikom na poszczególnych stanowiskach w ramach danego procesu, mający na celu zapobieganie sytuacjom, w których pracownik kontroluje samego siebie lub istnieje potencjalny konflikt interesów między pracownikami mającymi powiązania personalne np. poprzez oddzielenie etapu zawierania transakcji od etapów jej rejestrowania i weryfikowania jej prawidłowości albo tzw. kontrolę dwóch par oczu),
3) autoryzacja - rozumiana jako system zatwierdzania decyzji i czynności wykonywanych przez pracowników na poszczególnych stanowiskach w ramach danego procesu (np.
poprzez wprowadzenie obowiązku autoryzacji treści regulacji wewnętrznych na odpowiednich szczeblach przed ich zastosowaniem),
4) kontrola dostępu - rozumiana jako zestaw uprawnień dostępu do określonego obszaru, systemu, procesu,
5) kontrola fizyczna - rozumiana jako zestaw uprawnień dostępu do określonego, fizycznie wydzielonego obszaru w banku (np. poprzez zapewnienie autoryzowanego wstępu (z zastosowaniem karty / kodu), na teren niektórych jednostek lub komórek organizacyjnych banku),
6) proces ewidencji operacji finansowych i gospodarczych w systemach: księgowym, sprawozdawczym i operacyjnym - rozumiany jako rejestrowanie i przechowywanie określonych rodzajowo danych wprowadzonych i generowanych w danym systemie,
7) inwentaryzacja - rozumiana jako porównywanie stanu faktycznego ze stanem wymaganym,
8) rejestr odstępstw - rozumiany jako wykaz zarejestrowanych wyjątków w ramach wykonywania określonych czynności wynikających z ustalonych przez bank zasad (procedur) postępowania,
9) wskaźniki wydajności - rozumiane jako wskaźniki prezentujące stopień wykonania danego celu w określonym czasie,
10) organizacja szkoleń dla pracowników Banku,
11) samokontrola – rozumiana jako weryfikacja prawidłowości własnych działań dokonywana przez pracownika w toku wykonywania przez niego czynności operacyjnych (np. weryfikacja poprawności dokumentacji kredytowej lub danych wprowadzonych w odpowiednich polach w systemie informatycznym).
5. Kryteria, jakie są uwzględniane przy projektowaniu mechanizmów kontrolnych obejmują co najmniej:
1) adekwatność danego rodzaju mechanizmu kontrolnego w odniesieniu do poszczególnych procesów,
2) skuteczność danego rodzaju mechanizmu kontrolnego w przeszłości,
3) możliwość niezależnego monitorowania (weryfikacji, testowania) danego mechanizmu kontrolnego.
6. W przypadku mechanizmów kontroli ryzyka (np. limit), mechanizmy kontrolne (np. nadzór przełożonego odnośnie przestrzegania limitu), powinny zapewniać, że mechanizmy kontroli ryzyka są przestrzegane.
7. Mechanizmy powinny być zaprojektowane w sposób umożliwiający niezależne monitorowanie przestrzegania poszczególnych mechanizmów kontrolnych, badanie i ocenę ich adekwatności i skuteczności przez komórkę audytu wewnętrznego, przeprowadzanie badań przez biegłych rewidentów oraz dokonywanie czynności nadzorczych przez uprawnione do tego instytucje (dowody kontrolne). Do podstawowych sposobów dokumentowania powinny należeć w szczególności:
1) podpisy na dokumentach,
2) przechowywanie w systemie informatycznym potwierdzenia stosowania poszczególnych mechanizmów kontrolnych,
3) raporty, w tym generowane przez system informatyczny.
8. Należy stosować wybrane mechanizmy kontrolne, w tym mechanizmy automatyczne (wbudowane w systemy informatyczne), półautomatyczne i manualne. W miarę możliwości unikać stosowania wyłącznie manualnych mechanizmów kontrolnych w danym procesie z uwagi na fakt, że są one obarczone najwyższym ryzykiem błędu.
§ 6
Kontrola wewnętrzna ocenia mechanizmy kontroli wewnętrznej z punktu widzenia:
1) sprawności organizacji, 2) ryzyka,
3) celowości działań, 4) efektywności, 5) rzetelności, 6) legalności.
4. KRYTERIA OCENY ADEKWATNOŚCI I SKUTECZNOŚCI SYSTEMU KONTROLI WEWNĘTRZNEJ NA 1 I 2 POZIOMIE
§ 7
1. W Banku wyznacza się następujące kryteria oceny adekwatności i skuteczności realizacji celów systemu kontroli wewnętrznej, o których mowa w § 4 ust. 1 niniejszego Regulaminu:
L.p. Cel Kryterium
1 Skuteczność i efektywność działania Banku 1) realizacja planowanego wyniku finansowego 2) osiągnięcie minimów wskaźnikowych
określonych w Umowie Systemu Ochrony 2 Wiarygodność sprawozdawczości finansowej Ilość błędów wskazanych przez biegłego rewidenta na
podstawie badania sprawozdania finansowego 3 Przestrzeganie zasad zarządzania ryzykiem 1) wartość wskaźnika jakości kredytów, 2) ilość i kwota strat operacyjnych (trend) 3) przekraczanie limitów zatwierdzonych w
„Instrukcji wyznaczania i aktualizowania limitów wewnętrznych ograniczających poziom ryzyka”
4 Zgodność działania z przepisami prawa, regulacjami wewnętrznymi i standardami rynkowymi
1) trend w ilości zasadnych skarg i reklamacji 2) wysokość kar nałożonych na Bank na skutek nie
przestrzegania przepisów
3) ilość błędów znaczących i krytycznych identyfikowanych w ramach niezależnego monitorowania
4) wyniki kontroli/przeglądów/audytów SSOZ i audytów zewnętrznych
2. Wartości progowe strat z tytułu ryzyka operacyjnego w ramach poszczególnych klas zdarzeń zostały zdefiniowane w ,,Strategii zarządzania ryzykiem operacyjnym w Banku Spółdzielczym w Sędziszowie".
3. Wartości limitów zawartych w „Instrukcji wyznaczania i aktualizowania limitów wewnętrznych ograniczających poziom ryzyka” zatwierdza Rada Nadzorcza na dany rok obrotowy.
4. Kryteria oceny adekwatności i skuteczności realizacji celów systemu kontroli wewnętrznej podlegają okresowej aktualizacji przez Komórkę ds. ryzyka, w terminie weryfikacji niniejszej procedury.
5. ORGANIZACJA SYSTEMU KONTROLI WEWNĘTRZNEJ
§ 8
1. Funkcjonujący w Banku system kontroli wewnętrznej zorganizowany jest na trzech niezależnych poziomach:
1) Poziom I to funkcja zarządzania ryzykiem w działalności operacyjnej Banku,
2) Poziom II to, co najmniej komórka do spraw zgodności oraz inne komórki organizacyjne w strukturach Banku, niezależne od procesu zarządzania ryzykiem na poziomie I, oraz kontrola instytucjonalna przeprowadzana przez Bank Zrzeszający BPS S.A. zgodnie z zawartą Umową zlecenia,
3) Poziom III to funkcja audytu wewnętrznego realizowana przez Spółdzielnię Systemu Ochrony Zrzeszenia BPS.
§ 9
1. Kontrola realizowana na Poziomie I pozostaje w kompetencji Banku.
2. Celem kontroli realizowanej na Poziomie I jest zapewnienie zgodności wykonywanych czynności z procedurami wewnętrznymi, a także bieżące reagowanie na stwierdzone nieprawidłowości oraz monitorowanie mechanizmów kontrolnych. Kontrola ta obejmuje
stanowiska, grupy ludzi lub komórki organizacyjne odpowiedzialne za realizację zadań przypisanych tej funkcji.
3. Kontrola sprawowana jest w zakresie jakości i poprawności wykonywanych czynności przez każdego pracownika oraz dodatkowo przez osoby z nim współpracujące i jego bezpośredniego przełożonego oraz wszystkie osoby, którym czynności kontrolne wyznaczono w zakresach obowiązków.
§ 10
1. Kontrola realizowana na Poziomie II pozostaje w kompetencji Banku.
2. Kontrola realizowana na poziomie II to czynności kontrolne realizowane przez specjalnie dedykowane do tego stanowiska lub komórki organizacyjne Banku, niezależne od zarządzania ryzykiem i kontroli wykonywanych na Poziomie I, z zachowaniem zasady braku konfliktu interesów w realizacji czynności kontrolnych oraz kontrola instytucjonalna przeprowadzana przez Bank Zrzeszający BPS S.A. zgodnie z zawartą Umową zlecenia.
3. Kontrola, o której mowa w ust. 1 ma charakter ciągły i kompleksowy. Celem kontroli realizowanej na Poziomie II jest ocena skuteczności mechanizmów kontrolnych na Poziomie I i Poziomie II oraz ocena prawidłowości przestrzegania zasad zarządzania ryzykiem w działalności Banku.
4. W strukturach Banku działają adekwatne mechanizmy zapewniające niezależność Komórki ds. zgodności.
§ 11
1. Kontrola realizowana na Poziomie III to audyt wewnętrzny realizowany przez Departament Audytu Spółdzielni Systemu Ochrony Zrzeszenia BPS, który ma za zadanie badanie i ocenę, w sposób niezależny i obiektywny, adekwatności i skuteczności systemu zarządzania ryzykiem i systemu kontroli wewnętrznej Banku.
2. Audyt wewnętrzny polega na okresowym badaniu, ocenie i doskonaleniu istniejących wdrożonych mechanizmów kontroli wewnętrznej oraz ich praktycznego stosowania. Audyt wewnętrzny ocenia zarówno zaprojektowanie jak i efektywność kontroli realizowanych na poziomie I i II, a także ocenia skuteczność i adekwatność systemu zarządzania ryzykiem, 3. Zasady organizacji i realizacji audytu wewnętrznego są uregulowane w Załączniku nr 11 do
Umowy Systemu Ochrony Zrzeszenia BPS.
6. KOMÓRKI KONTROLNE ORAZ ORGANIZACJA ZADAŃ W RAMACH SYSTEMU KONTROLI WEWNĘTRZNEJ
§ 12
1. Zgodnie z brzmieniem art. 9c ust. 2 ustawy Prawo bankowe Bank w ramach systemu kontroli wewnętrznej wyodrębnia:
1) funkcję kontroli - mającą za zadanie zapewnienie przestrzegania mechanizmów kontrolnych dotyczących w szczególności zarządzania ryzykiem w Banku, która obejmuje stanowiska, grupy ludzi lub jednostki organizacyjne odpowiedzialne za realizację zadań przypisanych tej funkcji;
2) komórkę do spraw zgodności - mającą za zadanie identyfikację, ocenę, kontrolę i monitorowanie ryzyka braku zgodności działalności Banku z przepisami prawa, regulacjami wewnętrznymi i standardami rynkowymi oraz przedstawianie raportów w tym zakresie;
3) niezależną komórkę audytu wewnętrznego - mającą za zadanie badanie i ocenę, w sposób niezależny i obiektywny, adekwatności i skuteczności systemu zarządzania ryzykiem i systemu kontroli wewnętrznej, z wyłączeniem komórki audytu wewnętrznego.
2. Szczegółowe obowiązki i zasady działania Komórki ds. zgodności określa odpowiednia Polityka zgodności, a także odpowiedni Regulamin funkcjonowania komórki do spraw zgodności, dotyczy to w szczególności:
1) opracowania regulaminu funkcjonowania komórki do spraw zgodności,
2) przeprowadzania czynności komórki określonych w pkt 4-8 na podstawie regulaminu funkcjonowania komórki do spraw zgodności oraz procedur i metodyk;
3) dokumentowania czynności komórki określonych w pkt 4-8;
4) identyfikowania ryzyka braku zgodności, w szczególności przez analizę przepisów prawa, regulacji wewnętrznych banku, standardów rynkowych oraz wyników wewnętrznych postępowań wyjaśniających przeprowadzanych przez komórkę do spraw zgodności;
5) oceny ryzyka braku zgodności przez pomiar lub szacowanie tego ryzyka;
6) projektowania i wprowadzania, bazujących na ocenie ryzyka braku zgodności, mechanizmów kontroli ryzyka braku zgodności;
7) monitorowania wielkości i profilu ryzyka braku zgodności, po zastosowaniu mechanizmów kontroli ryzyka braku zgodności;
8) okresowego przekazywanie raportów w zakresie ryzyka braku zgodności do Zarządu i Rady Nadzorczej.
3. Bank jest Uczestnikiem Systemu Ochrony Zrzeszenia BPS, w związku z powyższym na podstawie art. 22i ust. 4 Ustawy o funkcjonowaniu banków spółdzielczych, ich zrzeszaniu się i bankach zrzeszających, funkcja audytu wewnętrznego realizowana jest przez Spółdzielnię Systemu Ochrony Zrzeszenia BPS.
§ 13
1. Do przeprowadzania testowania w Banku uprawnione są osoby (stanowiska) wymienione w Planie testowania na dany rok kalendarzowy, zatwierdzonym przez Zarząd Banku.
2. Bank może zlecać wykonywanie zadań kontroli wewnętrznej odpowiednim komórkom kontroli Banku Zrzeszającego BPS S.A. na podstawie zawartej Umowy zlecenie (kontrola instytucjonalna),
§ 14
1. Efektywność funkcjonowania systemu kontroli wewnętrznej wymaga pełnego wykorzystania istniejących w Banku przepływów informacji.
2. Wszyscy pracownicy, którym przypisano sprawowanie funkcji kontrolnych, w tym zwłaszcza osoby zajmujące stanowiska kierownicze, zobowiązani są do bieżącego wykorzystywania informacji kontrolnych i natychmiastowego podejmowania środków zaradczych w przypadku stwierdzenia nieprawidłowości w działaniu bądź przekazywania wniosków w tych sprawach do swoich zwierzchników.
7. FUNKCJA KONTROLI
§ 15
1. Obowiązujący w Banku system kontroli wewnętrznej zapewnia przestrzeganie mechanizmów kontrolnych poprzez wyodrębnienie funkcji kontroli, o której mowa w art.
9c ust. 2 pkt 1 ustawy - Prawo bankowe.
2. Funkcja kontroli jest jednym z najważniejszych elementów systemu kontroli wewnętrznej, ma podstawowe znaczenie dla:
1) zapewnienia bezpieczeństwa Banku,
2) zapobiegania i eliminacji nieprawidłowości i nadużyć,
3) uzyskiwania wymaganej jakości wykonywanych czynności w ramach procesów,
4) utrzymania ryzyka działalności na założonym poziomie,
5) uzyskania odpowiedniej efektywności i skuteczności działania Banku.
3. Funkcja kontroli realizowana jest na pierwszym i drugim poziomie funkcjonującego w Banku systemu kontroli wewnętrznej.
§ 16 1. Na funkcję kontroli składają się:
1) mechanizmy kontrolne,
2) niezależne monitorowanie przestrzegania mechanizmów kontrolnych, 3) raportowanie w ramach funkcji kontroli.
2. Bank przypisuje kluczowe mechanizmy kontrolne co najmniej procesom istotnym.
3. Bank zapewnia dokumentację funkcji kontroli w szczególności przez:
1) rejestrowanie każdej operacji, transakcji, produktu i usługi oraz opis systemu, procesu, struktury organizacyjnej,
2) opis, w formie matrycy funkcji kontroli, powiązania celów, o których mowa w § 4 ust.
1, z procesami w działalności Banku, które przez Bank zostały uznane za istotne, oraz kluczowymi mechanizmami kontrolnymi i niezależnym monitorowaniem przestrzegania tych mechanizmów kontrolnych.
§ 17
1. Funkcja kontroli obejmuje komórki organizacyjne Banku, stanowiska lub grupy ludzi odpowiedzialne za realizację zadań przypisanych tej funkcji - w szczególności:
1) stosowanie mechanizmów kontrolnych opisanych w regulacjach wewnętrznych (politykach, instrukcjach, zasadach, procedurach) dotyczących przeprowadzania przez pracowników Banku lub systemy informatyczne operacji, transakcji lub innych czynności wykonywanych w ramach istotnych procesów Banku,
2) niezależnym monitorowaniu przestrzegania mechanizmów kontrolnych polegającym na dokonywaniu weryfikacji bieżącej lub testowania,
3) sprawozdawaniu w zakresie działania funkcji kontroli wyników monitorowania przestrzegania mechanizmów kontrolnych, a także wyników działania funkcji kontroli (np. wyników kontroli lub stopnia realizacji odpowiednich planów).
2. Funkcja kontroli swym zakresem obejmuje w szczególności:
1) sprawdzanie przestrzegania przepisów prawa oraz wewnętrznych regulacji i procedur, a także wyznaczonych limitów,
2) sprawdzanie dokładności i prawidłowości danych księgowych,
3) sprawdzanie bezpieczeństwa operacji i fizycznych zabezpieczeń dostępu, 4) sprawdzanie przestrzegania uprawnień i autoryzacji,
5) sprawdzanie zgodności działań na poszczególnych stanowiskach z zakresem czynności i odpowiedzialności,
6) badanie, czy występuje rozdzielenie sprzecznych ze sobą funkcji i obowiązków, ze szczególnym uwzględnieniem niezależności funkcji pomiaru, monitorowania i kontroli ryzyka od działalności operacyjnej, która to ryzyko generuje.
3. Działanie funkcji kontroli ma charakter ciągły, jest realizowane na wszystkich etapach poszczególnych procesów, we wszystkich obszarach działania Banku.
§ 18
1. Obowiązek realizacji zadań w ramach funkcji kontroli przez pracowników Banku wynika z wykonywania obowiązków służbowych danego pracownika uregulowanych w:
1) Regulaminie organizacyjnym Banku Spółdzielczego,
2) treści uregulowań wewnętrznych dotyczących realizacji procesów (polityk, instrukcji, procedur, regulaminów),
3) matrycy funkcji kontroli,
4) planów testowania (planów kontroli wewnętrznej), 5) zakresach zadań poszczególnych pracowników.
2. Szczegółowe zasady dokonywania czynności w ramach funkcji kontroli są zawarte w niniejszym Regulaminie, a także w formalnie przyjętych przez Zarząd Banku regulacjach wewnętrznych dotyczących np. realizacji operacji, transakcji itp.
8. NADZÓR ORGANÓW BANKU NAD SYSTEMEM KONTROLI
§ 19
1. Za zorganizowanie oraz prawidłowe funkcjonowanie skutecznego systemu kontroli wewnętrznej odpowiada Zarząd Banku.
2. Rada Nadzorcza Banku sprawuje nadzór nad systemem kontroli wewnętrznej oraz ocenia jego adekwatność i skuteczność.
3. Bezpośredni nadzór nad systemem kontroli wewnętrznej w tym nad audytem wewnętrznym sprawuje Prezes Zarządu.
§ 20
1. Do obowiązków Zarządu Banku należy zaprojektowanie, wprowadzenie oraz zapewnienie w jednostce organizacyjnej i we wszystkich komórkach organizacyjnych Banku funkcjonowania adekwatnego i skutecznego systemu kontroli wewnętrznej, który obejmuje funkcję kontroli oraz komórkę do spraw zgodności.
2. Zarząd Banku zapewnia niezależność komórce do spraw zgodności oraz zapewnia środki finansowe niezbędne do skutecznego wykonywania zadań oraz systematycznego podnoszenia umiejętności i kwalifikacji pracownika na tym stanowisku.
3. Zarząd Banku podejmuje działania mające na celu zapewnienie ciągłości działania systemu kontroli wewnętrznej, w tym właściwej współpracy wszystkich pracowników w ramach funkcji kontroli oraz współpracy z komórką do spraw zgodności oraz Spółdzielnią SOZ BPS w ramach realizacji funkcji audytu wewnętrznego, a także zapewnienie dostępu pracownikom realizującym te funkcje do niezbędnych dokumentów źródłowych, w tym zawierających informacje prawnie chronione, w związku z wykonywaniem przez nich obowiązków służbowych.
4. W przypadku wykrycia nieprawidłowości przez system kontroli wewnętrznej, Zarząd Banku podejmuje odpowiednie działania w celu usunięcia stwierdzonych nieprawidłowości, w tym określone środki naprawcze i dyscyplinujące.
5. W ramach zapewnienia przez system kontroli wewnętrznej przestrzegania przepisów prawa, regulacji wewnętrznych oraz standardów rynkowych Zarząd Banku:
1) odpowiada za efektywne zarządzanie ryzykiem braku zgodności, rozumianym jako ryzyko skutków nieprzestrzegania przepisów prawa, regulacji wewnętrznych oraz standardów rynkowych;
2) odpowiada za opracowanie Polityki Zgodności, zapewnienie jej przestrzegania i składanie Komitetowi Audytu Banku, raportów w sprawie zarządzania ryzykiem braku zgodności;
3) w przypadku wykrycia nieprawidłowości w stosowaniu Polityki Zgodności, Zarząd Banku podejmuje odpowiednie działania w celu usunięcia tych nieprawidłowości, w tym środki naprawcze lub dyscyplinujące.
4) Zarząd Banku, nie rzadziej niż raz w roku, informuje Radę Nadzorczą Banku o sposobie wypełnienia zadań, o których mowa w ust. 5.
§ 21
1. Rada Nadzorcza Banku sprawuje nadzór nad wprowadzeniem i zapewnieniem funkcjonowania adekwatnego i skutecznego systemu kontroli wewnętrznej.
2. Rada Nadzorcza Banku monitoruje skuteczność systemu kontroli wewnętrznej w oparciu o informacje uzyskane od komórki do spraw zgodności, innych komórek pełniących funkcje kontrolne, Zarządu Banku, Komitetu Audytu Banku, oraz Spółdzielni w ramach realizacji funkcji audytu wewnętrznego.
3. Rada Nadzorcza Banku dokonuje corocznej oceny adekwatności i skuteczności systemu kontroli wewnętrznej I i II poziomu, w tym corocznej oceny adekwatności skuteczności funkcji kontroli oraz komórki do spraw zgodności. Ocena skuteczności i adekwatności realizacji funkcji audytu wewnętrznego jest realizowana wyłącznie przez Radę Nadzorczą Spółdzielni SOZ BPS.
4. Rada Nadzorcza przeprowadza oceny, o których mowa w ust. 3, na podstawie opinii Komitetu Audytu.
5. Rada Nadzorcza Banku informuje Spółdzielnię o wynikach oceny, o której mowa w ust. 3.
6. W ramach zapewnienia przez system kontroli wewnętrznej przestrzegania przepisów prawa, regulacji wewnętrznych oraz standardów rynkowych Rada Nadzorcza Banku:
1) nadzoruje wykonywanie obowiązków przez Zarząd Banku, dotyczących zarządzania ryzykiem braku zgodności;
2) zatwierdza Politykę Zgodności;
3) zatwierdza Regulamin funkcjonowania Komórki ds. zgodności;
4) co najmniej raz w roku ocenia stopień efektywności zarządzania ryzykiem braku zgodności przez Bank.
§ 22
1. Zarząd Spółdzielni SOZ BPS odpowiada za zaprojektowanie, wprowadzenie oraz zapewnienie funkcjonowania adekwatnego i skutecznego systemu kontroli wewnętrznej Spółdzielni, który obejmuje funkcję audytu wewnętrznego oraz zapewnienie niezależności tej funkcji.
2. Rada Nadzorcza Spółdzielni monitoruje skuteczność funkcji audytu wewnętrznego w Systemie Ochrony na podstawie informacji uzyskanych od Zarządu Spółdzielni oraz Pionu Audytu.
3. Rada Nadzorcza Spółdzielni dokonuje oceny adekwatności i skuteczności działania w Systemie Ochrony funkcji audytu wewnętrznego.
9. ISTOTA, PODSTAWOWE ZASADY I RODZAJE KONTROLI WEWNĘTRZNEJ
§ 23
1. Kontrola wewnętrzna w Banku wykonywana jest w sposób niezależny, obiektywny i odpowiedzialny.
2. Poprzez niezależność kontroli wewnętrznej rozumieć należy warunki działania kontroli wewnętrznej dające gwarancję, że kontrolujący bez żadnych zewnętrznych nacisków przeprowadza kontrole według ustalonych metod, dokonuje oceny stosowania mechanizmów kontrolnych oraz sporządza dokumentację pokontrolną. Niezależność umożliwia bezstronny i niedwuznaczny osąd działalności poddanej kontroli,
3. Obiektywność kontroli rozumiana jest jako niezależna od czynników pozamerytorycznych ocena dokonywana przez kontrolujących, co oznacza, że kontrolujący nie mogą być stronniczy i nie mogą uzależniać swojej opinii w kwestii kontrolowanego tematu od opinii innych.
4. Odpowiedzialność kontroli wewnętrznej oznacza dokonywanie prawidłowej oceny, adekwatności, skuteczności oraz efektywności i jakości wewnętrznych systemów Banku, co oznacza prezentowanie w dokumentacji pokontrolnej sprawdzonych zadań, które wymagają podjęcia działań naprawczych, unikanie niedomówień i nieścisłości.
§ 24 Kontrola polega w szczególności na:
1. identyfikacji ryzyka, na jakie narażona jest działalność komórki organizacyjnej, 2. wyborze działań kontrolnych, adekwatnych do poziomu ryzyk,
3. określeniu stanu rzeczywistego,
4. określeniu stanu obowiązującego lub najbardziej pożądanego,
5. ocenie występujących rozbieżności między stanem rzeczywistym a stanem obowiązującym lub pożądanym,
6. ustaleniu przyczyn, które spowodowały wystąpienie rozbieżności,
7. wskazaniu działań zmierzających do osiągnięcia stanu obowiązującego lub pożądanego, 8. sprawowaniu nadzoru nad realizacją działań, podjętych w celu usprawnienia
kontrolowanych obszarów.
§ 25 Rodzaje kontroli wewnętrznej:
1. Kontrola bieżąca – każdy pracownik ma obowiązek stosowania mechanizmów kontroli, zawartych w wewnętrznych regulacjach Banku (przeprowadzania kontroli dokumentów, które otrzymuje oraz które sporządza (samokontrola)). W zakres kontroli bieżącej wchodzi również weryfikacja bieżąca pozioma i pionowa (tzw. „kontrola na drugą rękę”) której wymogi są określone w procedurach Banku.
2. Kontrole planowane:
1) audyt wewnętrzny – sprawowany przez odpowiednie komórki Spółdzielni Systemu Ochrony w zakresie oceny systemu kontroli wewnętrznej, zarządzania poszczególnymi rodzajami ryzyka oraz adekwatnością kapitałową,
2) kontrole kierownicze – testowanie poziome stosowania mechanizmów kontrolnych sprawowane przez przełożonych w stosunku do nadzorowanych pracowników,
3) kontrole problemowe – testowanie stosowania mechanizmów kontrolnych obejmujące badanie wybranych zagadnień lub przebiegu określonych czynności w jednej lub kilku komórkach organizacyjnych Banku, przez wyznaczone komórki organizacyjne Banku.
Testowanie poziome występuje w przypadku kontrolowania komórek organizacyjnych przez inne komórki w ramach tej samej linii obrony. Testowanie pionowe występuje w
przypadku gdy komórki pierwszej linii obrony są kontrolowane przez komórki organizacyjne drugiej linii obrony,
4) kontrole zlecane Bankowi Zrzeszającemu w ramach systemu kontroli wewnętrznej.
3. Kontrole doraźne – postępowania wyjaśniające podejmowane na polecenie Prezesa Zarządu lub na wniosek Rady Nadzorczej Banku. W obszarze bezpieczeństwa środowiska teleinformatycznego i informacji Zarząd może podjąć decyzję o zlecenie audytu Bankowi Zrzeszającemu lub podmiotowi zewnętrznemu, którzy zapewnią:
• odpowiednie kwalifikacje osób przeprowadzających audyt, potwierdzone odpowiednimi certyfikatami,
• wykorzystanie uznanych standardów międzynarodowych i dobrych praktyk,
4. Kontrole nieplanowe – w uzasadnionych przypadkach Bank dopuszcza kontrole przeprowadzane w sposób niezapowiedziany np. w przypadkach powzięcia informacji o popełnieniu nadużycia lub przestępstwa.
5. Prowadzenie postępowania wyjaśniającego w zakresie zgodności, przeprowadzonego przez Komórkę ds. zgodności.
§ 26
1. Kontrola dokumentów przeprowadzona jest pod względem:
1) merytorycznym, polegającym na stwierdzaniu prawidłowości i zgodności treści dokumentów z rzeczywistością, przez co rozumieć należy, że operacje odzwierciedlane w dokumentach dokonywane są z zachowaniem zasad celowości, legalności, rzetelności i gospodarności,
2) formalnym, polegającym na stwierdzeniu, że badane dokumenty posiadają wszystkie typowe dla nich elementy, a w szczególności że:
a) wystawione zostały w sposób prawidłowy,
b) podpisane zostały przez osoby do tego upoważnione,
c) zawierają inne cechy wymagane obowiązującymi przepisami,
3) rachunkowym, polegającym na ustaleniu prawidłowości zawartych w nich działań arytmetycznych.
10. KRYTERIA I CZYNNOŚCI NIEZALEŻNEGO MONITOROWANIA PRZESTRZEGANIA MECHANIZMÓW KONTROLNYCH
§ 27
Kryteriami wpływającymi na wprowadzany rodzaj i zakres czynności niezależnego monitorowania przestrzegania mechanizmów kontrolnych w ramach procesów są:
1) stopień skomplikowania procesu,
2) zasoby, którymi dysponuje Bank - w tym liczba i stopień przeszkolenia pracowników dokonujących kontroli, posiadane wyposażenie techniczne (funkcjonalność systemów informatycznych),
3) ryzyko zaistnienia nieprawidłowości w ramach procesu,
4) ocenę dotychczasowej adekwatności i skuteczności stosowanych mechanizmów kontrolnych obejmujących dany proces i stosowanych na pierwszej lub drugiej linii obrony.
§ 28
1. Czynności niezależnego monitorowania przestrzegania mechanizmów kontrolnych stosowane w Banku mają postać:
1) weryfikacji bieżącej (kontroli bieżącej lub nadzoru), 2) testowania.
2. Zakres niezależnego monitorowania przestrzegania mechanizmów kontrolnych w procesach istotnych, obejmującego weryfikację bieżącą i testowanie zatwierdzany jest przez Zarząd w matrycy funkcji kontroli sporządzonej przez Komórkę ds. zgodności zgodnie z Załącznikiem nr 1 do ,,Regulaminu kontroli wewnętrznej", a także w zakresie weryfikacji bieżącej w regulacjach wewnętrznych dotyczących realizacji danego procesu lub zarządzania określonym rodzajem ryzyka, obejmuje to również obowiązki sprawozdawcze służące realizacji nadzoru.
3. Zakres niezależnego monitorowania przestrzegania mechanizmów kontrolnych w pozostałych procesach zatwierdzany jest w regulacjach wewnętrznych dotyczących realizacji danego procesu lub zarządzania określonym rodzajem ryzyka, obejmuje to również obowiązki sprawozdawcze służące realizacji nadzoru.
4. Niezależność czynności monitorowania oznacza, że osoba dokonująca monitorowania przestrzegania mechanizmu kontrolnego, nie może jednocześnie stosować mechanizmu podlegającego monitorowaniu.
§ 29
1. Weryfikacja bieżąca powinna być dokonywana w sposób ciągły w ramach procesów funkcjonujących w Banku.
2. Weryfikacja bieżąca (kontrola wstępna, kontrola bieżąca) - są to czynności kontroli lub nadzoru stosowane przed rozpoczęciem lub w trakcie czynności wykonywanych w ramach procesów funkcjonujących w banku.
3. Weryfikacja bieżąca realizowana może być jako czynności:
1) przełożonego w ramach wykonywania nadzoru służbowego,
2) innego pracownika tej samej komórki organizacyjnej lub innej komórki organizacyjnej tej samej linii obrony w ramach podziału obowiązków (tzw. weryfikacja na drugą rękę), 3) komórki drugiej linii obrony w zakresie monitorowania pionowego pierwszej linii
obrony, np. weryfikacji bieżącej pionowej wykonywanej przez Komórkę ds. zgodności.
4. Weryfikacja bieżąca sprawowana jest jako ciągła analiza przebiegu i rezultatów pracy poszczególnych pracowników poprzez kontrolowanie wykonywanych czynności, w celu zapewnienia ich zgodności z procedurami i mechanizmami kontroli. Stanowi ona równocześnie podstawę weryfikacji poprawności procedur i sprawności działania mechanizmów kontrolnych na wszystkich szczeblach organizacyjnych.
5. Czynności kontrolne wykonywane w trakcie weryfikacji są realizowane we wszystkich etapach sporządzania, obiegu i rejestracji dokumentów bankowych i mają na celu:
1) stałą analizę przebiegu i rezultatów pracy,
2) bieżące oddziaływanie i reagowanie na nieprawidłowości i uchybienia,
3) bieżące korygowanie błędów i pomyłek.
6. Weryfikacja jako element monitorowania pionowego powinna być udokumentowana w szczególności poprzez:
1) podpisy na dokumentach,
2) przechowywanie w systemie informatycznym potwierdzenia stosowania poszczególnych mechanizmów kontrolnych,
3) raporty, w tym generowane przez system informatyczny.
§ 30
1. Testowanie (kontrola funkcjonalna następna i kontrola instytucjonalna realizowana przez Bank Zrzeszający na podstawie odrębnej umowy) - powinno być stosowane w przypadku zakończonych czynności wykonywanych w ramach procesów funkcjonujących w Banku lub poszczególnych etapów tych czynności, w tym na wybranej próbie testowej (próbie kontrolnej).
2. W ramach monitorowania pionowego pracownik komórki organizacyjnej usytuowanej w drugiej linii obrony (komórki drugiego poziomu) powinien testować (testowanie pionowe) co najmniej przestrzeganie mechanizmów kontrolnych na pierwszej linii obrony.
3. W przypadku procesów istotnych, podstawową rolę w monitorowaniu pionowym powinno odgrywać testowanie pionowe pierwszej linii obrony przez drugą linię obrony.
4. Testowanie poziome i pionowe jest kontrolą cykliczną/planową, ale w szczególnych przypadkach może mieć również postać kontroli doraźnej.
§ 31
Czynności i badania kontrolne w ramach testowania obejmują m.in. okresowe:
1) przeglądy, analizy i oceny sporządzane dla Zarządu Banku i Rady Nadzorczej,
2) sprawdzanie przestrzegania procedur i instrukcji wewnętrznych przez poszczególne komórki organizacyjne Banku,
3) badanie ograniczenia dostępu do aktywów rzeczowych, 4) sprawdzanie przestrzegania ustalonych limitów,
5) weryfikowanie systemu zatwierdzania i autoryzacji, 6) analizowanie systemu weryfikacji i uzgadniania,
7) badanie, czy występuje rozdzielenie sprzecznych ze sobą funkcji i obowiązków.
11. ZASADY DOKONYWANIA TESTOWANIA (KONTROLI FUNKCJONALNEJ NASTĘPNEJ)
§ 32
Testowaniem w ramach kontroli wewnętrznej obejmuje kluczowe mechanizmy kontroli w oparciu o:
1. dowody i dokumenty jednostkowe, 2. ewidencje i rejestry,
3. wydruki komputerowe, inwentarze i sprawozdawczość,
4. umowy o otwarcie rachunków bankowych wraz z niezbędną dokumentacją, 5. wnioski kredytowe z kompletem dokumentacji,
6. umowy kredytowe i umowy zabezpieczeń, 7. deklaracje członkowskie,
8. dane komputerowe, dotyczące np. terminarzy, stóp procentowych, danych osobowych, 9. umowy, porozumienia i inne dokumenty powodujące powstawanie należności i zobowiązań
w celu zapobiegania niepożądanym działaniom.
§ 33
1. Testowanie obejmuje w szczególności działania zmierzające do porównywania stanów faktycznych ze stanami postulowanymi lub pożądanymi, wyznaczonymi przez obowiązujące regulacje wewnętrzne Banku (strategie, plany, polityki, procedury).
2. Zakres mechanizmów kontrolnych objętych testowaniem jest określony w wewnętrznych instrukcjach oraz ujęty w matrycy funkcji kontroli.
§ 34
1. Testowanie jest prowadzone w zamkniętych cyklach procesu kontrolnego, na który składają się następujące fazy:
1) planowanie testowania, 2) przygotowanie testowania, 3) przeprowadzenie testów,
4) postępowanie po zakończeniu testów.
§ 35
Procedura testowania stosowania mechanizmów kontroli wewnętrznej przebiega według następującego schematu:
1. Gromadzenie informacji o kontrolowanym obszarze działalności.
2. Badanie wybranych do testowania prób kontrolnych.
3. Doradztwo i instruktaż.
4. Sporządzanie protokołu z przeprowadzonych testów.
5. Przedstawienie wyników testów.
6. Kontrola wykonania zaleceń z poprzedniej kontroli.
§ 36
1. Dobór próbki kredytów, które zostaną objęte badaniem powinien uwzględniać:
1) kredyty udzielone osobom wewnętrznym i podmiotom powiązanym z nimi kapitałowo i organizacyjnie,
2) kredyty w sytuacji zagrożonej i windykacja,
3) największe kredyty z poszczególnych produktów kredytowych, 4) kredyty detaliczne (zgodnie z Rekomendacją „T”),
5) kredyty na finansowanie nieruchomości oraz zabezpieczone hipotecznie.
6) kredyty wykazujące opóźnienia w spłacie, 7) kredyty restrukturyzowane,
2. Wybrana próba może być kombinacją wyżej opisanych kryteriów.
3. Wielkość zakresu badań winna być każdorazowo określona w szczegółowym planie kontroli.
4. Dodatkowe kryteria doboru próby kredytowej do badania:
1) Kwota należności 2) Przebieg spłat 3) Inne informacje
5. Kryteria doboru próby do badania spraw członkowskich – należy wybrać próbę deklaracji członkowskich z badanego okresu, wybór winien dotyczyć zarówno nowych członków jak i tych, w odniesieniu do których podjęto decyzje w sprawie wykreślenia z listy członków.
§ 37
W testowaniu stosowania mechanizmów kontroli wewnętrznej stosuje się następujące techniki:
1) analizę dokumentu tj. badanie z punktu widzenia formalnego oraz merytorycznego,
2) obserwację tj. celowe i systematyczne postrzeganie badanej czynności, operacji, procesu lub zjawiska,
3) wywiad tj. rozmowę prowadzoną z kontrolowanym,
4) przyjęcie wyjaśnień tj. zebranie informacji, których zadaniem jest naświetlenie przyczyn i okoliczności powstania ujawnionych w toku kontroli uchybień i nieprawidłowości.
5) przyjęcie oświadczeń tj. otrzymanie informacji dotyczących przeważnie faktów i zjawisk dotychczas nie znanych stronie kontrolującej, mających na celu zabezpieczenie interesu własnego strony kontrolowanej, interesu ogólnego lub obciążenie określonych osób.
6) inwentaryzację kontrolną, oględziny, dokonanie zdjęć fotograficznych itp. tj. komisyjne dostarczenie dowodów opartych o stany faktyczne, stwierdzone w czasie badania.
§ 38
Metody i techniki testowania dobiera się w zależności od jej specyfiki tak, aby umożliwiały, w danych warunkach, uzyskanie określonych efektów.
§ 39
1. Dla udokumentowania testowania (kontroli następnej) w Banku prowadzony jest zbiorczy Rejestr przeprowadzonych testów/rejestr nieprawidłowości znaczących i krytycznych (elektroniczny).
2. Rejestr zawiera następujące dane:
1) temat testu,
2) test planowany (tak/nie),
3) kontrolujący (nazwisko pracownika przeprowadzającego test), 4) informację czy stwierdzono nieprawidłowości (tak/nie),
5) jeżeli stwierdzono nieprawidłowości, zawiera klasyfikację błędu,
6) jeżeli błąd jest kategorii P1, P2 - wskazać proces istotny w którym go stwierdzono, 7) wskazać mechanizm kontrolny w którym go stwierdzono,
8) opis błędu,
9) jeżeli błąd jest kategorii P1 – wskazać czy został zgłoszony do SSOZ BPS, 10) plan naprawy,
11) termin realizacji (wyznaczony termin usunięcia stwierdzonych nieprawidłowości), 12) status realizacji,
13) osoba odpowiedzialna.
3. Rejestr prowadzony jest przez osoby uprawnione do przeprowadzania testów.
4. Wzór rejestru stanowi Załącznik Nr 3 do niniejszego Regulaminu.
12. PLANOWANIE TESTOWANIA (KONTROLI)
§ 40
1. Planowanie testowania opiera się na analizie zadań oraz ocenie poziomu ryzyka bankowego w ramach danego procesu, przy uwzględnieniu w szczególności:
1) specyfiki danego procesu oraz roli danej komórki organizacyjnej w procesie, a także ilości i złożoności wykonywanych czynności i operacji,
2) czynności dominujących w działalności komórki organizacyjnej,
3) czynności i operacji, o znacznym ryzyku wystąpienia uchybień i nieprawidłowości, a także możliwości popełnienia czynów, które mogą spowodować stratę dla Banku i/lub klientów,
4) nowych rodzajów świadczonych usług lub nowo wprowadzonych produktów, 5) stanu zatrudnienia,
6) obszarów działalności, w których stwierdzono uchybienia i nieprawidłowości w toku wcześniejszych testów (kontroli funkcjonalnych lub audytu wewnętrznego ) oraz kontroli i audytów zewnętrznych,
7) zakresu i wyników poprzednich czynności testowania, 8) bezpieczeństwa systemów informatycznych.
2. Obszary działalności obarczone wyższym ryzykiem powinny być testowane (kontrolowane) regularnie i z większą częstotliwością.
3. Przez obszary obarczone wyższym ryzykiem należy rozumieć te procesy lub ich obszary (czynności, operacje) gdzie istnieje potencjalne niebezpieczeństwo wystąpienia nieprawidłowości, które mogą wywołać niepożądane skutki finansowe lub negatywne zjawiska godzące w bezpieczne funkcjonowanie Banku.
4. Procesy lub ich obszary (czynności lub operacje), gdzie stwierdzono w trakcie przeprowadzania testów (kontroli), zarówno wewnętrznych jak i zewnętrznych szczególnie dużo błędów i nieprawidłowości zalicza się także do obszarów obarczonych wyższym ryzykiem.
5. Częstotliwość testowania może zostać zwiększona, jeśli ujawnione zostały poważne słabości i problemy, albo jeśli wprowadzono duże zmiany w odniesieniu do oferowanych produktów i usług, metodologii, pomiaru i monitorowania ryzyka, czy ogólnego profilu ryzyka w Banku.
§ 41
1. Testowanie stosowania mechanizmów kontroli wewnętrznej w Banku wykonywane jest w sposób planowy, tj. na podstawie zatwierdzonego rocznego Planu testów (kontroli funkcjonalnej).
2. Plan testów (kontroli funkcjonalnej) opracowywany jest w układzie zgodnym ze strukturą organizacyjną zawartą w Regulaminie organizacyjnym Banku, na podstawie czynności testowania ujętych w matrycy funkcji kontroli zatwierdzonej przez Zarząd.
3. Plan testów (kontroli funkcjonalnej) stosowania mechanizmów kontrolnych są sporządzane w oparciu o matrycę funkcji kontroli wewnętrznej, której wzór stanowi Załącznik nr 1 do niniejszego Regulaminu według schematu:
1) opracowanie, następnie weryfikacja wzoru matrycy funkcji kontroli przez Komórkę ds.
zgodności,
2) uzupełnienie matrycy o mechanizmy kontroli zawarte w procedurach opisujących procesy - komórki odpowiedzialne: właściciele procesów (właściciele procedur),
3) przypisanie mechanizmów kontroli celom systemu kontroli wewnętrznej,
4) określenie zasad weryfikacji i testowania stosowania mechanizmów kontroli wewnętrznej,
5) akceptacja matrycy kontroli przez Prezesa Zarządu, 6) zatwierdzenie matrycy kontroli przez Zarząd Banku,
7) przygotowanie w terminie do dnia 10 grudnia każdego roku kalendarzowego, przez osoby na stanowiskach kierowniczych, ewentualnych dodatkowych propozycji tematów do rocznych planów testów (kontroli funkcjonalnej), które nie wynikają z procesów istotnych ujętych w matrycy funkcji kontroli,
8) weryfikacja przedstawionych propozycji, o których mowa w pkt. 6, przez Stanowisko organizacyjno - administracyjne - ds. zgodności (Komórka ds. zgodności),
9) opracowanie propozycji kompleksowego rocznego Planu testów (kontroli funkcjonalnej) dla Banku przez Stanowisko organizacyjno - administracyjne – ds.
zgodności, na podstawie matrycy funkcji kontroli oraz zweryfikowanych pozytywnie dodatkowych propozycji tematów do rocznych planów testów, o których mowa w pkt.7.
4. Propozycja kompleksowego rocznego Planu testów (kontroli funkcjonalnej) oraz Planu kontroli instytucjonalnej zlecanej komórce kontroli Banku Zrzeszającego, jest przygotowywana przez pracownika Stanowiska organizacyjno - administracyjnego - ds.
zgodności we współpracy z pracownikami zajmującymi stanowiska kierownicze, a następnie przekazywana do akceptacji Prezesowi Zarządu.
5. Roczny Plan testów (kontroli funkcjonalnej) oraz Plan kontroli instytucjonalnej zatwierdzany jest przez Zarząd Banku, w terminie do 31 grudnia każdego roku kalendarzowego.
6. Szczegółowy Plan testów (kontroli funkcjonalnej) określa:
1) temat testu /kontroli,
2) nazwę komórki organizacyjnej objętej testowaniem, 3) częstotliwość testowania/kontroli,
4) kontrolującego (nazwę komórki organizacyjnej przeprowadzającej test), 5) określenie rodzaju testowania (poziome, pionowe).
7. Wzór rocznego Planu testów (kontroli funkcjonalnych) zawiera Załącznik nr 2 do niniejszego Regulaminu.
8. W szczególnych przypadkach, wynikających z pilnych i specyficznych potrzeb, kontrola następna może być wykonywana jako kontrola nieplanowana. Kontrola doraźna jest przeprowadzana na zlecenie Prezesa Zarządu lub Rady Nadzorczej.
§ 42
1. Właściciele procesów (właściciele procedur) oraz inne osoby, które są istotnie zaangażowane w realizację procesów i mechanizmów kontrolnych, zwłaszcza procesów istotnych uwzględnionych w matrycy kontroli, są zobowiązane do bieżącej współpracy z pracownikiem Komórki ds. zgodności odpowiedzialnym za zarządzanie matrycą funkcji kontroli.
2. Bieżąca współpraca o której mowa w ust. 1 dotyczy w szczególności przekazywania informacji o:
1) ustanowieniu lub zmianie kluczowych mechanizmów kontrolnych w procesach istotnych,
2) przypisania obowiązku niezależnego monitorowania przestrzegania kluczowych mechanizmów kontrolnych lub zmiany zakresu tego obowiązku (w przypadku ustanowienia lub zmiany kluczowego mechanizmu kontrolnego),
3) ustanowienia lub zmiany procesów istotnych,
4) inne informacje istotnie wpływające na zakres procesów istotnych w matrycy i ich propozycji niezależnego monitorowania."
3. Przegląd mechanizmów kontroli dokonywany jest przez właścicieli procesów (właścicieli procedur), a jego wyniki (w tym informacja o braku zmian) przekazywane są pracownikowi Komórki ds. zgodności, w terminie do dnia 15 listopada każdego roku kalendarzowego.
4. W przypadku gdy w wyniku przeprowadzonego przeglądu, o którym mowa w ust. 3, właściciele procesów (właściciele procedur) nie wnieśli w terminie do dnia 15 listopada roku kalendarzowego propozycji zmian do zatwierdzonej przez Zarząd Banku matrycy funkcji kontroli, obowiązuje ona również na rok następny.
5. W przypadku przekazania przez właścicieli procesów (właścicieli procedur) pracownikowi Komórki ds. ryzyka informacji, o których mowa w ust. 8, aktualizuje on matrycę funkcji kontroli.
6. Zaktualizowana matryca funkcji kontroli zostaje przedstawiona do akceptacji Prezesa Zarządu, a następnie podlega zatwierdzeniu przez Zarząd Banku, w terminie do dnia 30 listopada roku kalendarzowego, w którym dokonano jej aktualizacji.
7. Postępowanie w zakresie przygotowania i zatwierdzenia rocznego Planu testowania przebiega zgodnie z zapisami § 41 ust. 3 pkt. 6,7 i 8 oraz § 41 ust. 4 i ust. 5.
13. ZASADY KATEGORYZACJA NIEPRAWIDŁOWOŚCI WYKRYTYCH PRZEZ SYSTEM KONTROLI WEWNĘTRZNEJ
§ 43
1. P1 - błąd krytyczny - Nieprawidłowość skutkująca wysokim prawdopodobieństwem realizacji ryzyka utraty zdolności do kontynuowania działalności przez Bank, które może skutkować koniecznością uruchomienia środków pomocowych przez SSOZ BPS, a nawet wpłynąć na bezpieczeństwo funkcjonowania całego systemu ochrony. Niezbędne jest pilne wdrożenie działań naprawczych i włączenie w ten proces organów zarządzających oraz nadzorczych Banku. Niezbędnym może okazać się również uruchomienie środków interwencyjnych lub pomocowych określonych w Umowie Systemu Ochrony Zrzeszenia BPS. Rozpoznanie takiej nieprawidłowości musi być zgłoszone do SSOZ.
2. P2 - błąd znaczący - Nieprawidłowość, która może zagrozić bezpiecznemu funkcjonowaniu Banku, jednakże nie powinna negatywnie wpłynąć na ogólną sytuację Systemu Ochrony Zrzeszenia BPS. Stwierdzone nieprawidłowości wymagają pilnej realizacji działań naprawczych i włączenie w ten proces organów zarządzających Bankiem.
3. P3 - błędy o niskim priorytecie - Stwierdzone nieprawidłowości generują ryzyko dla działalności Banku, jednakże nie powinny zagrozić bezpieczeństwu jego funkcjonowania ani negatywnie wpłynąć na ogólną sytuację Systemu Ochrony Zrzeszenia BPS. Możliwe są działania naprawcze.
14. POSTĘPOWANIE POKONTROLNE
§ 44
1. Osoby uprawnione do przeprowadzania testowania (kontroli funkcjonalnej) sporządzają Raporty z przeprowadzonych testów ( Załącznik nr 5 do Regulaminu), które winny być podpisane przez kontrolowanego i kontrolującego.
2. W przypadku stwierdzenia w wyniku przeprowadzonego testowania nieprawidłowości i uchybień, (o których mowa w § 43 ust. 3) których nie można było usunąć w sposób natychmiastowy, kontrolujący wydaje kontrolowanemu zalecenia, określa termin ich wykonania, a po upływie wyznaczonego terminu kontrolujący sprawdza, czy zalecenia zostały wykonane.
3. Na podstawie wniosków pokontrolnych zawartych w raporcie z przeprowadzonej kontroli instytucjonalnej zrealizowanej przez Bank Zrzeszający, na podstawie odrębnej umowy, zalecenia pokontrolne wydaje Prezes Zarządu Banku.
4. W przypadku stwierdzenia nieprawidłowości krytycznych (P1) i znaczących (P2) kontrolujący postępuje zgodnie z zapisami § 47 niniejszego Regulaminu.
5. Stanowisko organizacyjno - administracyjne - ds. zgodności prowadzi „Rejestr przeprowadzonych testów/rejestr nieprawidłowości znaczących i krytycznych", wg wzoru zawartego w Załączniku nr 3 do niniejszego Regulaminu.
6. W przypadku stwierdzenia w trakcie kontroli czynów noszących znamiona przestępstwa lub nadużycia, kontrolujący podejmuje następujące działania:
1) bezzwłocznie zawiadamia o stwierdzonym fakcie Prezesa Zarządu,
2) dokonuje zabezpieczenia dokumentów i przedmiotów stanowiących dowód tego czynu, z czego sporządza protokół.
7. Decyzje o sposobie dalszego postępowania w związku z zaistniałą sytuacją podejmuje Zarząd Banku.
§ 45
1. Za prawidłową i pełną realizację wniosków i/lub zaleceń pokontrolnych odpowiada Komórka organizacyjna/osoba wskazana jako odpowiedzialna za realizację wniosku i/lub zalecenia.
2. Komórka organizacyjna/osoba wskazana jako odpowiedzialna za realizację wniosku i/lub zalecenia zobowiązana jest zrealizować wniosek i/lub zalecenie we wskazanym terminie.
§ 46
1. Strona kontrolująca sprawdza po upływie wyznaczonego terminu czy wnioski i/lub zalecenia zostały wykonane, najpóźniej w trakcie następnej kontroli.
2. Przeprowadzanie kontroli dotyczącej badania realizacji wniosków i/lub zaleceń wskazane jest szczególnie w sytuacji, gdy wyeliminowanie nieprawidłowości powinno nastąpić jak najszybciej.
3. Informację o sprawdzeniu wykonania wniosków i/lub zaleceń strona kontrolująca umieszcza w Raporcie z testowania (Załącznik nr 5 do Regulaminu) sporządzonym po kolejnej kontroli lub kontroli dotyczącej badania realizacji wniosków i/lub zaleceń.
15. RAPORTOWANIE DOTYCZĄCE WYNIKÓW TESTOWANIA ORAZ STATUSU REALIZACJI ŚRODKÓW NAPRAWCZYCH I DYSCYPLINUJĄCYCH
§ 47
1. Zarząd Banku jest zobowiązany ustanowić zasady raportowania co najmniej o skuteczności kluczowych mechanizmów kontrolnych oraz o wynikach ich testowania pionowego.
2. Zasady raportowania obejmują:
1) raportowanie niezwłocznie po zidentyfikowaniu nieprawidłowości oraz
2) raportowanie okresowe do Rady Nadzorczej Banku za pośrednictwem Komitetu Audytu, oraz do Audytu Wewnętrznego SSOZ.
3. Nieprawidłowości znaczące (P2) lub krytyczne (P1) zidentyfikowane na 1 linii powinny być niezwłocznie raportowane do komórki organizacyjnej 2 linii odpowiedzialnej za niezależne monitorowanie tego procesu, a w przypadku nieprawidłowości krytycznych (P1) również do Zarządu Banku oraz Audytu Wewnętrznego SSOZ.
4. Nieprawidłowości znaczące (P2) lub krytyczne (P1) zidentyfikowane na 2 linii powinny być niezwłocznie raportowane do Zarządu Banku i Rady Nadzorczej za pośrednictwem Komitetu Audytu, a w przypadku nieprawidłowości krytycznych (P1) również do Komórki Audytu Wewnętrznego SSOZ BPS.
5. Żadna linia obrony nie może zmienić priorytetu zidentyfikowanej nieprawidłowości.
6. Poprzez niezwłoczne raportowanie nieprawidłowości, o których mowa w ust. 3 rozumie się raportowanie najpóźniej do godziny 15-tej w następnym dniu roboczym po zidentyfikowaniu nieprawidłowości krytycznej/znaczącej.
7. Poprzez niezwłoczne raportowanie nieprawidłowości, o których mowa w ust. 4 rozumie się raportowanie najpóźniej do godziny 15- tej w dniu zidentyfikowania nieprawidłowości krytycznej/znaczącej
8. Zakres raportowania: charakterystyka błędu (na czym polegał błąd i co było jego przyczyną), potencjalne implikacje/ryzyko, proponowany plan naprawczy oraz termin wdrożenia. W przypadku błędów krytycznych (P1)/znaczących (P2) wskazane jest podejmowanie natychmiastowych działań naprawczych.
9. Okresowego raportowania o stwierdzonych nieprawidłowościach znaczących i krytycznych (P1, P2) do Zarządu i Rady Nadzorczej Banku za pośrednictwem Komitetu Audytu oraz do Komórki Audytu Wewnętrznego SSOZ BPS dokonuje Stanowisko organizacyjno –
