## Odluka o sustavu unutarnjih kontrola

### NN 1/2009 (2.1.2009.), Odluka o sustavu unutarnjih kontrola

HRVATSKA NARODNA BANKA

33

Na temelju članka 180. stavka 2. Zakona o kreditnim institucijama (»Narodne novine«, br. 117/2008.) i članka 43. stavka 2. točke 9. Zakona o Hrvatskoj narodnoj banci (»Narodne novine«, br. 75/2008.) guverner Hrvatske narodne banke donosi

ODLUKU

O SUSTAVU UNUTARNJIH KONTROLA

1. OPĆE ODREDBE

Predmet i obuhvat

Članak 1.

(1) Ovom se Odlukom uređuju minimalni zahtjevi za uspostavu primjerenog i djelotvornog sustava unutarnjih kontrola te opseg i način obavljanja poslova kontrolnih funkcija.

(2) Odredbe ove Odluke primjenjuju se na kreditne institucije sa sjedištem u Republici Hrvatskoj koje su od Hrvatske narodne banke dobile odobrenje za rad.

(3) Odredbe ove Odluke na odgovarajući način primjenjuju se na podružnice kreditnih institucija iz trećih država koje su od Hrvatske narodne banke dobile odobrenje za pružanje usluga i institucije za elektronički novac.

(4) Odredbe ove Odluke kreditna institucija dužna je primjenjivati na pojedinačnoj osnovi a na konsolidiranoj osnovi u skladu s Odlukom o superviziji grupe kreditnih institucija na konsolidiranoj osnovi.

2. SUSTAV UNUTARNJIH KONTROLA

Sustav unutarnjih kontrola

Članak 2.

(1) Sustav unutarnjih kontrola je skup procesa i postupaka uspostavljenih za adekvatnu kontrolu rizika, praćenje učinkovitosti i djelotvornosti poslovanja kreditne institucije, pouzdanosti njezinih financijskih i ostalih informacija te usklađenosti s propisima, internim aktima, standardima i kodeksima radi osiguranja stabilnosti poslovanja kreditne institucije.

(2) Kreditna institucija dužna je uspostaviti i provoditi djelotvoran sustav unutarnjih kontrola u svim područjima poslovanja koji obuhvaća najmanje:

1) primjeren organizacijski ustroj,

2) organizacijsku kulturu,

3) adekvatne kontrolne aktivnosti i podjelu dužnosti,

4) prikladne unutarnje kontrole integrirane u poslovne procese i aktivnosti kreditne institucije,

5) prikladne administrativne i računovodstvene postupke i

6) poslove u djelokrugu kontrolnih funkcija kreditne institucije.

(3) Kreditna institucija dužna je propisati i uspostaviti adekvatne kontrolne aktivnosti i podjelu dužnosti, prikladne unutarnje kontrole te prikladne administrativne i računovodstvene postupke iz stavka 2. točaka 3. do 5. ovog članka koji se moraju provoditi u sklopu redovitih aktivnosti kreditne institucije.

(4) U uspostavi i provođenju sustava unutarnjih kontrola trebaju na primjeren način sudjelovati svi radnici, više rukovodstvo, uprava i nadzorni odbor kreditne institucije.

(5) Unutarnje kontrole, uključujući administrativne i računovodstvene postupke iz stavka 2. ovog članka, osobito se odnose:

1) na izračunavanje i preispitivanje kapitalnih zahtjeva za rizike u skladu sa člankom 114. stavak 1. točka 2. Zakona o kreditnim institucijama,

2) na utvrđivanje i praćenje velikih izloženosti, promjene u velikim izloženostima i provjeravanje usklađenosti velikih izloženosti s politikama kreditne institucije u odnosu na tu vrstu izloženosti u skladu s člankom 114. Zakona o kreditnim institucijama,

3) na vođenje poslovnih knjiga, ostale poslovne dokumentacije i evidencija, vrednovanje imovine i obveza te sastavljanje, objavu i dostavu godišnjih financijskih izvještaja u skladu s člancima 171. do 175. Zakona o kreditnim institucijama i drugih izvješća prema važećim propisima i standardima struke,

4) na procese kojima se osigurava pravodobnost, valjanost i točnost javno objavljenih informacija u skladu s člankom 178. stavkom 2. Zakona o kreditnim institucijama,

5) na upravljačke, logičke i fizičke kontrole u informacijskom sustavu, uključujući kontrole i postupke u skladu s člankom 207. stavkom 2. Zakona o kreditnim institucijama,

6) na postupke provjere ispravnosti podataka i informacija potrebnih za superviziju na konsolidiranoj osnovi u skladu s člankom 286. stavkom 1. Zakona o kreditnim institucijama,

7) na sustav izvještavanja i postupke nadzora nad unutargrupnim transakcijama u skladu s člankom 297. stavkom 2. točkom 1. Zakona o kreditnim institucijama i

8) izvještavanje nadzornih i drugih tijela u skladu sa Zakonom o kreditnim institucijama, podzakonskim aktima donesenim na temelju tog Zakona i drugim relevantnim propisima i

9) procjenu učinka eksternalizacije poslovnih aktivnosti na sustav unutarnjih kontrola.

(6) Kreditna institucija dužna je pravodobno utvrditi područja poslovanja u kojima postoji mogući sukob interesa te osigurati da se na odgovarajući način spriječi sukob interesa u bilo kojem obliku.

3. KONTROLNE FUNKCIJE

Kontrolne funkcije

Članak 3.

(1) Kreditna institucija dužna je uspostaviti tri kontrolne funkcije:

1) funkciju kontrole rizika,

2) funkciju praćenja usklađenosti i

3) funkciju unutarnje revizije.

(2) Kreditna institucija dužna je uspostaviti stalne i djelotvorne kontrolne funkcije neovisne o poslovnim procesima i aktivnostima u kojima rizik nastaje odnosno koje prati i nadzire, razmjerno svojoj veličini te vrsti, opsegu i složenosti poslovanja u skladu sa svojim profilom rizičnosti,

(3) Kreditna institucija dužna je organizirati funkciju unutarnje revizije kao poseban organizacijski dio, funkcionalno i organizacijski neovisnu o aktivnostima koje revidira i o drugim organizacijskim dijelovima kreditne institucije, a u skladu sa Zakonom o kreditnim institucijama i propisima donesenim na temelju tog Zakona.

(4) Kreditna institucija dužna je organizirati kontrolne funkcije na način da pokrije sve značajne rizike kojima jest ili kojima bi mogla biti izložena kreditna institucija u svom poslovanju.

(5) Kreditna institucija dužna je uspostaviti kontrolne funkcije na način da se izbjegne sukob interesa.

(6) Kontrolne funkcije trebaju osigurati usklađenost poslovanja kreditne institucije sa strategijama i politikama i ostalim internim aktima o upravljanju rizicima.

(7) Uprava kreditne institucije dužna je periodično, a najmanje jedanput godišnje, preispitati primjerenost postupaka te djelotvornost kontrolnih funkcija.

(8) Nadzorni odbor kreditne institucije dužan je preispitati primjerenost postupaka i djelotvornost unutarnje revizije.

(9) Pojedina kontrolna funkcija ne može biti organizirana u sklopu druge kontrolne funkcije.

(10) Kreditna institucija može obavljanje dijela poslova kontrolnih funkcija povjeriti pružatelju usluga u skladu s člancima 164. do 166. Zakona o kreditnim institucijama i propisima donesenim na temelju tog Zakona.

(11) Iznimno od stavka 10. ovoga članka, kreditna institucija može obavljanje unutarnje revizije eksternalizirati u skladu s člankom 183. stavcima 2. do 4. Zakona o kreditnim institucijama.

Akt o kontrolnoj funkciji

Članak 4.

(1) Kreditna institucija dužna je internim aktom za svaku kontrolnu funkciju propisati najmanje:

1) ciljeve, opseg i način rada kontrolne funkcije,

2) organizacijski ustroj i uloga kontrolne funkcije,

3) položaj kontrolne funkcije unutar kreditne institucije i mjere za osiguranje neovisnosti,

4) ovlasti, odgovornosti i odnosi s ostalim organizacijskim dijelovima te međusobni odnos s drugim kontrolnim funkcijama,

5) pravo pristupa podacima i informacijama,

6) dužnosti i odgovornosti osobe odgovorne za rad kontrolne funkcije kao cjeline i

7) sustav izvještavanja.

(2) Akt o funkciji kontrole rizika i funkciji praćenja usklađenosti donosi uprava kreditne institucije uz suglasnost nadzornog odbora.

Osobe koje obavljaju poslove kontrolne funkcije

Članak 5.

(1) Kreditna institucija dužna je, razmjerno svojoj veličini, vrsti, opsegu i složenosti poslovanja, za obavljanje poslova svake kontrolne funkcije osigurati dostatan broj osoba koje moraju imati odgovarajuće stručnu znanje i iskustvo.

(2) Ako se obavljanje poslova pojedine kontrolne funkcije povjerava većem broju osoba, moraju se imenovati osoba odgovorna za rad kontrolne funkcije kao cjeline i njezin zamjenik.

(3) Kreditna institucija dužna je bez odgađanja obavijestiti nadzorni odbor i Hrvatsku narodnu banku o imenovanju osoba odgovornih za rad svake kontrolne funkcije.

(4) Osoba odgovorna za rad pojedine kontrolne funkcije izvještava izravno upravu i nadzorni odbor i/ili revizorski odbor i najmanje jednom godišnje sudjeluje na sjednicama tijela koje izvještava.

(5) Kreditna institucija dužna je osigurati redovito stručno obrazovanje i osposobljavanje osoba koje obavljaju poslove u sklopu kontrolnih funkcija.

Plan rada kontrolne funkcije

Članak 6.

(1) Kreditna institucija dužna je periodično, a najmanje jedanput godišnje, identificirati i procijeniti rizike kojima jest ili kojima može biti izložena, uključujući i rizike koji proizlaze iz makroekonomskog okružja u kojem kreditna institucija posluje. Svaka kontrolna funkcija dužna je donijeti godišnji plan rada kontrolne funkcije temeljen na dokumentiranoj procjeni rizika.

(2) Uprava kreditne institucije uz prethodnu suglasnost revizorskog i/ili nadzornog odbora prihvaća plan rada svake kontrolne funkcije.

(3) Iznimno od stavka 2. ovog članka, uprava kreditne institucije u skladu sa člankom 187. stavkom 2. Zakona o kreditnim institucijama prihvaća godišnji plan rada unutarnje revizije uz prethodno mišljenje revizorskog odbora i suglasnost nadzornog odbora.

(4) Plan rada funkcije kontrole rizika i funkcije praćenja usklađenosti najmanje obuhvaća:

1) popis poslovnih područja ili rizika koji će se kontrolirati,

2) organizacijske dijelove odnosno poslovne procese koji će biti obuhvaćeni kontrolom i

3) opis planiranih metoda i postupaka kontrole.

(5) Kreditna institucija dužna je detaljnije propisati sadržaj plana iz stavka 4. ovog članka.

(6) Svaka kontrolna funkcija na temelju svog plana rada donosi operativne planove rada.

(7) Svaka kontrolna funkcija dužna je dokumentirati metodologiju kojom se koristi u svom području rada.

Izvješća kontrolne funkcije

Članak 7.

(1) Svaka kontrolna funkcija sastavlja izvješća u skladu s poslovima koje obavlja i utvrđenim operativnim planovima rada.

(2) Izvješće iz stavka 1. ovoga članka, ovisno o poslovima kontrolne funkcije, sadrži najmanje:

1) nezakonitosti i nepoštivanja politika i postupaka kreditne institucije ako su utvrđene tijekom obavljanja poslova kontrolne funkcije,

2) nedostatke i slabosti u upravljanju rizicima ako su utvrđeni tijekom obavljanja poslova kontrolne funkcije,

3) ocjenu adekvatnosti i djelotvornosti sustava unutarnjih kontrola,

4) ocjenu adekvatnosti i učinkovitosti upravljanja rizicima, uključujući i informacije o izloženosti rizicima,

5) prijedloge, preporuke i rokove za otklanjanje utvrđenih nezakonitosti i nepravilnosti te nedostataka i slabosti,

6) informacije o statusu izvršenja prijedloga i preporuka za otklanjanje nezakonitosti i nepravilnosti te nedostataka i slabosti,

7) provedenu provjeru usklađenosti novih proizvoda i novih postupaka s propisima, internim aktima, standardima i kodeksima te procjenu njihova utjecaja na izloženosti kreditne institucije rizicima i

8) ocjenu usklađenosti kreditne institucije s propisima, internim aktima, standardima i kodeksima.

Izvješća o radu kontrolne funkcije

Članak 8.

(1) Funkcija kontrole rizika i funkcija praćenja usklađenosti dužne su periodično, a najmanje tromjesečno, sastaviti i izvješće o radu.

(2) Izvješće iz stavka 1. ovoga članka, ovisno o poslovima kontrolne funkcije, sadrži najmanje:

1) izvješće o ostvarivanju godišnjeg plana rada,

2) sažetak najvažnijih činjenica utvrđenih tijekom obavljanja kontrola,

3) nezakonitosti i nepravilnosti te nedostatke i slabosti utvrđene tijekom obavljanja kontrola i

4) izvješće o izvršenju prijedloga i preporuka za otklanjanje nezakonitosti i nepravilnosti te nedostataka i slabosti utvrđenih tijekom obavljanja kontrola.

(3) Funkcija kontrole rizika i funkcija praćenja usklađenosti dužne su izvješće iz stavka 1. ovoga članka dostavljati tromjesečno upravi i revizorskom odboru, a polugodišnje nadzornom odboru kreditne institucije.

(4) Izvješće o radu funkcije kontrole rizika i funkcije praćenja usklađenosti mora biti potpisano od osobe odgovorne za rad pojedine kontrolne funkcije.

(5) Unutarnja revizija dužna je sastaviti izvješće o radu u skladu s člankom 9. ove Odluke.

Izvješće o radu unutarnje revizije

Članak 9.

(1) Unutarnja revizija dužna je sastaviti izvješće o radu koje obvezno sadrži:

1) izvješće o ostvarivanju godišnjeg plana rada,

2) sažetak najvažnijih činjenica utvrđenih tijekom obavljanja revizija poslovanja i

3) izvješće o izvršenju prijedloga i preporuka za otklanjanje nezakonitosti i nepravilnosti te nedostataka i slabosti utvrđenih tijekom obavljanja revizija poslovanja.

(2) Izvješće o ostvarivanju godišnjeg plana rada unutarnje revizije sadrži najmanje:

1) popis svih revidiranih područja,

2) popis planiranih, a neizvršenih revizija,

3) razloge neizvršenja plana i

4) popis svih obavljenih izvanrednih revizija.

(3) Sažetak najznačajnijih činjenica utvrđenih tijekom obavljanja revizija sadrži najmanje:

1) opis nezakonitosti i nepoštivanja politika i postupaka kreditne institucije ako su utvrđeni tijekom obavljanja revizije,

2) opis nedostataka i slabosti revidiranih područja ako su utvrđeni tijekom obavljanja revizije,

3) ocjenu adekvatnosti i djelotvornosti sustava unutarnjih kontrola i

4) ocjenu adekvatnosti i učinkovitosti upravljanja rizicima u revidiranim područjima.

(4) Izvješće o izvršenju prijedloga i preporuka sadrži najmanje:

1) prijedloge, preporuke i rokove za otklanjanje utvrđenih nezakonitosti i nepravilnosti te nedostataka i slabosti, ako su utvrđeni tijekom obavljanja revizije,

2) osobe zadužene za provođenje prijedloga i preporuka i

3) informacije o statusu izvršenja prijedloga i preporuka za otklanjanje nezakonitosti i nepravilnosti te nedostataka i slabosti danih tijekom prethodnih revizija.

(5) Unutarnja revizija dužna je izvješće iz stavka 1. ovoga članka dostaviti tromjesečno upravi i revizorskom odboru, polugodišnje nadzornom odboru kreditne institucije te godišnje Hrvatskoj narodnoj banci.

(6) Izvješće o radu unutarnje revizije mora biti potpisano od osobe odgovorne za rad unutarnje revizije.

(7) Kreditna institucija dužna je godišnje izvješće o radu unutarnje revizije dostaviti Hrvatskoj narodnoj banci do 31. ožujka tekuće godine za prethodnu godinu.

Poslovi kontrolnih funkcija

Članak 10.

(1) Kreditna institucija dužna je u sklopu funkcije kontrole rizika osigurati obavljanje najmanje sljedećih poslova:

1) analize rizika koja uključuje utvrđivanje i mjerenje odnosno procjenjivanje, ovladavanje, praćenje i izvještavanje o rizicima kojima jest ili kojima bi mogla biti izložena kreditna institucija u svom poslovanju,

2) praćenja svih značajnijih rizika kojima je kreditna institucija izložena,

3) provođenja testiranja otpornosti na stres,

4) provjere primjene i djelotvornosti metoda i postupaka za upravljanje rizicima kojima jest ili kojima može biti izložena, uključujući rizike iz makroekonomskog okružja,

5) ispitivanja i vrednovanja adekvatnosti i djelotvornosti unutarnjih kontrola u procesu upravljanja rizicima,

6) ocjene adekvatnosti i dokumentiranosti metodologije za upravljanje rizicima,

7) sudjelovanja u izradi i preispitivanju strategija i politika za upravljanje rizicima,

8) sudjelovanja u izradi, primjeni i nadzoru nad funkcioniranjem metoda i modela za upravljanje rizicima,

9) davanja prijedloga i preporuka za primjereno upravljanje rizicima,

10) analize, praćenja i izvješćivanja o adekvatnosti internoga kapitala kreditne institucije te provjere strategija i postupaka ocjenjivanja potrebnoga internoga kapitala,

11) analize rizika prisutnih kod novih proizvoda ili novih tržišta,

12) izvješćivanja nadzornog odbora i uprave o upravljanju rizicima,

13) izvješćivanja nadzornog odbora i uprave o svom radu,

14) provođenja ostalih provjera koje su potrebne za adekvatnu kontrolu rizika.

(2) Kreditna institucija dužna je u sklopu funkcije praćenja usklađenosti osigurati obavljanje poslova iz članka 182. stavka 5. Zakona o kreditnim institucijama.

(3) Kreditna institucija dužna je u sklopu funkcije unutarnje revizije osigurati obavljanje poslova iz članka 185. stavka 1. Zakona o kreditnim institucijama.

Obavještavanje uprave i nadzornog odbora kreditne institucije te Hrvatske narodne banke

Članak 11.

Ako pojedina kontrolna funkcija tijekom obavljanja svojih poslova utvrdi nezakonitost u poslovanju ili kršenje pravila o upravljanju rizicima, zbog čega je ugrožena likvidnost, solventnost ili sigurnost poslovanja kreditne institucije, dužna je o tome odmah obavijestiti upravu, nadzorni odbor kreditne institucije i Hrvatsku narodnu banku.

4. PRIJELAZNE I ZAVRŠNE ODREDBE

Članak 12.

Ova Odluka objavljuje se u »Narodnim novinama«, a stupa na snagu 1. srpnja 2009.

O. br. 18-020/01-09/ŽR

Zagreb, 2. siječnja 2009.

Guverner
Hrvatske narodne banke
dr. sc. Željko Rohatinski, v. r.

Odluka, NN 1/2009-33