Sistemul de control intern al băncii

Controlul intern reprezintă un proces continuu la care participă consiliul de administraţie, conducătorii, precum şi personalul băncilor.

Trebuie de subliniat faptul, că nu este vorba doar despre o procedură sau o politică aplicată la un moment dat, ci de un cumul de acţiuni desfăşurate continuu la toate nivelurile băncii.

Interesul acordat controlului intern şi caracterului său continuu este consecinţa analizei cauzelor care au determinat înregistrarea de pierderi semnificative de către unele bănci; această analiză a identificat lipsa unor sisteme de control intern adecvate ca fiind un determinant major al pierderilor. Concluzia trasă din aceste experienţe a fost că un sistem de control intern eficient ar fi putut preveni sau ar fi putut detecta din timp problemele care au dus la pierderi, ar fi putut limita amploarea acestora. Prin urmare, un sistem de control intern eficient reprezintă o componentă critică a gestionării unei bănci, care poate sprijini realizarea obiectivelor băncii şi atingerea ţintelor sale de profitabilitate.

Obiectivele controlului intern bancar

Definiţia dată mai sus cuprinde trăsătura pregnantă a controlului intern, participanţii la acest proces, dar nu este completă; lipseşte partea referitoare la conţinutul acestei activităţi, care se regăseşte descris prin obiectivele controlului intern. Principalele obiective ale procesului de control intern pot fi categorisite astfel:

1. eficienţa şi eficacitatea activităţilor (obiective de performanţă);
2. relevanţa, credibilitatea , caracterul complet şi oportun al informaţiilor financiare şi de gestiune (obiective privind informaţia);
3. conformitatea cu legile şi reglementările aplicabile (obiective de conformitate).

Obiectivele de performanţă ale controlului intern se referă la eficienţa şi eficacitatea cu care banca îşi utilizează activele şi alte resurse şi la protecţia băncii împotriva pierderilor. Prin proiectarea normelor de control intern trebuie să se asigure, că întregul personal al băncii se preocupă de atingerea obiectivelor acesteia cu eficienţă şi integritate, fără costuri excesive şi fără a plasa alte interese înaintea celor ale băncii.

Obiectivele privind informaţiile sunt legate de pregătirea în mod operativ a unor rapoarte relevante şi de încredere, care să stea la baza procesului de luare a deciziilor în bancă. Totodată, se referă la informaţiile financiare, la situaţiile financiare anuale şi altele de acest gen, destinate consiliului de administraţie, acţionarilor, organismelor de supraveghere, a căror calitate şi integritate este absolut necesară pentru luarea deciziilor.

Obiectivele de conformitate trebuie atinse pentru a proteja reputaţia şi autorizaţia de funcţionare, prin respectarea legilor, cerinţelor autorităţii de supraveghere, normelor şi politicilor interne.

Elementele principale ale sistemului de control intern bancar

Procesul de control intern, iniţial conceput ca un mecanism de reducere a riscurilor de fraudă, furt şi eroare, a căpătat în timp multe alte valenţe, adresându-se unei varietăţi mai mari de riscuri cu care se confruntă banca şi de acoperirea cărora depinde realizarea obiectivelor băncii.

Controlul intern cuprinde cinci elemente aflate în strânsă corelare:

1. supravegherea exercitată de către consiliul de administraţie şi conducerea băncii;
2. identificarea şi evaluarea riscurilor;
3. activităţile de control şi separarea atribuţiilor;
4. informarea şi comunicarea;
5. activităţile de monitorizare şi de corectare a deficienţelor.

Problemele identificate în analiza pierderilor suferite de bănci se circumscriu acestor cinci elemente, a căror funcţionare este esenţială pentru atingerea celor trei obiective ale controlului intern.

Rolul şi responsabilităţile consiliului de administraţie şi ale conducătorilor băncilor

Consiliul de administraţie ar trebui să aibă responsabilitatea aprobării şi revizuirii periodice a strategiilor de ansamblu şi a politicilor semnificative ale băncii; înţelegerii riscurilor majore cu care banca are de-a face, stabilirii nivelurilor acceptabile ale acestor riscuri şi asigurării că sunt luate măsurile necesare de către conducerea băncii pentru a identifica, măsura, monitoriza şi controla aceste riscuri; aprobării structurii organizatorice; şi asigurării asupra faptului că eficacitatea sistemului de control intern este monitorizată de conducerea băncii. Consiliul de administraţie este responsabil, în ultimă instanţă, pentru stabilirea şi menţinerea unui sistem de control intern adecvat şi eficient.

Consiliul de administraţie îndrumă şi supraveghează conducerea băncilor, iar pentru a îndeplini aceste atribuţii membrii acestuia trebuie să fie obiectivi, capabili, cu o pregătire profesională adecvată, să aibă o bună cunoaştere a activităţilor băncii şi a riscurilor cu care se confruntă aceasta.

În acest sens, legislaţia unor ţări impune condiţii cu privire la experienţa profesională necesară pentru a putea fi membru al consiliului de administraţie al unei bănci. De exemplu, experienţă de minimum 3 ani în domeniul financiar – bancar sau într-un domeniu care poate fi considerat relevant pentru activitatea băncii.

Totodată, pentru a permite menţinerea obiectivităţii, în unele ţări consiliul are membri care nu sunt implicaţi în conducerea activităţilor de zi cu zi ale băncii.

De exemplu, în România, aceeaşi legislaţia are o nuanţă mai categorică, mai restrictivă în această privinţă, şi anume: “În cazul în care conducătorii băncii fac parte din consiliul de administraţie, numărul membrilor acestuia trebuie să fie stabilit astfel încât administratorii care nu au şi calitatea de conducător să constituie majoritatea.”

Mijloacele prin care consiliul de administraţie îşi poate exercita atribuţiile, identificate de Norma B.N.R. nr. 17/2003, Art. 5. (3 ) sunt:

– discuţii periodice (de regulă trimestrial) cu conducerea operativă privind eficienţa sistemului de control intern;

– analiza periodică (de regulă trimestrial) a evaluărilor sistemului de control intern efectuate de conducerea operativă, de auditul intern şi, după caz, de auditorul financiar extern şi de autoritatea de supraveghere;

– asigurarea implementării de către conducerea operativă a recomandărilor formulate de auditul intern, de auditorul financiar şi de Banca Naţională a României cu privire la deficienţele sistemului de control intern şi examinarea efectului măsurilor implementate.

La acestea, Comitetul de la Basel adaugă şi revizuirea periodică a strategiei băncii şi a limitelor de risc, care apare şi ca atribuţie a consiliului de administraţie. În unele ţări consiliul de administraţie se bazează pe ajutorul dat de comitetul de audit, constituit din membri ai acestuia. Comitetul examinează în detaliu informaţiile şi rapoartele primite, supraveghează procesul de raportare financiară şi sistemul de control intern, este în contact direct cu departamentul de audit intern şi cu auditorul financiar, dar dreptul de decizie aparţine consiliului de administraţie.

Conducătorii băncilor ar trebui să aibă responsabilitatea implementării strategiilor şi politicilor aprobate de consiliul de administraţie; responsabilitatea identificării, monitorizării şi controlului riscurilor din activitatea băncii; responsabilitatea menţinerii unei structuri organizatorice care desemnează clar relaţiile de autoritate, responsabilitate şi de raportare; responsabilitatea de a se asigura că responsabilităţile delegate sunt realizate; responsabilitatea stabilirii de politici adecvate de control intern; şi responsabilitatea monitorizării eficienţei şi adecvării sistemului de control intern.

Opinia autorităţii de reglementare în domeniul bancar din România, exprimată prin Norma nr. 17/2003, diferă de cea de mai sus în unele locuri, fie prin nuanţări, fie prin generalizări, fie prin înglobarea unor atribuţii conexe celor statuate de Comitetul de la Basel. Astfel, în domeniul riscurilor semnificative, Banca Naţională a României precizează că atribuţiile conducătorilor se referă atât la coordonarea procesului de elaborare a procedurilor, cât şi la luarea măsurilor necesare pentru identificarea, evaluarea, monitorizarea şi controlul riscurilor. În ceea ce priveşte atribuţiile delegate conducerii operative, Banca Naţională a României menţionează că acestea se referă doar la stabilirea politicilor şi procedurilor de control intern, în timp ce în domeniul structurii organizatorice atribuţia conducătorilor este foarte “largă” – de a menţine o structură organizatorică adecvată. Mai mult, norma Băncii Naţionale a României identifică atribuţiile conducătorilor în domeniul personalului: să se asigure că activităţile băncii sunt derulate de personal calificat, având experienţă şi cunoştinţe necesare şi să asigure instruirea corespunzătoare a personalului. În comentariile ce însoţesc enunţarea acestui principiu, Comitetul de la Basel face referire însă şi la retribuirea corespunzătoare a personalului cu funcţie de control şi la obligaţia conducătorilor de a institui politici privind recompensarea şi promovarea personalului, care să răsplătească comportamentul adecvat al acestuia şi să minimizeze cazurile de ignorare sau nerespectare a mecanismelor de control intern.

Consiliul de administraţie şi conducătorii băncii sunt responsabili pentru promovarea unor înalte standarde de etică şi integritate şi pentru crearea unei culturi organizaţionale care să sublinieze şi să demonstreze întregului personal importanţa controlului intern. Întregul personal al unei organizaţii bancare trebuie să înţeleagă rolul său în cadrul procesului de control intern şi să fie angajat deplin în acest proces.

Contribuţia consiliului de administraţie şi a conducătorilor băncii la crearea unei puternice culturi a controlului constă şi în propriul exemplu, în etica dovedită în afaceri, atât în interiorul instituţiei, cât şi în afara acesteia; cuvintele, atitudinea şi acţiunile acestora afectează integritatea, etica şi alte aspecte ale culturii controlului în bancă. Personalul trebuie să conştientizeze că, în măsuri diferite, controlul intern reprezintă responsabilitatea fiecărui angajat al băncii; aproape toţi angajaţii produc informaţii utilizate de sistemul de control intern sau acţionează pentru efectuarea controlului.

Un element esenţial al unui sistem de control intern puternic este acela ca întreg personalul să îşi îndeplinească responsabilităţile şi să comunice conducerii, pe diferite niveluri, problemele operaţionale apărute, cazurile de încălcare a codului de conduită, a politicilor şi a reglementărilor. De asemenea, conducerea băncii trebuie să evite implementarea unor politici care să aibă efecte nedorite din punct de vedere al controlului. Astfel, politicile care pun un accent prea mare pe ţinte de performanţă sau pe alte rezultate operaţionale pe termen scurt pot determina neglijarea aspectelor care ţin de riscurile pe termen lung; nesepararea clară a responsabilităţilor sau a atribuţiilor de control pot duce la utilizarea neeficientă a resurselor sau la tăinuirea performanţelor slabe. În cazul în care schemele de promovare şi premiere a personalului se bazează numai pe criterii legate de profitabilitate, dar nu şi pe cele care ţin de control şi de rezolvarea problemelor identificate de auditul intern, mesajul transmis de conducere este unul negativ la adresa importanţei controlului intern. În concluzie, se poate afirma că existenţa unei puternice culturi a controlului nu garantează realizarea obiectivelor strategice ale unei bănci, dar lipsa acesteia creează condiţii prielnice pentru erori şi pierderi, care pun în pericol atingerea ţintelor băncii.

Identificarea şi evaluarea riscurilor

Din punctul de vedere al controlului intern, în identificarea şi evaluarea riscurilor trebuie să fie analizaţi atât factorii interni (complexitatea structurii organizatorice, natura activităţilor băncii, modificări organizatorice, calitatea personalului şi fluctuaţia acestuia etc), cât şi factorii externi (fluctuaţii în mediul economic, modificări în mediul concurenţial bancar, înnoirea tehnologică etc) care pot avea un impact negativ asupra atingerii ţintelor de performanţă şi asupra atingerii obiectivelor controlului intern. Acest demers se deosebeşte de procesul de gestionare a riscurilor, axat de obicei, pe strategii pentru găsirea căii de mijloc între profit şi risc în diferite domenii ale băncii, şi are ca obiectiv asigurarea concordanţei controlului intern al băncii cu natura, complexitatea şi riscurile activităţii desfăşurate de aceasta.

Identificarea şi evaluarea riscurilor trebuie să acopere toate riscurile cu care banca se confruntă atât la nivel de ansamblu al băncii, cât şi la toate nivelurile organizatorice ale acesteia. Procesul trebuie să aibă un caracter continuu, adică să aibă în vedere atât riscurile ataşate activităţilor prezente, cât şi pe cele aduse de apariţia unor noi activităţi sau cele nou apărute/determinate în legătură cu operaţiunile deja derulate, iar procedurile de control trebuie modificate astfel încât să se adapteze la riscurile nou apărute. De exemplu, în cazul apariţiei unui nou produs, banca trebuie să analizeze noul instrument financiar şi tranzacţiile de piaţă asociate şi să evalueze riscurile implicate. Determinarea întregii diversităţi de probleme ce însoţeşte adoptarea unui nou produs (adesea făcută prin metoda scenariilor) trebuie să-şi găsească contraponderea în măsuri adecvate de control. Procesul de evaluare a riscurilor se adresează atât aspectelor cuantificabile, cât şi aspectelor necuantificabile ale riscurilor şi trebuie să pună în balanţă costul implicat de controlul riscurilor şi beneficiile pe care acesta le poate aduce. Totodată, acest proces include şi determinarea caracterului controlabil sau necontrolabil al riscurilor; în ceea ce priveşte riscurile controlabile, banca trebuie să stabilească dacă acceptă acele riscuri sau modul în care le contracarează prin măsuri de control; în cazul riscurilor care nu pot fi controlate, banca trebuie să decidă dacă le acceptă, dacă le elimină sau dacă reduce nivelul activităţilor afectate de riscurile respective.

În România Norma B.N.R. nr. 17/2003 impune ca evaluarea riscurilor să se realizeze de către specialişti din cadrul băncii care nu au responsabilităţi în realizarea performanţei comerciale şi financiare, pentru a nu permite apariţia unei situaţii de conflict de interese, dar aceasta presupune ca specialiştii care fac evaluarea să aibă experienţă relevantă în derularea activităţilor ce fac obiectul evaluării riscurilor. În practică s-a observat că managementul băncilor înclină, de multe ori, în favoarea unor operaţiuni cu randament ridicat, fără a evalua corect riscurile asociate acestor tranzacţii şi nu alocă suficiente resurse pentru a monitoriza şi evalua expunerile la risc. Totodată, s-a constatat că multe dintre pierderile înregistrate s-au datorat neactualizării procesului de evaluare a riscurilor odată cu schimbarea mediului de afaceri.

Activităţile de control şi separarea atribuţiilor

Activităţile de control intern trebuie astfel concepute şi derulate încât să asigure acoperirea riscurilor identificate şi evaluate, ca parte integrantă a activităţilor zilnice. Activităţile de control trebuie definite pentru fiecare nivel organizatoric al băncilor şi implică două etape: stabilirea politicilor şi procedurilor de control şi verificarea respectării politicilor şi procedurilor de control.

Activităţile de control implică personalul de la toate nivelurile, începând cu consiliul de administraţie şi terminând cu personalul de execuţie:

• consiliul de administraţie şi conducătorii băncii solicită adesea prezentări şi rapoarte despre performanţă pentru a analiza progresul făcut de către instituţie către realizarea obiectivelor sale. De exemplu, pot fi cerute rapoarte referitoare la realizarea bugetului de venituri şi cheltuieli, iar analizarea acestora, împreună cu conducerea departamentelor poate duce la detectarea unor deficienţe de control, a unor erori în raportările financiare sau a unor activităţi frauduloase;
• la nivelul compartimentelor sau sediilor secundare ale băncii se pot face analize operative zilnice, săptămânale sau lunare;
• controale faptice, care se referă la restricţionarea accesului la active precum titluri sau numerar, restricţionarea accesului la conturile clienţilor etc.;
• analiza încadrării în limitele impuse expunerilor la risc şi urmărirea modului în care sunt soluţionate situaţiile de neconformitate. Stabilirea unor limite prudente expunerilor la risc reprezintă un aspect important al gestionării riscului; încadrarea în anumite limite pe debitori sau pe alte contrapartide reduce concentrarea de risc a băncii şi contribuie la diversificarea profilului de risc al acesteia. Prin urmare, un aspect important al activităţii de control este urmărirea încadrării în aceste limite.
• aprobări şi autorizări – solicitarea aprobării sau autorizării unor tranzacţii ce depăşesc anumite limite de sumă are rolul de a asigura controlul asupra realizării operaţiunilor respective de către nivelul de conducere competent şi de a stabili responsabilităţile;
• verificări şi reconcilieri – constau în verificări ale detaliilor tranzacţiilor între diferite structuri organizatorice (de exemplu, între cei care iniţiază tranzacţiile – front office şi cei care înregistrează şi monitorizează tranzacţiile – back office) sau în compararea cash flow-urilor cu extrasele de cont, în vederea asigurării concordanţei şi efectuarea corecţiilor necesare. Rezultatele acestor verificări şi reconcilieri trebuie raportate nivelului de conducere competent.

Activităţile de control sunt mai eficiente dacă sunt privite ca parte integrantă a activităţilor zilnice şi nu ca o acţiuni adiţionale, de o importanţă mai mică. Desfăşurate în această manieră, activităţile de control dau posibilitatea găsirii unor soluţii rapide la modificarea condiţiilor de lucru şi duc la evitarea costurilor suplimentare.

Consiliul de administraţie are nu numai sarcina de a stabili politici şi proceduri de control, ci şi de a urmări respectarea acestora la toate nivelurile şi de a urmări gradul de adecvare a acestora la modificările din activitatea băncii, iar pentru realizarea acestor deziderate are la îndemână un instrument special – auditul intern.

Un sistem de control intern eficient cere să existe o separare corespunzătoare a atribuţiilor şi ca personalului să nu-i fie alocate responsabilităţi care să ducă la conflicte de interese. Ariile cu potenţiale conflicte de interese trebuie identificate, minimizate şi monitorizate atent de către personal independent.

Din analiza pierderilor determinate de lipsa controlului, autorităţile de supraveghere au concluzionat că una dintre cauzele majore o reprezintă lipsa unei separări adecvate a atribuţiilor. Astfel, alocarea unor atribuţii aflate în relaţie conflictuală unei singure persoane (de exemplu, responsabilităţi atât în front office, cât şi în back office în zona de tranzacţionare) dă acelei persoane acces la active de valoare şi la posibilitatea de a manipula informaţiile financiare în folos personal sau de a ascunde pierderile. Prin urmare, unele atribuţii ar trebui să fie împărţite, pe cât posibil, între mai multe persoane, pentru a se reduce riscul manipulării de date financiare sau al însuşirii ilicite a unor active. Separarea atribuţiilor nu se limitează numai la controlul exercitat de o singură persoană atât în front office, cât şi în back office, ci este o cerinţă valabilă şi pentru alte domenii, cum ar fi:

• aprobarea utilizării fondurilor şi tragerea efectivă a acestora;
• acces la conturi ale clienţilor şi la conturile băncii;
• analiza documentaţiilor de credit şi monitorizarea creditului după acordarea acestuia.

Prin urmare, este necesară nu numai identificarea şi monitorizarea zonelor cu conflict de interese potenţial, dar şi revizuirea periodică a responsabilităţilor şi funcţiilor persoanelor – cheie din bancă, pentru ca aceştia să nu se afle în poziţia de a “acoperi” deficienţele. 2.4. Informare şi comunicare Informarea adecvată şi comunicarea efectivă sunt esenţiale pentru funcţionarea corespunzătoare a sistemului de control intern. Din perspectiva unei bănci, pentru ca informaţiile să fie utile, acestea trebuie să fie relevante, de încredere, accesibile, să fie furnizate la timp şi într-un format constant în timp.

Informaţiile se referă atât la cele interne, financiare, operaţionale şi de conformitate, dar şi la cele externe, referitoare la evenimente şi împrejurări relevante pentru luarea deciziilor în cadrul băncii. Procesul de luare a deciziilor de către conducere poate fi afectat de lipsa de încredere în informaţiile sau de informaţiile eronate furnizate de un sistem informaţional care nu este bine proiectat şi controlat. O componentă critică a activităţilor unei bănci o constituie stabilirea şi menţinerea unui sistem de gestiune a informaţiilor (obţinute atât electronic, cât şi prin mijloace ne-electronice) care să acopere toate domeniile băncii. Acest sistem trebuie să conţină şi proceduri privind securitatea informaţiilor, respectiv mijloace de prevenire a dezvăluirii informaţiilor secrete sau confidenţiale sau de prevenire a folosirii informaţiilor de către personalul instituţiei pentru obţinerea unor beneficii personale, care ar putea prejudicia banca atât din punct de vedere material, cât şi reputaţional. Sistemele informatice din cadrul sistemului informaţional trebuie să răspundă aceloraşi cerinţe de securitate a informaţiei, atât în sensul menţionat mai înainte, cât şi în sensul asigurării unor informaţii relevante, de încredere şi al asigurării funcţionării fără întreruperi. Având în vedere riscurile implicate de obţinerea, manipularea şi păstrarea informaţiilor obţinute prin sistemul informatic, băncile trebuie să acorde atenţie cerinţelor organizatorice şi de control intern legate de procesarea informaţiei în formă electronică, precum şi celor referitoare la păstrarea probelor de audit intern. O primă cerinţă în acest sens se referă la monitorizarea sistemelor informatice de către o structură organizatorică separată de cea care le utilizează, ca o aplicare a principiului separării atribuţiilor pentru evitarea apariţiei unor situaţii de conflict de interese. În ceea ce priveşte controlul, acesta trebuie să aibă în vedere atât sistemul informatic ca întreg, cât şi fiecare aplicaţie informatică din componenţa acestuia. Acţiunile de control general se efectuează asupra infrastructurii hardware şi de comunicaţii a sistemelor informatice (sisteme mainframe, sisteme client/server, routere, echipamente de reţea, staţii de lucru ale utilizatorilor finali), precum şi asupra sistemelor de operare, având ca scop verificarea funcţionării continue şi corespunzătoare a acestora. Controalele generale includ şi verificarea existenţei şi aplicării unei strategii de informatizare, a procedurilor interne de salvare şi restaurare a datelor, a politicilor de efectuare a achiziţiilor, a procedurilor de dezvoltare a aplicaţiilor informatice, a procedurilor de administrare şi întreţinere, precum şi a politicilor de securitate vizând accesul fizic şi logic la resursele sistemului informatic. Controalele efectuate la nivelul aplicaţiilor informatice se realizează atât prin cuprinderea unor etape de validare şi control în cadrul aplicaţiei informatice, cât şi proceduri manuale de verificare a modului de procesare a tranzacţiilor şi efectuarea operaţiunilor. În lipsa unor proceduri adecvate de control asupra sistemelor informatice (inclusiv a celor în curs de implementare, de dezvoltare), băncile pot înregistra pierderi de date sau de programe datorită unor proceduri necorespunzătoare privind securitatea fizică şi electronică, datorită avarierii echipamentelor şi disfuncţiilor sau datorită unor proceduri de rezervă sau de recuperare a datelor dezvoltate intern şi neadecvate. Pe lângă riscurile şi controalele ataşate la care s-a făcut referire mai sus, există şi riscuri datorate unor factori externi, în afara posibilităţilor de control al băncilor (riscul de producere a unor calamităţi naturale, de exemplu). Pentru asigurarea împotriva acestor riscuri, băncile trebuie să elaboreze planuri alternative (de rezervă) care să le asigure continuitatea funcţionării. Deşi bazate pe replicarea sistemelor critice fie prin existenţa unor sisteme de rezervă într-o altă locaţie a băncii, fie prin intermediul unui furnizor extern de servicii (deci, pe asigurarea continuităţii funcţionării sistemelor informatice), aceste planuri de urgenţă trebuie să implice toate elementele care ţin de buna desfăşurare a operaţiunilor. Totodată, pentru asigurarea funcţionării şi disponibilităţii acestor sisteme de rezervă este necesară testarea lor periodică. Un alt aspect deosebit de important legat de informaţie îl reprezintă comunicarea, cea care dă valoare informaţiei. Conducerea băncii trebuie să stabilească unele căi de comunicare pentru ca informaţiile să ajungă în timp util la oamenii care au nevoie de acestea. Aceste informaţii se referă atât la politici şi proceduri ale băncii, cât şi la cele legate de performanţa băncii. Personalul trebuie să cunoască procedurile şi politicile băncii, în general, şi pe cele care au implicaţii asupra atribuţiilor şi responsabilităţilor sale, în special. Totodată, personalul trebuie să aibă în permanenţă imaginea progresului făcut pe calea atingerii obiectivelor instituţiei pentru a conştientiza efectele activităţii sale. Structura organizatorică a băncii trebuie să faciliteze diseminarea informaţiilor de sus în jos, de jos în sus şi pe orizontală. Prin aceste fluxuri de informaţii, consiliul de administraţie cunoaşte riscurile incumbate de activităţile derulate de bancă şi performanţa instituţiei, iar conducerea operativă şi personalul operativ iau cunoştinţă de strategia, politicile şi procedurile băncii. Totodată, comunicarea pe orizontală între diferite structuri organizatorice dă posibilitatea ca informaţia intrată pe o poartă de acces să poată fi cunoscută şi de alte departamente afectate de informaţia primită.

Activităţile de monitorizare şi de corectare a deficienţelor

Având în vedere faptul că industria bancară este dinamică, băncile trebuie să monitorizeze şi să evalueze continuu sistemul de control intern, ca urmare a modificării condiţiilor interne şi externe, şi trebuie să întărească acest sistem pentru a-I menţine eficienţa.

Monitorizarea sistemului de control trebuie să fie făcută atât de personalul operativ, cât şi de cel din cadrul controlului financiar şi din cadrul auditului intern. Pentru ca această funcţie să nu fie acoperită numai la nivel teoretic, conducerea băncii trebuie să stabilească clar persoanele în sarcina cărora cad atribuţiile de monitorizare.

Banca Naţională a României opinează că monitorizarea sistemului intern de control trebuie să fie efectuată atât de personalul responsabil pentru fiecare compartiment şi sediu secundar al instituţiei de credit, cât şi de auditul intern.

Monitorizarea sistemului de control intern are atât o componentă zilnică, cât şi una periodică, de evaluare separată a procesului de control privit în ansamblu. Monitorizarea pe bază zilnică oferă avantajul detectării şi corectării rapide a deficienţelor din sistemul de control intern, dar eficienţa sa depinde de integrarea sistemului de control intern în mediul operaţional bancar şi de rapoartele de control generate. Spre deosebire de aceasta, evaluarea periodică este menită să ofere o imagine a eficacităţii întregului sistem de control intern şi a activităţii de monitorizare şi cade atât în sarcina personalului responsabil pentru fiecare compartiment şi sediu secundar (autoevaluare), cât şi a auditului intern. În ceea ce priveşte periodicitatea acestor evaluări, Banca Naţională a României se raliază părerii Comitetului de la Basel care consideră că parametrii care determină frecvenţa monitorizării unei activităţi sunt riscurile implicate de acea activitate şi natura şi frecvenţa schimbărilor din activitatea respectivă. Rezultatele monitorizării şi, în special, deficienţele constatate trebuie să fie aduse imediat la cunoştinţa nivelului de conducere competent să ia măsuri corective, iar cele majore trebuie raportate conducerii băncii şi consiliului de administraţie. Norma B.N.R. nr. 17/2003 subliniază faptul că responsabilitatea de a stabili un sistem de detectare a deficienţelor sistemului de control intern şi de a întreprinde măsuri pentru soluţionarea deficienţelor revine conducătorilor băncilor, care, în realizarea acestei atribuţii, se bazează pe auditul intern.

Multe bănci au înregistrat pierderi datorită lipsei de monitorizare efectivă a sistemului de control intern; adesea aceste sisteme nu au avut procese de monitorizare continuă, iar evaluările separate realizate fie nu erau adecvate, fie nu erau urmărite adecvat de către conducere. În unele cazuri, absenţa monitorizării a început cu lipsa de atenţie şi de reacţie la informaţiile zilnice primite de către conducere referitoare la aspecte neuzuale ale activităţii (de exemplu, depăşiri ale limitelor de expunere, lipsa de situaţii financiare ale debitorilor etc). Într-o bancă, pierderile din activitatea de tranzacţionare erau înregistrate într-un cont fictiv de client; dacă banca ar fi avut o procedură prin care extrasul de cont să fi fost trimis lunar prin poştă clientului, iar clientul să confirme soldul contului, aceste pierderi ar fi putut fi detectate înainte să producă probleme majore băncii. În alte cazuri, activitatea sau divizia băncii care a cauzat pierderi masive avea numeroase caracteristici ce indicau un nivel crescut al riscului, cum ar fi un nivel neobişnuit al profitului sau creşterea rapidă a unei activităţi aflate la distanţă mare de centrală sau de compania-mamă. Datorită unei lipse de evaluare a riscurilor, băncile respective nu au alocat suficiente resurse suplimentare pentru a controla şi monitoriza activităţile cu risc ridicat. De fapt, în unele cazuri, activităţile cu risc ridicat erau derulate cu mai puţină supraveghere decât cele cu profil de risc mai scăzut, iar conducerea nu a reacţionat cum trebuia la observaţiile făcute de auditorii externi şi interni. Auditul intern nu a fost eficient în multe cazuri, prin combinarea a trei factori: realizarea unor audituri treptate, lipsa unei depline înţelegeri a activităţii băncii şi urmărirea neadecvată a unor probleme. Auditul fragmentat a rezultat din structurarea programelor de audit intern ca serii de angajamente separate pe unele activităţi din cadrul aceluiaşi departament sau din cadrul băncii. Deoarece procesul de audit era fragmentat, activitatea nu era bine înţeleasă de către personalul departamentului de audit. Dacă acesta ar fi fost altfel organizat, permiţând auditorilor să urmărească procese şi funcţii de la început la sfârşit (de exemplu, urmărirea unei tranzacţii de la iniţiere până la raportare) le-ar fi permis să înţeleagă mai bine. În plus, ar fi dat oportunitatea de a verifica şi testa adecvarea controlului în fiecare etapă a procesului. În alte cazuri, pregătirea necorespunzătoare a personalului de la departamentul de audit intern în domeniul de marketing, sistem informatic şi alte arii sofisticate a contribuit la problemele auditului intern. Deoarece personalul nu a avut expertiza necesară, a ezitat în a pune întrebări în cazul unor suspiciuni, iar dacă a pus întrebări, a acceptat orice răspuns primit, ca atare.

Auditul intern poate să se dovedească ineficient şi atunci când conducerea nu urmăreşte problemele identificate de auditori, fie datorită lipsei de consideraţie acordată acestei activităţi, fie datorită faptului că nu urmăreşte prin rapoarte periodice progresul făcut în rezolvarea problemelor sesizate.