Zaudējis spēku - Iekšējās kontroles sistēmas izveides normatīvie noteikumi

Finanšu un kapitāla tirgus komisijas normatīvie noteikumi Nr.233Rīgā 2012.gada 1.novembrī(Finanšu un kapitāla tirgus komisijaspadomes sēdes protokols Nr.40 5.p.)

Izdoti saskaņā ar Kredītiestāžu likuma 34.1 panta otro daļu un Finanšu instrumentu tirgus likuma 124. panta 1.1 daļu

1. "Iekšējās kontroles sistēmas izveides normatīvie noteikumi" (tālāk tekstā – noteikumi) ir saistoši Latvijas Republikā reģistrētām kredītiestādēm un tām Latvijas Republikā reģistrētajām ieguldījumu brokeru sabiedrībām, kuras ir iestādes Eiropas Parlamenta un Padomes Regulas (ES) Nr. 575/2013 (2013. gada 26. jūnijs) par prudenciālajām prasībām attiecībā uz kredītiestādēm un ieguldījumu brokeru sabiedrībām, un ar ko groza Regulu (ES) Nr. 648/2012 (tālāk tekstā – ES regula Nr. 575/2013) izpratnē, (tālāk tekstā abas kopā – iestāde).

1.1 Tās Latvijas Republikā reģistrētās ieguldījumu brokeru sabiedrības, kuras nav iestādes ES regulas Nr. 575/2013 izpratnē, ievēro šo noteikumu 20., 25., 26., 27., 40.2–40.9, 55.–57.1, 59. un 60. punkta prasības, ņemot vērā savu organizatorisko struktūru, darbības apjomu, veidu, sarežģītību un specifiku.

2. Noteikumu 1. punktā minētās iestādes ievēro šo noteikumu I, II, III, IV, VI, VII, VIII, IX, X un XI sadaļas prasības individuāli un konsolidācijas grupas līmenī vai subkonsolidēti un šo noteikumu V sadaļas prasības konsolidācijas grupas līmenī vai subkonsolidēti saskaņā ar Kredītiestāžu likuma 50.8 un 50.9 pantu un Finanšu instrumentu tirgus likuma 123.3 un 123.4 pantu.

2.1 Iestāde, kas ir mātes sabiedrība, nodrošina grupas līmeņa politiku ieviešanu iekšējās kontroles sistēmas izveides jomā attiecībā uz visām meitas sabiedrībām, kas iekļautas konsolidācijas grupā saskaņā ar ES regulu Nr. 575/2013, (tālāk tekstā – prudenciālās konsolidācijas grupa), ņemot vērā attiecīgās valsts, kurā atrodas meitas sabiedrība, normatīvo aktu prasības, kā arī uzrauga to īstenošanu. Mātes sabiedrība un prudenciālās konsolidācijas grupas ietvaros esošās meitas sabiedrības nodrošina attiecīgo grupas līmeņa politiku ieviešanu arī tādās to meitas sabiedrībās, kurām nav saistoši tiesību akti, kas pārņem Eiropas Parlamenta un Padomes Direktīvas 2013/36/ES par piekļuvi kredītiestāžu darbībai un kredītiestāžu un ieguldījumu brokeru sabiedrību prudenciālo uzraudzību, ar ko groza Direktīvu 2002/87/EK un atceļ Direktīvas 2006/48/EK un 2006/49/EK, (tālāk tekstā – Direktīva 2013/36/ES) prasības, ņemot vērā attiecīgās valsts, kurā atrodas meitas sabiedrība, normatīvo aktu prasības, kā arī uzrauga to īstenošanu.

3. Noteikumos lietoto terminu skaidrojums:

3.1. atbilstības likumi, noteikumi un standarti (compliance laws, rules and standards) – iestādes darbību regulējošie likumi un citi tiesību akti, ar iestādes darbību saistītie pašregulējošo institūciju noteiktie standarti, profesionālās rīcības un ētikas kodeksi un citi ar iestādes darbību saistīti labākās prakses standarti;

3.2. kapitāla pietiekamības novērtēšanas process – iestādes noteiktā politika un procedūras un iestādes veiktie pasākumi regulārai kapitāla pietiekamības novērtēšanai un iestādes darbībai piemītošo un varbūtējo risku segšanai pietiekama kapitāla uzturēšanai;

3.3. iestādes padome – kredītiestādes padome vai ieguldījumu brokeru sabiedrības dalībnieku sapulce vai padome, ja tāda izveidota;

3.4. amatpersona – iestādes padomes vai valdes loceklis vai persona, kura iestādē pilda pamatfunkciju;

3.5. riska profils – iestādes risku novērtējums, ņemot vērā tās lielumu, veikto darījumu apmēru, to dažādību un sarežģītību, ekonomisko vidi, kurā iestāde darbojas, kā arī ekonomisko ciklu;

3.6. risku direktors – iestādes amatpersona, kura ir atbildīga par visaptverošas risku kontroles funkcijas veikšanu iestādē, uzrauga risku pārvaldīšanas sistēmu un koordinē visu iestādes struktūrvienību darbības, kuras saistītas ar risku pārvaldīšanu;

3.7. personas, kuras pilda pamatfunkcijas – personas (darbinieki), kuru amata stāvoklis dod tām iespēju būtiski ietekmēt iestādes darbības virzību, bet kuras nav iestādes padomes vai valdes locekļi. Personas, kuras pilda pamatfunkcijas, ir, piemēram, iestādei specifisko darbības veidu vadītāji, iestādes izveidoto filiāļu vai meitas sabiedrību citā dalībvalstī vadītāji, atbalsta un iekšējās kontroles funkciju vadītāji, t.sk. risku direktors, par darbības atbilstības kontroli atbildīgā persona, iekšējā audita funkcijas vadītājs, par noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas prasību izpildi atbildīgā persona, prokūrists, sabiedrības kontrolieris;

3.8. pārējo terminu lietojums atbilst Kredītiestāžu likuma, Finanšu instrumentu tirgus likuma, Finanšu un kapitāla tirgus komisijas (tālāk tekstā – Komisija) 29.11.2016. normatīvo noteikumu Nr. 199 "Kapitāla un likviditātes pietiekamības novērtēšanas procesa izveides normatīvie noteikumi" un ES regulas Nr. 575/2013 terminu lietojumam.

I sadaļaVispārējās prasības iekšējās kontroles sistēmas veidošanai

4. Iekšējās kontroles sistēmu iestāde organizē tā, lai iestādes vadībai būtu pamatota pārliecība, ka iestādes aktīvi ir nodrošināti pret zaudējumiem un nesankcionētu valdīšanu un lietošanu, iestādes darbības riski tiek pastāvīgi identificēti un pārvaldīti, iestādes kapitāls apmēra, elementu un to īpatsvara ziņā ir pietiekams iestādes darbībai piemītošo un varbūtējo risku segšanai, darījumi notiek saskaņā ar iestādē noteikto kārtību, iestāde darbojas saprātīgi, piesardzīgi un efektīvi, pilnībā ievērojot likumu un citu tiesību aktu prasības.

5. Iestāde iekšējās kontroles sistēmu veido, ņemot vērā tās lielumu, veikto darījumu apmēru, to dažādību un sarežģītību, risku lielumu saistībā ar katru darbības sfēru, pārvaldes centralizācijas pakāpi, informācijas tehnoloģiju u.c. faktorus, kuri ir būtiski konkrētās iestādes darbības mērķu īstenošanai. Šajā punktā minētos principus iestāde nepiemēro, nodrošinot šo noteikumu 17. punkta prasību izpildi.

6. Par iestādes iekšējās kontroles sistēmas izveidi un efektīvu funkcionēšanu atbild iestādes padome un valde.

7. Iekšējās kontroles sistēmas pamatelementi ir:

7.1. iestādes attīstības stratēģijas noteikšana, darbības plānošana katram gadam un tālākai nākotnei;

7.2. iestādes darbības organizācija;

7.3. visu iestādes darbībā radušos būtisko risku identificēšana un pārvaldīšana, t.sk. mērīšana, novērtēšana, kontrole un risku pārskatu sniegšana;

7.4. kapitāla pietiekamības novērtēšanas process;

7.5. grāmatvedības uzskaite;

7.6. vadības informācijas sistēma;

7.7. aktīvu un informācijas sistēmu aizsardzība;

7.8. iekšējās kontroles sistēmas regulāra pārskatīšana, efektivitātes novērtēšana un pilnveidošana atbilstoši izmaiņām iestādes darbībā un iestādes darbību ietekmējošajos ārējos apstākļos;

7.9. atalgojuma sistēma;

7.10. darbības atbilstības nodrošināšana;

7.11. ārpakalpojumu izmantošanas pārvaldība, ja iestāde tos izmanto;

7.12. jaunu finanšu pakalpojumu vai būtisku izmaiņu esošajos finanšu pakalpojumos pārvaldība.

II sadaļaAttīstības stratēģijas noteikšana un darbības plānošana

8. Iestāde izstrādā un dokumentē tās attīstības stratēģiju, kurā nosaka:

8.1. darbības mērķus, t.sk. plānoto finansiālo stāvokli, darbības veidus, mērķa tirgus, mērķa klientus;

8.2. risku stratēģiju, t.sk. iestādes riska profilu un riskus, kurus iestāde vēlas uzņemties (risk appetite), pieļaujamo risku līmeni (risk tolerance) un galējo iespējamo risku līmeni, kuru iestāde spēj segt ar tai pieejamajiem resursiem (risk capacity), rīcību pieļaujamā risku līmeņa ievērošanas nodrošināšanai, kā arī iestādes rīcību gadījumā, ja riska profils pārsniedz pieļaujamo risku līmeni;

8.3. kapitāla pietiekamības uzturēšanas stratēģiju, t.sk. ar iestādes plānoto darbību saistīto risku segšanai nepieciešamā kapitāla apmēru, vēlamo kapitāla līmeni (kapitāla pietiekamības mērķus) un tā sasniegšanas plānu, kapitāla palielināšanas avotus, paredzamos izdevumus papildu kapitāla piesaistīšanai, kapitāla pietiekamību regulējošo prasību ievērošanas nodrošināšanas plānu, kapitāla pietiekamības uzturēšanas plānu ārkārtas gadījumos;

8.4. mērķus likviditātes pārvaldības jomā, ņemot vērā iestādes darbību raksturojošos rādītājus un finansiālo stāvokli, kā arī regulējošās prasības.

9. Nosakot kapitāla pietiekamības uzturēšanas stratēģiju, iestāde analizē, izvērtē un dokumentē iespējamos iestādes darbības attīstības scenārijus atkarībā no dažādiem ārējo apstākļu attīstības scenārijiem, ņemot vērā valstu, kurās iestāde veic vai plāno veikt savu darbību, makroekonomisko rādītāju dažādus attīstības scenārijus, iestādes darbību ietekmējošo nozaru iespējamās attīstības tendences, piemēram, ieviešot inovatīvus finanšu pakalpojumus (t.sk. tehnoloģijās balstītus (FinTech)), iespējamās izmaiņas atbilstības likumos, noteikumos un standartos, konkurentu darbības un citus faktorus, kas var būtiski ietekmēt iestādes mērķu sasniegšanu. Ārējo apstākļu attīstības scenāriju analīzes gaitā iestāde veic arī stresa testēšanu (stress testing) – identificē tādus iespējamos notikumus vai iespējamās izmaiņas tirgus nosacījumos, kurām var būt negatīva ietekme uz iestādes darbību un kuras var kavēt iestādes mērķu sasniegšanu, kā arī novērtē šādu notikumu vai izmaiņu tirgus nosacījumos ietekmi uz iestādes kapitāla apmēru.

10. Iestāde izstrādā darbības plānu katram gadam, kurā norāda vismaz nākamajā gadā plānoto iestādes finansiālo stāvokli, vietu tirgū, darbības mērķus attiecīgajā periodā, darbības veidus un raksturīgākos darījumus, potenciālos riskus un pieļaujamos riska līmeņus, darbības rezultātu novērtēšanas kritērijus.

III sadaļaIestādes darbības organizācija

11. Iestāde nodrošina atbilstošu tās darbības organizāciju, t.sk.:

11.1. izveido iestādes lielumam un darbības riskiem atbilstošu un caurskatāmu organizatorisko struktūru;

11.2. izvairās no sarežģītu struktūru izveides;

11.3. nosaka iestādes korporatīvās vērtības un augstus profesionālās rīcības un ētikas standartus;

11.4. nodrošina interešu konflikta situāciju pārvaldīšanu;

11.5. nosaka un īsteno atbilstošu risku kultūru;

11.6. izstrādā darbinieku atalgojuma sistēmu, atalgojuma politiku un personāla politiku, kā arī nodrošina iestādes personāla atbilstību ieņemamajam amatam.

Organizatoriskā struktūra

12. Iestāde izveido pārskatāmu tās organizatorisko struktūru, ņemot vērā iestādes darbības apjomu, veidu, sarežģītību un specifiku, kā arī nepieciešamību nodrošināt, ka izveidotā organizatoriskā struktūra veicina atbilstību regulējošajām prasībām un citiem normatīvajiem aktiem, t.sk. noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas jomā.

12.1 Iestāde dokumentē tās organizatorisko struktūru, nosakot padomes (t.sk. padomes priekšsēdētāja un padomes komiteju), valdes (t.sk. valdes priekšsēdētāja), struktūrvienību un struktūrvienību vadītāju pienākumus (funkcijas), pilnvaras un atbildību darījumu veikšanā un kontrolē, un sagatavo darba aprakstus (dienesta instrukcijas) atbildīgajiem darbiniekiem. Dokumentējot organizatorisko struktūru, iestāde nosaka struktūrvienības, kas atbildīgas par risku kontroles funkciju, darbības atbilstības kontroles (compliance) funkciju un iekšējā audita funkciju (tālāk tekstā – iekšējās kontroles funkcijas) veikšanu iestādē, ievērojot šo noteikumu XI sadaļas prasības.

12.2 Iestāde nodrošina pārskatāmu un saprotamu valdes locekļu individuālo pienākumu (funkciju) sadali, nodrošinot iestādei būtiskāko jomu (t.sk. iestādei specifiskie darbības veidi, risku pārvaldības joma, darbības atbilstības joma, noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas pārvaldības joma) sadalījumu starp valdes locekļiem, ņemot vērā šo noteikumu X sadaļā minētās valdes funkcijas. Šajā punktā minēto individuālo pienākumu sadalījumu, ņemot vērā iestādes būtiskākās darbības jomas, ieteicams piemērot arī iestādes padomei, ņemot vērā šo noteikumu IX sadaļā minētās iestādes padomes funkcijas.

12.3 Iestāde nodrošina, ka valdes sastāvs ir atbilstoši strukturēts, ņemot vērā iestādes darbības specifiku un valdes locekļu kolektīvo un individuālo kompetenci, īstenojot samērīgu valdes locekļu, kuri atbild par kontroles jomām, pārstāvniecību.

12.4 Iestāde, dokumentējot tās organizatorisko struktūru, nosaka tiešo kontaktu (ziņošanas) kanālus starp struktūrvienību, kas veic iekšējās kontroles funkcijas, vadītājiem un padomi, kā arī attiecīgajām padomes līmeņa komitejām, ja tādas ir izveidotas.

12.5 Iestāde nodrošina, ka atbildības jomu un funkciju sadale starp iestādes padomes un valdes locekļiem ir atbilstoša izveidotajai organizatoriskajai struktūrai, kā arī nodrošina struktūrvienību, kas veic iekšējās kontroles funkcijas, atbildīgo darbinieku hierarhiski atbilstošu vietu iestādes organizatoriskajā struktūrā, ņemot vērā šajos noteikumos paredzētās neatkarības un autoritātes prasības, t.sk. iestāde nodrošina, ka tās organizatoriskajā struktūrā:

12.51. iekšējā audita funkcija neatrodas valdes pakļautībā;

12.52. risku kontroles funkcijas un darbības atbilstības kontroles funkcijas vadītāji ieņem vienu no šādiem amatiem:

12.52.1. valdes loceklis;

12.52.2. augstākās vadības struktūrvienības vadītājs, kurš ir organizatoriski un funkcionāli tieši pakļauts atbilstošajam valdes loceklim, ja tiek ievērotas šo noteikumu 62. punkta prasības par iekšējās kontroles funkciju neatkarību no iestādes darbībām, kuras tās kontrolē;

12.53. tiek nodrošināta iekšējās kontroles funkciju veicēju neatkarība no biznesa funkcijām, t.sk. tiek nodrošināts, ka valdes priekšsēdētājs vienlaikus nav atbildīgs par risku kontroles funkcijas, darbības atbilstības kontroles funkcijas un par noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas prasību izpildi atbildīgās personas pienākumu veikšanu vai pārraudzību.

12.6 Iestāde nodrošina, ka tās organizatoriskā struktūra tiek pārskatīta ne retāk kā reizi gadā un pēc nepieciešamības atjaunota.

13. Dokumentējot organizatorisko struktūru, iestāde nosaka pārskatu sniegšanas un informācijas apmaiņas kārtību iestādē, t.sk. nosaka, kādu informāciju, kam un kad ir pienākums sniegt un saņemt un kāda informācija ir konfidenciāla un aizsargājama saskaņā ar Komisijas 02.03.2016. normatīvajos noteikumos Nr. 40 "Normatīvie noteikumi par informācijas būtiskumu, aizsargājamu un konfidenciālu informāciju un par informācijas atklāšanas periodiskumu" noteikto.

13.1 Iestāde nodrošina efektīvu un savlaicīgu visas iestādes struktūrvienību darbības nodrošināšanai nepieciešamās informācijas apmaiņu starp šīm struktūrvienībām, t.sk. iestādes padomi un valdi un iekšējās kontroles funkciju struktūrvienībām.

13.2 Iestāde nodrošina, ka tās padomes un valdes locekļi pārzina būtiskos ar iestādes darbības organizāciju saistītos aspektus, finansiālo stāvokli un risku novērtējumu, kā arī ir informēti par visiem lēmumiem, kuriem ir būtiska ietekme uz iestādes darbību.

13.3 Iestāde, kura ir mātes sabiedrība, nodrošina:

13.31. informācijas apmaiņu starp grupā esošajām sabiedrībām;

13.32. atbilstošu un pārskatāmu grupas kopējo struktūru;

13.33. grupas ietvaros esošo sabiedrību risku veidu un apmēra atbilstību grupas stratēģijā noteiktajam riska profilam;

13.34. grupas ietvaros esošo sabiedrību darbības atbilstību grupas kopējai noteiktajai darbības stratēģijai un regulējošajām prasībām individuāli un prudenciālās konsolidācijas grupas ietvaros vai subkonsolidēti, vienlaikus ņemot vērā šo noteikumu 2.1 punktā minēto attiecībā uz sabiedrībām, kurām nav tieši saistoši tiesību akti, kas pārņem Direktīvas 2013/36/ES prasības.

14. Nosakot darbinieku pienākumus un piešķirot tiem pilnvaras, ievēro pienākumu dalīšanas principu, kas izpaužas kā to pienākumu (funkciju) nodalīšana, kas, ja tos apvienotu, ļautu kādam darbiniekam vienpersoniski veikt kādu darījumu pilnībā.

15. Dokumentējot pilnvaru piešķiršanu, norāda piešķirto pilnvaru veidu, personas (norādot amatu) un struktūrvienības, kam piešķirtas pilnvaras, pārpilnvarojuma tiesības, kā arī visus piešķirto pilnvaru izmantošanas ierobežojumus. Iestāde, piešķirot darbiniekiem pilnvaras, nodrošina, ka darbinieki tiek iepazīstināti ar tiem piešķirtā pilnvarojuma apjomu.

16. Ikviena darījuma veikšanai ir nepieciešama attiecīgā iestādes darbinieka vai amatpersonas atļauja vai rīkojums vai iestādes struktūrvienības (piemēram, komitejas) lēmums saskaņā ar organizatoriskajā struktūrā noteiktajiem atbildības līmeņiem. Iestāde, kas izmanto digitālo tehnoloģiju risinājumus darījumu vērtēšanai un apstiprināšanai, nosaka piemērotus limitus šādu darījumu apmēram un nodrošina, ka regulāri tiek veikta šādu darījumu pārbaude, kā arī tiek izvērtēta automatizēti pieņemto lēmumu atbilstība iestādes risku stratēģijai.

17. Kredītiestādes aktīvu ieķīlāšanu, ja viena vai vairāku šādu acīmredzami saistītu darījumu kopējā summa pārsniedz 10 procentus no kredītiestādes atbilstošā pašu kapitāla, izskata un apstiprina kredītiestādes valde, izņemot šādus darījumus:

17.1. repo darījumus;

17.2. noguldījumus, lai nodrošinātu maksājumu karšu norēķinus;

17.3. akreditīvus;

17.4. galvojumus, kuri nodrošināti ar klienta sniegto nodrošinājumu un kuru pamatā ir aizdevums starp kredītiestādi un klientu;

17.5. darījumus, kuros valdes lēmuma pieņemšana ir neiespējama, jo lēmuma par darījuma noslēgšanu pieņemšanai ir nepieciešama operatīva darbība (viena darba diena), bet kuri tiek slēgti valdes iepriekš apstiprinātu limitu ietvaros.

18. Būtiskiem darbības veidiem iestāde izstrādā un dokumentē darījumu veikšanas un kontroles kārtību (operacionālās procedūras). Operacionālās procedūras ietver vismaz darījuma veicēja pilnvarošanas kārtību (t.sk. norāda dokumentus, kurus nepieciešams noformēt lēmumu pieņemšanas procesā, līdz tiek apstiprināta darījuma veikšana, un atbildīgos darbiniekus vai amatpersonas, kuras apliecina attiecīgo lēmumu pieņemšanu), ierobežojumu noteikšanu, lai nodrošinātu darījuma atbilstību iestādes politikai un atbilstības likumiem, noteikumiem un standartiem, kā arī darījuma apstrādes un kontroles kārtību.

Sarežģītas struktūras pārskatāmība

18.1 Iestāde izvairās no tādu struktūrvienību vai meitas sabiedrību izveides, kuras ierobežo iestādes darbības caurskatāmību un prudenciālās konsolidācijas grupas struktūras caurskatāmību un kuru izveidei nav racionāla ekonomiska pamatojuma. Iestāde ņem vērā, ka šādu struktūrvienību vai meitas sabiedrību izveide rada paaugstinātu risku veidoties saiknei ar finanšu noziegumiem (t.sk. veicina noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas risku palielināšanos), kā arī šādas struktūras var atstāt negatīvu ietekmi uz iestādes reputāciju.

18.2 Iestāde, apsverot tādu struktūrvienību vai meitas sabiedrību, kas ierobežotu iestādes darbības caurskatāmību un prudenciālās konsolidācijas grupas kopējās struktūras caurskatāmību, izveidi, ņem vērā:

18.21. jurisdikcijas, kurā plānots izveidot attiecīgo struktūrvienību vai meitas sabiedrību, atbilstību Eiropas Savienības un starptautiskajiem standartiem par pārredzamu nodokļu sistēmu (tax transparency) un atbilstību noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas standartiem, kā arī citiem standartiem, kas vērsti uz ekonomisko un finanšu noziegumu ierobežošanu;

18.22. plānotās veidojamās sarežģītās struktūras ekonomisko un juridisko pamatotību, t.sk., ja šādas struktūras izveide izriet no klienta vai klientu grupas pieprasījuma;