Normele nr. 17/2003

Consiliul de administrație al instituțiilor de credit este responsabil pentru stabilirea și menținerea unui sistem de control intern adecvat și eficient.

În contextul prevederilor alin. (1), consiliul de administrație al instituțiilor de credit are cel puțin următoarele atribuții:

a) să aprobe și să revizuiască periodic, cel puțin anual, strategiile generale și politicile privitoare la activitatea instituției de credit;

b) să stabilească niveluri acceptabile pentru riscurile semnificative și să asigure luarea măsurilor necesare de către conducători pentru identificarea, evaluarea, monitorizarea și controlul riscurilor respective;

c) să supravegheze conducătorii în legătură cu modul în care aceștia monitorizează funcționarea adecvată și eficientă a sistemului de control intern;

d) să aprobe structura organizatorică.

Pentru îndeplinirea atribuțiilor ce îi revin, consiliul de administrație trebuie să întreprindă cel puțin următoarele măsuri:

a) discuții periodice (de regulă trimestrial) cu conducerea operativă privind eficiența sistemului de control intern;

b) analiza periodică (de regulă trimestrial) a evaluărilor sistemului de control intern efectuate de conducerea operativă, de auditul intern și, după caz, de auditorul financiar al instituțiilor de credit și de Banca Națională a României;

c) asigurarea implementării de către conducerea operativă a recomandărilor formulate de auditul intern, de auditorul financiar și de Banca Națională a României cu privire la deficiențele sistemului de control intern și examinarea efectului măsurilor implementate.

Conducătorii instituțiilor de credit au responsabilități pe linia monitorizării funcționării adecvate și eficiente a sistemului de control intern.

În contextul prevederilor alin. (1), conducătorii instituțiilor de credit au cel puțin următoarele atribuții:

a) să implementeze strategiile generale și politicile privitoare la activitatea instituțiilor de credit, aprobate de consiliul de administrație;

b) să coordoneze procesul de elaborare a procedurilor de identificare, evaluare, monitorizare și control pentru riscurile semnificative și să ia măsurile necesare pentru identificarea, evaluarea, monitorizarea și controlul acestor riscuri;

c) să se asigure că responsabilitățile delegate conducerii operative, cu privire la stabilirea politicilor și procedurilor de control intern, sunt îndeplinite în mod corespunzător;

d) să mențină o structură organizatorică adecvată;

e) să stabilească fluxul informațional necesar;

f) să se asigure că toate activitățile instituțiilor de credit sunt realizate de personal calificat, având experiență și cunoștințe necesare;

g) să asigure instruirea corespunzătoare a personalului propriu.

Consiliul de administrație și conducătorii unei case centrale a cooperativelor de credit sunt responsabili pentru îndeplinirea obiectivelor controlului intern la nivelul rețelei cooperatiste de credit, inclusiv în condițiile art. 8.

Consiliul de administrație al unei case centrale a cooperativelor de credit va îndeplini atribuțiile prevăzute la art. 5 alin. (2) lit. a)-c) și la nivelul rețelei cooperatiste de credit.

Conducătorii unei case centrale a cooperativelor de credit vor îndeplini atribuțiile prevăzute la art. 7 alin. (2) lit. a) și b) și la nivelul rețelei cooperatiste de credit.

Consiliul de administrație și conducătorii instituțiilor de credit sunt responsabili pentru promovarea unor standarde de etică și integritate pentru personalul instituțiilor de credit în ceea ce privește controlul intern, care să evidențieze și să asigure conștientizarea importanței acestuia la toate nivelurile organizatorice.

Consiliul de administrație și conducătorii unei case centrale a cooperativelor de credit sunt responsabili pentru promovarea unor standarde de etică și integritate pentru personalul rețelei cooperatiste de credit în ceea ce privește controlul intern, care să evidențieze și să asigure conștientizarea importanței acestuia.

Pentru a avea un sistem de control intern eficient instituțiile de credit trebuie să identifice și să evalueze permanent riscurile semnificative care pot periclita atingerea obiectivelor controlului intern.

Identificarea și evaluarea riscurilor semnificative trebuie să se facă atât la nivel de ansamblu al unei instituții de credit, cât și la toate nivelurile organizatorice ale acesteia, trebuie să acopere toate activitățile și să țină cont de apariția unor noi activități.

Identificarea și evaluarea riscurilor semnificative trebuie să se realizeze cu luarea în considerare a factorilor interni (de exemplu: complexitatea structurii organizatorice, natura activităților desfășurate, calitatea personalului și fluctuația acestuia) și a factorilor externi (de exemplu: condiții economice, schimbări legislative sau legate de mediul concurențial în sectorul bancar, progrese tehnologice).

Procesul de evaluare a riscurilor trebuie să includă identificarea atât a riscurilor care sunt controlabile de către instituțiile de credit, cât și a celor necontrolabile. În cazul riscurilor controlabile, instituțiile de credit trebuie să stabilească dacă își asumă integral aceste riscuri sau măsura în care doresc să le reducă prin proceduri de control. În cazul riscurilor necontrolabile, instituțiile de credit trebuie să decidă dacă le acceptă sau dacă elimină ori reduc nivelul activităților afectate de riscurile respective.

Evaluarea riscurilor semnificative trebuie efectuată și în condițiile unor scenarii alternative, inclusiv în condiții de criză.

Activitățile de control trebuie să se constituie ca parte integrantă a activităților zilnice ale instituțiilor de credit.

Activitățile de control trebuie să aibă în vedere riscurile identificate de instituțiile de credit în cadrul procesului de identificare și evaluare a riscurilor.

Instituțiile de credit trebuie să asigure existența datelor financiare, operaționale și de conformitate, adecvate și complete, pentru desfășurarea activității lor.

Instituțiile de credit trebuie să dispună de informații despre piață referitoare la evenimente și condiții care sunt relevante pentru luarea deciziilor.

Informațiile trebuie să fie credibile, relevante, complete, oportune, accesibile și furnizate într-un format consecvent.

În cadrul sistemului informațional instituțiile de credit trebuie să dispună de sisteme informatice. Arhitectura acestor sisteme trebuie să asigure un grad adecvat de securitate a informației. Monitorizarea sistemelor informatice va fi asigurată de o structură de personal independentă de cea care le utilizează.

Instituțiile de credit trebuie să dispună de prevederi referitoare la organizarea și controlul intern al procesării informațiilor în formă electronică, astfel încât să fie posibilă obținerea de probe de audit.

În vederea evitării apariției disfuncționalităților în cadrul activității și a eventualelor pierderi generate de acestea, instituțiile de credit trebuie să controleze eficient riscurile implicate de utilizarea sistemelor informatice. În acest scop, se vor efectua atât controale generale la nivelul întregului sistem informatic, cât și controale la nivelul fiecărei aplicații informatice din componența acestuia.

Controalele generale se efectuează asupra infrastructurii hardware și de comunicații a sistemelor informatice (sisteme mainframe, sisteme client/server, routere, echipamente de rețea, stații de lucru ale utilizatorilor finali), precum și asupra sistemelor de operare care asigură funcționarea acestora. Controalele au drept scop verificarea funcționării continue și corespunzătoare a acestora.

Controalele generale includ și verificarea existenței și aplicării unei strategii de informatizare, a procedurilor interne de salvare și restaurare a datelor, a politicilor de efectuare a achizițiilor, a procedurilor de dezvoltare a aplicațiilor informatice, a procedurilor de administrare și întreținere, precum și a politicilor de securitate vizând accesul fizic și logic la resursele sistemului informatic.

Controalele efectuate la nivelul aplicațiilor informatice reprezintă proceduri de validare și control incluse în codul aplicațiilor informatice utilizate, precum și proceduri manuale de verificare a modului de procesare a tranzacțiilor și efectuării operațiunilor.

În vederea evitării pierderilor generate de întreruperea activității datorită unor factori externi ce nu pot fi controlați de către instituțiile de credit, acestea, trebuie să elaboreze planuri alternative (de rezervă), care să le permită reluarea activității în cazul apariției unor situații neprevăzute. Replicarea sistemelor critice trebuie asigurată fie prin existența unor sisteme de rezervă situate într-o altă locație aparținând instituției de credit (centru de back-up), fie prin intermediul unui furnizor extern de servicii.

Funcționarea planurilor alternative trebuie testată periodic prin simularea operațiunilor pe sistemele de rezervă, în scopul verificării disponibilității acestora.

4.2. - Comunicare

Instituțiile de credit trebuie să monitorizeze permanent eficacitatea sistemului de control intern, cu luarea în considerare a modificărilor intervenite în condițiile interne și externe de desfășurare a activității.

Instituțiile de credit trebuie să asigure un rol important auditului intern în procesul de monitorizare a sistemului de control intern.

Monitorizarea eficacității sistemului de control intern va fi efectuată atât de personalul responsabil pentru fiecare compartiment și sediu secundar al instituției de credit, cât și de auditul intern.

Monitorizarea eficacității sistemului de control intern trebuie să facă parte din activitățile zilnice ale instituțiilor de credit și trebuie să includă și evaluări separate ale sistemului de control intern în general.

Evaluările separate, periodice, ale sistemului de control intern vor fi efectuate atât de personalul responsabil pentru fiecare compartiment și sediu secundar (autoevaluare), cât și de auditul intern.

Frecvența cu care trebuie monitorizate diferitele activități ale instituțiilor de credit depinde de riscurile implicate de activitățile respective, precum și de natura și frecvența schimbărilor din activitatea respectivă.

Deficiențele identificate în legătură cu sistemul de control intern trebuie să fie raportate imediat nivelului de conducere competent care trebuie să ia măsuri pentru remedierea cu promptitudine a acestora.

Deficiențele majore ale sistemului de control intern trebuie să fie raportate conducătorilor instituțiilor de credit și consiliului de administrație al acestora.

Conducătorii instituțiilor de credit au responsabilitatea de a stabili un sistem de detectare a deficiențelor sistemului de control intern și de a întreprinde măsuri pentru soluționarea respectivelor deficiențe.

Instituțiile de credit trebuie să opteze pentru un profil de risc, stabilind obiectivul și strategia pentru fiecare risc semnificativ, inclusiv în ceea ce privește activitățile externalizate.

Instituțiile de credit vor stabili tipurile de riscuri pe care sunt pregătite să le asume, precum și pragul de la care un risc este considerat semnificativ. La stabilirea acestora se vor avea în vedere natura, dimensiunea și complexitatea activității.

Strategia instituțiilor de credit privind administrarea riscurilor semnificative trebuie să determine raportul dintre risc și profit pe care instituția de credit îl consideră acceptabil în condițiile asigurării continuității activității acesteia pe baze sănătoase și prudente.

Politicile privind administrarea riscurilor semnificative, corespunzătoare naturii, dimensiunii și complexității activităților instituțiilor de credit, trebuie să fie transpuse în mod clar și transparent în norme interne, proceduri, inclusiv în manuale și coduri de conduită, făcându-se distincție între standardele generale aplicabile întregului personal și regulile specifice aplicabile anumitor categorii de personal.

Pentru activitatea de tipul "electronic banking", inclusiv cea de emisiune și administrare de monedă electronică, instituțiile de credit trebuie să dezvolte politici și proceduri care să asigure integritatea, autenticitatea și confidențialitatea datelor, precum și securitatea proceselor de operare.

Politicile de administrare a riscurilor semnificative trebuie să asigure, după caz, stabilirea cel puțin a:

a) unui sistem de proceduri de autorizare a operațiunilor afectate de riscurile respective;

b) unui sistem de stabilire a limitelor expunerii la risc și de monitorizare a acestora, care să reflecte profilul de risc ales și care să fie în conformitate cu legislația și cu reglementările în vigoare; limitele stabilite la nivelul activităților și/sau compartimentelor/sediilor secundare trebuie corelate cu cele stabilite la nivel de ansamblu al instituțiilor de credit;

c) unui sistem de raportare a expunerilor la riscuri, precum și altor aspecte legate de riscuri către nivelurile de conducere corespunzătoare;

d) unui sistem de proceduri pentru situații neprevăzute;

e) unor criterii de recrutare și remunerare a personalului, care să stabilească standarde ridicate pentru pregătirea, experiența și integritatea acestuia;

f) unui program de instruire a personalului;

Politicile de securitate ale instituțiilor de credit aferente activității de tipul "electronic banking", inclusiv a celei de emisiune și administrare de monedă electronică, trebuie să cuprindă cel puțin: definirea responsabilităților pentru dezvoltarea și implementarea unor proceduri de securitate a informațiilor, stabilirea unor proceduri pentru evaluarea conformității cu politica, punerea în aplicare a unor măsuri de remediere și raportarea situațiilor de nerespectare a măsurilor de securitate.

Procedurile de securitate ale instituțiilor de credit, aferente activității de tipul "electronic banking", inclusiv a celei de emisiune și administrare de monedă electronică, trebuie să cuprindă o combinare de elemente de hardware și soft-ware, cum ar fi: codificare, parole, firewalls, controale ale virușilor și monitorizarea angajaților.

Pentru activitățile cu instrumente financiare derivate, băncile trebuie să stabilească politici și proceduri de evaluare a pozițiilor și să verifice respectarea acestora, a frecvenței de evaluare, precum și a independenței și calității surselor de stabilire a prețurilor de evaluare, în special pentru instrumentele emise și tranzacționate pe piețe cu lichiditate scăzută.

Prevederile alin. (4) se vor aplica în mod corespunzător și în cazul pozițiilor pe care băncile le dețin în valori mobiliare necotate pe piețe organizate.

Înainte de angajarea în activități cu instrumente financiare derivate, conducătorii băncilor trebuie să se asigure că sunt obținute toate aprobările prevăzute de cadrul legal și de reglementare și că există proceduri de administrare și sisteme de control al riscurilor adecvate.

Decizia privind angajarea băncilor în activități cu instrumente financiare derivate va fi de competența consiliului de administrație și se va baza cel puțin pe următoarele:

a) descrierea instrumentelor financiare derivate relevante, precum și a piețelor și strategiilor propuse;

b) resursele necesare pentru stabilirea de sisteme eficiente de administrare a riscurilor, precum și pentru atragerea de personal cu experiență în tranzacționarea instrumentelor financiare derivate;

c) analiza activităților propuse în funcție de situația financiară generală a băncii și de fondurile proprii ale acesteia;

d) analiza riscurilor cu care băncile se pot confrunta ca urmare a desfășurării activităților respective;

e) procedurile pe care băncile le vor utiliza pentru a evalua, monitoriza și controla riscurile;

f) tratamentul contabil relevant;

g) tratamentul fiscal relevant;

h) analiza oricărei restricții legale privind desfășurarea respectivelor activități.

Instituțiile de credit trebuie să efectueze sistematic o evaluare a riscurilor semnificative.

Evaluarea riscurilor trebuie să țină cont și de:

a) implicațiile corelării fiecărui risc semnificativ cu celelalte riscuri semnificative la care se expune instituția de credit;

b) previzionările profitului și fondurilor proprii pe baza diferitelor scenarii în condiții de criză, inclusiv o cuantificare a pierderilor maxime în condiții extreme.

Scenariile în condiții de criză trebuie să aibă în vedere identificarea evenimentelor posibile sau a modificărilor viitoare ale condițiilor economice care ar putea avea efecte nefavorabile asupra expunerilor instituției de credit la riscurile semnificative, precum și evaluarea capacității instituției de credit de a face față acestora.

Politicile și procedurile instituțiilor de credit privind riscul de credit trebuie să se refere la toate activitățile acestora și trebuie să aibă în vedere atât creditele la nivel individual, cât și întregul portofoliu.

Politicile și procedurile vor trebui stabilite și implementate de către instituțiile de credit astfel încât să se asigure următoarele:

a) menținerea unor standarde sănătoase de creditare;

b) monitorizarea și controlul riscului de credit;

c) evaluarea corespunzătoare a noilor oportunități de afaceri;

d) identificarea și administrarea creditelor neperformante.

Politicile instituțiilor de credit vor stabili cadrul de desfășurare a activității de creditare și se vor referi inclusiv la următoarele:

a) contrapartidele eligibile și condițiile ce trebuie îndeplinite de către acestea pentru a putea intră în relație de afaceri cu instituția de credit;

b) garanțiile acceptabile de către instituția de credit.

În vederea prevenirii intrării în relații de afaceri cu persoane implicate în activități frauduloase și alte activități de natură infracțională, instituțiile de credit trebuie să aibă în funcțiune politici stricte care să includă cel puțin:

a) solicitarea de referințe și informații de la persoane autorizate;

b) consultarea informațiilor puse la dispoziție instituțiilor de credit de structuri, constituite sub forma Centralei Riscurilor Bancare sau sub forma unor entități cu activitate similară, organizate în condițiile legii, având drept scop colectarea și furnizarea de informații privind situația contrapartidei în calitatea sa de beneficiar de credite ori alte informații de natură financiară;

c) cunoașterea structurii participanților la capitalul societății, precum și a persoanelor responsabile de administrarea acesteia, în cazul clienților persoane juridice, verificarea referințelor și a situației financiare personale a administratorilor și asociaților.

La evaluarea riscului de credit instituțiile de credit trebuie să ia în considerare cel puțin:

a) performanța financiară curentă și previzionată a contrapartidelor;

b) concentrarea expunerilor față de contrapartide, piețele în care acestea operează, sectoarele economice și țările unde sunt stabilite;

c) capacitatea de punere în aplicare, din punct de vedere legal, a angajamentelor contractuale;

d) capacitatea și posibilitatea de a executa garanțiile, în condițiile pieței;

e) angajamentele contractuale cu persoanele aflate în relații speciale cu instituțiile de credit, personalul propriu, precum și familia acestuia.

În ceea ce privește cadrul contractual, instituțiile de credit trebuie să aibă în vedere cel puțin următoarele:

a) natura specifică a creditului;

b) clauzele contractuale aferente creditului;

c) profilul expunerii până la scadență prin prisma evoluțiilor potențiale ale pieței;

d) existența garanțiilor reale sau personale;

e) probabilitatea nerespectării obligațiilor contractuale, stabilită pe baza unui sistem intern de rating.

Instituțiile de credit trebuie să desfășoare activitatea de creditare în baza unor criterii sănătoase și bine definite de acordare a creditelor.

În activitatea de creditare, instituțiile de credit trebuie să aibă în vedere cel puțin următoarele:

a) destinația creditului și sursa de rambursare a acestuia;

b) profilul de risc curent al contrapartidei și garanțiile prezentate, precum și senzitivitatea garanțiilor la evoluțiile economice și cele ale pieței;

c) istoricul serviciului datoriei aferent contrapartidei și capacitatea curentă și viitoare de rambursare a acesteia, bazată de evoluțiile financiare istorice și proiecțiile viitoarelor fluxuri de numerar;

d) experiența în activitate a contrapartidei și sectorul economic în care aceasta își desfășoară activitatea, precum și poziția sa în cadrul acestui sector, în cazul creditelor comerciale;

e) termenii și condițiile propuse în contractul de creditare, inclusiv clauzele destinate să limiteze modificările în profilul de risc viitor al contrapartidei;

f) capacitatea instituțiilor de credit de executare și valorificare a garanțiilor, dacă este cazul, într-un termen cât mai scurt.

Creditele care depășesc un anumit procent din fondurile proprii ale instituțiilor de credit și/sau care presupun un risc de credit ridicat ori cele care nu se înscriu în politica în domeniul creditării trebuie să fie aprobate la nivelul consiliului de administrație.

La aprobarea pentru prima dată a contrapartidelor, instituțiile de credit trebuie să ia în considerare integritatea și reputația acestora, precum și capacitatea lor juridică de a-și asuma obligații.

Instituțiile de credit trebuie să se asigure că informațiile pe care le primesc sunt suficiente pentru luarea unei decizii de creditare corecte.

Instituțiile de credit trebuie să dispună de proceduri pentru aprobarea noilor credite, precum și pentru restructurarea celor existente (de exemplu: reeșalonare, refinanțare).

Refinanțarea creditelor nu va conduce la încadrarea acestora într-o categorie de clasificare superioară.

Instituțiile de credit vor clasifica creditele reeșalonate în condiții mai stricte decât cele asociate situației inițiale a respectivelor credite.

Procedurile prevăzute la alin. (1) trebuie să stabilească competențele și responsabilitățile în legătură cu deciziile prezentate la alineatul respectiv.

Instituțiile de credit trebuie să dispună de proceduri pentru evaluarea continuă a garanțiilor reale.

În legătură cu garanțiile personale, instituțiile de credit trebuie să evalueze capacitatea garanților de a-și asuma obligații.

Instituțiile de credit trebuie să stabilească limite privind expunerile la riscul de credit și să monitorizeze respectarea acestora.

Limitele de expunere trebuie stabilite în legătură cu orice activitate a instituției de credit care implică risc de credit.

Limitele trebuie stabilite la nivel de ansamblu al instituției de credit, iar limitele stabilite la nivelul compartimentelor și sediilor secundare ale instituției de credit trebuie să fie corelate cu acestea.

Instituțiile de credit trebuie să stabilească limite și pentru diverse sectoare economice, regiuni geografice și produse bancare specifice.

Instituțiile de credit trebuie să dispună de sisteme de informare în baza cărora aspectele legate de riscul de credit să fie raportate la timp, cu accent pe înregistrarea de credite neperformante și/sau identificarea neconformării cu limitele de expunere stabilite.

Sistemele de informare trebuie să permită evaluarea de către instituția de credit a riscului de credit aferent elementelor din bilanț și din afara bilanțului.

Sistemele de informare trebuie să furnizeze informații adecvate privind componența portofoliului de credite, precum și informații care să permită identificarea oricăror concentrări de risc.

Instituțiile de credit trebuie să dispună de politici și de proceduri corespunzătoare pentru identificarea, evaluarea, monitorizarea și controlul riscului de țară și riscului de transfer.

La monitorizarea riscului de țară, instituțiile de credit trebuie să aibă în vedere cel puțin următoarele:

a) incapacitatea potențială de onorare a obligațiilor de către contrapartidele din cadrul unui sector privat străin, ce poate fi cauzată de factori economici specifici țării respective;

b) imposibilitatea de punere în aplicare a contractelor de creditare, precum și incapacitatea și imposibilitatea de a executa la timp garanțiile în baza cadrului legal național al împrumutatului.

Instituțiile de credit trebuie să stabilească și să monitorizeze expunerile pe fiecare țară și să ia măsuri corespunzătoare în cazul înregistrării unor evoluții necorespunzătoare.

Politicile instituțiilor de credit privind administrarea riscului de piață trebuie să se refere cel puțin la riscurile pe care acestea intenționează să și le asume, precum și la modul în care respectivele riscuri sunt controlate.

Politicile prevăzute la alin. (1) trebuie să definească instrumentele financiare autorizate a fi utilizate, strategiile de acoperire împotriva riscurilor, oportunitățile legate de asumarea de poziții, precum și parametrii cantitativi care definesc nivelul riscului de piață acceptabil pentru instituțiile de credit.

Instituțiile de credit trebuie să dispună de proceduri de autorizare pentru pozițiile asumate.

Instituțiile de credit trebuie să stabilească limite în legătură cu expunerile la riscurile asumate și să monitorizeze respectarea acestora. Limitele trebuie să specifice pozițiile permise a fi asumate.

Instituțiile de credit pot stabili limite la nivelul unităților funcționale, portofoliilor, tipurilor de instrumente financiare sau instrumente financiare specifice.

Instituțiile de credit trebuie să stabilească dacă limitele nu pot fi în nici o situație depășite sau dacă, în condiții clar specificate, depășirea acestora poate fi tolerată pentru o perioadă scurtă.

Instituțiile de credit vor dispune de proceduri de administrare a riscurilor de piață pentru toate activitățile care implică astfel de riscuri, cum ar fi:

a) proceduri pentru desfășurarea activităților care, prin specificul lor, afectează dimensiunile riscului de piață la care instituțiile de credit sunt expuse, inclusiv proceduri pentru asumarea de poziții;

b) proceduri pentru utilizarea instrumentelor financiare.

În legătură cu pozițiile din portofoliul pentru tranzacții, instituțiile de credit trebuie să dispună de proceduri care implică cel puțin următoarele:

a) evaluarea respectivelor poziții la valoarea de piață, precum și calcularea expunerilor cel puțin zilnic;

b) identificarea imediată a depășirilor de limite, precum și raportarea și evaluarea acestora cel puțin zilnic;

c) monitorizarea continuă a lichidității portofoliului pentru tranzacții;

d) evaluarea și monitorizarea permanentă a pozițiilor deschise, cu luarea în considerare a dimensiunii, scadenței și complexității acestora.

Instituțiile de credit trebuie să dispună de un sistem de informare adecvat pentru evaluarea, monitorizarea, controlul și raportarea expunerilor afectate de riscul de piață.

Raportările trebuie să includă cel puțin următoarele:

a) expunerile agregate la nivel de instituție de credit;

b) gradul de conformitate cu politicile și limitele stabilite;

c) rezultatul testelor efectuate pentru condiții de criză;

d) sinteze ale constatărilor rezultate ca urmare a analizei politicilor, procedurilor și adecvării sistemului de administrare a riscurilor, inclusiv ale constatărilor auditului intern și auditorului financiar al instituțiilor de credit.

Raportările trebuie transmise conducătorilor și, într-o formă sintetică, consiliului de administrație.

3.2. - Riscul de lichiditate

Instituțiile de credit trebuie să aibă proceduri de evaluare și monitorizare a poziției lichidității, stabilite pe baza analizei fluxurilor de numerar viitoare, determinate în funcție de evoluțiile viitoare ale elementelor de activ, de pasiv și din afara bilanțului. Fluxurile de numerar viitoare vor fi distribuite pe benzi de scadențe.

Instituțiile de credit vor calcula indicatori de lichiditate, pentru care vor stabili limite.

Instituțiile de credit vor stabili perioada în raport cu care se determină poziția lichidității, precum și frecvența de determinare a acesteia, în funcție de natura activității lor.

Instituțiile de credit trebuie să determine poziția lichidității pe baza unor scenarii care să țină cont atât de factori interni (specifici instituțiilor de credit), cât și de factori externi (legați de evoluțiile pieței).

Instituțiile de credit trebuie să revizuiască periodic scenariile utilizate în administrarea lichidității, pentru a determina dacă acestea continuă să fie valabile. În acest scop, instituțiile de credit vor lua următoarele măsuri:

a) determinarea nivelului activelor potențiale (de exemplu: active ajunse la scadență ce ar putea fi reînnoite, cereri de noi credite ce ar putea fi aprobate, trageri din angajamente de finanțare date de instituții de credit, ce ar putea fi efectuate);

b) determinarea capacității de tranzacționare pe piață a activelor;

c) determinarea evoluției elementelor de pasiv bilanțiere în condiții normale de desfășurare a activității (de exemplu: nivelul reînnoirii depozitelor și a altor elemente de pasiv, scadența efectivă a depozitelor la vedere sau a conturilor de economii, creșterea înregistrată în legătură cu noile depozite, monedă electronică emisă și vândută), precum și în condiții de criză (de exemplu, probabilitatea de rămânere la dispoziția instituției de credit a surselor de finanțare);

d) determinarea evoluției elementelor din afara bilanțului, inclusiv a pozițiilor rezultate din operațiuni cu instrumente financiare derivate.

În vederea implementării strategiei instituției de credit privind administrarea lichidității în condiții de criză, instituțiile de credit trebuie să dispună de planuri alternative și de proceduri de remediere.

Un plan alternativ în condiții de criză presupune cel puțin:

a) existența unor fluxuri de informații oportune și neîntrerupte care să permită conducerii luarea unor decizii rapide;

b) luarea de măsuri pentru modificarea evoluției elementelor de activ și de pasiv;

c) menținerea relațiilor cu furnizorii surselor de finanțare;

d) orientarea către piețe alternative;

e) apelarea la facilitățile de credit avute la dispoziție și neutilizate.

3.3. - Riscul operațional și alte riscuri semnificative

La evaluarea riscului juridic și a celui reputațional instituțiile de credit trebuie să ia în considerare cadrul legal și de reglementare, inclusiv în domeniul social, precum și orice alte elemente care le pot afecta activitatea (de exemplu: publicitatea negativă, conformă sau nu cu realitatea, făcută practicilor de afaceri și/sau persoanelor legate de acestea, pierderea încrederii în soliditatea unei instituții de credit, datorată încălcării grave a securității acesteia în urma unor atacuri interne sau externe asupra sistemului informațional, întâmpinarea de către clienți a unor probleme în utilizarea anumitor produse, fără a avea suficiente informații despre acestea și fără a cunoaște procedurile de remediere a problemelor respective, necunoașterea clară a drepturilor și obligațiilor părților unei tranzacții de tip "electronic banking", inclusiv cu monedă electronică).

În vederea reducerii riscului juridic și reputațional, instituțiile de credit pot dezvolta programe de educare a clienților pentru utilizarea noilor produse și servicii, pentru cunoașterea comisioanelor aferente acestora, pentru semnalarea problemelor ce pot apărea și a modalităților de soluționare a acestora.

Înainte de a se angaja în tranzacții cu instrumente financiare derivate, băncile trebuie să se asigure că, potrivit cadrului legal și de reglementare, contrapartidele au capacitatea de a se angaja în astfel de tranzacții.

Băncile trebuie să se asigure că obligațiile contrapartidei care apar din tranzacții cu instrumente financiare derivate și drepturile lor asupra oricăror garanții reale primite de la o contrapartidă pot fi îndeplinite.

Băncile trebuie să se asigure de întocmirea în mod corespunzător și posibil de pus în aplicare din punct de vedere legal a contractelor de compensare a creanțelor și obligațiilor reciproce decurgând din operațiuni cu instrumente având la bază cursul de schimb și rata dobânzii.

Instituțiile de credit trebuie să dispună de politici privind externalizarea activităților auxiliare sau conexe în raport cu activitățile principale.

Instituțiile de credit trebuie să dispună de proceduri de administrare a riscurilor asociate activităților externalizate, respectiv a riscului juridic, a riscului reputațional și a riscului operațional.

Procedurile de administrare a riscurilor asociate activităților externalizate se vor referi cel puțin la următoarele:

a) luarea deciziilor privind externalizarea unor noi activități sau modificarea celor existente;

b) selectarea și evaluarea societăților prestatoare de servicii auxiliare sau conexe în legătură cu aspecte cum ar fi: solvabilitatea, reputația, familiarizarea cu specificul sectorului instituțiilor de credit, calitatea serviciilor prestate, organizarea activității și controlul intern, existența unui personal competent, existența unui plan alternativ de redresare a activității, asigurarea confidențialității informației, în special în cazul celei legate de instrumentele de plată electronică;

c) monitorizarea modului în care societățile prestatoare de servicii auxiliare sau conexe desfășoară activitățile externalizate;

d) elaborarea de planuri alternative și stabilirea costurilor și resurselor necesare pentru schimbarea societăților prestatoare de servicii auxiliare sau conexe.

Instituțiile de credit pot externaliza activități doar în condițiile încheierii de contracte cu societăți prestatoare de servicii auxiliare sau conexe.

Contractele încheiate cu societăți prestatoare de servicii auxiliare sau conexe în legătură cu activitățile externalizate trebuie să fie în formă scrisă și să asigure o alocare clară a responsabilităților fiecărei părți.

Instituțiile de credit vor putea încheia contracte cu societăți prestatoare de servicii auxiliare sau conexe, în legătură cu activitățile externalizate, în următoarele condiții:

a) asigurarea existenței unor date actualizate și a altor informații la nivelul instituției de credit;

b) asigurarea accesului unor entități din România (Banca Națională a României, autorități sau instituții publice, casa centrală a cooperativelor de credit) la datele și informațiile aferente operațiunilor din România, în cazul externalizării unor activități în afara granițelor țării;

c) asigurarea securității/confidențialității datelor, cel puțin prin următoarele măsuri: angajamentul societății prestatoare de servicii auxiliare sau conexe și al personalului acesteia de a se supune regulilor de confidențialitate, drepturile contractuale ale instituției de credit de a lua măsuri împotriva societății prestatoare de servicii auxiliare sau conexe în cazul încălcării confidențialității, separarea datelor instituției de credit de cele ale societății prestatoare de servicii auxiliare sau conexe și de cele ale altor clienți ai acesteia.

Instituțiile de credit trebuie să dispună de un comitet de administrare a riscurilor. Comitetul de administrare a riscurilor este un comitet permanent, ale cărui funcționare și atribuții sunt reglementate de prezentele norme și de regulamentele interne ale fiecărei instituții de credit.

Comitetul de administrare a riscurilor își poate desfășura lucrările în subcomitete, în funcție de mărimea și complexitatea instituțiilor de credit.

Comitetul de administrare a riscurilor se constituie prin decizie a consiliului de administrație.

Membrii comitetului de administrare a riscurilor trebuie să aibă o experiență compatibilă cu responsabilitățile lor în cadrul acestuia.

Comitetul de administrare a riscurilor este format din conducători ai instituției de credit și ai compartimentelor a căror activitate este afectată de riscurile semnificative și, dacă se consideră necesar, din acest comitet pot face parte și alți conducători de compartimente.

Instituțiile de credit trebuie să organizeze auditul intern ca o componentă a activității de monitorizare a sistemului de control intern și a evaluării gradului de adecvare a nivelului fondurilor proprii în funcție de riscurile la care instituțiile de credit sunt expuse, în vederea asigurării unei evaluări independente a adecvării politicilor și procedurilor stabilite și a modului în care acestea sunt respectate.

Casele centrale ale cooperativelor de credit trebuie să organizeze auditul intern și ca o componentă a activității de monitorizare a atingerii obiectivelor de control intern la nivelul rețelei cooperatiste de credit și a evaluării gradului de adecvare a nivelului fondurilor proprii ale rețelei cooperatiste de credit în funcție de riscurile la care aceasta este expusă, în vederea asigurării unei evaluări independente a adecvării politicilor stabilite și a modului în care acestea sunt respectate și, după caz, ca o componentă a activității de monitorizare a sistemului de control intern al cooperativelor de credit afiliate și a evaluării gradului de adecvare a nivelului fondurilor proprii ale acestora în funcție de riscurile la care sunt expuse, în vederea asigurării unei evaluări independente a adecvării politicilor și procedurilor stabilite și a modului în care acestea sunt respectate.

Obiectivul auditului intern îl reprezintă îmbunătățirea activității instituțiilor de credit.

Obiectivul auditului intern al casei centrale a cooperativelor de credit îl reprezintă și îmbunătățirea activității rețelei cooperatiste de credit.

Auditul intern trebuie să acopere toate activitățile instituțiilor de credit, inclusiv activitățile sediilor secundare din țară și din străinătate.

Auditul intern al casei centrale a cooperativelor de credit este responsabil și pentru modul în care este organizat și se desfășoară auditul intern la nivelul cooperativelor de credit afiliate. Auditul intern al casei centrale a cooperativelor de credit se poate implica în mod direct în activitatea de audit intern la nivelul cooperativelor de credit afiliate.

Instituțiile de credit își vor organiza activitatea de audit intern astfel încât aceasta să contribuie la îndeplinirea obiectivelor lor, prin prezentarea unei abordări sistematice și disciplinate de evaluare și îmbunătățire a eficienței sistemului de control intern, procesului de administrare a riscurilor și proceselor de conducere din cadrul instituțiilor de credit, în cadrul unor angajamente de audit sau, după caz, prin furnizarea unor servicii de consultanță, potrivit statutului auditului intern.

În vederea îndeplinirii obiectivului prevăzut la art. 93 alin. (1), auditul intern al instituțiilor de credit va include, în principal, în cadrul unui angajament de audit, următoarele activități:

a) evaluarea eficienței și a gradului de adecvare a sistemului de control intern;

b) evaluarea modului de aplicare și a eficacității procedurilor de administrare a riscurilor și a metodologiilor de evaluare a riscurilor semnificative;

c) analizarea relevanței și integrității datelor furnizate de sistemele informaționale financiare și de gestiune, inclusiv de sistemul informatic;

d) evaluarea acurateței și credibilității înregistrărilor contabile și situațiilor financiare;

e) evaluarea modului în care se asigură protejarea elementelor patrimoniale bilanțiere și extrabilanțiere și identificarea metodelor de prevenire a fraudelor și pierderilor de orice fel;

f) evaluarea gradului de adecvare a nivelului fondurilor proprii ale instituțiilor de credit în funcție de riscurile la care acestea sunt expuse;

g) testarea atât a operațiunilor, cât și a funcționării procedurilor specifice de control;

h) evaluarea eficienței operațiunilor instituțiilor de credit;

i) evaluarea modului în care sunt respectate dispozițiile cadrului legal, cerințele codurilor de conduită, precum și evaluarea modului în care sunt implementate politicile și procedurile instituției de credit;

j) testarea integrității, credibilității și, după caz, a oportunității raportărilor, inclusiv a celor destinate utilizatorilor externi.

În cadrul unui angajament de consultanță al instituției de credit, auditul intern va avea în vedere și eficacitatea procesului de administrare a riscurilor și a sistemului de control intern.

Casele centrale ale cooperativelor de credit își vor organiza activitatea de audit intern astfel încât aceasta să contribuie și la îndeplinirea obiectivelor rețelei cooperatiste de credit, prin prezentarea unei abordări sistematice și disciplinate de evaluare a activității de control intern, a procesului de administrare a riscurilor și a proceselor de conducere.

În vederea îndeplinirii obiectivului prevăzut la art. 93 alin. (2), auditului intern al casei centrale a cooperativelor de credit i se aplică în mod corespunzător prevederile alin. (2) lit. b)-e), h) și j) și trebuie să desfășoare următoarele activități:

a) evaluarea realizării obiectivelor de control intern ale rețelei cooperatiste de credit;

b) evaluarea gradului de adecvare a nivelului fondurilor proprii ale rețelei cooperatiste de credit în funcție de riscurile la care aceasta este expusă, precum și, după caz, a nivelului fondurilor proprii ale cooperativelor de credit afiliate în funcție de riscurile la care acestea sunt expuse;

c) testarea atât a operațiunilor, cât și a funcționării procedurilor specifice de control ale cooperativelor de credit afiliate, după caz;

d) evaluarea modului în care sunt respectate cerințele codurilor de conduită și a modului în care sunt implementate politicile la nivelul rețelei;

e) evaluarea modului în care sunt respectate dispozițiile cadrului legal, cerințele codurilor de conduită, precum și evaluarea modului în care sunt implementate politicile și procedurile cooperativelor de credit.

Consiliul de administrație al instituțiilor de credit, cu avizul comitetului de audit, poate lua decizia externalizării totale sau parțiale a activității de audit intern. La luarea deciziei se vor aplica în mod corespunzător prevederile secțiunii a 4-a a cap. III din prezentele norme.

Instituțiile de credit pot externaliza activitatea de audit intern numai unui auditor financiar specializat în auditarea respectivei categorii de instituții de credit.

Principiile fundamentale ale auditului intern rămân aplicabile și în cazul externalizării acestei activități.

Coordonatorul activității de audit intern trebuie să fie angajat al instituției de credit.

Auditul intern reprezintă o activitate cu caracter permanent.

Conducătorii instituțiilor de credit sunt responsabili pentru asigurarea unei activități de audit intern adecvate, corespunzătoare dimensiunii și naturii operațiunilor lor.

3.2. - Independența auditului intern

Instituțiile de credit trebuie să asigure independența activității de audit intern de activitățile auditate și de activitățile zilnice pe care le implică controlul intern.

Activitatea de audit intern va fi subordonată consiliului de administrație din punct de vedere funcțional.

Coordonatorul activității de audit intern trebuie să aibă competența de a comunică, direct și din proprie inițiativă, cele constatate în cadrul activității desfășurate consiliului de administrație, comitetului de audit, precum și auditorilor financiari ai instituțiilor de credit, după caz, potrivit prevederilor stabilite de fiecare instituție de credit în cadrul statutului auditului intern.

3.3. - Obiectivitatea și imparțialitatea auditului intern

Orice situație de conflict de interese va fi adusă la cunoștință părților interesate.

Orice situație de limitare a sferei de cuprindere a auditului intern va fi adusă la cunoștință consiliului de administrație și comitetului de audit.

Orice situație prin care se prejudiciază obiectivitatea și imparțialitatea auditului intern, înaintea începerii sau în timpul desfășurării unui angajament de consultanță, trebuie adusă imediat la cunoștință conducerii instituției de credit.

Persoanele care sunt soți, rude sau afini până la gradul al patrulea inclusiv cu conducătorii unei instituții de credit nu pot fi auditori interni ai instituției de credit.

Persoanele care sunt soți, rude sau afini până la gradul al patrulea inclusiv cu conducătorii unei cooperative de credit nu pot fi auditori interni ai casei centrale a cooperativelor de credit.

În vederea evitării oricărui conflict de interese, auditorii interni nu vor putea audita activități sau funcții desfășurate și, respectiv, deținute decât după trecerea unei perioade de cel puțin un an și nu vor putea fi angrenați în operațiuni ale instituțiilor de credit ori în proiectarea sau implementarea oricăror proceduri de control.

În vederea evitării oricărui conflict de interese, auditorii interni ai unei case centrale a cooperativelor de credit nu vor putea fi angrenați nici în operațiuni ale cooperativelor de credit ori în proiectarea sau implementarea oricăror proceduri de control ale acestora.

Auditorii interni pot formula recomandări cu privire la procedurile de control.

Fără a prejudicia obiectivitatea și imparțialitatea auditului intern, la cererea conducătorilor instituției de credit, acesta poate să exprime opinii legate de modul în care principiile de control intern sunt respectate în unele situații specifice, cum ar fi: reorganizări de amploare, demararea unor noi activități importante sau riscante, constituirea sau reorganizarea sistemelor de control al administrării riscurilor, sistemelor informaționale ori informatice.

Casele centrale ale cooperativelor de credit vor aplica în mod corespunzător prevederile alin. (4) la nivelul rețelei cooperatiste de credit.

Instituțiile de credit trebuie să se asigure că auditorii interni sunt competenți din punct de vedere profesional privind îndeplinirea responsabilităților individuale.

La evaluarea competenței profesionale a auditorilor interni trebuie să fie avute în vedere complexitatea activităților instituției de credit ce fac obiectul auditului intern, natura activității ce urmează a fi desfășurată, respectiv capacitatea acestora de a solicita și obține informații, de a le sintetiza, evalua și raporta.

La evaluarea competenței profesionale a auditorilor interni ai casei centrale a cooperativelor de credit trebuie să fie avută în vedere și complexitatea activităților desfășurate la nivelul rețelei cooperatiste de credit.

Auditorii interni trebuie să fie prudenți în utilizarea informațiilor colectate în exercitarea activității și să asigure protejarea acestor informații.

Auditorii interni nu vor utiliza informațiile colectate pentru obținerea unor avantaje personale sau în orice mod care ar fi contrar prevederilor legale ori în detrimentul obiectivelor instituției de credit.

Auditorii interni ai casei centrale a cooperativelor de credit nu vor utiliza informațiile colectate în detrimentul obiectivelor stabilite la nivelul unei rețele cooperatiste de credit.

Instituțiile de credit trebuie să elaboreze statutul auditului intern, care va stabili cel puțin următoarele:

a) obiectivele și sfera de cuprindere ale auditului intern;

b) poziția auditului intern în cadrul instituției de credit, competențele și responsabilitățile acestuia;

c) responsabilitățile coordonatorului activității de audit intern;

d) termenii și condițiile în care auditorii interni pot furniza servicii de consultanță sau pot îndeplini alte sarcini speciale.

Statutul auditului intern al unei case centrale a cooperativelor de credit va cuprinde cel puțin elementele menționate la alin. (1) lit. a)-c) la nivelul unei rețele cooperatiste de credit.

Statutul auditului intern trebuie să fie revizuit periodic și comunicat întregului personal al instituției de credit. El trebuie aprobat de consiliul de administrație și de conducătorii instituțiilor de credit, în cazul în care aceștia nu sunt membri ai consiliului de administrație, după caz, cu avizul comitetului de audit.

Statutul auditului intern al unei case centrale a cooperativelor de credit trebuie să fie revizuit periodic și comunicat întregului personal al rețelei cooperatiste de credit. El trebuie aprobat de consiliul de administrație al casei centrale a cooperativelor de credit.

Statutul auditului intern trebuie să prevadă dreptul de inițiativă al auditorului intern și autoritatea acestuia de a comunică cu orice membru din cadrul personalului instituției de credit, de a examina orice activitate, compartiment sau sediu secundar al instituției de credit, precum și accesul acestuia la orice înregistrări, fișiere și informații interne, inclusiv la informații destinate conducerii, precum și la procese-verbale și alte materiale cu caracter similar ale tuturor organelor de decizie și consultative, care prezintă relevanță în îndeplinirea atribuțiilor sale.

Statutul auditului intern al unei case centrale a cooperativelor de credit trebuie să prevadă și autoritatea auditorului intern de a comunică cu orice membru din cadrul personalului cooperativelor de credit afiliate, de a examina orice activitate, compartiment sau sediu secundar al acestora, precum și accesul auditorului la orice înregistrări, fișiere și informații interne, inclusiv la informații destinate conducerii, precum și la procese-verbale și alte materiale cu caracter similar ale tuturor organelor de decizie, care prezintă relevanță în îndeplinirea atribuțiilor sale.

Activitatea de audit intern presupune, în vederea desfășurării de angajamente de audit, parcurgerea a cel puțin următoarelor etape:

a) planificarea activității de audit intern;

b) examinarea și evaluarea informațiilor avute la dispoziție;

c) comunicarea rezultatelor;

d) monitorizarea implementării recomandărilor date.

Prevederile alin. (1) se vor aplica în mod corespunzător și pentru auditul intern al cooperativelor de credit afiliate unei case centrale a cooperativelor de credit.

Activitatea de audit intern poate presupune, în vederea desfășurării unui angajament de consultanță, parcurgerea următoarelor etape:

a) planificarea unor întâlniri cu beneficiarul serviciului de consultanță - reprezentantul compartimentului/sediului secundar al instituției de credit - pentru evaluarea naturii și întinderii serviciului ce va fi furnizat;

b) confirmarea faptului că beneficiarul serviciului înțelege și este de acord cu tipul de consultanță prevăzut de statutul auditului intern;

c) evaluarea angajamentului de consultanță sub raportul compatibilității cu planul de audit;

d) stabilirea printr-un acord a condițiilor și cerințelor generale, precum și a altor factori importanți ai unui angajament oficial de consultanță;

e) comunicarea rezultatelor;

f) monitorizarea implementării recomandărilor date.

Coordonatorul activității de audit intern răspunde de dezvoltarea și menținerea unui program de asigurare a calității și îmbunătățire a activității de audit intern, prin care să se asigure că activitatea de audit intern se desfășoară pe baza unor norme solide de audit intern, transpuse în proceduri, precum și în conformitate cu Codul privind conduita etică în activitatea de audit intern.

Coordonatorul activității de audit intern răspunde de monitorizarea și evaluarea eficienței programului de asigurare a calității acestei activități. Evaluarea poate fi internă sau externă și va urmări cel puțin:

a) conformitatea cu normele de audit intern și Codul privind conduita etică în activitatea de audit intern;

b) adecvarea activității de audit intern la statutul auditului intern, obiectivele, politicile și procedurile aferente;

c) contribuția activității de audit intern la îmbunătățirea procesului de administrare a riscurilor, de conducere și la sistemul de control intern;

d) modul în care activitatea de audit intern a contribuit la îmbunătățirea activității instituției de credit.

Coordonatorul activității de audit intern al unei case centrale a cooperativelor de credit răspunde de monitorizarea și evaluarea eficienței programului de asigurare a calității acestei activități și la nivelul rețelei cooperatiste de credit. În acest sens, prevederile alin. (2) referitoare la evaluarea eficienței programului de asigurare a calității se vor aplica în mod corespunzător.

Coordonatorul activității de audit intern este responsabil pentru asigurarea competenței profesionale a auditorilor interni, pentru pregătirea profesională a acestora și pentru existența unor resurse necesare, adecvate desfășurării activității.

Coordonatorul activității de audit intern este responsabil pentru stabilirea politicilor și procedurilor aferente activității de audit intern. Acestea pot fi concretizate în manuale privind tehnica auditului intern.

Coordonatorul activității de audit intern este responsabil de coordonarea activităților desfășurate de auditorii interni din cadrul instituției de credit cu cele ale altor furnizori externi de servicii în domeniul auditului intern, pentru a minimiza eforturile necesare atingerii obiectivelor auditului intern.

Coordonatorul activității de audit intern este responsabil pentru informarea, cel puțin anual, a consiliului de administrație al instituției de credit și a comitetului de audit asupra activității desfășurate în raport cu planul auditului intern (angajamente efectuate, abateri semnificative de la plan și motivele aferente) și a principalelor recomandări aferente angajamentelor desfășurate.

Coordonatorul activității de audit intern al unei case centrale a cooperativelor de credit este responsabil, după caz, și pentru informarea, cel puțin anual, a consiliului de administrație al cooperativelor de credit asupra activității desfășurate în raport cu planul auditului intern (angajamente efectuate, abateri semnificative de la plan și motivele aferente) și a principalelor recomandări aferente angajamentelor desfășurate.

Auditul intern poate utiliza, în funcție de obiectivul urmărit, una dintre următoarele forme de audit, specifice unui angajament de audit:

a) audit financiar, ce are ca obiectiv verificarea credibilității sistemului contabil și informatic și a situațiilor financiare anuale;

b) audit de conformitate, ce are ca obiectiv verificarea conformității cu legile, reglementările, politicile și procedurile;

c) audit operațional, ce are ca obiectiv verificarea calității și adecvării sistemelor și procedurilor, analiza critică a structurii organizatorice, evaluarea adecvării metodelor și resurselor în raport cu obiectivele stabilite;

d) audit al conducerii, ce are ca obiectiv evaluarea din punct de vedere calitativ a modului în care este exercitată funcția de conducere pentru îndeplinirea obiectivelor instituției de credit.

Auditul intern poate oferi, în limita statutului auditului intern, următoarele tipuri de servicii de consultanță:

a) angajamente oficiale de consultanță - planificate și concretizate într-un document scris;

b) angajamente neoficiale de consultanță - activități de rutină, cum ar fi: participarea la comitete permanente, proiecte pe durată limitată, întruniri ad-hoc și schimb de informații;

c) angajamente speciale de consultanță - participări la fuziuni și achiziții;

d) angajamente de consultanță pentru cazuri deosebite - participarea într-o echipă stabilită pentru redresarea sau menținerea activităților după un dezastru sau alt eveniment extraordinar ori într-o echipă desemnată să acorde sprijin temporar pentru îndeplinirea unei cerințe speciale.

Auditul intern nu va putea agrea desfășurarea unui angajament de consultanță care determină sustragerea de la cerințele normale aferente unui angajament de audit, dacă serviciul respectiv este mai bine desfășurat ca angajament de audit.

Coordonatorul activității de audit intern va elabora un plan de audit care va include termenele și frecvența angajamentelor de audit planificate. Planul de audit trebuie să cuprindă o situație referitoare la resursele necesare, inclusiv cele de personal.

Planul de audit va avea la bază metodologia de evaluare a riscurilor, ale cărei principii vor fi stabilite de coordonatorul activității de audit intern și vor trebui actualizate cu regularitate. Analiza riscurilor se va referi la toate activitățile instituțiilor de credit și la sistemul de control intern.

La nivelul unei rețele cooperatiste de credit analiza riscurilor se va referi și la obiectivele controlului intern la nivelul rețelei, precum și la toate activitățile cooperativelor de credit afiliate și la sistemul de control intern al acestora.

Planul de audit urmează a se derula pe un anumit număr de ani și se va stabili pe baza rezultatelor analizei riscurilor aferente tuturor activităților desfășurate. Planul de audit va avea în vedere și evoluțiile prognozate, gradul de risc, în general mai ridicat, aferent noilor activități, necesitatea de a audita într-o perioadă stabilită prin statutul auditului intern toate activitățile semnificative, precum și angajamentele de consultanță propuse și acceptate, după caz.

Planul de audit trebuie aprobat de către consiliul de administrație și de conducătorii instituției de credit, în cazul în care aceștia nu sunt membri ai consiliului de administrație, cu avizul comitetului de audit.

Planul de audit la nivelul unei rețele cooperatiste de credit trebuie aprobat de către consiliul de administrație al casei centrale a cooperativelor de credit afiliate, cu avizul comitetului de audit.

Pentru fiecare angajament de audit din planul de audit trebuie elaborat un program care să descrie obiectivele și etapele acestuia.

Programul inițial și orice modificări ale acestuia trebuie să fie aprobate de către coordonatorul activității de audit intern.

Procedurile de audit aferente angajamentului de audit trebuie documentate în fișe de lucru care, întocmite pe baza unei metode determinate, trebuie să reflecte informațiile colectate, precum și examinările efectuate și să evidențieze evaluările formulate în raport. Fișele de lucru trebuie aprobate de către coordonatorul activității de audit intern, înaintea începerii unui angajament.

Coordonatorul activității de audit intern trebuie să stabilească politici privind păstrarea datelor aferente fiecărui angajament, precum și furnizarea acestora unor terțe persoane. Datele aferente fiecărui angajament nu vor putea fi furnizate terților fără aprobarea conducătorilor instituțiilor de credit.

Instituțiile de credit vor lua în considerare tipul serviciilor de consultanță care pot fi oferite potrivit statutului auditului intern, după caz, și vor determina dacă trebuie stabilite politici și proceduri specifice pentru fiecare serviciu de acest gen.

Natura, întinderea și rezultatele generale ale unui angajament de consultanță trebuie comunicate conducătorilor instituției de credit și comitetului de audit.

Pentru fiecare angajament de audit din planul de audit trebuie întocmit un raport de audit în cât mai scurt timp posibil. Raportul de audit trebuie transmis conducerii structurii auditate și, într-o formă sumară, conducătorilor instituției de credit.

Raportul de audit într-un angajament de audit trebuie să prezinte scopul și întinderea angajamentului respectiv, inclusiv perioada auditată, și să cuprindă constatările și recomandările auditului intern, un plan de acțiuni pentru punerea în practică a acestora, în vederea îmbunătățirii activității instituției de credit, precum și răspunsurile structurii auditate pe marginea acestora. Raportul poate include și stadiul îndeplinirii recomandărilor aferente angajamentelor anterioare.

În cazul în care anumite informații conținute în raportul de audit (informații privilegiate, legate de acțiuni ilegale sau necorespunzătoare) nu este oportun să fie cunoscute de toți beneficiarii unui astfel de raport, ele vor fi dezvăluite într-un raport separat, care va fi transmis consiliului de administrație al instituției de credit.

În cazul în care se dorește comunicarea unor informații ce necesită atenție imediată, a modificării întinderii angajamentului sau informarea continuă a conducătorilor structurii auditate asupra progreselor unui angajament ce se întinde pe o perioadă mai mare, se pot întocmi rapoarte interimare.

Prevederile alin. (1), (2) și (4) se vor aplica în mod corespunzător pentru fiecare angajament ce face obiectul auditului intern la nivelul unei rețele cooperatiste de credit.

În urma analizării recomandărilor auditului intern, conducătorul/conducătorii responsabil/responsabili de coordonarea structurii auditate va/vor dispune asupra implementării recomandărilor respective.

La implementarea recomandărilor vor fi avute în vedere cel puțin: importanța recomandării făcute de auditul intern, responsabilitățile persoanelor implicate în remedierea deficiențelor raportate, termenul în care trebuie remediată deficiența, complexitatea măsurii de corectare și implicațiile asupra instituției de credit în cazul în care măsura de corectare eșuează.

Auditul intern va urmări modul de implementare a recomandărilor sale și va raporta în acest sens, cel puțin semestrial, conducătorilor, consiliului de administrație și comitetului de audit.

Auditul intern al casei centrale a cooperativelor de credit va urmări modul de implementare a recomandărilor sale și la nivelul rețelei cooperatiste de credit și va raporta în acest sens, cel puțin semestrial, consiliului de administrație și comitetului de audit.

Auditul intern va monitoriza rezultatele unui acord de consultanță în limitele convenite cu beneficiarul acestuia.

Instituțiile de credit trebuie să dispună de un comitet de audit.

Comitetul de audit este un comitet permanent, independent de conducătorii instituțiilor de credit, subordonat direct consiliului de administrație, având funcție consultativă.

Funcționarea și atribuțiile comitetului de audit sunt reglementate de prezentele norme și de statutul fiecărei instituții de credit.

Comitetul de audit al casei centrale a cooperativelor de credit va avea responsabilități și la nivelul rețelei cooperatiste de credit.

Comitetul de audit este format din membri ai consiliului de administrație al instituției de credit, care nu au și nu au avut calitatea de conducător.

Membrii comitetului de audit trebuie să aibă o experiență corespunzătoare atribuțiilor ce le revin în cadrul respectivului comitet. Cel puțin un membru trebuie să aibă experiență în domeniul contabilității sau auditului.

Comitetul de audit al casei centrale a cooperativelor de credit poate include și membri ai consiliului de administrație al cooperativelor de credit afiliate, care nu sunt conducători.

Comitetul de audit va avea cel puțin următoarele atribuții:

a) încurajarea comunicării dintre membrii consiliului de administrație, conducătorii instituției de credit, auditul intern, auditorul financiar al instituției de credit și Banca Națională a României;

b) avizarea statutului auditului intern, planului de audit și necesarului de resurse aferente acestei activități;

c) asigurarea relației cu auditorul financiar al instituției de credit, în sensul primirii planului de audit și analizării constatărilor și recomandărilor acestuia, precum și ale altor organe de supraveghere și control din afara instituției de credit;

d) analiza constatărilor și recomandărilor auditului intern și a planurilor conducerii instituției de credit pentru implementarea acestora.

Prevederile alin. (1) se vor aplica în mod corespunzător de către comitetul de audit al casei centrale a cooperativelor de credit, la nivelul rețelei cooperatiste de credit.

În cadrul ședințelor comitetului de audit se va pune accentul cel puțin pe următoarele aspecte:

a) funcționarea sistemului de control intern și a activității de audit intern;

b) activitățile afectate de riscuri ce urmează a fi analizate în anul respectiv în cadrul angajamentelor de audit și ale auditorului financiar al instituției de credit;

c) corectitudinea și credibilitatea informațiilor financiare furnizate conducerii și utilizatorilor externi;

d) conformarea instituției de credit cu prevederile cadrului legal, cu actul constitutiv și cu normele stabilite de consiliul de administrație.

Prevederile alin. (1) se vor aplica în mod corespunzător și la nivelul rețelei cooperatiste de credit.

Comitetul de audit poate formula recomandări adresate consiliului de administrație privind strategia și politica băncii în domeniul controlului intern, auditului intern și auditului financiar, precum și pentru numirea auditorului financiar al instituției de credit.

Comitetul de audit al casei centrale a cooperativelor de credit poate formula recomandări adresate consiliului de administrație al cooperativelor de credit pentru numirea auditorului financiar al acestora.