Vyhláška o pravidlech obezřetného podnikání bank, spořitelních a úvěrních družstev a obchodníků s cennými papíry

Příloha č. 2

účinné od 1. 7. 2007Podrobnější vymezení požadavků na vnitřní audit

1. účinné od 1. 7. 2007I. Obecné požadavky
   1. účinné od 1. 7. 20071. Pro výkon vnitřního auditu banka nebo družstevní záložna má nebo získá takové kapacity, které jsou nezbytné pro plnění stanovených požadavků.
   2. účinné od 1. 7. 20072. Osoba vykonávající v bance nebo družstevní záložně nebo pro banku nebo družstevní záložnu vnitřní audit (dále jen „vnitřní auditor“) při plnění svých úkolů vykonává nezávislou, objektivní, ujišťovací a konzultační činnost, která
      1. účinné od 1. 7. 2007a) se zaměřuje na přidávání hodnoty a zdokonalování vnitřních procesů,
      2. účinné od 1. 7. 2007b) přináší systematický metodický přístup k hodnocení a zlepšování efektivnosti řízení rizik, kontrolních procesů a procesů správy a řízení společnosti.
   1. účinné od 1. 7. 20073. Vnitřní auditoři poskytují své výstupy orgánům banky nebo družstevní záložny, příslušným zaměstnancům a výborům, pokud jsou zřízeny, včas a tyto výstupy jsou aktuální, spolehlivé a ucelené.
   2. účinné od 1. 7. 20074. Při provádění své činnosti mají vnitřní auditoři zajištěn přístup ke všem relevantním dokumentům banky nebo družstevní záložny.
   3. účinné od 1. 7. 20075. Osoba pověřená výkonem vnitřního auditu (§ 13) má možnost zúčastnit se zasedání všech poradních a rozhodovacích orgánů a výborů banky nebo družstevní záložny. V případech hodných zvláštního zřetele může být toto právo jednotlivě omezeno odůvodněným rozhodnutím představenstva banky nebo družstevní záložny.
   4. účinné od 1. 7. 20076. Osoba pověřená výkonem vnitřního auditu je podřízena takovému organizačnímu stupni v bance nebo družstevní záložně, který umožní plnění funkcí vnitřního auditu.
   5. účinné od 1. 7. 20077. Pokud se ve výjimečných případech podílí na poskytování ujištění o činnosti fyzická osoba, která tuto činnost vykonávala nebo na jejímž zavádění se podílela před méně než 12 měsíci, je tato skutečnost uvedena ve zprávě o provedeném vnitřním auditu a zároveň je zajištěna maximální objektivita této zprávy.
   6. účinné od 1. 7. 20078. Při výkonu konzultační činnosti je zajištěno, aby nebyla omezena schopnost vnitřního auditora podávat nezávislé a objektivní ujištění o funkčnosti a efektivnosti řídicího a kontrolního systému; při výkonu konzultační činnosti vnitřní auditoři poskytují poradenství v otázkách řídicího a kontrolního systému a v otázkách zavádění řídicích a kontrolních mechanismů.

1. účinné od 1. 7. 2007II. Statut vnitřního auditu

   účinné od 1. 7. 2007Banka nebo družstevní záložna vymezí statut vnitřního auditu, kterým upraví zejména

   1. účinné od 1. 7. 2007a) postavení, odpovědnosti a pravomoci útvaru či osoby (právnické nebo fyzické) vykonávající v bance nebo družstevní záložně nebo pro banku nebo družstevní záložnu vnitřní audit,
   2. účinné od 1. 7. 2007b) předmět výkonu vnitřního auditu,
   3. účinné od 1. 7. 2007c) povahu ujišťovacích a konzultačních činností vykonávaných vnitřními auditory,
   4. účinné od 1. 7. 2007d) proces plánování vnitřního auditu,
   5. účinné od 1. 7. 2007e) způsob sdělování výsledků vnitřního auditu včetně návrhů opatření k nápravě,
   6. účinné od 1. 7. 2007f) způsob vypořádání připomínek ohledně závěrů vnitřního auditu a řešení případných sporů,
   7. účinné od 1. 7. 2007g) způsob ukládání opatření k nápravě na základě zjištění vnitřního auditu.

1. účinné od 1. 7. 2007III. Analýza rizik a plánování vnitřního auditu
   1. účinné od 1. 7. 20071. Plánování činnosti a rozvrhování kapacit vnitřních auditorů je založeno na analýze rizik.
   2. účinné od 1. 7. 20072. Analýza rizik hodnotí míru rizik spojených s jednotlivými činnostmi banky nebo družstevní záložny tak, že zohlední pravděpodobnost selhání řídicího a kontrolního systému v jednotlivých oblastech a míru možné ztráty z tohoto selhání vyplývající. Výstup z provedené analýzy rizik předkládá osoba pověřená výkonem vnitřního auditu představenstvu a dozorčímu orgánu, případně výboru pro audit, pokud je zřízen, k projednání. Odlišné názory představenstva nebo dozorčího orgánu, případně výboru pro audit, pokud je zřízen, na výstup z analýzy rizik jsou zdokumentovány.
   3. účinné od 1. 7. 20073. Na základě analýzy rizik sestavuje osoba pověřená výkonem vnitřního auditu návrh strategického a periodického plánu vnitřního auditu. Při přípravě plánu rovněž vyžaduje a vyhodnocuje podněty dozorčího orgánu, představenstva a vrcholného vedení, zohledňuje požadavky příslušných právních předpisů na prověření vnitřním auditem a přihlíží k dalším významným relevantním informacím a skutečnostem, například k nově zaváděným činnostem banky nebo družstevní záložny a k obsahu zpráv orgánů dohledu. Zároveň bere v úvahu činnost a požadavky vnitřního auditu jiných osob, které jsou členem téhož konsolidačního celku a auditora.
   4. účinné od 1. 7. 20074. Plány činnosti vnitřního auditu jsou před schválením představenstvem předloženy k projednání dozorčímu orgánu, případně výboru pro audit, pokud je zřízen. Důvody případných změn plánů vnitřního auditu jsou zdokumentovány.
   5. účinné od 1. 7. 20075. Strategický plán vnitřního auditu je sestavován na období tří až pěti let. Strategický plán zajišťuje, aby činnost vnitřního auditu byla efektivně rozvržena na příslušné období (tří až pěti let), byla zohledněna strategická rozhodnutí orgánů banky nebo družstevní záložny, rizikovost jednotlivých činností a určena předpokládaná perioda ověřování. Strategický plán je v návaznosti na provedenou analýzu rizik aktualizován.
   6. účinné od 1. 7. 20076. Periodický plán vnitřního auditu je sestavován na období jednoho roku, případně na kratší časový úsek. Periodický plán určuje cíl, předmět a termín plánovaných vnitřních auditů. Periodický plán dále rozvrhuje kapacitu na plánované vnitřní audity, mimořádné vnitřní audity, vzdělávání a ostatní činnosti.

1. účinné od 1. 7. 2007IV. Výkon vnitřního auditu
   1. účinné od 1. 7. 20071. Osoba pověřená výkonem vnitřního auditu zajistí, aby výkon vnitřního auditu byl efektivně koordinován a prováděn ve spolupráci s vnitřními auditory jiných osob, které jsou členem téhož konsolidačního celku. Zároveň při koordinaci činnosti zohlední ověřování zadaná představenstvem nebo dozorčím orgánem a ověření dle požadavku příslušného orgánu dohledu.
   2. účinné od 1. 7. 20072. Pro každou jednotlivou auditní akci je veden auditorský spis. Auditorský spis je veden takovým způsobem, aby byl plně rekonstruovatelný postup při provedeném auditu. Auditorské spisy jsou prověřovány osobou pověřenou výkonem vnitřního auditu, případně jí zmocněným vnitřním auditorem.
   3. účinné od 1. 7. 20073. O provedeném vnitřním auditu je vypracovávána zpráva. Zpráva obsahuje zejména cíl, předmět, rozsah provedeného vnitřního auditu a zjištění spolu s návrhem opatření k nápravě. Zpráva dále obsahuje názor vnitřního auditora na míru rizik obsaženou v auditované činnosti včetně zbytkového (nekrytého) rizika v dané oblasti, a jeho přijatelnost. Zpráva je přístupná představenstvu, dozorčímu orgánu, případně výboru pro audit, pokud je zřízen, a věcně příslušným vedoucím zaměstnancům nebo řídícím osobám.
   4. účinné od 1. 7. 20074. Osoba pověřená výkonem vnitřního auditu zajistí vytvoření a udržování systému sledování opatření k nápravě uložených na základě zjištění vnitřního auditu, včetně sledování, zda jsou tato opatření efektivně zavedena. V případě, že osoba pověřená výkonem vnitřního auditu dojde k závěru, že je stupeň zbytkového rizika v dané oblasti v důsledku nezavedení efektivních opatření k nápravě pro banku nebo družstevní záložnu nepřijatelný, projedná tuto skutečnost s představenstvem. Pokud dle úsudku osoby pověřené výkonem vnitřního auditu není otázka zbytkového rizika v dané oblasti vyřešena, předá tuto informaci dozorčímu orgánu, případně výboru pro audit, pokud je zřízen.

1. účinné od 1. 7. 2007V. Informace vnitřního auditu
   1. účinné od 1. 7. 20071. Osoba pověřená výkonem vnitřního auditu pravidelně informuje o zjištěních vnitřního auditu, o návrzích opatření k nápravě a o odstraňování zjištěných nedostatků představenstvo a dozorčí orgán, případně výbor pro audit, pokud je zřízen.
   2. účinné od 1. 7. 20072. Osoba pověřená výkonem vnitřního auditu předkládá alespoň jednou ročně představenstvu a dozorčímu orgánu, případně výboru pro audit, pokud je zřízen, k projednání souhrnné vyhodnocení funkčnosti a efektivnosti řídicího a kontrolního systému banky nebo družstevní záložny. Toto hodnocení se týká zejména spolehlivosti a integrity finančních a provozních informací, funkčnosti a efektivnosti procesů, ochrany aktiv a dodržování právních a vnitřních předpisů.
   3. účinné od 1. 7. 20073. Osoba pověřená výkonem vnitřního auditu zpracovává pravidelně, alespoň však jednou ročně, zprávu o činnosti vnitřního auditu a předkládá ji představenstvu a dozorčímu orgánu, případně výboru pro audit, pokud je zřízen, k projednání.
   4. účinné od 1. 7. 20074. Osoba pověřená výkonem vnitřního auditu informuje představenstvo a dozorčí orgán, případně výbor pro audit, pokud je zřízen, o možných dopadech v důsledku případných omezených zdrojů vnitřního auditu.

1. účinné od 1. 7. 2007VI. Zabezpečení a zvyšování kvality vnitřního auditu

   účinné od 1. 7. 2007Osoba pověřená výkonem vnitřního auditu vypracuje a pravidelně aktualizuje program pro zabezpečení a zvyšování kvality vnitřního auditu, který zahrne všechny aspekty vnitřního auditu a průběžně sleduje efektivnost tohoto programu.

1. účinné od 1. 7. 2007VII. Vnitřní audit a auditor
   1. účinné od 1. 7. 20071. Osoba pověřená výkonem vnitřního auditu konzultuje s auditorem otázky řídicího a kontrolního systému banky nebo družstevní záložny.
   2. účinné od 1. 7. 20072. Vnitřní audit pravidelně hodnotí kvalitu činnosti auditora, zejména
      1. účinné od 1. 7. 2007a) zda rozsah prací auditora odpovídá uzavřené smlouvě,
      2. účinné od 1. 7. 2007b) zda provedená práce auditora je přiměřená ve vztahu k závěrům přijatým auditorem,
      3. účinné od 1. 7. 2007c) zda není narušena nezávislost auditora,
      4. účinné od 1. 7. 2007d) zda činnost auditora přinesla bance nebo družstevní záložně přidanou hodnotu.

Příloha č. 3

účinné od 1. 7. 2007Podrobnější vymezení požadavků na zprávu o ověření řídicího a kontrolního systému auditorem

1. účinné od 1. 7. 2007I. Struktura zprávy
   1. účinné od 1. 7. 20071.

      účinné od 1. 7. 2007Stručný popis ověřovaných oblastí.účinné od 1. 7. 2007Kapitola 1

      účinné od 1. 7. 2007Tato kapitola bude obsahovat:

      1. účinné od 1. 7. 2007a) organizační schéma s detailnějším popisem organizačního uspořádání v dané součásti řídicího a kontrolního systému,
      2. účinné od 1. 7. 2007b) stručné vymezení odpovědností a pravomocí relevantních orgánů banky nebo družstevní záložny, útvarů, zaměstnanců a výborů, pokud jsou zřízeny,
      3. účinné od 1. 7. 2007c) popis schvalovacích a rozhodovacích procesů v rámci jednotlivých ověřovaných oblastí,
      4. účinné od 1. 7. 2007d) popis metod a postupů používaných v jednotlivých oblastech, například metody používané pro řízení rizik,
      5. účinné od 1. 7. 2007e) struktura limitů v dané oblasti, pokud je to pro zadanou oblast relevantní,
      6. účinné od 1. 7. 2007f) popis struktury používaných informačních systémů.