Rozdział 1. Zasady ogólne

§ 1.Zarządzanie ryzykiem, kontrola wewnętrzna oraz szacowanie kapitału wewnętrznego i dokonywanie przeglądów procesu szacowania i utrzymywania kapitału wewnętrznego w banku realizowane są na podstawie pisemnych strategii, planów, procedur i analiz.

§ 2.System zarządzania ryzykiem i system kontroli wewnętrznej w banku odnoszą się do działalności prowadzonej bezpośrednio przez bank oraz uwzględniają funkcjonowanie banku w holdingach, o których mowa w art. 141f ust. 1 ustawy, o której mowa w zdaniu wstępnym.

§ 3.1. Rada nadzorcza banku zatwierdza strategię działania banku oraz zasady ostrożnego i stabilnego zarządzania bankiem.

2. Rada nadzorcza sprawuje nadzór nad zgodnością polityki banku w zakresie podejmowania ryzyka ze strategią i planem finansowym banku.

§ 4.Rada nadzorcza banku powinna zapewnić wybór członków zarządu posiadających odpowiednie kwalifikacje do sprawowania wyznaczonych im funkcji. Rada ocenia czy działania zarządu w zakresie kontroli nad działalnością banku są skuteczne i zgodne z polityką rady.

§ 5.Zarząd podejmując decyzje w ramach zarządzania bankiem uwzględnia rezultaty badań prowadzonych przez komórkę audytu wewnętrznego oraz biegłych rewidentów.

§ 6.1. Zarząd banku odpowiada za skuteczność systemu zarządzania ryzykiem, systemu kontroli wewnętrznej, procesu szacowania kapitału wewnętrznego i dokonywania przeglądów, procesu szacowania i utrzymywania kapitału wewnętrznego oraz za nadzór nad efektywnością tych procesów, wprowadzając niezbędne korekty i udoskonalenia w razie zmiany poziomu ryzyka w działalności banku, czynników otoczenia gospodarczego oraz nieprawidłowości w funkcjonowaniu systemów i procesów.

2. Struktura organizacyjna oraz systemy i procesy, o których mowa w ust. 1, powinny być dostosowane do wielkości oraz stopnia złożoności działalności banku.

§ 7.1. Zarząd banku odpowiada za opracowanie, wprowadzenie oraz aktualizację pisemnych polityk, strategii oraz procedur w zakresie systemu zarządzania ryzykiem, systemu kontroli wewnętrznej oraz szacowania kapitału wewnętrznego i dokonywania przeglądów procesu szacowania i utrzymywania kapitału wewnętrznego.

2. Wewnętrzne procedury banku, o których mowa w ust. 1, określają w szczególności:

1) podział obowiązków, stosownie do struktury organizacyjnej banku;

2) zasady współpracy jednostek organizacyjnych banku;

3) zasady wyboru, wynagradzania i monitorowania pracowników sprawujących funkcje istotne dla banku oraz działania, których celem jest zapewnienie ciągłości realizacji funkcji istotnych dla banku.

§ 8.1. Zarząd banku wprowadza zatwierdzoną przez radę nadzorczą strukturę organizacyjną banku dostosowaną do wielkości i profilu ponoszonego ryzyka.

2. Zarząd banku wprowadza podział realizowanych w banku zadań, który zapewnia niezależność funkcji pomiaru, monitorowania i kontrolowania ryzyka od działalności operacyjnej, z której wynika podejmowanie ryzyka przez bank.

§ 9.Zarząd banku przekazuje radzie nadzorczej banku okresową informację, przedstawiającą w sposób rzetelny, przejrzysty i syntetyczny rodzaje i wielkość ryzyka w działalności banku.

§ 10.Zarząd banku odpowiada za przejrzystość działań banku, w szczególności za politykę informacyjną w zakresie działalności banku, pozwalającą na ocenę skuteczności działania rady nadzorczej i zarządu banku w zakresie zarządzania bankiem, monitorowania stanu bezpieczeństwa działalności banku i za ocenę sytuacji finansowej banku.

§ 11.1. Zarząd banku zapewnia zgodności działania banku z obowiązującymi przepisami prawa, z uwzględnieniem działania banku na podstawie przepisów prawa innego państwa i powiązań banku z innymi podmiotami, które mogłyby utrudnić skuteczne zarządzanie bankiem.

2. Zarząd zapewnia, że bank prowadzi politykę służącą zarządzaniu wszystkimi istotnymi rodzajami ryzyka w działalności banku i posiada procedury w tym zakresie.

Rozdział 2. Zarządzanie ryzykiem

§ 12.1. Zarządzanie ryzykiem w banku realizowane jest na podstawie polityk i procedur dotyczących identyfikacji, pomiaru, monitorowania i kontroli ryzyka, opracowanych w formie pisemnej i zatwierdzonych przez zarząd banku lub odpowiednie komitety powołane przez zarząd banku.

2. Procedury wewnętrzne powinny być znane pracownikom banku uczestniczącym w procesie zarządzania ryzykiem. Procedury podlegają regularnej weryfikacji w celu ich dostosowania do zmian profilu ryzyka banku i otoczenia gospodarczego, w którym bank działa.

§ 14.Bank wprowadza procedury zarządzania innymi niż wymienione w § 13 rodzajami ryzyka, które zostały zidentyfikowane jako istotne w prowadzonej działalności bankowej.

§ 15.1. Bank stosuje metody (modele) identyfikowania i pomiaru ryzyka związanego z jego działalnością dostosowane do profilu, skali i złożoności ryzyka.

2. Częstotliwość pomiaru ryzyka dostosowana jest do wielkości oraz charakteru poszczególnych rodzajów ryzyka w działalności banku.

3. Stosowane przez bank metody (modele) pomiaru ryzyka uwzględniają aktualnie prowadzoną oraz planowaną działalność banku.

4. Stosowane metody (modele) lub systemy pomiaru ryzyka, w szczególności ich założenia są poddawane okresowej ocenie wewnętrznej uwzględniającej testowanie i weryfikację historyczną.

§ 16.1. W ramach pomiaru ryzyka bank przeprowadza testy warunków skrajnych.

2. Testy warunków skrajnych są przeprowadzane w banku na podstawie założeń zapewniających rzetelną ocenę ryzyka.

§ 17.1. Bank wprowadza odpowiednie do skali i złożoności działalności limity wewnętrzne ograniczające poziom ryzyka występującego w poszczególnych obszarach działania banku.

2. Przyjęte rodzaje limitów wewnętrznych oraz ich wysokość zatwierdza zarząd banku lub odpowiednie komitety powołane przez zarząd banku.

3. Bank określa w procedurach wewnętrznych zasady ustalania i aktualizowania wysokości limitów wewnętrznych, o których mowa w ust. 1 oraz częstotliwość monitorowania ich przestrzegania i raportowania o wynikach tego monitoringu przestrzegania limitów.

4. Wysokość limitów, o których mowa w ust. 1 jest do stosowana do akceptowanego przez radę nadzorczą ogólnego poziomu ryzyka banku.

5. Analizy będące podstawą do określenia wysokości limitów wewnętrznych są sporządzane w formie pisemnej.

§ 18.1. Bank określa sytuacje, w których dopuszczalne jest przekroczenie limitów wewnętrznych, o których mowa w § 17 ust. 1 oraz warunki akceptacji takich przekroczeń.

2. Bank określa sposób postępowania w przypadku przekroczenia limitów, o których mowa w § 17 ust. 1, w tym działania mające na celu wyjaśnienie przyczyn przekroczenia innego niż to, o którym mowa w ust. 1, wyeliminowanie tego przekroczenia oraz środki mające na celu zapobieżenie takim sytuacjom w przyszłości.

§ 19.1. Monitorowanie i sprawozdawanie o ryzyku stanowi część bieżącego procesu zarządzania ryzykiem w banku.

2. Informacje zawarte w sprawozdaniach wewnętrznych wspomagają proces decyzyjny w zakresie zarządzania ryzykiem w banku i powinny być rzetelne, dokładne, aktualne oraz mieć odpowiedni zakres.

3. Funkcjonujący w banku wewnętrzny system sprawozdawczości zarządczej dostarcza wykorzystywanej w procesie zarządzania ryzykiem w banku informacji na temat rodzajów i wielkości ryzyka w działalności banku, służy ocenie skutków decyzji w zakresie zarządzania ryzykiem w banku i monitorowaniu przestrzegania limitów wewnętrznych, o których mowa w § 17 ust. 1.

4. Monitorowanie ryzyka odbywa się z częstotliwością umożliwiającą dostarczenie informacji o zmianach profilu ryzyka banku.

§ 20.Przed wprowadzeniem nowego produktu finansowego bank przeprowadza proces przygotowawczy obejmujący w szczególności: analizę zgodności ze strategią, identyfikację istotnych rodzajów ryzyka, uwzględnienie produktu w stosowanych metodach identyfikacji i pomiaru ryzyka, ustalenie limitów wewnętrznych, zasad księgowania, raportowania oraz zatwierdzenie przez zarząd banku lub odpowiednie komitety powołane przez zarząd banku.

§ 21.1. W banku sprawowany jest nadzór nad ryzykiem związanym z działalnością podmiotów zależnych.

2. Zasady zarządzania ryzykiem w podmiotach zależnych od banku, w tym metodyki identyfikacji, pomiaru i ograniczania ryzyka, powinny wynikać z przyjętej przez bank strategii i być zgodne, z uwzględnieniem rodzaju działalności prowadzonej przez te podmioty, z zasadami określonymi w § 13.

3. W banku dokonywana jest ocena wielkości i profilu ryzyka związanego z działalnością podmiotów zależnych.

4. Zakres i jakość wykorzystywanej w banku informacji zarządczej na temat ryzyka związanego z działalnością podmiotów zależnych powinny umożliwiać rzetelną ocenę tego ryzyka.

§ 22.1. Rada nadzorcza banku sprawuje nadzór nad zarządzaniem ryzykiem braku zgodności rozumianym jako skutki nieprzestrzegania przepisów prawa, regulacji wewnętrznych oraz przyjętych przez bank standardów postępowania.

2. Rada nadzorcza zatwierdza założenia polityki banku w zakresie ryzyka braku zgodności.

3. Rada nadzorcza co najmniej raz w roku ocenia stopień efektywności zarządzania ryzykiem braku zgodności przez bank.

§ 23.Zarząd banku odpowiada za efektywne zarządzanie w banku ryzykiem braku zgodności.

§ 24.1. Zarząd banku odpowiada za opracowanie polityki zgodności, zapewnienie jej przestrzegania i składanie sprawozdań radzie nadzorczej w sprawie zarządzania w banku ryzykiem braku zgodności.

2. Polityka zgodności zawiera podstawowe zasady działania pracowników banku i wyjaśnia główne procesy identyfikujące ryzyko braku zgodności i umożliwiające zarządzanie ryzykiem braku zgodności na wszystkich szczeblach organizacji banku.

§ 25.Zarząd banku odpowiada za ustanowienie stałej i efektywnie działającej jednostki ds. zarządzania ryzykiem braku zgodności w banku.

§ 26.W przypadku stwierdzenia nieprawidłowości w stosowaniu polityki zgodności, zarząd banku podejmuje środki naprawcze lub dyscyplinujące.

Rozdział 3. System kontroli wewnętrznej

§ 27.Bank posiada system kontroli wewnętrznej dostosowany do struktury organizacyjnej, który obejmuje jednostki organizacyjne banku oraz podmioty zależne.

§ 28.1. Bank posiada:

1) procedury kontroli wewnętrznej stanowiące opracowane w formie pisemnej i zatwierdzone przez zarząd i radę nadzorczą banku zasady sprawowania kontroli wewnętrznej, określające m.in. zadania realizowane na poszczególnych stanowiskach pracy w ramach systemu kontroli wewnętrznej (regulacje wewnętrzne);

2) mechanizmy kontroli wewnętrznej, dostosowane do specyfiki banku i obejmujące:

a) zasady, limity i procedury dotyczące prowadzonej przez bank działalności, mające charakter kontrolny i funkcjonujące w ramach systemu operacyjnego banku,

b) czynności mające na celu kontrolę jakości i poprawności realizowanych w banku zadań, wykonywane przez każdego pracownika oraz dodatkowo przez bezpośredniego przełożonego.

2. Procedury i mechanizmy kontroli wewnętrznej podlegają przeglądowi i ocenie w ramach audytu wewnętrznego, o którym mowa w art. 9c ust. 2 pkt 3 ustawy, o której mowa w zdaniu wstępnym.

§ 29.Bank, w ramach systemu kontroli wewnętrznej, powinien identyfikować ryzyko:

1) związane z każdą operacją, transakcją, produktem i usługą;

2) wynikające ze struktury organizacyjnej oraz struktury holdingu, o którym mowa w art. 141f ust. 1 ustawy, o której mowa w zdaniu wstępnym, w którym bank działa.

§ 30.Zarząd banku podejmuje działania mające na celu zapewnienie ciągłości monitorowania efektywności wewnętrznych mechanizmów kontrolnych oraz identyfikuje obszary działalności banku, operacje, transakcje oraz inne czynności przeznaczone do stałego monitorowania.

§ 31.Do obowiązków zarządu banku należą:

1) wyznaczenie osób odpowiedzialnych za przeprowadzenie okresowej, co najmniej raz w roku, weryfikacji funkcjonujących w banku mechanizmów i procedur kontroli wewnętrznej;

2) określenie właściwej formy udokumentowania przeprowadzonego przeglądu i oceny efektywności wewnętrznych mechanizmów kontrolnych oraz wniosków wynikających z tych przeglądów;

3) określenie trybu przekazania wewnątrz banku raportu, w celu podjęcia działań służących usunięciu stwierdzonych nieprawidłowości mechanizmów kontroli wewnętrznej oraz sposobu kontroli skorygowania tych nieprawidłowości.

§ 32.Na podstawie dokonywanych przeglądów i ocen efektywności wewnętrznych mechanizmów kontrolnych zarząd i rada nadzorcza banku otrzymują:

1) informację dotyczącą istotnych, stwierdzonych nieprawidłowości mechanizmów kontroli wewnętrznej, niezwłocznie po ich ujawnieniu oraz informację dotyczącą efektów działań podjętych w celu usunięcia tych nieprawidłowości;

2) okresową informację dotyczącą wszystkich obszarów kontroli wewnętrznej.

§ 33.1. Zarząd banku jest odpowiedzialny za zorganizowanie komórki audytu wewnętrznego.

2. Zarząd banku przeprowadza okresowe oceny efektywności działania komórki audytu wewnętrznego, wykorzystując w tym celu dokumenty przygotowywane przez kierującego komórką audytu wewnętrznego, protokoły sporządzane przez organ nadzoru bankowego oraz audytorów wewnętrznych.

3. Czynności realizowane w ramach audytu wewnętrznego, służące realizacji zadań określonych w art. 9d ust. 2 ustawy – Prawo bankowe, powinny:

1) obejmować działalność banku jako całości;

2) być wykonywane zgodnie z regulaminem kontroli określającym cel, zakres i szczegółowe zasady działania oraz strukturę organizacyjną komórki audytu wewnętrznego oraz na podstawie pisemnej metodyki prowadzenia kontroli przez komórkę audytu wewnętrznego;

3) być wykonywane przy użyciu odpowiednich i opisanych metod badań służących dokonaniu wyboru próby do kontroli;

4) mieć zakres i częstotliwość określone w planach kontroli i dostosowane do zidentyfikowanych obszarów ryzyka i poziomu jego istotności;

5) być odpowiednio udokumentowane;

6) obejmować sprawdzenie efektywności wdrażania i realizacji zaleceń wydanych w ramach audytu wewnętrznego.

§ 34.Zarząd banku podejmuje działania mające na celu zapewnienie ciągłości i skuteczności działania kontroli wewnętrznej, w tym właściwej współpracy wszystkich pracowników banku z komórką audytu wewnętrznego oraz dostępu osobom wykonującym czynności kontrolne do niezbędnych dokumentów źródłowych, w tym zawierających informacje poufne.

§ 35.Osoby wykonujące w banku czynności kontrolne powinny posiadać kwalifikacje, doświadczenie i umiejętności w zakresie badania ryzyka występującego w działalności banku.

§ 36.W banku funkcjonują mechanizmy zapewniające niezależność komórki audytu wewnętrznego, w szczególności przez:

1) bezpośredni kontakt kierującego komórką audytu wewnętrznego z zarządem i radą nadzorczą banku;

2) szczegółowy tryb powoływania i odwoływania kierującego komórką audytu wewnętrznego;

3) szczegółowy tryb kontroli poziomu wynagrodzeń kierującego i pracowników komórki audytu wewnętrznego;

4) udział kierującego komórką audytu wewnętrznego w posiedzeniach zarządu i rady nadzorczej, gdy w zakresie spraw omawianych są zagadnienia dotyczące bezpośrednio zadań komórki i nadzoru nad kontrolą wewnętrzną;

5) udział, co najmniej raz w roku, kierującego komórką audytu wewnętrznego w posiedzeniu rady nadzorczej, na którym omawiana byłaby działalność komórki audytu wewnętrznego;

6) ochronę pracowników komórki audytu wewnętrznego przed nieuzasadnionym rozwiązaniem stosunku pracy.

§ 37.Na podstawie czynności kontroli wewnętrznej zarząd i rada nadzorcza banku otrzymują informacje dotyczące:

1) przestrzegania przepisów prawa oraz obowiązujących w banku regulacji wewnętrznych;

2) funkcjonowania w banku systemu informacji zarządczej;

3) skuteczności ujawniania w ramach kontroli funkcjonalnej błędów i nieprawidłowości oraz podejmowania skutecznych działań naprawczych lub korygujących;

4) realizacji określonych i wymaganych przez zarząd celów i polityki banku;

5) kompletności, prawidłowości i kompleksowości procedur księgowych;

6) jakości (dokładności i niezawodności) systemów: księgowego, sprawozdawczego i operacyjnego;

7) adekwatności, funkcjonalności i bezpieczeństwa systemu informatycznego;

8) efektywności wykorzystania dostępnych środków, w tym funduszy własnych i zasobów we wszystkich obszarach działalności banku;

9) oceny struktury organizacyjnej banku, podziału kompetencji i koordynacji działań pomiędzy poszczególnymi jednostkami organizacyjnymi i stanowiskami pracy, a także systemu tworzenia i obiegu dokumentów i informacji;

10) oceny funkcjonowania systemów wewnętrznych w aspekcie poprawy efektywności działania banku jako całości;

11) czynności zlecanych przez bank do wykonania podmiotom zewnętrznym.

§ 38.Prezes zarządu zobowiązany jest do podejmowania decyzji o sposobie wykorzystania wyników kontroli i poinformowania o niej jednostki kontrolowanej, która następnie przekazuje komórce audytu wewnętrznego informacje o terminach i skutkach działań naprawczych, podjętych w związku z kontrolą wewnętrzną.

§ 39.Zasady określone w § 34-§ 38 stosuje się odpowiednio w przypadku banków spółdzielczych, w których na podstawie art. 10 ustawy, o której mowa w zdaniu wstępnym, kontrola wewnętrzna realizowana jest przez bank zrzeszający.

Rozdział 4. Szacowanie i utrzymywanie kapitału wewnętrznego i dokonywanie przeglądów procesu szacowania

§ 40.Zarząd banku odpowiada za przygotowanie i wdrożenie procesów:

1) szacowania kapitału wewnętrznego;

2) zarządzania kapitałowego;

3) planowania kapitałowego.

§ 41.Procedury wewnętrzne banku dotyczące procesów szacowania kapitału wewnętrznego, zarządzania kapitałowego oraz planowania kapitałowego są zatwierdzane przez radę nadzorczą banku.

§ 42.Procesy szacowania kapitału wewnętrznego, zarządzania kapitałowego oraz planowania kapitałowego są odpowiednio udokumentowane.

§ 43.1. Zarząd banku jest odpowiedzialny za przeprowadzenie regularnych przeglądów procesu szacowania kapitału wewnętrznego, tak aby proces był odpowiedni do charakteru, skali i złożoności działalności banku. Proces szacowania kapitału wewnętrznego podlega przeglądowi i weryfikacji nie rzadziej niż raz do roku.

2. Niezależnie od rocznych przeglądów, proces szacowania kapitału wewnętrznego jest odpowiednio dostosowywany w szczególności w sytuacji pojawienia się nowych rodzajów ryzyka, znaczących zmian w strategii i planach działania oraz środowisku zewnętrznym, w którym działa bank.

3. Proces, o którym mowa w § 40 pkt 1 i przegląd tego procesu podlega niezależnej ocenie dokonywanej przez komórkę audytu wewnętrznego banku.

§ 44.1. Proces szacowania kapitału wewnętrznego powinien stanowić integralną część procesu zarządzania bankiem.

2. Polityka zarządzania kapitałem oraz plany kapitałowe powinny być uwzględnione w procesie zarządzania bankiem.

3. Prowadzona w banku polityka zarządzania kapitałem zawiera w szczególności następujące elementy:

1) długoterminowe cele kapitałowe banku;

2) preferowaną strukturę kapitału;

3) kapitałowe plany awaryjne;

4) delegowanie zarządzania kapitałem;

5) podstawowe elementy procesu przekształcania miar ryzyka w wymogi kapitałowe.

§ 45.Proces szacowania kapitału wewnętrznego powinien uwzględniać rzetelne wyniki oceny ryzyka. Ocena adekwatności kapitałowej powinna uwzględniać czynniki ilościowe (wyniki metod szacowania kapitału) i jakościowe, w szczególności w zakresie danych wejściowych i wyników stosowanych modeli.

§ 46.Zarząd banku jest odpowiedzialny za odpowiednie ustalenie całkowitego wymaganego poziomu kapitału na pokrycie wszystkich istotnych rodzajów ryzyka i jego jakościową ocenę.

§ 47.Proces szacowania kapitału wewnętrznego przez bank obejmuje w szczególności:

1) pisemne kryteria uznawania poszczególnych rodzajów ryzyka za istotne;

2) pisemne zasady polityki oraz procedury identyfikowania, pomiaru i raportowania ryzyka w działalności banku;

3) proces ustalania (alokacji) kapitału w zależności od poziomu ryzyka w banku;

4) proces ustalania celów kapitałowych w zakresie adekwatności kapitałowej (docelowy poziom kapitału);

5) system kontroli wewnętrznej w obszarze szacowania i utrzymywania kapitału wewnętrznego.

Rozdział 5. Przepisy przejściowe i końcowe

48.Uchwała wchodzi w życie z dniem 1 stycznia 2009 r.