Глава 4. Рекомендации по проведению проверки системы внутреннего контроля в кредитной организации

4.1. При проведении проверки в заявку на предоставление документов (информации), необходимых для проведения проверки кредитной организации, рекомендуется включать предложение о заполнении кредитной организацией (службой внутреннего аудита, службой внутреннего контроля) таблиц, составляемых согласно таблицам 1 - 9 приложения 2 к настоящим Методическим рекомендациям. Рекомендации по заполнению указанных таблиц приведены в пунктах 3.3 - 3.5 настоящих Методических рекомендаций.

4.2. При проверке членам рабочей группы целесообразно проанализировать заполненные и представленные кредитной организацией таблицы, составленные согласно таблицам 1 - 9 приложения 2 к настоящим Методическим рекомендациям, и на выборочной основе самостоятельно оценить отдельные вопросы (с учетом рекомендаций, приведенных в пунктах 3.6, 3.7, 4.3 - 4.10 настоящих Методических рекомендаций).

4.3. При проверке целесообразно обращать внимание:

на порядок образования системы органов внутреннего контроля кредитной организации и их полномочия;

на соответствие организационной структуры кредитной организации характеру и масштабу осуществляемых операций, уровню и сочетанию принимаемых рисков в части: распределения полномочий между членами совета директоров (наблюдательного совета) кредитной организации, между членами коллегиального исполнительного органа кредитной организации; определения полномочий единоличного исполнительного органа кредитной организации; определения полномочий и подотчетности коллегиальных органов, не относимых законодательством Российской Федерации к органам управления кредитной организации (например, комитетов, комиссий); определения подотчетности и ответственности всех структурных подразделений и служащих кредитной организации;

на соответствие внутренних документов требованиям законодательства Российской Федерации, в том числе нормативных актов Банка России, учет кредитной организацией при их разработке рекомендаций Банка России, а также соблюдение кредитной организацией внутренних документов (в том числе определяющих: порядок организации системы внутреннего контроля кредитной организации; порядок и операции (процедуры) внутреннего контроля; порядок мониторинга системы внутреннего контроля кредитной организации органами управления кредитной организации; порядок деятельности службы внутреннего аудита и службы внутреннего контроля);

на организацию внутреннего контроля по всем направлениям системы внутреннего контроля кредитной организации;

на проведение кредитной организацией мероприятий по устранению выявленных и не исправленных в ходе предыдущих проверок нарушений и недостатков в организации системы внутреннего контроля.

4.4. В ходе проверки рекомендуется проанализировать:

устав, внутренние документы, регламентирующие порядок осуществления контроля за организацией деятельности кредитной организации со стороны органов управления кредитной организации, в том числе в части определения компетенции совета директоров (наблюдательного совета) кредитной организации и исполнительных органов кредитной организации;

внутренние документы по основным вопросам, связанным с осуществлением внутреннего контроля в кредитной организации, предусмотренным приложением 2 к Положению Банка России N 242-П, в том числе в целях оценки их соответствия требованиям законодательства Российской Федерации, в том числе нормативных актов Банка России, характеру и масштабу осуществляемых операций, уровню и сочетанию принимаемых рисков;

внутренние документы, регулирующие деятельность подразделений и служащих, осуществляющих внутренний контроль, в том числе в целях оценки соответствия указанных документов требованиям законодательства Российской Федерации;

внутренние документы, определяющие полномочия, подотчетность и ответственность структурных подразделений и служащих кредитной организации, в том числе в целях оценки их соответствия характеру и масштабу осуществляемых операций, уровню и сочетанию принимаемых рисков;

порядок доведения внутренних документов до сведения служащих кредитной организации;

выполнение положений внутренних документов и участие служащих кредитной организации в осуществлении внутреннего контроля в кредитной организации в соответствии с их должностными обязанностями.

4.4.1. В случае предоставления структурными подразделениями Банка России, осуществляющими надзор за деятельностью кредитной организации, в том числе куратором кредитной организации результатов анализа устава и внутренних документов, определяющих организацию внутреннего контроля и имеющихся в Банке России, рекомендуется:

анализировать изменения, внесенные в устав и внутренние документы, определяющие организацию и осуществление внутреннего контроля в кредитной организации;

оценивать соответствие указанных изменений законодательству Российской Федерации, в том числе нормативным актам Банка России, характеру и масштабу осуществляемых операций, уровню и сочетанию принимаемых рисков.

4.5. При проверке деятельности службы внутреннего аудита рекомендуется:

оценивать полноту осуществления функций службы внутреннего аудита, определенных Положением Банка России N 242-П и внутренним документом о службе внутреннего аудита;

оценивать постоянство деятельности службы внутреннего аудита в соответствии с критериями, определенными пунктом 4.6 Положения Банка России N 242-П;

оценивать независимость и беспристрастность службы внутреннего аудита в соответствии с критериями, определенными пунктами 4.7 и 4.8 Положения Банка России N 242-П;

оценивать профессиональную компетентность руководителя (его заместителей) и служащих службы внутреннего аудита, в том числе с учетом прохождения ими на регулярной основе профессиональной подготовки (переподготовки), а также установленных в кредитной организации требований к руководителю (его заместителям) и служащим службы внутреннего аудита, в том числе требований к руководителю службы внутреннего аудита, предусмотренных пунктом 4.9 Положения Банка России N 242-П;

проверять создание кредитной организацией условий для беспрепятственного и эффективного осуществления службой внутреннего аудита своих функций, в том числе по контролю за эффективностью мер, принятых структурными подразделениями кредитной организации и органами управления кредитной организации по результатам проверок и обеспечивающих снижение уровня выявленных рисков;

проверять изучение службой внутреннего аудита при проверке структурных подразделений кредитной организации вопросов, предусмотренных таблицей пункта 1 приложения 3 к Положению N 242-П и связанных с операциями, осуществляемыми этими структурными подразделениями;

проверять осуществление своевременного информирования совета директоров (наблюдательного совета) кредитной организации о выявленных службой внутреннего аудита нарушениях и недостатках в деятельности кредитной организации (ее филиала), а также контроля за принятием мер по их устранению.

4.6. При проверке деятельности службы внутреннего контроля рекомендуется:

оценивать полноту осуществления функций службы внутреннего контроля, определенных Положением Банка России N 242-П и внутренним документом о службе внутреннего контроля;

оценивать постоянство деятельности службы внутреннего контроля;

оценивать согласованность при координации деятельности разных структурных подразделений и служащих кредитной организации в случае, когда функции службы внутреннего контроля исполняются этими подразделениями и служащими, а также действенность мер, направленных на минимизацию и предотвращение возникновения конфликта интересов, в том числе установленных границ функционального подчинения указанных подразделений и служащих в части выполнения функций, не связанных с внутренним контролем;

оценивать профессиональную компетентность руководителя (его заместителей) и служащих службы внутреннего контроля, в том числе с учетом прохождения ими на регулярной основе профессиональной подготовки (переподготовки), а также установленных в кредитной организации требований к руководителю (его заместителям) и служащим службы внутреннего контроля в соответствии с пунктом 4(1).16 Положения Банка России N 242-П;

проверять, соответствует ли подотчетность руководителя службы внутреннего контроля, который не является членом коллегиального исполнительного органа кредитной организации, требованиям пункта 4(1).10 Положения Банка России N 242-П, а также соблюдается ли в кредитной организации запрет на участие руководителя службы внутреннего контроля в совершении банковских операций и других сделок;

оценивать создание кредитной организацией условий, реализующих право руководителя службы внутреннего контроля, служащих службы внутреннего контроля на получение доступа к информации, необходимой им для исполнения своих обязанностей, и обязанности служащих кредитной организации по предоставлению этой информации;

оценивать создание кредитной организацией условий для выполнения службой внутреннего контроля функций без вмешательства со стороны подразделений и служащих кредитной организации, не являющихся служащими службы внутреннего контроля и (или) не осуществляющих функции внутреннего контроля; проверять осуществление информирования органов управления кредитной организации, в том числе в части незамедлительного информирования о возникновении регуляторного риска, реализация которого может привести к возникновению существенных убытков у кредитной организации, а также представления ежегодных отчетов службы внутреннего контроля о проведенной работе.

Дополнительно рекомендуется проанализировать, учитывается ли рекомендация, приведенная в пункте 4(1).15 Положения Банка России N 242-П, относительно работы руководителя службы внутреннего контроля по совместительству. В случае неучета указанной рекомендации отражать в акте проверки дополнительную информацию о работе руководителя службы внутреннего контроля по совместительству (с указанием должности, места работы и периода работы (при наличии).

При этом в случае, если руководитель службы внутреннего контроля является членом коллегиального исполнительного органа кредитной организации, рекомендуется проверить соблюдение запрета на замещение им должностей, установленного частью третьей статьи 11.1 Федерального закона от 2 декабря 1990 года N 395-1 "О банках и банковской деятельности" (далее - Федеральный закон "О банках и банковской деятельности").

4.7. При проверке осуществления контроля со стороны органов управления за организацией деятельности кредитной организации целесообразно проанализировать, отнесены ли вопросы, предусмотренные статьей 11.1-1 Федерального закона "О банках и банковской деятельности", к компетенции совета директоров (наблюдательного совета) кредитной организации, а также учитываются ли кредитной организацией рекомендации, содержащиеся в приложении 1 к Положению Банка России N 242-П.

Дополнительно рекомендуется проанализировать:

своевременность пересмотра организации системы внутреннего контроля кредитной организации в целях эффективного выявления и наблюдения новых или не контролировавшихся ранее банковских рисков;

обеспечение органами управления кредитной организации участия во внутреннем контроле в кредитной организации всех служащих кредитной организации в соответствии с их должностными обязанностями;

установление органами управления кредитной организации порядка, при котором служащие кредитной организации доводят до сведения органов управления кредитной организации и руководителей структурных подразделений кредитной организации информацию обо всех нарушениях законодательства Российской Федерации, учредительных и внутренних документов, случаях злоупотреблений, несоблюдения норм профессиональной этики;

наличие внутренних документов по вопросам взаимодействия подразделений и служащих, осуществляющих внутренний контроль, со структурными подразделениями и служащими кредитной организации, в том числе в целях обеспечения доступа к информации, необходимой для исполнения подразделениями и служащими, осуществляющими внутренний контроль, своих обязанностей, сроков и форматов представления такой информации.

4.8. При проверке осуществления кредитной организацией контроля за функционированием системы управления банковскими рисками в кредитной организации и оценкой банковских рисков рекомендуется:

проверять наличие внутренних документов, определяющих порядок контроля за функционированием системы управления банковскими рисками, оценкой банковских рисков;

оценивать соответствие положений внутренних документов, определяющих порядок контроля за функционированием системы управления рисками, характеру и масштабу осуществляемых операций, уровню и сочетанию принимаемых рисков;

проверять наличие внутренних документов, определяющих порядок информирования руководителя кредитной организации, органов управления кредитной организации, о факторах, влияющих на повышение уровней банковских рисков, а также о принятии мер, обеспечивающих снижение уровня выявленных рисков.

4.8.1. При проверке осуществления кредитной организацией контроля за функционированием системы управления банковскими рисками в кредитной организации и оценкой банковских рисков рекомендуется учитывать результаты проверки, проведенной в соответствии с рекомендациями Банка России по проведению проверки системы управления банковскими рисками в кредитной организации (ее филиале).

4.9. При проверке осуществления кредитной организацией контроля за распределением полномочий при совершении банковских операций рекомендуется проверять:

наличие и соблюдение порядка распределения прав и обязанностей, согласования решений, распределения полномочий между структурными подразделениями и служащими кредитной организации при совершении банковских операций и других сделок, определенного внутренними документами;

обеспечение распределения должностных обязанностей служащих кредитной организации, предотвращающего конфликт интересов и устраняющего условия его возникновения, с учетом положений подпункта 3.4.2 пункта 3.4 Положения Банка России N 242-П.

4.10. При проверке осуществления кредитной организацией контроля за управлением информационными потоками (получением и передачей информации) и обеспечением информационной безопасности рекомендуется проверять наличие и соблюдение:

внутренних документов, устанавливающих порядок контроля за управлением информационными потоками (получением и передачей информации) и обеспечением информационной безопасности, который распространяется на все направления деятельности кредитной организации;

правил управления информационной деятельностью кредитной организации, включая порядок защиты от несанкционированного доступа и распространения конфиденциальной информации;

разработанного плана действий, направленных на обеспечение непрерывности деятельности и (или) восстановление деятельности кредитной организации в случае возникновения нестандартных и чрезвычайных ситуаций, предусматривающего использование дублирующих (резервных) автоматизированных систем и (или) устройств и восстановление критически важных для деятельности кредитной организации систем, поддерживаемых внешним поставщиком (провайдером) услуг, а также наличие и соблюдение установленного в кредитной организации порядка проверки (тестирования) и пересмотра указанного плана.

4.10.1. Дополнительно при проверке осуществления кредитной организацией контроля за управлением информационными потоками (получением и передачей информации) и обеспечением информационной безопасности рекомендуется руководствоваться перечнем частных показателей, приведенных в Стандарте Банка России СТО БР ИББС-1.2-2014 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.0-2014" (далее - Стандарт СТО БР ИББС-1.2-2014).

4.10.2. При проверке осуществления кредитной организацией контроля за управлением информационными потоками (получением и передачей информации) и обеспечением информационной безопасности рекомендуется использовать результаты проверки, проведенной в соответствии:

с рекомендациями Банка России по проведению проверки и оценке организации внутреннего контроля за применением информационных технологий в кредитных организациях (их филиалах) <2>;

--------------------------------

<2> Письмо Банка России от 18 февраля 2010 года N 25-Т "О Методических рекомендациях по проведению проверки и оценке организации внутреннего контроля за применением информационных технологий в кредитных организациях (их филиалах)".

со Стандартом СТО БР ИББС-1.2-2014 (в случае если кредитная организация на добровольной основе применяет положения Стандарта Банка России СТО БР ИББС-1.0-2014 "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения"), в том числе отраженные в отчетах структурных подразделений Банка России.

4.11. При проверке осуществления кредитной организацией мониторинга системы внутреннего контроля кредитной организации рекомендуется проверять:

наличие внутренних документов, определяющих порядок осуществления мониторинга системы внутреннего контроля кредитной организации, и их соблюдение;

принятие необходимых мер по совершенствованию и эффективному функционированию системы внутреннего контроля кредитной организации с учетом внутренних и внешних факторов;

соблюдение периодичности документирования и представления органам управления кредитной организации и руководителям структурных подразделений кредитной организации результатов мониторинга системы внутреннего контроля кредитной организации;

наличие и соблюдение внутренних документов, определяющих порядок рассмотрения результатов мониторинга системы внутреннего контроля кредитной организации.

4.12. При проверке отдельных операций (процедур) внутреннего контроля в структурных подразделениях кредитной организации в заявку на предоставление документов (информации), необходимых для проведения проверки кредитной организации, рекомендуется включать предложение о заполнении кредитной организацией (службой внутреннего аудита, службой внутреннего контроля) таблиц, составляемых согласно таблицам 1 - 2 приложения 3 к настоящим Методическим рекомендациям. Факторы, учитываемые кредитной организацией при оценке ответов на вопросы таблиц 1 - 2 приложения 3 к настоящим Методическим рекомендациям, и профессиональные суждения кредитной организации рекомендуется отражать в графе 3 соответствующих таблиц.

При проверке членам рабочей группы целесообразно проанализировать заполненные и представленные кредитной организацией таблицы, составленные согласно таблицам 1 - 2 приложения 3 к настоящим Методическим рекомендациям, и на выборочной основе самостоятельно оценить отдельные вопросы. Факторы, учитываемые при оценке ответов на вопросы таблиц 1 - 2 приложения 3 к настоящим Методическим рекомендациям, и мотивированные суждения членов рабочей группы рекомендуется отражать в графе 3 соответствующих таблиц:

"оценка соответствует" - в случае подтверждения членом рабочей группы оценки, данной кредитной организацией;

"оценка не соответствует" с приведением обстоятельств деятельности кредитной организации (ее филиала) и (или) иных факторов, учитываемых при оценке, а также краткой формулировки обоснования мотивированного суждения - в случае выявления членом рабочей группы фактов завышения кредитной организацией оценки.

В случае выявления рабочей группой фактов завышения кредитной организацией оценки по отдельным вопросам таблиц 1 - 2 приложения 3 к настоящим Методическим рекомендациям рабочей группе рекомендуется самостоятельно проверить все остальные ответы кредитной организации на вопросы, отраженные в таблицах 1 - 2 приложения 3 к настоящим Методическим рекомендациям, и определить оценку отдельных операций (процедур) внутреннего контроля в структурных подразделениях кредитной организации.

4.12.1. При проверке внутреннего контроля в структурных подразделениях кредитной организации рекомендуется анализировать:

соблюдение законодательства Российской Федерации, в том числе нормативных актов Банка России, включая соблюдение правил организации и осуществления внутреннего контроля в структурном подразделении кредитной организации;

соблюдение внутренних документов, определяющих основные направления системы внутреннего контроля в структурных подразделениях кредитной организации, внутренних методик, программ, правил, порядков и процедур, а также установленных лимитов;

достоверность учета (отчетности), а также порядок обеспечения информационной безопасности в структурном подразделении кредитной организации;

осуществление отдельных операций (процедур) внутреннего контроля в структурном подразделении кредитной организации, в том числе надежность установленных и применяемых кредитной организацией отдельных способов (методов) контроля в части организации системы внутреннего контроля кредитной организации в отношении операций и сделок, осуществляемых структурными подразделениями кредитной организации.

4.12.2. При проверке отдельных операций (процедур) внутреннего контроля в обособленных подразделениях кредитной организации дополнительно рекомендуется анализировать:

доведение до обособленных подразделений кредитной организации внутренних документов, утвержденных уполномоченным органом управления кредитной организации, определяющих порядок проведения банковских операций;

наличие управленческой отчетности по вопросам осуществления внутреннего контроля в обособленных подразделениях кредитной организации, а также ее полноту, достоверность и периодичность представления;

осуществление контроля со стороны головного офиса кредитной организации за соблюдением обособленными подразделениями кредитной организации внутренних правил, процедур и лимитов.

При проверке отдельных операций (процедур) внутреннего контроля в обособленных подразделениях кредитной организации дополнительно может быть осуществлена оценка внутреннего контроля по отдельным проверяемым направлениям деятельности кредитной организации, в том числе с расчетом показателей Повк_i (при наличии достаточной надзорной информации).