بخشنامه بانک مرکزی در خصوص دستورالعمل حداقل الزامات ناظر بر استقرار نظام کنترل های داخلی در موسسات اعتباری

اصطلاحات و تعاریف به کار رفته در ماده (1) «دستورالعمل الزامات ناظر بر حاکمیت شرکتی در موسسات اعتباری غیردولتی» و «دستورالعمل الزامات ناظر بر حاکمیت شرکتی در بانک های دولتی» با همان معنی در این دستورالعمل به کار برده می شود. سایر اصطلاحات که در این دستورالعمل ذکر شده است، در معانی مشروح زیر به کار می روند:

هیات مدیره موسسه اعتباری موظف است برای استقرار نظام کنترل های داخلی، سطوح و تعاملات لایه های دفاعی مشتمل بر لایه اول: واحدهای عملیاتی، لایه دوم: واحدهای نظارتی، لایه سوم; حسابرسی داخلی و لایه چهارم: بانک مرکزی و حسابرس مستقل را در چارچوب این دستورالعمل طراحی، استقرار و به روزرسانی نماید.

هیات مدیره موسسه اعتباری موظف است از طریق انجام حداقل اقدامات زیر از فراهم بودن محیط کنترلی موثر اطمینان حاصل نماید:

هیات مدیره موسسه اعتباری موظف است در تعیین آیین رفتار حرفه ای، هنجارهای حرفه ای پذیرفته شده و رفتارهای ناهنجار منع شده با تاکید بر اصول درستکاری و ارزش های اخلاقی را مشخص و به تمامی سطوح موسسه اعتباری ابلاغ نماید. اشخاص ارایه دهنده خدمات برون سپاری شده موسسه اعتباری و شرکای تجاری نیز باید از آیین رفتار حرفه ای موسسه اعتباری آگاهی داشته باشند.

هیات مدیره موسسه اعتباری باید فرآیندهای مناسب را به منظور ارزیابی عملکرد فردی و گروهی در پایبندی به آیین رفتار حرفه ای تعیین نماید.

هیات عامل موسسه اعتباری در اجرای آیین رفتار حرفه ای مصوب هیات مدیره موظف است اقدامات زیر را انجام دهد:

هیات مدیره موسسه اعتباری مسئولیت نظارت عالی بر اجرای سیاست ها و دستیابی به اهداف راهبردی موسسه اعتباری، رعایت الزامات قانونی و مقرراتی و نحوه استقرار و پیاده سازی اجزای نظام کنترل داخلی را بر عهده دارد.

هیات مدیره موسسه اعتباری موظف است در اجرای تکالیف هیات مدیره در قبال نظام کنترل های داخلی، کمیته حسابرسی را در چارچوب ضوابط ابلاغی بانک مرکزی تشکیل دهد. وظایف کمیته مذکور در چارچوب این دستورالعمل عبارتند از:

کمیته حسابرسی موظف است گزارش های ارزیابی ریسک واحد حسابرسی داخلی، گزارش های ریسک ارایه اطلاعات نادرست در گزارشگری مالی و اطلاعات به دست آمده از گزارش های افشاگران نقض قوانین و مقررات را به دقت بررسی و نتایج را به همراه پیشنهادهای اصلاحی به هیات مدیره ارایه نماید.

هیات مدیره موسسه اعتباری موظف است در طراحی ساختار سازمانی مناسب به منظور حصول اطمینان از ارزیابی صحیح ریسک ها، ایجاد فعالیت های کنترلی مناسب، برقراری جریان موثر اطلاعات و ارتباطات و استقرار دقیق فعالیت های نظارتی در سطوح مختلف موسسه اعتباری نسبت به تفکیک مناسب وظایف، مسئولیت ها، فرآیندهای تصویب، تعیین خطوط گزارشگری و تعیین سطوح دسترسی به اطلاعات و اسناد، اقدام و به صورت دوره ای بازبینی نماید.

هیات مدیره موسسه اعتباری موظف است اطمینان حاصل نماید که گزارش های واحد حسابرسی داخلی برای هیات مدیره بدون هرگونه صلاحدید مدیریتی تهیه شده است و حسابرسان داخلی به هیات مدیره و اعضای کمیته حسابرسی دسترسی مستقیم دارند.

هیات عامل موسسه اعتباری موظف است بر اساس قراردادهای مربوط به خدمات برون سپاری شده و ضوابط ابلاغی بانک مرکزی در خصوص برون سپاری خدمات و الزامات ناظر بر ریسک فناوری اطلاعات، ساز و کارهای مقتضی را برای نظارت بر حسن اجرای قراردادهای مذکور با تاکید بر مسئولیت های کارکنان معرفی شده جهت انجام خدمات برون سپاری شده مشخص نماید.

هیات مدیره موسسه اعتباری موظف است انتظارات و معیارهای شایستگی شغلی و رفتار سازمانی کارکنان، خط مشی ها و شیوه های رفتاری آن ها را به منظور جذب، توسعه و نگهداری کارکنان با صلاحیت تعیین و به روزرسانی نماید.

هیات مدیره موسسه اعتباری موظف است مسئولیت های اصلی با اهمیت برای تحقق اهداف نظام کنترل داخلی برای افراد و بخش های مختلف نظیر مدیر عامل، مدیران ارشد ریسک، واحدهای حسابرسی داخلی، مالی و رعایت قوانین و مقررات و نیز شایستگی های مرتبط با هر کدام از آن ها را تعیین و ارزیابی نموده و برای هر یک از این مسئولیت ها، برنامه های جانشین پروری تدوین نماید.

هیات مدیره موسسه اعتباری موظف است به منظور پاسخگویی کارکنان (اعم از اعضای هیات عامل، مدیران و سایر کارکنان) در خصوص ایفای مسئولیت های محوله در نظام کنترل داخلی، سازوکارهای مناسب نظیر شاخص های عملکرد، مشوق ها و پاداش ها و اقدامات انضباطی مرتبط با انجام مسئولیت های کنترل داخلی را تعیین و تصویب و در مقاطع زمانی منظم حداکثر دو ساله ارزیابی و به روزرسانی نماید.

هیات عامل موسسه اعتباری موظف است به منظور برخورداری از نظام کنترل داخلی موثر، ریسک های مهم از قبیل ریسک اعتباری، ریسک نقدینگی، ریسک بازار و ریسک عملیاتی را شناسایی و تاثیرات آن بر دستیابی به اهداف موسسه اعتباری را مورد ارزیابی قرار داده و در پاسخ به ریسک های شناسایی شده، اقدامات لازم را برای اجتناب، پذیرش، کاهش و تسهیم آن ها تا سطح قابل پذیرش مصوب هیات مدیره انجام دهد.

هیات عامل موسسه اعتباری موظف است به منظور پوشش ریسک های جدید یا ریسک های کنترل نشده، حسب مورد هر یک از اجزای نظام کنترل های داخلی را مورد بازنگری قرار داده و اقدامات اصلاحی مقتضی را به هیات مدیره پیشنهاد نماید.

هیات عامل موسسه اعتباری موظف به ایجاد سازوکارهای کنترلی لازم به منظور حصول اطمینان از صحت و درستی داده ها و محاسبات مربوط به صورت های مالی و نیز انعکاس صحیح همه رویدادهای با اهمیت و قابل فهم بودن صورت های مالی برای استفاده کنندگان می باشد.

هیات مدیره موسسه اعتباری موظف است به منظور شناسایی تقلب و انگیزه های موجد آن، سیستم ها و فرآیندهایی را تعیین و تصویب نموده و بر اجرای آن ها نظارت نماید.

هیات مدیره موسسه اعتباری موظف است به منظور جلوگیری از بروز تقلب و انگیزه های موجد آن، برنامه های جبران خدمات و فرآیند ارزیابی عملکرد کارکنان را به طور مستمر بازبینی نماید.

واحد مدیریت ریسک موسسه اعتباری موظف است به منظور ارزیابی ریسک تقلب، گزارش های واصله مربوط به اعمال متقلبانه، سرقت و سوء استفاده از دارایی ها، فساد ناشی از وقوع تقلب و روش هایی که ممکن است توسط کارکنان منجربه بی اثر شدن و یا نادیده گرفتن کنترل های در نظر گرفته شده برای شناسایی تقلب می‌شود را بررسی و ارزیابی نموده و در گزارشات ارزیابی ریسک تقلب با در نظرگرفتن احتمال وقوع و اثرات بالقوه آن ها مورد استفاده قرار داده و نسخه ای از گزارش مذکور را به واحد حسابرسی داخلی ارایه نماید.

مدیر ارشد واحد حسابرسی داخلی موسسه اعتباری موظف است نتایج حاصل از ارزیابی ریسک تقلب را بررسی نموده و در مراحل مختلف برنامه حسابرسی داخلی شامل برنامه ریزی، اجرای برنامه، انتقال نتایج و پیگیری و نظارت، مورد استفاده قرار دهد.

هیات عامل موسسه اعتباری موظف است، به منظور ارزیابی آثار تغییرات برون سازمانی بر نظام کنترل داخلی، فرآیندهای شناسایی ریسک های ناشی از تغییر در مقررات، شرایط اقتصادی، شرایط محیطی، رویکردهای مدیریتی، فعالیت های جدید و فن آوری های نوین بانکی را ایجاد نماید.

هیات مدیره موسسه اعتباری موظف است به منظور پیاده سازی نظام کنترل داخلی موثر، فعالیت های کنترلی لازم برای تمامی فرآیندها، فعالیت ها و اقدامات در تمام سطوح نظام کنترل داخلی شامل حداقل موارد زیر را تعیین و به روزرسانی نماید:

هیات عامل موسسه اعتباری موظف است نسبت به شناسایی وظایفی که با یکدیگر در تعارض هستند و نیز تفکیک مناسب وظایف و مسئولیت ها اقدام و در صورتی که انجام چنین تفکیکی امکان پذیر نباشد، فعالیت های کنترلی مقتضی را ایجاد نماید.

هیات عامل موسسه اعتباری موظف است فعالیت های کنترلی مرتبط با کنترل های عمومی فن آوری و نیز فعالیت های کنترلی مرتبط با موارد زیر را در چارچوب ضوابط ابلاغی بانک مرکزی در خصوص الزامات ناظر بر ریسک فناوری اطلاعات به منظور حصول اطمینان از کامل بودن، صحت و آماده بودن فن آوری، پیاده سازی و مستندسازی نماید:

هیات عامل موسسه اعتباری موظف است در خصوص اشخاص ارایه دهنده خدمات برون سپاری مربوط به زیرساخت های فن آوری اطلاعات، ساز و کارهای اعمال فعالیت های کنترلی فن آوری را منطبق با استانداردها و ضوابط ابلاغی بانک مرکزی در خصوص خدمات برون سپاری شده و الزامات ناظر بر ریسک فناوری اطلاعات ایجاد نماید.

هیات عامل موسسه اعتباری موظف است فرآیند کنترلی مشخصی را برای ارتقاء و به روزرسانی سیستم های فن آوری به شرح زیر تعیین نماید:

هیات مدیره موسسه اعتباری موظف است خط مشی ها و رویه های انجام فعالیت های کنترلی را با توجه به موارد زیر تعیین، بازبینی و به روز رسانی نماید:

هیات مدیره موسسه اعتباری موظف است، خط مشی های انجام فعالیت های کنترلی مربوط به رویه های مواجهه با بروز استثنائا ت در خط مشی ها را تعیین، بازبینی و در حداقل زمان ممکن به روزرسانی نماید.

هیات عامل موسسه اعتباری موظف است بر اساس خط مشی ها و رویه های موضوع ماده 29-، انجام فعالیت های کنترلی را با استفاده از روش هایی نظیر شرح نوشته، نمودار گردش کار و چک لیست های کنترلی برای هر یک از عملیات و خدمات بانکی و فعالیت های روزانه کارکنان تدوین نماید. در این خصوص موارد زیر باید مدنظر قرار گیرد:

هیات عامل موسسه اعتباری موظف است به منظور کاهش ریسک معاملات غیرمجاز، فعالیت های متقلبانه و جعلی و اختلال در فرآیند عملیات، میزان دسترسی به محل های خاص نظیر اتاق معاملات، مراکز داده ها و حوزه مبادلات مالی را تعریف و خط مشی ها و رویه های نظارت و فعالیت های کنترلی مربوط به دسترسی های مذکور را تدوین و عملیاتی نماید.

هیات عامل موسسه اعتباری موظف است به منظور پشتیبانی از نظام کنترل داخلی و گزارشگری مالی، برنامه مدیریت داده را تدوین و به تصویب هیات مدیره برساند. برنامه مدیریت داده باید شامل خط مشی ها و رویه هایی، برای حداقل مقاصد زیر باشد:

هیات عامل موسسه اعتباری موظف است بر اساس خط مشی مصوب هیات مدیره در خصوص مدیریت اطلاعات، سیستم های اطلاعاتی یکپارچه را به منظور دریافت داده های مورد نیاز از منابع درونی و بیرونی ایجاد نموده و حداقل ویژگی های زیر را برای تعیین رویه های تبدیل داده ها به اطلاعات، مورد توجه قرار دهد:

هیات عامل موسسه اعتباری موظف است فرآیند تبادل و انتشار اطلاعات ضروری مرتبط با اهداف گزارشگری مالی، رعایت قوانین و مقررات، اثربخشی عملیاتی، الزامات کنترل مالی، خط مشی ها و فرآیندهای کنترل داخلی را برای تعیین مسئولیت های کارکنان در نظام کنترل داخلی و اجرای آن ها، طراحی و تدوین نماید.

هیات عامل موسسه اعتباری موظف است فرآیند تبادل و انتشار اطلاعات را با توجه به ماهیت اطلاعات، الزامات قانونی و مقرراتی و امکان بهره گیری از راه حل های فن آوری بر اساس روش های زیر انتخاب نماید:

هیات مدیره موسسه اعتباری موظف است به منظور گزارش هرگونه خطای مشاهده شده و نیز موضوعات مربوط به گزارشگری مالی و یا سایر موضوعاتی که می‌تواند بر کنترل داخلی اثرگذار باشد، خط مشی لازم در خصوص نحوه حمایت و حفاظت از افشاگران درون سازمان با در نظر گرفتن حفظ محرمانگی و اطمینان از عدم شناسایی آن ها تعیین نموده و سازوکارهای مطمئنی برای ایجاد مسیرهای ارتباطی ویژه نظیر ایجاد خط ارتباط اضطراری مستقیم با مدیریت مهیا نماید.

هیات مدیره موسسه اعتباری موظف است فرآیندهایی اتخاذ نماید تا اطلاعات مربوط و به موقع به اشخاص برون سازمانی نظیر سهامداران، بانک مرکزی و سایر مقامات نظارتی ذی صلاح، مشتریان، تحلیل گران مالی و سایر ذی نفعان، اطلاع رسانی و در چارچوب قانون و مقررات مربوط مسیرهای ارتباطی متناسب را برای اشخاص مزبور در کنار مسیرهای ارتباطی معمول با افشاگران برون سازمانی فراهم آورد.

هیات مدیره موسسه اعتباری موظف است در کنار مسیرهای تبادل اطلاعات معمول با افشاگران برون سازمانی، سازوکارهایی را به منظور ایجاد مسیرهای ارتباطی مجزا نظیر خط ارتباط اضطراری مستقیم با مدیریت با حفظ محرمانگی و بدون افشای نام فراهم نماید.

هیات مدیره موسسه اعتباری موظف است برنامه های ارزیابی مستمر و موردی در خصوص فعالیت های نظارتی را متناسب با شرایط موسسه اعتباری تعیین نموده و تناسب و کفایت برنامه های مذکور را با در نظر گرفتن حداقل موارد زیر مورد بررسی قرار دهد:

هیات مدیره موسسه اعتباری موظف است در صورت وقوع هر یک از موارد زیر دفعات ارزیابی های موردی و فعالیت های نظارتی را افزایش دهد:

هیات مدیره موسسه اعتباری موظف است با پیاده سازی فعالیت های نظارتی و نتایج حاصل از آن حداقل موارد زیر را انجام دهد:

هیات عامل موسسه اعتباری موظف است به عنوان بخشی از ارزیابی مستمر، سامانه ها و داشبوردهای مدیریتی را برای مدیران و سرپرستانی که به طور مستقیم وظیفه پاسخگویی نسبت به فرآیندها و فعالیت های نظارتی را بر عهده دارند، با استفاده از شاخص ها و امتیازها ایجاد نماید. داشبورد مذکور باید شامل حداقل اطلاعات زیر باشد:

هیات عامل موسسه اعتباری موظف است با بهره گیری از فن آوری اطلاعات، برنامه کاربردی پایش خودکار ]پاورقی 2[ نظام کنترل داخلی را تهیه و مورد استفاده قرار دهد. برنامه کاربردی مذکور شامل حداقل موارد زیر می باشد:

هیات عامل موسسه اعتباری موظف است ارزیابی های موردی کنترل های داخلی را از طریق روش هایی نظیر موارد زیر انجام دهد:

واحد حسابرسی داخلی موسسه اعتباری موظف است ارزیابی های جداگانه ای را در خصوص اجزای اصلی نظام کنترل داخلی انجام دهد.

هیات عامل موسسه اعتباری موظف است رویه مناسبی به منظور بررسی شکایات مشتریان با هدف بررسی ضعف های نظام کنترل داخلی ایجاد و به تصویب هیات مدیره برساند.

هیات مدیره موسسه اعتباری موظف است شیوه های ناظر بر تهیه گزارش ناکارآمدی های نظام کنترل داخلی را تعیین نموده و پس از بررسی نتایج گزارش های مذکور، بر برنامه ها و اقدامات اصلاحی هیات عامل در این خصوص نظارت عالی نماید.

هیات عامل موسسه اعتباری موظف است ناکارآمدی های نظام کنترل داخلی را ارزیابی به هنگام نموده و بر اساس معیارهایی نظیر ماهیت، منشا و میزان اهمیت ناکارآمدی به هیات مدیره گزارش و اقدامات اصلاحی مقتضی را پیشنهاد نماید.

واحدهای سازمانی و افراد مسئول اجرای کنترل ها موظفند گزارشی از موارد عدم رعایت کنترل های تعریف شده بر اساس این دستورالعمل را در مقاطع زمانی حداکثر سه ماهه به واحدهای مدیریت ریسک و حسابرسی داخلی ارایه نمایند.

واحد مدیریت ریسک موسسه اعتباری موظف است گزارشات ماخوذه از اجرای مفاد این دستورالعمل را در فرآیند شناسایی، اندازه گیری، پایش، کنترل و گزارشگری ریسک های موسسه اعتباری نظیر ریسک عملیاتی، اعتباری، نقدینگی و بازار مد نظر و مورد استفاده قرار دهد.

حواحد حسابرسی داخلی موسسه اعتباری موظف است فعالیت کنترلی مرتبط با اجرای سیاست ها، خط مشی ها و رویه های اجرایی مصوب هیات مدیره و مسئول اجرای کنترل های مذکور را در برنامه حسابرسی تعیین و گزارش موارد با اهمیت از عدم اجرای صحیح فعالیت های یاد شده را در مقاطع زمانی حداکثر سه ماهه به کمیته حسابرسی ارایه نماید.

مدیر ارشد حسابرسی داخلی موظف است برنامه حسابرسی داخلی را مبتنی بر ریسک و در مقاطع زمانی حداکثر سالیانه تدوین و گزارش نماید به نحوی که اولویت های فعالیت حسابرسی داخلی در راستای اهداف و راهبردهای مصوب هیات مدیره تعیین شود.

واحد حسابرسی داخلی موسسه اعتباری موظف است گزارش یافته های برنامه حسابرسی را حسب مورد به مسئولین واحدهای عملیاتی یا هیات عامل موسسه اعتباری ارایه نماید و پاسخ ها و اقدامات انجام شده واحد عملیاتی را در خصوص نقاط ضعف کنترل های داخلی مربوط مستندسازی نماید.

واحد حسابرسی داخلی موسسه اعتباری موظف است در صورت بروز تقلب و سوء استفاده از دارایی های موسسه اعتباری، مراتب را به واحد مدیریت ریسک گزارش دهد و واحد مذکور موظف است موضوع را در فرآیند مدیریت ریسک عملیاتی مد نظر و مورد استفاده قرار دهد به گونه ای که از بروز مجدد تقلب و سوء استفاده مذکور ممانعت به عمل آید.

مدیر ارشد واحد حسابرسی داخلی موسسه اعتباری موظف است در صورت با اهمیت بودن نقاط ضعف اجرای سازوکارهای کنترلی مورد اشاره در این دستورالعمل یا بروز تقلب با اهمیت، اقدامات اصلاحی مقتضی مربوط به نظام کنترل داخلی را به کمیته حسابرسی پیشنهاد نماید.

مدیر ارشد حسابرسی داخلی موسسه اعتباری موظف است موارد بسیار بااهمیت ناکارآمدی های نظام کنترل داخلی را در مقاطع زمانی شش ماهه یا حسب درخواست بانک مرکزی، به بانک مرکزی گزارش نماید.

مدیر ارشد رعایت قوانین و مقررات (تطبیق)، موظف است گزارش های مربوط به رعایت مفاد این دستورالعمل و مصادیق عدم رعایت آن را به کمیته رعایت قوانین و مقررات (تطبیق) ارایه نموده و پس از تایید در کمیته یاد شده، مراتب را در هیات مدیره برای تصویب، گزارش نماید و مصوبه هیات مدیره را به مدیریت کل نظارت بر بانک ها و موسسات اعتباری بانک مرکزی ارسال کند.

هیات مدیره موسسه اعتباری موظف است به صورت سالانه گزارش کنترل داخلی مشتمل بر نحوه استقرار نظام کنترل داخلی بر اساس مفاد این دستورالعمل و نتایج حاصل از ارزیابی اثربخشی آن را به بانک مرکزی و حسابرس مستقل ارایه دهد.

هیات مدیره موسسه اعتباری موظف است ضوابط داخلی پیشنهادی مدیر ارشد حسابرسی داخلی ناظر بر اجرای کارا و اثربخش این دستورالعمل را ظرف مدت شش ماه از تاریخ ابلاغ آن تصویب نماید و نسخه ای از آن را به بانک مرکزی ارسال نماید.

تخطی از احکام این دستورالعمل موجب اعمال مجازات های مقرر در قوانین و مقررات ذی ربط می شود.