Vyhláška o pravidlech obezřetného podnikání bank, spořitelních a úvěrních družstev a obchodníků s cennými papíry

Příloha č. 2

Podrobnější vymezení požadavků na vnitřní audit

1. I. Obecné požadavky
   1. 1. Pro výkon vnitřního auditu banka nebo družstevní záložna má nebo získá takové kapacity, které jsou nezbytné pro plnění stanovených požadavků.
   2. 2. Osoba vykonávající v bance nebo družstevní záložně nebo pro banku nebo družstevní záložnu vnitřní audit (dále jen „vnitřní auditor“) při plnění svých úkolů vykonává nezávislou, objektivní, ujišťovací a konzultační činnost, která
      1. a) se zaměřuje na přidávání hodnoty a zdokonalování vnitřních procesů,
      2. b) přináší systematický metodický přístup k hodnocení a zlepšování efektivnosti řízení rizik, kontrolních procesů a procesů správy a řízení společnosti.
   1. 3. Vnitřní auditoři poskytují své výstupy orgánům banky nebo družstevní záložny, příslušným zaměstnancům a výborům, pokud jsou zřízeny, včas a tyto výstupy jsou aktuální, spolehlivé a ucelené.
   2. 4. Při provádění své činnosti mají vnitřní auditoři zajištěn přístup ke všem relevantním dokumentům banky nebo družstevní záložny.
   3. 5. Osoba pověřená výkonem vnitřního auditu (§ 13) má možnost zúčastnit se zasedání všech poradních a rozhodovacích orgánů a výborů banky nebo družstevní záložny. V případech hodných zvláštního zřetele může být toto právo jednotlivě omezeno odůvodněným rozhodnutím představenstva banky nebo družstevní záložny.
   4. 6. Osoba pověřená výkonem vnitřního auditu je podřízena takovému organizačnímu stupni v bance nebo družstevní záložně, který umožní plnění funkcí vnitřního auditu.
   5. 7. Pokud se ve výjimečných případech podílí na poskytování ujištění o činnosti fyzická osoba, která tuto činnost vykonávala nebo na jejímž zavádění se podílela před méně než 12 měsíci, je tato skutečnost uvedena ve zprávě o provedeném vnitřním auditu a zároveň je zajištěna maximální objektivita této zprávy.
   6. 8. Při výkonu konzultační činnosti je zajištěno, aby nebyla omezena schopnost vnitřního auditora podávat nezávislé a objektivní ujištění o funkčnosti a efektivnosti řídicího a kontrolního systému; při výkonu konzultační činnosti vnitřní auditoři poskytují poradenství v otázkách řídicího a kontrolního systému a v otázkách zavádění řídicích a kontrolních mechanismů.

1. II. Statut vnitřního auditu

   Banka nebo družstevní záložna vymezí statut vnitřního auditu, kterým upraví zejména

   1. a) postavení, odpovědnosti a pravomoci útvaru či osoby (právnické nebo fyzické) vykonávající v bance nebo družstevní záložně nebo pro banku nebo družstevní záložnu vnitřní audit,
   2. b) předmět výkonu vnitřního auditu,
   3. c) povahu ujišťovacích a konzultačních činností vykonávaných vnitřními auditory,
   4. d) proces plánování vnitřního auditu,
   5. e) způsob sdělování výsledků vnitřního auditu včetně návrhů opatření k nápravě,
   6. f) způsob vypořádání připomínek ohledně závěrů vnitřního auditu a řešení případných sporů,
   7. g) způsob ukládání opatření k nápravě na základě zjištění vnitřního auditu.

1. III. Analýza rizik a plánování vnitřního auditu
   1. 1. Plánování činnosti a rozvrhování kapacit vnitřních auditorů je založeno na analýze rizik.
   2. 2. Analýza rizik hodnotí míru rizik spojených s jednotlivými činnostmi banky nebo družstevní záložny tak, že zohlední pravděpodobnost selhání řídicího a kontrolního systému v jednotlivých oblastech a míru možné ztráty z tohoto selhání vyplývající. Výstup z provedené analýzy rizik předkládá osoba pověřená výkonem vnitřního auditu představenstvu a dozorčímu orgánu, případně výboru pro audit, pokud je zřízen, k projednání. Odlišné názory představenstva nebo dozorčího orgánu, případně výboru pro audit, pokud je zřízen, na výstup z analýzy rizik jsou zdokumentovány.
   3. 3. Na základě analýzy rizik sestavuje osoba pověřená výkonem vnitřního auditu návrh strategického a periodického plánu vnitřního auditu. Při přípravě plánu rovněž vyžaduje a vyhodnocuje podněty dozorčího orgánu, představenstva a vrcholného vedení, zohledňuje požadavky příslušných právních předpisů na prověření vnitřním auditem a přihlíží k dalším významným relevantním informacím a skutečnostem, například k nově zaváděným činnostem banky nebo družstevní záložny a k obsahu zpráv orgánů dohledu. Zároveň bere v úvahu činnost a požadavky vnitřního auditu jiných osob, které jsou členem téhož konsolidačního celku a auditora.
   4. 4. Plány činnosti vnitřního auditu jsou před schválením představenstvem předloženy k projednání dozorčímu orgánu, případně výboru pro audit, pokud je zřízen. Důvody případných změn plánů vnitřního auditu jsou zdokumentovány.
   5. 5. Strategický plán vnitřního auditu je sestavován na období tří až pěti let. Strategický plán zajišťuje, aby činnost vnitřního auditu byla efektivně rozvržena na příslušné období (tří až pěti let), byla zohledněna strategická rozhodnutí orgánů banky nebo družstevní záložny, rizikovost jednotlivých činností a určena předpokládaná perioda ověřování. Strategický plán je v návaznosti na provedenou analýzu rizik aktualizován.
   6. 6. Periodický plán vnitřního auditu je sestavován na období jednoho roku, případně na kratší časový úsek. Periodický plán určuje cíl, předmět a termín plánovaných vnitřních auditů. Periodický plán dále rozvrhuje kapacitu na plánované vnitřní audity, mimořádné vnitřní audity, vzdělávání a ostatní činnosti.

1. IV. Výkon vnitřního auditu
   1. 1. Osoba pověřená výkonem vnitřního auditu zajistí, aby výkon vnitřního auditu byl efektivně koordinován a prováděn ve spolupráci s vnitřními auditory jiných osob, které jsou členem téhož konsolidačního celku. Zároveň při koordinaci činnosti zohlední ověřování zadaná představenstvem nebo dozorčím orgánem a ověření dle požadavku příslušného orgánu dohledu.
   2. 2. Pro každou jednotlivou auditní akci je veden auditorský spis. Auditorský spis je veden takovým způsobem, aby byl plně rekonstruovatelný postup při provedeném auditu. Auditorské spisy jsou prověřovány osobou pověřenou výkonem vnitřního auditu, případně jí zmocněným vnitřním auditorem.
   3. 3. O provedeném vnitřním auditu je vypracovávána zpráva. Zpráva obsahuje zejména cíl, předmět, rozsah provedeného vnitřního auditu a zjištění spolu s návrhem opatření k nápravě. Zpráva dále obsahuje názor vnitřního auditora na míru rizik obsaženou v auditované činnosti včetně zbytkového (nekrytého) rizika v dané oblasti, a jeho přijatelnost. Zpráva je přístupná představenstvu, dozorčímu orgánu, případně výboru pro audit, pokud je zřízen, a věcně příslušným vedoucím zaměstnancům nebo řídícím osobám.
   4. 4. Osoba pověřená výkonem vnitřního auditu zajistí vytvoření a udržování systému sledování opatření k nápravě uložených na základě zjištění vnitřního auditu, včetně sledování, zda jsou tato opatření efektivně zavedena. V případě, že osoba pověřená výkonem vnitřního auditu dojde k závěru, že je stupeň zbytkového rizika v dané oblasti v důsledku nezavedení efektivních opatření k nápravě pro banku nebo družstevní záložnu nepřijatelný, projedná tuto skutečnost s představenstvem. Pokud dle úsudku osoby pověřené výkonem vnitřního auditu není otázka zbytkového rizika v dané oblasti vyřešena, předá tuto informaci dozorčímu orgánu, případně výboru pro audit, pokud je zřízen.

1. V. Informace vnitřního auditu
   1. 1. Osoba pověřená výkonem vnitřního auditu pravidelně informuje o zjištěních vnitřního auditu, o návrzích opatření k nápravě a o odstraňování zjištěných nedostatků představenstvo a dozorčí orgán, případně výbor pro audit, pokud je zřízen.
   2. 2. Osoba pověřená výkonem vnitřního auditu předkládá alespoň jednou ročně představenstvu a dozorčímu orgánu, případně výboru pro audit, pokud je zřízen, k projednání souhrnné vyhodnocení funkčnosti a efektivnosti řídicího a kontrolního systému banky nebo družstevní záložny. Toto hodnocení se týká zejména spolehlivosti a integrity finančních a provozních informací, funkčnosti a efektivnosti procesů, ochrany aktiv a dodržování právních a vnitřních předpisů.
   3. 3. Osoba pověřená výkonem vnitřního auditu zpracovává pravidelně, alespoň však jednou ročně, zprávu o činnosti vnitřního auditu a předkládá ji představenstvu a dozorčímu orgánu, případně výboru pro audit, pokud je zřízen, k projednání.
   4. 4. Osoba pověřená výkonem vnitřního auditu informuje představenstvo a dozorčí orgán, případně výbor pro audit, pokud je zřízen, o možných dopadech v důsledku případných omezených zdrojů vnitřního auditu.

1. VI. Zabezpečení a zvyšování kvality vnitřního auditu

   Osoba pověřená výkonem vnitřního auditu vypracuje a pravidelně aktualizuje program pro zabezpečení a zvyšování kvality vnitřního auditu, který zahrne všechny aspekty vnitřního auditu a průběžně sleduje efektivnost tohoto programu.

1. VII. Vnitřní audit a auditor
   1. 1. Osoba pověřená výkonem vnitřního auditu konzultuje s auditorem otázky řídicího a kontrolního systému banky nebo družstevní záložny.
   2. 2. Vnitřní audit pravidelně hodnotí kvalitu činnosti auditora, zejména
      1. a) zda rozsah prací auditora odpovídá uzavřené smlouvě,
      2. b) zda provedená práce auditora je přiměřená ve vztahu k závěrům přijatým auditorem,
      3. c) zda není narušena nezávislost auditora,
      4. d) zda činnost auditora přinesla bance nebo družstevní záložně přidanou hodnotu.

Příloha č. 3

Podrobnější vymezení požadavků na zprávu o ověření řídicího a kontrolního systému auditorem

1. I. Struktura zprávy
   1. 1.

      Stručný popis ověřovaných oblastí.Kapitola 1

      Tato kapitola bude obsahovat:

      1. a) organizační schéma s detailnějším popisem organizačního uspořádání v dané součásti řídicího a kontrolního systému,
      2. b) stručné vymezení odpovědností a pravomocí relevantních orgánů banky nebo družstevní záložny, útvarů, zaměstnanců a výborů, pokud jsou zřízeny,
      3. c) popis schvalovacích a rozhodovacích procesů v rámci jednotlivých ověřovaných oblastí,
      4. d) popis metod a postupů používaných v jednotlivých oblastech, například metody používané pro řízení rizik,
      5. e) struktura limitů v dané oblasti, pokud je to pro zadanou oblast relevantní,
      6. f) popis struktury používaných informačních systémů.