Zaudējis spēku - Iekšējās kontroles sistēmas izveides normatīvie noteikumi

Finanšu un kapitāla tirgus komisijas normatīvie noteikumi Nr. 227Rīgā 2020. gada 1. decembrī(Finanšu un kapitāla tirgus komisijas padomessēdes protokols Nr. 51 2. p.)

Izdoti saskaņā ar Kredītiestāžu likuma34.1 panta otro daļu

1. "Iekšējās kontroles sistēmas izveides normatīvie noteikumi" (tālāk tekstā – noteikumi) ir saistoši Latvijas Republikā reģistrētām kredītiestādēm un tām Latvijas Republikā reģistrētajām ieguldījumu brokeru sabiedrībām, kuras ir minētas Eiropas Parlamenta un Padomes 2019. gada 27. novembra Regulas (ES) 2019/2033 par prudenciālajām prasībām ieguldījumu brokeru sabiedrībām un ar ko groza Regulas (ES) Nr. 1093/2010, (ES) Nr. 575/2013, (ES) Nr. 600/2014 un (ES) Nr. 806/2014 (tālāk tekstā – ES regula Nr. 2019/2033) 1. panta 2. un 5. punktā, (tālāk tekstā abas kopā – iestāde).

2. (Svītrots ar FKTK 06.12.2022. noteikumiem Nr. 211)

3. Noteikumu 1. punktā minētās iestādes ievēro šo noteikumu I, II, III, IV, VI, VII, VIII, IX, X un XI sadaļas prasības individuāli un konsolidācijas grupas līmenī vai subkonsolidēti un šo noteikumu V sadaļas prasības konsolidācijas grupas līmenī vai subkonsolidēti saskaņā ar Kredītiestāžu likuma 50.8 un 50.9 pantu.

4. Iestāde, kas ir mātes sabiedrība, nodrošina grupas līmeņa politiku ieviešanu iekšējās kontroles sistēmas izveides jomā attiecībā uz visām meitas sabiedrībām, kas iekļautas konsolidācijas grupā (tālāk tekstā – prudenciālās konsolidācijas grupa) saskaņā ar Eiropas Parlamenta un Padomes 2013. gada 26. jūnija Regulu (ES) Nr. 575/2013 par prudenciālajām prasībām attiecībā uz kredītiestādēm, un ar ko groza Regulu (ES) Nr. 648/2012 (tālāk tekstā – ES regula Nr. 575/2013), ņemot vērā attiecīgās valsts, kurā atrodas meitas sabiedrība, normatīvo aktu prasības, kā arī uzrauga to īstenošanu. Mātes sabiedrība un prudenciālās konsolidācijas grupā ietilpstošās meitas sabiedrības nodrošina attiecīgo grupas līmeņa politiku ieviešanu arī tādās to meitas sabiedrībās, kurām nav saistoši tiesību akti, kas pārņem Eiropas Parlamenta un Padomes 2013. gada 26. jūnija Direktīvas 2013/36/ES par piekļuvi kredītiestāžu darbībai un kredītiestāžu prudenciālo uzraudzību, ar ko groza Direktīvu 2002/87/EK un atceļ Direktīvas 2006/48/EK un 2006/49/EK, (tālāk tekstā – Direktīva 2013/36/ES) prasības, ņemot vērā attiecīgās valsts, kurā atrodas meitas sabiedrība, normatīvo aktu prasības, kā arī uzrauga to īstenošanu.

5. Noteikumos lietoto terminu skaidrojums:

5.1. atbilstības likumi, noteikumi un standarti (compliance laws, rules and standards) – iestādes darbību regulējošie likumi un citi tiesību akti, ar iestādes darbību saistītie pašregulējošo institūciju noteiktie standarti, profesionālās rīcības un ētikas kodeksi un citi ar iestādes darbību saistīti labākās prakses standarti;

5.2. nozīmīga iestāde – iestāde, kuru Finanšu un kapitāla tirgus komisija (tālāk tekstā – Komisija) atbilstoši Kredītiestāžu likumā noteiktajam ir atzinusi par globāli sistēmiski nozīmīgu iestādi vai citu sistēmiski nozīmīgu iestādi;

5.3. amatpersona – iestādes padomes vai valdes loceklis vai persona, kura iestādē pilda pamatfunkciju;

5.4. riska profils – iestādes risku novērtējums, ņemot vērā tās lielumu, veikto darījumu apmēru, to dažādību un sarežģītību, ekonomisko vidi, kurā iestāde darbojas, kā arī ekonomisko ciklu;

5.5. risku direktors – iestādes amatpersona, kura ir atbildīga par visaptverošas risku kontroles funkcijas veikšanu iestādē, uzrauga risku pārvaldīšanas sistēmu un koordinē visu iestādes struktūrvienību darbības, kuras saistītas ar risku pārvaldīšanu;

5.6. personas, kuras pilda pamatfunkcijas – personas (darbinieki), kuru amata stāvoklis dod tām iespēju būtiski ietekmēt iestādes darbības virzību, bet kuras nav iestādes padomes vai valdes locekļi. Personas, kuras pilda pamatfunkcijas, ir, piemēram, iestādei specifisko darbības veidu vadītāji, iestādes izveidoto filiāļu vai meitas sabiedrību citā dalībvalstī vadītāji, atbalsta un iekšējās kontroles funkciju vadītāji, t.sk. risku direktors, par darbības atbilstības kontroli atbildīgā persona, iekšējā audita funkcijas vadītājs, par noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas prasību izpildi atbildīgā persona, prokūrists, sabiedrības kontrolieris;

5.7. ar iestādes vadību saistītās personas – iestādes akcionāri vai dalībnieki, kuriem iestādē ir būtiska līdzdalība, un šo akcionāru vai dalībnieku – fizisko personu – laulātie, vecāki un bērni, iestādes padomes un valdes locekļi, šo personu laulātie, vecāki un bērni, kā arī komercsabiedrības, kurās minētajām personām ir būtiska līdzdalība vai būtiska ietekme vai kurās šīs personas ieņem vadošus amatus vai ir valdes vai padomes locekļi.

5.1 Pārējo terminu lietojums atbilst Kredītiestāžu likuma, Ieguldījumu brokeru sabiedrību likuma, Komisijas normatīvo noteikumu par kapitāla un likviditātes pietiekamības novērtēšanas procesa izveidi, ES regulas Nr. 575/2013 un ES regulas Nr. 2019/2033 terminu lietojumam.

I sadaļaVispārējās prasības iekšējās kontroles sistēmas veidošanai

6. Iekšējās kontroles sistēmu iestāde organizē tā, lai iestādes vadībai būtu pamatota pārliecība, ka iestādes aktīvi ir nodrošināti pret zaudējumiem un nesankcionētu valdīšanu un lietošanu, iestādes darbības riski tiek pastāvīgi identificēti un pārvaldīti, iestādes kapitāls apmēra, elementu un to īpatsvara ziņā ir pietiekams iestādes darbībai piemītošo un varbūtējo risku segšanai, darījumi notiek saskaņā ar iestādē noteikto kārtību, iestāde darbojas saprātīgi, piesardzīgi un efektīvi, pilnībā ievērojot likumu un citu tiesību aktu prasības.

7. Iestāde iekšējās kontroles sistēmu veido, ņemot vērā tās lielumu, veikto darījumu apmēru, to dažādību un sarežģītību, risku lielumu saistībā ar katru darbības sfēru, pārvaldes centralizācijas pakāpi, informācijas tehnoloģiju u.c. faktorus, kuri ir būtiski konkrētās iestādes darbības mērķu īstenošanai. Šajā punktā minētos principus iestāde nepiemēro, nodrošinot šo noteikumu 28. punkta prasību izpildi.

8. Par iestādes iekšējās kontroles sistēmas izveidi un efektīvu funkcionēšanu atbild iestādes padome un valde. Iestāde izveido efektīvu sadarbības mehānismu starp iestādes padomi un valdi, lai nodrošinātu pietiekamu informācijas apriti to funkciju veikšanai.

9. Iekšējās kontroles sistēmas pamatelementi ir:

9.1. iestādes attīstības stratēģijas noteikšana, darbības plānošana katram gadam un tālākai nākotnei;

9.2. iestādes darbības organizācija;

9.3. visu iestādes darbībā radušos būtisko risku identificēšana un pārvaldīšana, t.sk. mērīšana, novērtēšana, kontrole un risku pārskatu sniegšana;

9.4. kapitāla pietiekamības novērtēšanas process;

9.5. grāmatvedības uzskaite;

9.6. vadības informācijas sistēma;

9.7. aktīvu un informācijas sistēmu aizsardzība;

9.8. iekšējās kontroles sistēmas regulāra pārskatīšana, efektivitātes novērtēšana un pilnveidošana atbilstoši izmaiņām iestādes darbībā un iestādes darbību ietekmējošajos ārējos apstākļos;

9.9. atalgojuma sistēma;

9.10. darbības atbilstības nodrošināšana;

9.11. ārpakalpojumu izmantošanas pārvaldība, ja iestāde tos izmanto;

9.12. jaunu finanšu pakalpojumu vai būtisku izmaiņu esošajos finanšu pakalpojumos pārvaldība.

II sadaļaAttīstības stratēģijas noteikšana un darbības plānošana

10. Iestāde izstrādā un dokumentē tās attīstības stratēģiju, kurā nosaka:

10.1. darbības mērķus, t.sk. plānoto finansiālo stāvokli, darbības veidus, mērķa tirgus, mērķa klientus;

10.2. risku stratēģiju, t.sk. iestādes riska profilu un riskus, kurus iestāde vēlas uzņemties (risk appetite), pieļaujamo risku līmeni (risk tolerance) un galējo iespējamo risku līmeni, kuru iestāde spēj segt ar tai pieejamajiem resursiem (risk capacity), rīcību pieļaujamā risku līmeņa ievērošanas nodrošināšanai, kā arī iestādes rīcību gadījumā, ja riska profils pārsniedz pieļaujamo risku līmeni;

10.3. kapitāla pietiekamības uzturēšanas stratēģiju, t.sk. ar iestādes plānoto darbību saistīto risku segšanai nepieciešamā kapitāla apmēru, vēlamo kapitāla līmeni (kapitāla pietiekamības mērķus) un tā sasniegšanas plānu, kapitāla palielināšanas avotus, paredzamos izdevumus papildu kapitāla piesaistīšanai, kapitāla pietiekamību regulējošo prasību ievērošanas nodrošināšanas plānu, kapitāla pietiekamības uzturēšanas plānu ārkārtas gadījumos;

10.4. mērķus likviditātes pārvaldības jomā, ņemot vērā iestādes darbību raksturojošos rādītājus un finansiālo stāvokli, kā arī regulējošās prasības.

11. Nosakot kapitāla pietiekamības uzturēšanas stratēģiju, iestāde analizē, izvērtē un dokumentē iespējamos iestādes darbības attīstības scenārijus atkarībā no dažādiem ārējo apstākļu attīstības scenārijiem, ņemot vērā valstu, kurās iestāde veic vai plāno veikt savu darbību, makroekonomisko rādītāju dažādus attīstības scenārijus, iestādes darbību ietekmējošo nozaru iespējamās attīstības tendences, piemēram, ieviešot inovatīvus finanšu pakalpojumus (t.sk. tehnoloģijās balstītus (FinTech)), iespējamās izmaiņas atbilstības likumos, noteikumos un standartos, konkurentu darbības un citus faktorus, kas var būtiski ietekmēt iestādes mērķu sasniegšanu. Ārējo apstākļu attīstības scenāriju analīzes gaitā iestāde veic arī stresa testēšanu (stress testing) – identificē tādus iespējamos notikumus vai iespējamās izmaiņas tirgus nosacījumos, kurām var būt negatīva ietekme uz iestādes darbību un kuras var kavēt iestādes mērķu sasniegšanu, kā arī novērtē šādu notikumu vai izmaiņu tirgus nosacījumos ietekmi uz iestādes kapitāla apmēru.

12. Iestāde izstrādā darbības plānu katram gadam, kurā norāda vismaz nākamajā gadā plānoto iestādes finansiālo stāvokli, vietu tirgū, darbības mērķus attiecīgajā periodā, darbības veidus un raksturīgākos darījumus, potenciālos riskus un pieļaujamos risku līmeņus, darbības rezultātu novērtēšanas kritērijus.

III sadaļaIestādes darbības organizācija

13. Iestāde nodrošina atbilstošu tās darbības organizāciju, t.sk.:

13.1. izveido iestādes lielumam un darbības riskiem atbilstošu un caurskatāmu organizatorisko struktūru;

13.2. izvairās no sarežģītu struktūru izveides;

13.3. nosaka iestādes korporatīvās vērtības un augstus profesionālās rīcības un ētikas standartus;

13.4. nodrošina interešu konflikta situāciju pārvaldīšanu;

13.5. nosaka un īsteno atbilstošu risku kultūru;

13.6. izstrādā darbinieku atalgojuma sistēmu, atalgojuma politiku un personāla politiku, kā arī nodrošina iestādes personāla atbilstību ieņemamajam amatam.

Organizatoriskā struktūra

14. Iestāde izveido pārskatāmu tās organizatorisko struktūru, ņemot vērā iestādes darbības apjomu, veidu, sarežģītību un specifiku, kā arī nepieciešamību nodrošināt, ka izveidotā organizatoriskā struktūra veicina atbilstību regulējošajām prasībām un citiem normatīvajiem aktiem, t.sk. noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas jomā.

15. Iestāde dokumentē tās organizatorisko struktūru, nosakot padomes (t.sk. padomes priekšsēdētāja un padomes komiteju), valdes (t.sk. valdes priekšsēdētāja), struktūrvienību un struktūrvienību vadītāju pienākumus (funkcijas), pilnvaras un atbildību darījumu veikšanā un kontrolē, un sagatavo darba aprakstus (dienesta instrukcijas) atbildīgajiem darbiniekiem. Dokumentējot organizatorisko struktūru, iestāde nosaka struktūrvienības, kas atbildīgas par risku kontroles funkciju, darbības atbilstības kontroles (compliance) funkciju un iekšējā audita funkciju (tālāk tekstā – iekšējās kontroles funkcijas) veikšanu iestādē, ievērojot šo noteikumu XI sadaļas prasības.

16. Iestāde nodrošina pārskatāmu un saprotamu valdes locekļu individuālo pienākumu (funkciju) sadali, nodrošinot iestādei būtiskāko jomu (t.sk. iestādei specifiskie darbības veidi, risku pārvaldības joma, darbības atbilstības joma, noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas pārvaldības joma) sadalījumu starp valdes locekļiem, ņemot vērā šo noteikumu X sadaļā minētās valdes funkcijas. Šajā punktā minēto individuālo pienākumu sadalījumu, ņemot vērā iestādes būtiskākās darbības jomas, ieteicams piemērot arī iestādes padomei, ņemot vērā šo noteikumu IX sadaļā minētās iestādes padomes funkcijas.

17. Iestāde nodrošina, ka valdes sastāvs ir atbilstoši strukturēts, ņemot vērā iestādes darbības specifiku un valdes locekļu kolektīvo un individuālo kompetenci, īstenojot samērīgu valdes locekļu, kuri atbild par kontroles jomām, pārstāvniecību.

18. Iestāde, dokumentējot tās organizatorisko struktūru, nosaka tiešo kontaktu (ziņošanas) kanālus starp struktūrvienību, kas veic iekšējās kontroles funkcijas, vadītājiem un padomi, kā arī attiecīgajām padomes līmeņa komitejām, ja tādas ir izveidotas.

19. Iestāde nodrošina, ka atbildības jomu un funkciju sadale starp iestādes padomes un valdes locekļiem ir atbilstoša izveidotajai organizatoriskajai struktūrai, kā arī nodrošina struktūrvienību, kas veic iekšējās kontroles funkcijas, atbildīgo darbinieku hierarhiski atbilstošu vietu iestādes organizatoriskajā struktūrā, ņemot vērā šajos noteikumos paredzētās neatkarības un autoritātes prasības, t.sk. iestāde nodrošina, ka tās organizatoriskajā struktūrā:

19.1. iekšējā audita funkcija neatrodas valdes pakļautībā;

19.2. risku kontroles funkcijas un darbības atbilstības kontroles funkcijas vadītāji ieņem vienu no šādiem amatiem:

19.2.1. valdes loceklis;

19.2.2. augstākās vadības struktūrvienības vadītājs, kurš ir organizatoriski un funkcionāli tieši pakļauts atbilstošajam valdes loceklim, ja tiek ievērotas šo noteikumu 118. punkta prasības par iekšējās kontroles funkciju neatkarību no iestādes darbībām, kuras tās kontrolē;

19.3. tiek nodrošināta iekšējās kontroles funkciju veicēju neatkarība no biznesa funkcijām, t.sk. tiek nodrošināts, ka valdes priekšsēdētājs vienlaikus nav atbildīgs par risku kontroles funkcijas, darbības atbilstības kontroles funkcijas un par noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas prasību izpildi atbildīgās personas pienākumu veikšanu vai pārraudzību.

20. Iestāde nodrošina, ka tās organizatoriskā struktūra tiek pārskatīta ne retāk kā reizi gadā un pēc nepieciešamības atjaunota.

21. Dokumentējot organizatorisko struktūru, iestāde nosaka pārskatu sniegšanas un informācijas apmaiņas kārtību iestādē, t.sk. nosaka, kādu informāciju, kam un kad ir pienākums sniegt un saņemt un kāda informācija ir konfidenciāla un aizsargājama saskaņā ar Komisijas normatīvajos noteikumos par informācijas būtiskumu, aizsargājamu un konfidenciālu informāciju un par informācijas atklāšanas periodiskumu noteikto.

22. Iestāde nodrošina efektīvu un savlaicīgu visas iestādes struktūrvienību darbības nodrošināšanai nepieciešamās informācijas apmaiņu starp šīm struktūrvienībām, t.sk. iestādes padomi un valdi un iekšējās kontroles funkciju struktūrvienībām.

23. Iestāde nodrošina, ka tās padomes un valdes locekļi pārzina būtiskos ar iestādes darbības organizāciju saistītos aspektus, finansiālo stāvokli un risku novērtējumu, kā arī ir informēti par visiem lēmumiem, kuriem ir būtiska ietekme uz iestādes darbību.

24. Iestāde, kura ir mātes sabiedrība, nodrošina:

24.1. informācijas apmaiņu starp grupā esošajām sabiedrībām;

24.2. atbilstošu un pārskatāmu grupas kopējo struktūru;

24.3. grupas ietvaros esošo sabiedrību risku veidu un apmēra atbilstību grupas stratēģijā noteiktajam riska profilam;

24.4. grupas ietvaros esošo sabiedrību darbības atbilstību grupas kopējai noteiktajai darbības stratēģijai un regulējošajām prasībām individuāli un prudenciālās konsolidācijas grupas ietvaros vai subkonsolidēti, vienlaikus ņemot vērā šo noteikumu 4. punktā minēto attiecībā uz sabiedrībām, kurām nav tieši saistoši tiesību akti, kas pārņem Direktīvas 2013/36/ES prasības.

25. Nosakot darbinieku pienākumus un piešķirot tiem pilnvaras, ievēro pienākumu dalīšanas principu, kas izpaužas kā to pienākumu (funkciju) nodalīšana, kas, ja tos apvienotu, ļautu kādam darbiniekam vienpersoniski veikt kādu darījumu pilnībā.

26. Dokumentējot pilnvaru piešķiršanu, norāda piešķirto pilnvaru veidu, personas (norādot amatu) un struktūrvienības, kam piešķirtas pilnvaras, pārpilnvarojuma tiesības, kā arī visus piešķirto pilnvaru izmantošanas ierobežojumus. Iestāde, piešķirot darbiniekiem pilnvaras, nodrošina, ka darbinieki tiek iepazīstināti ar tiem piešķirtā pilnvarojuma apjomu.

27. Ikviena darījuma veikšanai ir nepieciešama attiecīgā iestādes darbinieka vai amatpersonas atļauja vai rīkojums vai iestādes struktūrvienības (piemēram, komitejas) lēmums saskaņā ar organizatoriskajā struktūrā noteiktajiem atbildības līmeņiem. Iestāde, kas izmanto digitālo tehnoloģiju risinājumus darījumu vērtēšanai un apstiprināšanai, nosaka piemērotus limitus šādu darījumu apmēram un nodrošina, ka regulāri tiek veikta šādu darījumu pārbaude, kā arī tiek izvērtēta automatizēti pieņemto lēmumu atbilstība iestādes risku stratēģijai.

28. Kredītiestādes aktīvu ieķīlāšanu, ja viena vai vairāku šādu acīmredzami saistītu darījumu kopējā summa pārsniedz 10 procentus no kredītiestādes atbilstošā pašu kapitāla, izskata un apstiprina kredītiestādes valde, izņemot šādus darījumus:

28.1. repo darījumus;

28.2. noguldījumus, lai nodrošinātu maksājumu karšu norēķinus;

28.3. akreditīvus;

28.4. galvojumus, kuri nodrošināti ar klienta sniegto nodrošinājumu un kuru pamatā ir aizdevums starp kredītiestādi un klientu;

28.5. darījumus, kuros valdes lēmuma pieņemšana ir neiespējama, jo lēmuma par darījuma noslēgšanu pieņemšanai ir nepieciešama operatīva darbība (viena darba diena), bet kuri tiek slēgti valdes iepriekš apstiprinātu limitu ietvaros.

29. Būtiskiem darbības veidiem iestāde izstrādā un dokumentē darījumu veikšanas un kontroles kārtību (operacionālās procedūras). Operacionālās procedūras ietver vismaz darījuma veicēja pilnvarošanas kārtību (t.sk. norāda dokumentus, kurus nepieciešams noformēt lēmumu pieņemšanas procesā, līdz tiek apstiprināta darījuma veikšana, un atbildīgos darbiniekus vai amatpersonas, kuras apliecina attiecīgo lēmumu pieņemšanu), ierobežojumu noteikšanu, lai nodrošinātu darījuma atbilstību iestādes politikai un atbilstības likumiem, noteikumiem un standartiem, kā arī darījuma apstrādes un kontroles kārtību.

Sarežģītas struktūras pārskatāmība

30. Iestāde izvairās no tādu struktūrvienību vai meitas sabiedrību izveides, kuras ierobežo iestādes darbības caurskatāmību un prudenciālās konsolidācijas grupas struktūras caurskatāmību un kuru izveidei nav racionāla ekonomiska pamatojuma. Iestāde ņem vērā, ka šādu struktūrvienību vai meitas sabiedrību izveide rada paaugstinātu risku veidoties saiknei ar finanšu noziegumiem (t.sk. veicina noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas risku palielināšanos), kā arī šādas struktūras var atstāt negatīvu ietekmi uz iestādes reputāciju.

31. Iestāde, apsverot tādu struktūrvienību vai meitas sabiedrību, kas ierobežotu iestādes darbības caurskatāmību un prudenciālās konsolidācijas grupas kopējās struktūras caurskatāmību, izveidi, ņem vērā:

31.1. jurisdikcijas, kurā plānots izveidot attiecīgo struktūrvienību vai meitas sabiedrību, atbilstību Eiropas Savienības un starptautiskajiem standartiem par pārredzamu nodokļu sistēmu (tax transparency) un atbilstību noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas standartiem, kā arī citiem standartiem, kas vērsti uz ekonomisko un finanšu noziegumu ierobežošanu;