Audyt zgodności dla firm regulowanych

Firma regulowana dowiaduje się o lukach w swojej zgodności na jeden z dwóch sposobów: z własnego przeglądu albo z kontroli organu nadzoru. Audyt zgodności to pierwszy sposób. Ten poradnik wyjaśnia, co obejmuje wewnętrzny przegląd zgodności, jak wybiera się zakres, co zawiera raport, co przegląd zwykle znajduje i co dzieje się z ustaleniami.

Poradnik jest ogólną informacją, nie poradą prawną. Przegląd zgodności nie jest ustawowym badaniem sprawozdania finansowego i nie zastępuje biegłego rewidenta wymaganego ustawą o działalności biegłych rewidentów lub ustawą sektorową.

Czym jest audyt zgodności

Audyt zgodności — ściślej wewnętrzny przegląd zgodności — porównuje to, co mówią polityki firmy, z tym, co firma faktycznie robi, i sprawdza jedno i drugie względem prawa oraz wytycznych organu nadzoru. To kontrola dokumentów i procedur, a nie opinia o sprawozdaniu finansowym firmy: badanie ustawowe patrzy na liczby, a przegląd zgodności na mechanizmy kontroli. Przeprowadza się je osobno, zwykle przez różnych badających, a firma regulowana często potrzebuje obu w różnych momentach roku.

Kiedy przegląd ma sens

• przed złożeniem wniosku o licencję, aby sprawdzić dokumenty względem prawa;
• w pierwszym roku po uzyskaniu zezwolenia, gdy polityki po raz pierwszy spotykają się z praktyką;
• przed kontrolą organu nadzoru lub po niej, aby zamknąć ustalenia;
• gdy przepisy AML wymagają niezależnej kontroli systemu kontroli wewnętrznej (RahaPTS) lub przed okresowym przeglądem firmy przez bank;
• przed sprzedażą, jako część due diligence nabywcy.

Zakres w trzech klasach

• Zakres klasy 1 — od €8,500: ramy AML, ład korporacyjny i podstawowe polityki firmy o ograniczonych usługach;
• Zakres klasy 2 — od €15,500: dodatkowo ochrona środków klientów lub przechowywanie, outsourcing, ICT i reklamacje, z testami na próbie;
• Zakres klasy 3 — od €27,000: cały obszar regulacyjny złożonej firmy, w tym zasady postępowania rynkowego i platformy obrotu, gdy mają zastosowanie.

Klasa przeglądu wynika z usług firmy, nie tylko z jej wielkości; potwierdzamy ją na piśmie przed rozpoczęciem pracy. Firma, która od ostatniego przeglądu dodała usługę — na przykład ochronę środków klientów, przechowywanie lub nowy kanał dystrybucji — zwykle potrzebuje szerszego zakresu, nawet jeśli poza tym nic się nie zmieniło.

Ile trwa przegląd

Czas zależy od zakresu i od tego, jak szybko firma odpowiada na pytania i dostarcza akta do testów:

• zakres klasy 1 — zwykle 3–4 tygodnie;
• zakres klasy 2 — zwykle 4–6 tygodni;
• zakres klasy 3 — zwykle 6–8 tygodni;
• plan naprawczy po ostatecznym raporcie — zwykle 2–4 tygodnie.

To typowe terminy dla firmy, której dokumenty i akta są już uporządkowane; firma, która musi kompletować akta w trakcie przeglądu zamiast przed nim, powinna liczyć się z dłuższym przeglądem.

Metoda i raport krok po kroku

• przegląd dokumentów względem właściwego prawa, rozporządzeń i wytycznych organu nadzoru;
• pisemne kwestionariusze dla zarządu i osób pełniących kluczowe funkcje, z pytaniami uzupełniającymi e-mailem;
• testy akt na próbie: należyta staranność wobec klientów, alerty monitoringu, uzgodnienia ochrony środków klientów, reklamacje;
• raport z ustaleniami ocenionymi według ryzyka, podstawą prawną każdego i rekomendacją.

Kroki idą w tej kolejności: przegląd dokumentów wyznacza pytania do rozmów, rozmowy wskazują akta warte zbadania, a na testach na próbie opierają się ustalenia raportu. Przegląd, który od razu przechodzi do testów bez przeczytania polityk, zwykle pomija rozdźwięk między tym, co napisane, a tym, co faktycznie się robi — a to zwykle poważniejsze z dwóch ustaleń.

Co przegląd zwykle znajduje

W różnych firmach i sektorach powtarzają się te same luki:

• polityki napisane do wniosku o licencję, których nie zaktualizowano, gdy działalność zaczęła wyglądać inaczej;
• alerty monitoringu zamykane bez pisemnego uzasadnienia, więc z akt nie wynika, dlaczego podjęto decyzję;
• uzgodnienia ochrony środków klientów niewykonywane z częstotliwością wymaganą przez własną politykę firmy;
• umowy outsourcingowe lub ICT, których nigdzie nie wymieniono, więc nikt nie może pokazać organowi nadzoru pełnego obrazu na żądanie;
• rejestr reklamacji, który istnieje na papierze, ale nigdy nie jest przeglądany przez zarząd.

Żadna z nich sama w sobie nie przesądza o negatywnym wyniku kontroli; ryzyko polega na tym, że pozostają niezauważone, dopóki nie znajdzie ich pierwszy organ nadzoru, a nie firma.

Zamykanie ustaleń

Plan naprawczy (od €1,700) zamienia ustalenia w plan z priorytetami, osobami odpowiedzialnymi i terminami, a w razie potrzeby aktualizujemy dokumenty. Bank, biegły rewident lub organ nadzoru, który później zapyta o ustalenie, oczekuje zarówno planu, jak i dowodów jego wykonania — nie tylko pierwotnego raportu. Firmy objęte DORA często łączą przegląd z ramami DORA; firmy krypto — ze wsparciem bieżącej zgodności MiCA. O dokumentach AML i ochrony środków klientów zob. zasady AML i ochrona środków klientów.

Co otrzymujesz

• raport z niezależnego przeglądu zgodności z ocenionymi ustaleniami;
• po zamówieniu — plan naprawczy i zaktualizowane dokumenty.

Kwoty to nasze wynagrodzenie za standardowy zakres, bez VAT. Cała komunikacja odbywa się e-mailem.

Nie świadczymy usług obywatelom Rosji ani spółkom z Rosji.

Zamów audyt zgodności Cennik Poradnik po angielsku