W PKO Banku Polskim S.A. funkcjonuje system kontroli wewnętrznej, który jest elementem systemu zarządzania. Za zaprojektowanie, wprowadzenie i funkcjonowanie adekwatnego i skutecznego systemu kontroli wewnętrznej odpowiada Zarząd. Rada Nadzorcza sprawuje nadzór nad wprowadzeniem i funkcjonowaniem systemu kontroli wewnętrznej oraz dokonuje oceny jego adekwatności i skuteczności, w tym adekwatności i skuteczności funkcji kontroli, komórki do spraw zgodności oraz komórki audytu wewnętrznego. Ocena systemu kontroli wewnętrznej dokonywana jest na podstawie określonych kryteriów i z uwzględnieniem:
- informacji przekazywanych przez Zarząd, Komitet Audytu Rady Nadzorczej, komórkę do spraw zgodności i komórkę audytu wewnętrznego,
- ustaleń dokonanych przez biegłego rewidenta i wynikających z czynności nadzorczych uprawnionych instytucji,
- innych informacji i dokumentów istotnych z punktu widzenia adekwatności i efektywności systemu kontroli wewnętrznej.
Radę Nadzorczą wspiera w tym zakresie Komitet Audytu Rady Nadzorczej, który odpowiedzialny jest w szczególności za bieżące monitorowanie systemu kontroli wewnętrznej.
Celem systemu kontroli wewnętrznej jest zapewnienie:
- skuteczności i efektywności działania Banku,
- wiarygodności sprawozdawczości finansowej,
- przestrzegania zasad zarządzania ryzykiem w Banku,
- zgodności działania Banku z powszechnie obowiązującymi przepisami prawa, przepisami wewnętrznymi Banku, rekomendacjami nadzorczymi oraz przyjętymi w Banku standardami rynkowymi.
System kontroli wewnętrznej jest zorganizowany w Banku na trzech niezależnych od siebie poziomach:
- pierwszy poziom tworzą struktury organizacyjne Banku, które realizują działalność operacyjną w szczególności sprzedaż produktów i obsługę Klientów oraz inne struktury organizacyjne Banku, które realizują zadania operacyjne generujące ryzyko i funkcjonują na podstawie odrębnych przepisów wewnętrznych Banku,
- drugi poziom obejmuje działalność:
– komórki do spraw zgodności,
– wyspecjalizowanych struktur organizacyjnych Banku odpowiedzialnych za identyfikację, pomiar, kontrolę, monitorowanie i raportowanie poszczególnych rodzajów ryzyka, a także zagrożeń i nieprawidłowości, w celu zapewnienia, aby działania realizowane na pierwszym poziomie były właściwie zaprojektowane, a struktury drugiego poziomu skutecznie zarządzały ryzykiem oraz wspierały efektywność działalności Banku,
- trzeci poziom stanowi działalność komórki audytu wewnętrznego, która realizuje niezależne audyty elementów systemu zarządzania Bankiem, w tym systemu zarządzania ryzykiem oraz systemu kontroli wewnętrznej.
Niezależność poziomów polega na organizacyjnej odrębności:
- drugiego poziomu w zakresie tworzenia rozwiązań systemowych od pierwszego poziomu,
- trzeciego poziomu od pierwszego i drugiego poziomu.
W ramach systemu kontroli wewnętrznej Bank wyodrębnia:
- funkcję kontroli,
- komórkę do spraw zgodności,
- niezależną komórkę audytu wewnętrznego.
Funkcja kontroli zapewnia przestrzeganie mechanizmów kontrolnych, które dotyczą w szczególności zarządzania ryzykiem w Banku i obejmuje wszystkie jednostki Banku oraz usytuowane w nich stanowiska organizacyjne odpowiedzialne za realizację zadań przypisanych tej funkcji.
Na funkcję kontroli składają się:
- mechanizmy kontrolne,
- niezależne monitorowanie przestrzegania mechanizmów kontrolnych,
- raportowanie w ramach funkcji kontroli.
PKO Bank Polski S.A. identyfikuje procesy istotne, które mają istotne znaczenie dla realizacji celów systemu kontroli wewnętrznej i celów biznesowych Banku oraz zapewnia okresowe przeglądy procesów, m.in. pod kątem ich istotności.
W procesach i systemach oraz aplikacjach informatycznych, które funkcjonują w PKO Banku Polskim S.A., wbudowane są mechanizmy kontrolne dostosowane do celów systemu kontroli wewnętrznej oraz do specyfiki działalności Banku. Mechanizmy te podlegają niezależnemu monitorowaniu na wszystkich poziomach systemu kontroli wewnętrznej, które obejmuje testowanie mechanizmów kontrolnych oraz weryfikację bieżącą.
Komórka do spraw zgodności jest wyodrębnioną organizacyjnie, niezależną komórką. Pełni kluczową rolę w zakresie zapewnienia zgodności i zarządzania ryzykiem braku zgodności. To ryzyko jest rozumiane jako ryzyko poniesienia sankcji prawnych, powstania strat finansowych bądź utraty reputacji wskutek niezastosowania się Banku, pracowników Banku lub podmiotów, które działają w jego imieniu do powszechnie obowiązujących przepisów prawa, przepisów wewnętrznych Banku oraz przyjętych przez Bank standardów rynkowych. Celem komórki do spraw zgodności jest kształtowanie rozwiązań w zakresie zapewnienia zgodności i zarządzania ryzykiem braku zgodności oraz identyfikacja, ocena, kontrola, monitorowanie oraz raportowanie tego ryzyka w Banku.
Audyt wewnętrzny jest niezależną i obiektywną działalnością o charakterze zapewniającym i doradczym, która ma na celu:
- ocenę adekwatności i skuteczności systemu zarządzania ryzykiem i systemu kontroli wewnętrznej w ramach pierwszego i drugiego poziomu systemu kontroli wewnętrznej z uwzględnieniem adekwatności i efektywności wybranych do audytu mechanizmów kontroli ryzyka i mechanizmów kontrolnych (działalność zapewniająca),
- przysporzenie wartości poprzez wskazywanie możliwych usprawnień procesów funkcjonujących w Banku (działalność doradcza).
Ocena poszczególnych obszarów działania Banku jest dokonywana systematycznie i w uporządkowany sposób. Wydane w ramach audytu zalecenia i rekomendacje służą usunięciu zidentyfikowanych luk oraz podniesieniu jakości i efektywności funkcjonowania Banku oraz podmiotów Grupy Kapitałowej Banku.
Informacje o nieprawidłowościach, wyniki ocen oraz inne istotne kwestie identyfikowane przez poszczególne elementy systemu kontroli wewnętrznej, przedstawiane są w okresowych raportach przeznaczonych dla Zarządu, Komitetu Audytu Rady Nadzorczej, Komitetu ds. Ryzyka Rady Nadzorczej lub Rady Nadzorczej.
W pozostałych podmiotach Grupy Kapitałowej Banku funkcjonują systemy kontroli wewnętrznej, dostosowane do specyfiki i charakteru działalności tych podmiotów. Podmioty te tworzą i wprowadzają regulacje wewnętrzne, w których określają w szczególności zadania dotyczące czynności kontrolnych realizowanych w ramach systemu kontroli wewnętrznej i podział odpowiedzialności za te zadania. Sposób funkcjonowania systemów kontroli wewnętrznej uzależniony jest od wielkości podmiotu i przedmiotu jego działalności. Komórki audytu w Grupie Kapitałowej Banku funkcjonują w oparciu o długofalowy model współpracy. Jego celem jest zapewnienie wspólnych standardów audytu wewnętrznego.
W większości podmiotów istnieją wyodrębnione jednostki organizacyjne lub stanowiska kontrolne, które raportują bezpośrednio do Zarządu lub do Rady Nadzorczej danego podmiotu. W przypadkach uzasadnionych profilem działalności podmiotu oraz jego strukturą organizacyjną (niewielkie podmioty z ograniczonym spektrum działania), czynności kontrolne wykonywane są przez osoby zarządzające, bez wyodrębnienia strukturalnego funkcji lub komórki kontroli wewnętrznej.
