k vyhlášce č. 123/2007 Sb.
Podrobnější vymezení požadavků na zprávu o ověření řídicího a kontrolního systému auditorem
I. Struktura zprávy
1. Kapitola 1
Stručný popis ověřovaných oblastí.
Tato kapitola bude obsahovat:
a) organizační schéma s detailnějším popisem organizačního uspořádání v dané součásti řídicího a kontrolního systému,
b) stručné vymezení odpovědností a pravomocí relevantních orgánů banky nebo družstevní záložny, útvarů, zaměstnanců a výborů, pokud jsou zřízeny,
c) popis schvalovacích a rozhodovacích procesů v rámci jednotlivých ověřovaných oblastí,
d) popis metod a postupů používaných v jednotlivých oblastech, například metody používané pro řízení rizik,
e) struktura limitů v dané oblasti, pokud je to pro zadanou oblast relevantní,
f) popis struktury používaných informačních systémů.
2. Kapitola 2
Identifikace zavedených mechanismů vnitřní kontroly a zhodnocení funkčnosti a efektivnosti těchto mechanismů, zejména porovnáním s uznávanými standardy.
Tato kapitola bude obsahovat přehled všech zavedených mechanismů vnitřní kontroly, ilustrativní příklad je uveden v tabulce v této příloze. V případě, že byly identifikovány nedostatky, budou tyto skutečnosti v rámci této kapitoly uvedeny, podrobněji však budou jednotlivé nedostatky analyzovány v kapitole 3.
| Tabulka | |||
|---|---|---|---|
| Ilustrativní příklad | |||
| Ověřovaná činnost | Zavedené kontrolní mechanismy | Provedené testy/popř. jiné provedené práce | Zhodnocení |
| Systém stanovení a sledování limitů | Relevantní limity jsou stanoveny. Limity jsou schváleny odpovědnou osobou / výborem / představenstvem Limity jsou přehodnocovány pravidelně, případně při významných změnách podmínek na trhu či uvnitř banky nebo družstevní záložny.... Využití limitů je pravidelně sledováno a reportováno nezávislým útvarem.... Vnitřní předpisy jsou aktuální... Monitorování limitů probíhá v souladu s platnými vnitřními předpisy.... | Seznámili jsme se s Podpisovým řádem Seznámili jsme se s relevantními vnitřními předpisy Ověřili jsme správnost a pravidelnost informací v hlášeních o využití limitů, překračování limitů.... | Kontrolní mechanismy jsou funkční a efektivní. Kontrolní mechanismy jsou funkční a efektivní, s výjimkou popsanou v kapitole 3 (monitorování limitů neprobíhá ve všech případech v souladu s vnitřními předpisy)... |
| Zadávání údajů do informačního systému banky nebo družstevní záložny | Princip „čtyř očí“ v oddělení Back Office (dále B/O). (Oprávněný zaměstnanec B/O zadává údaje do účetního systému, druhý zaměstnanec B/O toto vložení autorizuje.) Zaměstnanci B/O jsou podle předpisu č. x oprávněni tuto činnost vykonávat | Namátkově zkontrolováno y obchodních lístků (tickets) z celkového množství x sjednaných obchodů za období. Seznámili jsme se s Podpisovým řádem a relevantními vnitřními předpisy a pracovními postupy... Účastnili jsme se osobně procesu zadávání údajů do účetního systému | Kontrolní mechanismy jsou funkční a efektivní. |
3. Kapitola 3
Specifikace chybějících mechanismů vnitřní kontroly a vyhodnocení závažnosti jednotlivých nedostatků.
V této kapitole budou podrobně popsány nedostatky zjištěné v průběhu ověřování systému auditorem. Součástí bude i zhodnocení závažnosti daných nedostatků podle stupnice:
Dále bude součástí identifikace chybějících mechanismů vnitřní kontroly. Součástí bude i popis, jaký vliv tyto skutečnosti představovaly a představují pro funkčnost a efektivnost řídicího a kontrolního systému nebo jeho součástí.
Příklad:
Kontrola limitů měnových pozic neprobíhá ve všech případech v souladu s vnitřními předpisy
Závažnost: nedostatek se střední mírou závažnosti
Nedostatek: Vnitřní předpisy ukládají zaměstnancům útvaru řízení rizik provádět kontrolu „intraday“ limitů měnových pozic namátkově alespoň jednou denně. Bylo zjištěno, že zaměstnanci útvaru řízení rizik tuto kontrolu pravidelně neprovádějí.
Vliv na funkčnost a efektivnost řídicího a kontrolního systému: Při absenci kontroly dodržování „intraday“ limitů měnových pozic je zvýšeno riziko jejich překračování a banka nebo družstevní záložna se tak vystavuje zvýšenému riziku ztráty z titulu pohybu měnových kurzů. Jelikož útvar řízení rizik provádí kontrolu dodržování „overnight“ limitů měnových pozic ke konci dne, je tento nedostatek hodnocen jako „střední riziko“.
a) nedostatek s velmi vysokou mírou závažnosti - nedostatek, který může mít vliv na další existenci banky nebo družstevní záložny nebo který významně ohrožuje finanční situaci a kapitál banky nebo družstevní záložny. Nedostatek má zásadní vliv na funkčnost a efektivnost procesů banky nebo družstevní záložny;
b) nedostatek s vysokou mírou závažnosti - nedostatek může ohrozit finanční situaci a kapitál banky nebo družstevní záložny, nedostatek má vliv na funkčnost a efektivnost více dílčích procesů v bance nebo družstevní záložně, jedná se o zásadní systémový nedostatek určité oblasti;
c) nedostatek se střední mírou závažnosti - nedostatek neohrožuje finanční situaci a kapitál banky nebo družstevní záložny, jedná se o dílčí nedostatek systémového charakteru nebo významnější nedostatek nesystémového charakteru;
d) nedostatek s nízkou mírou závažnosti - nedostatek neohrožuje finanční situaci a kapitál banky nebo družstevní záložny, jedná se o méně významný nedostatek nesystémového charakteru.
4. Kapitola 4
Celkové vyhodnocení funkčnosti a efektivnosti řídicího a kontrolního systému v dané oblasti.
V této kapitole bude vyhodnocena funkčnost a efektivnost řídicího a kontrolního systému v dané oblasti jako celku.
II. Formát a další náležitosti zprávy
1. Zpráva o ověření systému je předkládána České národní bance v listinné i elektronické podobě, ve formátu *.doc, *.xls nebo *.mdb.
2. Zpráva o ověření systému je opatřena obchodní firmou a číslem osvědčení o zápisu auditora, s uvedením jména a příjmení auditora, čísla osvědčení o zápisu a datem vyhotovení zprávy. Zpráva v listinné podobě je opatřena navíc vlastnoručním podpisem auditora.