بخشنامه درباره حداقل الزامات کنترل داخلی مؤسسات اعتباری

با سلام؛ احتراماً، همان گونه که مستحضرند، امروزه کنترل‌های داخلی از آن حیث که یکی از الزامات تحقق اهداف در هر سازمانی محسوب می‌شود، از اهمیت بسیاری برخوردار است. طبیعی است این مهم در موسسات اعتباری بنا به ماهیت خاص فعالیت و اقتضائات آن، دارای نقش و جایگاه بسیار مهم و اثرگذارتری می‌باشد. بنا به همین ضرورت، «رهنمودهایی برای نظام موثر کنترل داخلی در موسسات اعتباری» توسط بانک مرکزی تدوین و طی بخشنامه شماره مب/۱۱۷۲ مورخ ۱۳۸۶/۰۳/۳۱ جهت اجرا و استقرار نظام کنترل‌های داخلی به شبکه بانکی کشور ابلاغ شد. با عنایت به گذشت سالیان متمادی از ابلاغ رهنمود مذکور و تغییر شرایط و مقتضیات و اسناد بین‌المللی بالادستی، تدوین ضوابطی روزآمدتر در خصوص نظام موثر کنترل داخلی ایجاب می‌نمود. بر همین اساس، بر مبنای مهم ترین استاندارد بین‌المللی در زمینه نظام کنترل‌های داخلی منتشره در سال ۲۰۱۳ توسط «کارگروه سازمان‌های پشتیبان مالی کمیسیون تردوی» موسوم به COSO تحت عنوان «چارچوب کنترل‌های داخلی یکپارچه» و همچنین سند «چارچوب سیستم کنترل داخلی برای بانک‌ها» از انتشارات کمیته بال در سال ۱۹۹۸ و نیز با نظرداشت مقررات کنترل‌های داخلی حاکم بر بانک‌ها در برخی از کشورهای منتخب، «دستورالعمل حداقل الزامات ناظر بر استقرار نظام کنترل‌های داخلی در موسسات اعتباری» تدوین و در جلسه مورخ ۱۴۰۲/۱۱/۲۹ کمیسیون مقررات و نظارت موسسات اعتباری بانک مرکزی مورد تایید قرار گرفت که به پیوست نسخه ای از آن جهت استحضار ایفاد می‌گردد. پیش از پرداختن به اهم احکام دستورالعمل موصوف، ذکر ملاحظات ذیل ضروری می‌نماید:

الف) دستورالعمل مذکور، حداقل الزامات مربوط به طراحی و اجرای نظام کنترل‌های داخلی ایمن و محتاطانه بوده و یک راهنمای جامع متحدالشکل در خصوص کنترل‌های داخلی را برای تمامی موسسات اعتباری ارائه نمی‌دهد. چرا که طراحی و اجرای نظام کنترل‌های داخلی به عوامل مختلفی از جمله نوع و اندازه و ساختار و میزان ریسک پذیری موسسه اعتباری بستگی دارد. ب) چنان چه اهداف، اجزا و سطوح نظام کنترل داخلی به خوبی برنامه‌ریزی، ترسیم و پیاده سازی شوند، می‌توان شاهد استقرار یک نظام کنترل داخلی موثر در موسسه اعتباری بود و چنانچه بازخورد مناسبی از این نظام بر اساس گزارش‌های کارایی و اثربخشی هر یک از اهداف، اجزا و سطوح تهیه و نسبت به رفع نواقص و ارتقاء لایه‌ها و ساز و کارهای کنترلی اقدام گردد، می‌توان گفت که نظام کنترل داخلی مطلوبی در موسسه اعتباری شکل گرفته است. بنابراین استقرار نظام کنترل داخلی یک فرآیند مستمر و پویا است که همواره باید کارایی و اثربخشی آن مورد بررسی قرار گیرد و راهکارهای مناسب جهت ارتقاء آن ارایه گردد. پ) با اجرای صحیح نظام کنترل داخلی، موسسه اعتباری از سیاست‌های جامع و کاملی که با ماهیت و پیچیدگی فعالیت‌های موسسه اعتباری سازگار بوده و به وسیله هیات مدیره مصوب شده است، برای مدیریت محتاطانه ریسک‌های عمده در حوزه فعالیت‌های تجاری و عملیاتی برخوردار خواهد بود. ت) پیاده سازی نظام کنترل‌های داخلی مستلزم باور، آگاهی و درک جامعی از مفاهیم حاکمیت شرکتی و خودارزیابی و خودکنترلی بوده که به صورت مستمر به ارزیابی فعالیت‌ها و آثار مالی و غیرمالی آن فعالیت‌ها بر محیط داخلی و بیرونی بپردازد. با ذکر ملاحظات فوق، خاطرنشان می‌سازد دستورالعمل مذکور که مشتمل بر (۸) فصل، (۶۱) ماده و (۴) تبصره است و انتظار می‌رود از رهگذر اجرای دقیق و کامل آن در موسسات اعتباری، نظام کنترل داخلی یکپارچه ای پیاده سازی گردد، متضمن نکات و موارد پراهمیتی از جمله احکام ذیل است: ۱

• تعریف نظام کنترل داخلی دایر بر این که فرآیندی است که توسط هیات مدیره، هیات عامل و دیگر کارکنان موسسه اعتباری برای کسب اطمینان معقول از دستیابی به اهداف مربوط به عملیات، گزارشگری و رعایت قوانین و مقررات، طراحی و مستقر شده است و شامل سه بخش اهداف، اجزا و سطوح می‌باشد. ۲
• اهداف نظام کنترل داخلی شامل؛ الف) اهداف عملیاتی که بیانگر اثربخشی و کارآیی فعالیت‌های موسسه اعتباری در استفاده از منابع و نیز حفاظت از دارایی‌ها در برابر سوءاستفاده و تقلب می‌باشد. ب) اهداف گزارشگری که به ارایه اطلاعات مفید و سودمند به منظور اتخاذ تصمیم‌های صحیح و پیشگیری از گمراهی ذی نفعان از طریق تهیه گزارش‌های مالی و غیرمالی به موقع، قابل اتکاء، مربوط و شفاف به صورت درون سازمانی و برون سازمانی معطوف است. ج) اهداف رعایت قوانین و مقررات که به منظور حصول اطمینان از رعایت تمامی قوانین، مقررات، استانداردهای لازم الاجرا برای موسسه اعتباری در داخل و خارج از کشور که موسسه اعتباری در آن‌ها دارای بانک مستقل فرعی، شعبه و یا دفتر نمایندگی است، ترسیم می‌گردد. ۳
• تبیین اجزای نظام کنترل داخلی در موسسه اعتباری شامل پنج جزء اصلی؛ محیط کنترلی، ارزیابی ریسک، فعالیت‌های کنترلی، اطلاعات و ارتباطات و فعالیت‌های نظارتی. ۴
• تبیین سطوح نظام کنترل داخلی برای موسسه اعتباری شامل؛ موسسه اعتباری، ادارات مرکزی، سرپرستی مناطق، شعب و وظایف و کارکردها است. قطع نظر از مراتب فوق، در طراحی و اجرای صحیح نظام جامع کنترل‌های داخلی، انجام اقدامات ذیل توسط موسسه اعتباری ضروری و مورد انتظار است: ۱
• ماهیت متفاوت کسب و کار هر موسسه اعتباری و لزوم طراحی کنترل‌های داخلی متناسب با آن. ۲
• بهره گیری از تجارب کارشناسان خبره و اجرای گام به گام هر فصل از دستورالعمل حاضر متناسب با ساختار و روابط و متعاقباً ارزیابی کارایی و اثربخشی اجرای هر یک از فصول دستورالعمل؛ ۳
• شناسایی نقاط قوت و ضعف نظام کنترل داخلی موسسه اعتباری و اقدامات لازم جهت رفع نقاط ضعف، با توجه به اهمیت آثار مالی و غیرمالی آن‌ها بر محیط داخلی و بیرونی و با بهره گیری از تجزیه و تحلیل هزینه فایده؛ ۴
• تشریح و تفکیک وظایف واحدهای حسابرسی داخلی، مدیریت ریسک، تطبیق (رعایت قوانین و مقررات) و مبارزه با پولشویی توسط موسسه اعتباری؛ ۵
• برگزاری دوره‌های آموزشی برای کارکنان در زمینه‌های دانش، ابزارها و فعالیت‌های کنترلی در نظام کنترل‌های داخلی؛ ۶
• گزارش دهی مناسب به هیات مدیره برای انجام دقیق نظارت بر چارچوب مدیریت ریسک موسسه اعتباری. بدین منظور اختیارات و مسئولیت‌های هر وظیفه کنترلی باید به نحو صحیحی مستند شود. مسئول هر وظیفه کنترلی به صورت دوره ای مستندات را بازنگری کرده و پیشنهاد تغییرات لازم برای آن را به هیات مدیره یا مدیریت ارشد برای صدور مجوز آن ارائه نماید. ۷
• تعیین شفاف و صریح نقش‌ها، مسئولیت‌ها و نحوه پاسخگویی در قبال اجرای سیاست‌ها. ۸
• تدوین رویه‌ها و فرآیندهای مناسب به منظور اجرای سیاست‌ها در هر موسسه اعتباری. این موارد باید به تفصیل و به صورت دفترچه راهنمای رویه‌ها و فرآیندهای انجام کار مستند شود و به صورت دوره ای مورد بازنگری قرار گیرد تا انعکاس دهنده سیاست‌های جاری موسسه اعتباری باشد. همچنین باید شیوه‌های مناسبی به منظور نظارت بر رعایت و پیروی از سیاست‌ها و رویه‌های تدوین شده وجود داشته باشد. انحراف از این سیاست‌ها و رویه‌ها به صورت مستقل بررسی شده و از آن‌ها گزارش تهیه و به واحدهای مربوطه ارسال گردد. با عنایت به مراتب مذکور، مقتضی است دستور فرمایند مراتب به قید تسریع و با لحاظ مفاد بخشنامه شماره ۹۶/۱۴۹۱۵۳ مورخ ۱۳۹۶/۰۵/۱۶ به تمامی واحدهای ذیربط آن بانک/موسسه اعتباری غیربانکی ابلاغ شده و بر حسن اجرای آن نیز نظارت دقیق به عمل آید./۶۳۳۷۶۰۲/حف مدیریت کل مقررات، مجوزهای بانکی و مبارزه با پولشویی اداره مطالعات و مقررات بانکی حمیدرضا غنی آبادی - الهام چیت سازان دستورالعمل حداقل الزامات ناظر بر استقرار نظام کنترل‌های داخلی در موسسات اعتباری به استناد مواد (۶۳) و (۹۴) «آیین‌نامه نحوه تاسیس و اداره موسسات اعتباری غیردولتی» مصوب جلسه مورخ ۱۴۰۰/۰۴/۲۲ شورای پول و اعتبار، بند (۲-۶) ذیل ماده (۲)، مواد (۲۹)، (۴۲) و (۶۶) الی (۶۸) «دستورالعمل الزامات ناظر بر حاکمیت شرکتی در بانک‌های دولتی» مصوب مجمع عمومی بانک‌ها، بند (۲-۶) ذیل ماده (۲)، مواد (۳۰)، (۴۴) و (۶۸) الی (۷۰) «دستورالعمل الزامات ناظر بر حاکمیت شرکتی در موسسات اعتباری غیردولتی» مصوب جلسه ۱۳۹۶/۰۲/۱۲ شورای پول و اعتبار و به منظور تقویت نظام کنترل داخلی در دستیابی به اهداف عملیاتی، گزارشگری مالی و رعایت قوانین و مقررات در موسسات اعتباری، «دستورالعمل حداقل الزامات ناظر بر استقرار نظام کنترل‌های داخلی در موسسات اعتباری» که از این پس به اختصار «دستورالعمل» نامیده می‌شود به شرح زیر تدوین می‌گردد: فصل اول
• تعاریف و کلیات ماده ۱
• اصطلاحات و تعاریف به کار رفته در ماده (۱) «دستورالعمل الزامات ناظر بر حاکمیت شرکتی در موسسات اعتباری غیردولتی» و «دستورالعمل الزامات ناظر بر حاکمیت شرکتی در بانک‌های دولتی» با همان معنی در این دستورالعمل به کار برده می‌شود. سایر اصطلاحات که در این دستورالعمل ذکر شده است، در معانی مشروح زیر به کار می‌روند: ۱
• ۱ - نظام کنترل داخلی: چارچوب و فرآیندی جامع است که توسط هیات مدیره موسسه اعتباری، هیات عامل و سایر کارکنان برای کسب اطمینان معقول از دستیابی به اهداف مربوط به عملیات، گزارشگری و رعایت قوانین و مقررات، طراحی و مستقر شده است که شامل سه بخش اهداف، اجزا و سطوح می‌باشد. ۱
• ۲ - اهداف نظام کنترل داخلی: ۱
• ۲- ۱ - اهداف عملیاتی: دستیابی به اثربخشی و کارآیی فعالیت‌های موسسه اعتباری و نیز حفاظت از دارایی‌ها در برابر سوءاستفاده و تقلب. ۲
• ۲- ۱ - اهداف گزارشگری: ارایه اطلاعات مفید و سودمند به منظور افزایش آگاهی، اتخاذ تصمیم‌های صحیح و پیشگیری از گمراهی ذی نفعان از طریق تهیه گزارش‌های مالی و غیرمالی به موقع، قابل اتکاء، مربوط، قابل فهم و شفاف به صورت درون سازمانی و برون سازمانی. ۳
• ۲- ۱ - اهداف رعایت قوانین و مقررات: حصول اطمینان از رعایت تمامی قوانین، مقررات و استانداردهای لازم الاجرا توسط موسسه اعتباری. ۱ -۳ - اجزای نظام کنترل داخلی ۱
• ۳- ۱ - محیط کنترلی: مجموعه ای از ضوابط، فرآیندها و ساختارهایی که مبنای پیاده سازی نظام کنترل داخلی را در موسسه اعتباری فراهم می‌کند. ۲
• ۳- ۱ - ارزیابی ریسک: فرآیندی پویا و مستمر برای شناسایی، اندازه گیری و تحلیل ریسک‌های ناشی از رویدادهای بیرونی و درونی که مانع از دستیابی موسسه اعتباری به اهداف خود و ایجاد مخاطره برای عملیات موسسه اعتباری می‌گردد. ۳
• ۳- ۱ - فعالیت‌های کنترلی: مجموعه ای از خط مشی‌ها، رویه‌های پیشگیرانه و کشف کننده و اقدامات اصلاحی است که به منظور حصول اطمینان از اجرای دستورات هیات مدیره و هیات عامل در تمام سطوح فعالیت‌های موسسه اعتباری اتخاذ می‌شود. ۴
• ۳- ۱ - اطلاعات و ارتباطات: اطلاعات شامل داده‌های پردازش شده در راستای تحقق اهداف نظام کنترل داخلی می‌باشد که توسط هیات مدیره و هیات عامل موسسه اعتباری به منظور راهبری آن به کار گرفته می‌شود. ارتباطات شامل سیستم‌هایی است که امکان تبادل اطلاعات را درون موسسه اعتباری و اشخاص برون سازمانی نظیر مشتریان، سهامداران و مقام ناظر بانکی فراهم می‌کند. ۵
• ۳- ۱ - فعالیت‌های نظارتی: مجموعه فعالیت‌هایی که موسسه اعتباری به منظور ارزیابی‌های مستمر یا موردی از کارکرد صحیح نظام کنترل داخلی و میزان اثربخشی آن به کار می‌گیرد. ۱
• ۴ - سطوح نظام کنترل داخلی: شامل موسسه اعتباری، ادارات مرکزی، سرپرستی مناطق، شعب، وظایف و فرآیندها. ۱
• ۵ - آیین رفتار حرفه ای: مجموعه ای از هنجارهای حرفه ای پذیرفته شده و رفتارهای ناهنجار منع شده، الزامات مقرراتی ناظر بر صلاحیت حرفه ای (خبرگی)، تردید و مراقبت حرفه ای، [پاورقی ۱] رازداری، درستکاری، استقلال رای، واقع بینی و بی طرفی. پاورقی ۱- رعایت استانداردهای فنی و اخلاقی، تلاش جهت ارتقای صلاحیت و کیفیت خدمات و ایفای مسئولیت حرفه ای به بهترین شکل ممکن بر مبنای توانایی فرد، از جمله ویژگی‌های فرآیندی است که باید حین اجرای فعالیت حسابرسی داخلی انجام شوند و همچنین در برابر منافع عموم سازگار باشند. ۱
• ۶ - برنامه جانشین پروری: مجموعه تدابیر لازم به منظور پرورش اشخاص واجد صلاحیت جهت تصدی شغل‌های کلیدی موسسه اعتباری نظیر اعضای هیات عامل، مدیران ارشد مالی، ریسک، رعایت قوانین و مقررات، حسابرسی داخلی. ۱
• ۷ - کارکنان مسئول وظایف کنترلی: کارکنانی که به نحوی از انحا در شرح وظایف خود، یک یا چند وظیفه کنترلی در خصوص فعالیت‌های موسسه اعتباری را برعهده دارند. ۱
• ۸ - کنترل‌های عمومی فن آوری: مجموعه ای از اقدامات شامل ساماندهی و اجرا، مستندسازی رویه‌ها، نحوه دسترسی به تجهیزات و فایل‌های اطلاعاتی و سایر کنترل‌های مربوط به فن آوری اطلاعات و سامانه‌های اطلاعاتی می‌باشد. ۱
• ۹ - افشاگران: به اشخاصی گفته می‌شود که اقدامات و فعالیت‌های نادرست، غیرقانونی و سایر اعمالی که منافع ذی نفعان موسسه اعتباری را با مخاطره مواجهه می‌سازد، افشا می‌نمایند. ۱
• ۱۰ - تضاد منافع: هر گونه تضاد میان منافع موسسه اعتباری، سهامداران یا منافع مشتریان با منافع هیات مدیره و هیات عامل، به نحوی که دستیابی به هر یک مستلزم چشم پوشی از تمام یا بخشی از دیگری باشد. ماده ۲
• هیات مدیره موسسه اعتباری موظف است برای استقرار نظام کنترل‌های داخلی، سطوح و تعاملات لایه‌های دفاعی مشتمل بر لایه اول: واحدهای عملیاتی، لایه دوم: واحدهای نظارتی، لایه سوم; حسابرسی داخلی و لایه چهارم: بانک مرکزی و حسابرس مستقل را در چارچوب این دستورالعمل طراحی، استقرار و به روزرسانی نماید. فصل دوم
• محیط کنترلی ماده ۳
• هیات مدیره موسسه اعتباری موظف است از طریق انجام حداقل اقدامات زیر از فراهم بودن محیط کنترلی موثر اطمینان حاصل نماید: ۳
• ۱ - تعیین آیین رفتار حرفه ای و ابلاغ آن؛ ۳
• ۲ - تعیین ساز و کارهای نظارت هیات مدیره بر نظام کنترل داخلی؛ ۳
• ۳ - طراحی ساختار سازمانی و خطوط گزارشگری؛ ۳
• ۴ - تعیین راهبردهای جذب، توسعه و نگهداری کارکنان با صلاحیت؛ ۳
• ۵ - تعیین سازوکارهای پاسخگویی در قبال مسئولیت‌های کنترل داخلی برای تمامی سطوح موسسه اعتباری؛ ماده ۴
• هیات مدیره موسسه اعتباری موظف است در تعیین آیین رفتار حرفه ای، هنجارهای حرفه ای پذیرفته شده و رفتارهای ناهنجار منع شده با تاکید بر اصول درستکاری و ارزش‌های اخلاقی را مشخص و به تمامی سطوح موسسه اعتباری ابلاغ نماید. اشخاص ارایه دهنده خدمات برون سپاری شده موسسه اعتباری و شرکای تجاری نیز باید از آیین رفتار حرفه ای موسسه اعتباری آگاهی داشته باشند. ماده ۵
• هیات مدیره موسسه اعتباری باید فرآیندهای مناسب را به منظور ارزیابی عملکرد فردی و گروهی در پایبندی به آیین رفتار حرفه ای تعیین نماید. ماده ۶
• هیات عامل موسسه اعتباری در اجرای آیین رفتار حرفه ای مصوب هیات مدیره موظف است اقدامات زیر را انجام دهد: ۶
• ۱ - تهیه و تصویب راهنمای اجرایی برای بکارگیری آیین رفتار حرفه ای؛ ۶
• ۲ - ترویج و آموزش آیین رفتار حرفه ای برای تمامی کارکنان و تقویت پاسخگویی برای رفتار مسئولانه؛ ۶
• ۳ - فراهم نمودن بسترهای لازم برای طرح موضوعات و سوالات مرتبط با بکارگیری آیین رفتار حرفه ای توسط کارکنان؛ ۶
• ۴ - پیاده سازی فرآیندهای ارزیابی عملکرد و میزان پایبندی به آیین رفتار حرفه ای؛ ۶
• ۵ - شناسایی انحراف از آیین رفتار حرفه ای و ارایه گزارش به موقع انحرافات و اقدامات اصلاحی به هیات مدیره. ماده ۷
• هیات مدیره موسسه اعتباری مسئولیت نظارت عالی بر اجرای سیاست‌ها و دستیابی به اهداف راهبردی موسسه اعتباری، رعایت الزامات قانونی و مقرراتی و نحوه استقرار و پیاده سازی اجزای نظام کنترل داخلی را بر عهده دارد. ماده ۸
• هیات مدیره موسسه اعتباری موظف است در اجرای تکالیف هیات مدیره در قبال نظام کنترل‌های داخلی، کمیته حسابرسی را در چارچوب ضوابط ابلاغی بانک مرکزی تشکیل دهد. وظایف کمیته مذکور در چارچوب این دستورالعمل عبارتند از: ۸
• ۱ - نظارت بر اثربخشی نظام کنترل داخلی در خصوص گزارشگری مالی و ارزیابی ریسک‌ها و بررسی ناکارآمدی‌های قابل توجه و ضعف‌های بااهمیت آن؛ ۸
• ۲ - ارزیابی مدیران در زمینه موضوعات با اهمیت نظام کنترل داخلی، نظیر گزارشگری مالی و اقدامات اصلاحی مورد نیاز؛ ۸
• ۳ - ایجاد ارتباطات بین بخش‌های مختلف موسسه اعتباری با واحد حسابرسی داخلی در مورد هرگونه موضوع با اهمیت؛ ۸
• ۴ - نظارت بر کیفیت گزارشگری مالی و افشاء اطلاعات؛ ۸
• ۵ - بررسی و پیشنهاد به کارگیری و حق‌الزحمه حسابرس مستقل؛ ۸
• ۶ - تعامل با بانک مرکزی و حسابرس مستقل. ماده ۹
• کمیته حسابرسی موظف است گزارش‌های ارزیابی ریسک واحد حسابرسی داخلی، گزارش‌های ریسک ارایه اطلاعات نادرست در گزارشگری مالی و اطلاعات به دست آمده از گزارش‌های افشاگران نقض قوانین و مقررات را به دقت بررسی و نتایج را به همراه پیشنهادهای اصلاحی به هیات مدیره ارایه نماید. ماده ۱۰
• هیات مدیره موسسه اعتباری موظف است در طراحی ساختار سازمانی مناسب به منظور حصول اطمینان از ارزیابی صحیح ریسک‌ها، ایجاد فعالیت‌های کنترلی مناسب، برقراری جریان موثر اطلاعات و ارتباطات و استقرار دقیق فعالیت‌های نظارتی در سطوح مختلف موسسه اعتباری نسبت به تفکیک مناسب وظایف، مسئولیت‌ها، فرآیندهای تصویب، تعیین خطوط گزارشگری و تعیین سطوح دسترسی به اطلاعات و اسناد، اقدام و به صورت دوره ای بازبینی نماید. ماده ۱۱
• هیات مدیره موسسه اعتباری موظف است اطمینان حاصل نماید که گزارش‌های واحد حسابرسی داخلی برای هیات مدیره بدون هرگونه صلاحدید مدیریتی تهیه شده است و حسابرسان داخلی به هیات مدیره و اعضای کمیته حسابرسی دسترسی مستقیم دارند. ماده ۱۲
• هیات عامل موسسه اعتباری موظف است بر اساس قراردادهای مربوط به خدمات برون سپاری شده و ضوابط ابلاغی بانک مرکزی در خصوص برون سپاری خدمات و الزامات ناظر بر ریسک فناوری اطلاعات، ساز و کارهای مقتضی را برای نظارت بر حسن اجرای قراردادهای مذکور با تاکید بر مسئولیت‌های کارکنان معرفی شده جهت انجام خدمات برون سپاری شده مشخص نماید. ماده ۱۳
• هیات مدیره موسسه اعتباری موظف است انتظارات و معیارهای شایستگی شغلی و رفتار سازمانی کارکنان، خط مشی‌ها و شیوه‌های رفتاری آن‌ها را به منظور جذب، توسعه و نگهداری کارکنان با صلاحیت تعیین و به روزرسانی نماید. ماده ۱۴
• هیات مدیره موسسه اعتباری موظف است مسئولیت‌های اصلی با اهمیت برای تحقق اهداف نظام کنترل داخلی برای افراد و بخش‌های مختلف نظیر مدیر عامل، مدیران ارشد ریسک، واحدهای حسابرسی داخلی، مالی و رعایت قوانین و مقررات و نیز شایستگی‌های مرتبط با هر کدام از آن‌ها را تعیین و ارزیابی نموده و برای هر یک از این مسئولیت‌ها، برنامه‌های جانشین پروری تدوین نماید. ماده ۱۵
• هیات مدیره موسسه اعتباری موظف است به منظور پاسخگویی کارکنان (اعم از اعضای هیات عامل، مدیران و سایر کارکنان) در خصوص ایفای مسئولیت‌های محوله در نظام کنترل داخلی، سازوکارهای مناسب نظیر شاخص‌های عملکرد، مشوق‌ها و پاداش‌ها و اقدامات انضباطی مرتبط با انجام مسئولیت‌های کنترل داخلی را تعیین و تصویب و در مقاطع زمانی منظم حداکثر دو ساله ارزیابی و به روزرسانی نماید. فصل سوم
• ارزیابی ریسک ماده ۱۶
• هیات عامل موسسه اعتباری موظف است به منظور برخورداری از نظام کنترل داخلی موثر، ریسک‌های مهم از قبیل ریسک اعتباری، ریسک نقدینگی، ریسک بازار و ریسک عملیاتی را شناسایی و تاثیرات آن بر دستیابی به اهداف موسسه اعتباری را مورد ارزیابی قرار داده و در پاسخ به ریسک‌های شناسایی شده، اقدامات لازم را برای اجتناب، پذیرش، کاهش و تسهیم آن‌ها تا سطح قابل پذیرش مصوب هیات مدیره انجام دهد. ماده ۱۷
• هیات عامل موسسه اعتباری موظف است به منظور پوشش ریسک‌های جدید یا ریسک‌های کنترل نشده، حسب مورد هر یک از اجزای نظام کنترل‌های داخلی را مورد بازنگری قرار داده و اقدامات اصلاحی مقتضی را به هیات مدیره پیشنهاد نماید. ماده ۱۸
• هیات عامل موسسه اعتباری موظف به ایجاد سازوکارهای کنترلی لازم به منظور حصول اطمینان از صحت و درستی داده‌ها و محاسبات مربوط به صورت‌های مالی و نیز انعکاس صحیح همه رویدادهای با اهمیت و قابل فهم بودن صورت‌های مالی برای استفاده کنندگان می‌باشد. ماده ۱۹
• هیات مدیره موسسه اعتباری موظف است به منظور شناسایی تقلب و انگیزه‌های موجد آن، سیستم‌ها و فرآیندهایی را تعیین و تصویب نموده و بر اجرای آن‌ها نظارت نماید. ماده ۲۰
• هیات مدیره موسسه اعتباری موظف است به منظور جلوگیری از بروز تقلب و انگیزه‌های موجد آن، برنامه‌های جبران خدمات و فرآیند ارزیابی عملکرد کارکنان را به طور مستمر بازبینی نماید. ماده ۲۱
• واحد مدیریت ریسک موسسه اعتباری موظف است به منظور ارزیابی ریسک تقلب، گزارش‌های واصله مربوط به اعمال متقلبانه، سرقت و سوءاستفاده از دارایی‌ها، فساد ناشی از وقوع تقلب و روش‌هایی که ممکن است توسط کارکنان منجر به بی اثر شدن و یا نادیده گرفتن کنترل‌های در نظر گرفته شده برای شناسایی تقلب می‌شود را بررسی و ارزیابی نموده و در گزارشات ارزیابی ریسک تقلب با در نظرگرفتن احتمال وقوع و اثرات بالقوه آن‌ها مورد استفاده قرار داده و نسخه ای از گزارش مذکور را به واحد حسابرسی داخلی ارایه نماید. ماده ۲۲
• مدیر ارشد واحد حسابرسی داخلی موسسه اعتباری موظف است نتایج حاصل از ارزیابی ریسک تقلب را بررسی نموده و در مراحل مختلف برنامه حسابرسی داخلی شامل برنامه‌ریزی، اجرای برنامه، انتقال نتایج و پیگیری و نظارت، مورد استفاده قرار دهد. ماده ۲۳
• هیات عامل موسسه اعتباری موظف است، به منظور ارزیابی آثار تغییرات برون سازمانی بر نظام کنترل داخلی، فرآیندهای شناسایی ریسک‌های ناشی از تغییر در مقررات، شرایط اقتصادی، شرایط محیطی، رویکردهای مدیریتی، فعالیت‌های جدید و فن آوری‌های نوین بانکی را ایجاد نماید. فصل چهارم
• فعالیت‌های کنترلی ماده ۲۴
• هیات مدیره موسسه اعتباری موظف است به منظور پیاده سازی نظام کنترل داخلی موثر، فعالیت‌های کنترلی لازم برای تمامی فرآیندها، فعالیت‌ها و اقدامات در تمام سطوح نظام کنترل داخلی شامل حداقل موارد زیر را تعیین و به روزرسانی نماید: ۲۴
• ۱ - ارزیابی‌های لازم مبتنی بر گزارش‌های عملکرد؛ ۲۴
• ۲ - کنترل مناسب فعالیت‌های واحدها یا بخش‌های مختلف؛ ۲۴
• ۳ - کنترل‌های فیزیکی شامل تعیین میزان دسترسی به دارایی‌ها؛ ۲۴
• ۴ - میزان انطباق با حدود تعیین شده برای منابع در معرض ریسک و پیگیری موارد عدم تطبیق؛ ۲۴
• ۵ - فرآیندهای تصویب و سطوح اختیارات؛ ۲۴
• ۶ - فرآیند رسیدگی‌ها و رفع مغایرت‌ها؛ ماده ۲۵
• هیات عامل موسسه اعتباری موظف است نسبت به شناسایی وظایفی که با یکدیگر در تعارض هستند و نیز تفکیک مناسب وظایف و مسئولیت‌ها اقدام و در صورتی که انجام چنین تفکیکی امکان پذیر نباشد، فعالیت‌های کنترلی مقتضی را ایجاد نماید. ماده ۲۶
• هیات عامل موسسه اعتباری موظف است فعالیت‌های کنترلی مرتبط با کنترل‌های عمومی فن آوری و نیز فعالیت‌های کنترلی مرتبط با موارد زیر را در چارچوب ضوابط ابلاغی بانک مرکزی در خصوص الزامات ناظر بر ریسک فناوری اطلاعات به منظور حصول اطمینان از کامل بودن، صحت و آماده بودن فن آوری، پیاده سازی و مستندسازی نماید: ۲۶
• ۱ - زیرساخت‌های فن آوری؛ ۲۶
• ۲ - مدیریت امنیت اطلاعات؛ ۲۶
• ۳ - توسعه و نگهداری برنامه‌های کاربردی؛ ۲۶
• ۴ - ارتباط بین سایر سیستم‌ها و برنامه‌های کاربردی. ماده ۲۷
• هیات عامل موسسه اعتباری موظف است در خصوص اشخاص ارایه دهنده خدمات برون سپاری مربوط به زیرساخت‌های فن آوری اطلاعات، ساز و کارهای اعمال فعالیت‌های کنترلی فن آوری را منطبق با استانداردها و ضوابط ابلاغی بانک مرکزی در خصوص خدمات برون سپاری شده و الزامات ناظر بر ریسک فناوری اطلاعات ایجاد نماید. ماده ۲۸
• هیات عامل موسسه اعتباری موظف است فرآیند کنترلی مشخصی را برای ارتقاء و به روزرسانی سیستم‌های فن آوری به شرح زیر تعیین نماید: ۲۸
• ۱ - ارزیابی ماهیت ارتقاء و به روزرسانی سیستم‌ها؛ ۲۸
• ۲ - اجرای آزمایشی قبل از پیاده سازی و ارتقاء؛ ۲۸
• ۳ - تایید ذی نفعان اصلی قبل از پیاده سازی و ارتقاء؛ ۲۸
• ۴ - مستندسازی صحیح تغییرات انجام شده. ماده ۲۹
• هیات مدیره موسسه اعتباری موظف است خط مشی‌ها و رویه‌های انجام فعالیت‌های کنترلی را با توجه به موارد زیر تعیین، بازبینی و به روز رسانی نماید: ۲۹
• ۱ - ریسک‌های مربوط به تحقق اهداف موسسه اعتباری؛ ۲۹
• ۲ - سمت‌ها، واحدها و فرآیندهایی که خط مشی‌ها و رویه‌ها راجع به آن‌ها تدوین شده است؛ ۲۹
• ۳ - انقش‌ها و مسئولیت‌های مرتبط با ایجاد، بکارگیری، اجرا و تداوم خط مشی‌ها و رویه‌ها؛ ۲۹
• ۴ - اقدامات اصلاحی مورد نیاز به عنوان بخشی از اعمال فعالیت‌های کنترلی؛ ۲۹
• ۵ - ایجاد ارتباط بین خط مشی‌ها و رویه‌ها؛ ۲۹
• ۶ - شایستگی‌های مورد نیاز برای کارکنان مسئول اجرای رویه‌ها و برنامه‌های آموزشی مورد نیاز؛ ۲۹
• ۷ - چارچوب زمان بندی اجرای رویه‌ها. ماده ۳۰
• هیات مدیره موسسه اعتباری موظف است، خط مشی‌های انجام فعالیت‌های کنترلی مربوط به رویه‌های مواجهه با بروز استثنائا ت در خط مشی‌ها را تعیین، بازبینی و در حداقل زمان ممکن به روزرسانی نماید. ماده ۳۱
• هیات عامل موسسه اعتباری موظف است بر اساس خط مشی‌ها و رویه‌های موضوع ماده ۲۹-، انجام فعالیت‌های کنترلی را با استفاده از روش‌هایی نظیر شرح نوشته، نمودار گردش کار و چک لیست‌های کنترلی برای هر یک از عملیات و خدمات بانکی و فعالیت‌های روزانه کارکنان تدوین نماید. در این خصوص موارد زیر باید مدنظر قرار گیرد: ۳۱
• ۱ - تعیین مدیران یا کارکنان مسئول و پاسخگوی اجرای فعالیت‌های کنترلی متناسب با واحدهای عملیاتی و کارکردها؛ ۳۱
• ۲ - انجام فعالیت‌های کنترلی بر اساس برنامه زمانبندی مطابق با خط مشی‌ها و رویه‌های تعیین شده توسط مدیران یا کارکنان مسئول؛ ۳۱
• ۳ - بررسی نتایج اجرای فعالیت‌های کنترلی و اعمال اقدامات اصلاحی لازم توسط مدیران یا کارکنان مسئول. ماده ۳۲
• هیات عامل موسسه اعتباری موظف است به منظور کاهش ریسک معاملات غیرمجاز، فعالیت‌های متقلبانه و جعلی و اختلال در فرآیند عملیات، میزان دسترسی به محل‌های خاص نظیر اتاق معاملات، مراکز داده‌ها و حوزه مبادلات مالی را تعریف و خط مشی‌ها و رویه‌های نظارت و فعالیت‌های کنترلی مربوط به دسترسی‌های مذکور را تدوین و عملیاتی نماید. فصل پنجم
• اطلاعات و ارتباطات ماده ۳۳
• هیات عامل موسسه اعتباری موظف است به منظور پشتیبانی از نظام کنترل داخلی و گزارشگری مالی، برنامه مدیریت داده را تدوین و به تصویب هیات مدیره برساند. برنامه مدیریت داده باید شامل خط مشی‌ها و رویه‌هایی، برای حداقل مقاصد زیر باشد: ۳۳
• ۱ - تایید منابع داده‌ها؛ ۳۳
• ۲ - ایجاد الزامات کیفیت داده‌ها قبل از ورود آنها به سیستم اطلاعات؛ ۳۳
• ۳ - ارزیابی صحت داده‌های اصلی و اطلاعات تولیدشده مرتبط در پردازش‌ها؛ ۳۳
• ۴ - پیاده سازی روش‌های امن انتقال و ذخیره سازی اطلاعات. ماده ۳۴
• هیات عامل موسسه اعتباری موظف است بر اساس خط مشی مصوب هیات مدیره در خصوص مدیریت اطلاعات، سیستم‌های اطلاعاتی یکپارچه را به منظور دریافت داده‌های مورد نیاز از منابع درونی و بیرونی ایجاد نموده و حداقل ویژگی‌های زیر را برای تعیین رویه‌های تبدیل داده‌ها به اطلاعات، مورد توجه قرار دهد: ۳۴
• ۱ - تامین کنندگان و استفاده کنندگان اطلاعات؛ ۳۴
• ۲ - اهمیت، اولویت و حساسیت، ۳۴
• ۳ - فراوانی و تواتر؛ ۳۴
• ۴ - فرآیندهای پشتیبان و دوره‌های نگهداری؛ ۳۴
• ۵ - حفظ تقارن اطلاعاتی در خصوص روندها و ریسک‌های برون سازمانی و درون سازمانی؛ ۳۴
• ۶ - تعریف طبقه بندی داده‌ها و سطوح دسترسی امن به اطلاعات. ماده ۳۵
• هیات عامل موسسه اعتباری موظف است فرآیند تبادل و انتشار اطلاعات ضروری مرتبط با اهداف گزارشگری مالی، رعایت قوانین و مقررات، اثربخشی عملیاتی، الزامات کنترل مالی، خط مشی‌ها و فرآیندهای کنترل داخلی را برای تعیین مسئولیت‌های کارکنان در نظام کنترل داخلی و اجرای آن‌ها، طراحی و تدوین نماید. ماده ۳۶
• هیات عامل موسسه اعتباری موظف است فرآیند تبادل و انتشار اطلاعات را با توجه به ماهیت اطلاعات، الزامات قانونی و مقرراتی و امکان بهره گیری از راه حل‌های فن آوری بر اساس روش‌های زیر انتخاب نماید: ۳۶
• ۱ - اطلاع رسانی در خصوص ماموریت، چشم انداز و اهداف موسسه اعتباری از طریق تابلو اعلانات یا پایگاه اطلاع رسانی موسسه اعتباری؛ ۳۶
• ۲ - برگزاری جلسات و دوره‌های آموزشی در خصوص موضوعات کنترل داخلی و سایر موضوعات مرتبط با آن؛ ۳۶
• ۳ - ایجاد درگاه اطلاع رسانی داخلی مختص موضوعات کنترل داخلی شامل آیین رفتار حرفه ای، نقش‌ها و مسئولیت‌های کاری، خط مشی‌ها، فرآیندها و دیگر موضوعات مرتبط؛ ماده ۳۷
• هیات مدیره موسسه اعتباری موظف است به منظور گزارش هرگونه خطای مشاهده شده و نیز موضوعات مربوط به گزارشگری مالی و یا سایر موضوعاتی که می‌تواند بر کنترل داخلی اثرگذار باشد، خط مشی لازم در خصوص نحوه حمایت و حفاظت از افشاگران درون سازمان با در نظر گرفتن حفظ محرمانگی و اطمینان از عدم شناسایی آن‌ها تعیین نموده و سازوکارهای مطمئنی برای ایجاد مسیرهای ارتباطی ویژه نظیر ایجاد خط ارتباط اضطراری مستقیم با مدیریت مهیا نماید. ماده ۳۸
• هیات مدیره موسسه اعتباری موظف است فرآیندهایی اتخاذ نماید تا اطلاعات مربوط و به موقع به اشخاص برون سازمانی نظیر سهامداران، بانک مرکزی و سایر مقامات نظارتی ذی صلاح، مشتریان، تحلیل گران مالی و سایر ذی نفعان، اطلاع رسانی و در چارچوب قانون و مقررات مربوط مسیرهای ارتباطی متناسب را برای اشخاص مزبور در کنار مسیرهای ارتباطی معمول با افشاگران برون سازمانی فراهم آورد. ماده ۳۹
• هیات مدیره موسسه اعتباری موظف است در کنار مسیرهای تبادل اطلاعات معمول با افشاگران برون سازمانی، سازوکارهایی را به منظور ایجاد مسیرهای ارتباطی مجزا نظیر خط ارتباط اضطراری مستقیم با مدیریت با حفظ محرمانگی و بدون افشای نام فراهم نماید. فصل ششم
• فعالیت‌های نظارتی ماده ۴۰
• هیات مدیره موسسه اعتباری موظف است برنامه‌های ارزیابی مستمر و موردی در خصوص فعالیت‌های نظارتی را متناسب با شرایط موسسه اعتباری تعیین نموده و تناسب و کفایت برنامه‌های مذکور را با در نظر گرفتن حداقل موارد زیر مورد بررسی قرار دهد: ۴۰
• ۱ - الزامات مقرراتی موسسه اعتباری و اهداف نظام کنترل داخلی؛ ۴۰
• ۲ - سرعت تغییرات محیط قانونی و یا کسب و کار موسسه اعتباری؛ ۴۰
• ۳ - نتایج حاصل از سوابق ارزیابی‌های مربوط به اثربخشی کنترل‌های داخلی؛ ۴۰
• ۴ - معیارهای پایش مستمر فرآیندهای سطوح نظام کنترل داخلی؛ ۴۰
• ۵ - تغییرات موثر بر اجزای نظام کنترل داخلی. ماده ۴۱
• هیات مدیره موسسه اعتباری موظف است در صورت وقوع هر یک از موارد زیر دفعات ارزیابی‌های موردی و فعالیت‌های نظارتی را افزایش دهد: ۴۱
• ۱ - شناسایی ناکارآمدی‌های موجود در نظام کنترل داخلی توسط فعالیت‌های نظارتی؛ ۴۱
• ۲ - نقض حدود مقرر مربوط به شاخص‌های کلیدی عملکرد به دلیل ناکارآمدی نظام کنترل داخلی. ماده ۴۲
• هیات مدیره موسسه اعتباری موظف است با پیاده سازی فعالیت‌های نظارتی و نتایج حاصل از آن حداقل موارد زیر را انجام دهد: ۴۲
• ۱ - شناسایی تغییرات ضروری در طراحی و اجرای نظام کنترل داخلی در نتیجه فعالیت‌های نظارتی؛ ۴۲
• ۲ - ارزیابی تغییرات در اشخاص، فرآیند‌ها و فن آوری که می‌تواند بر طراحی و اجرای کنترل‌ها تاثیر گذارد؛ ۴۲
• ۳ - ارزیابی اقدامات یا فعالیت‌های کنترلی در سطح کلیه فرآیندها و فعالیت‌های موسسه اعتباری؛ ماده ۴۳
• هیات عامل موسسه اعتباری موظف است به عنوان بخشی از ارزیابی مستمر، سامانه‌ها و داشبوردهای مدیریتی را برای مدیران و سرپرستانی که به طور مستقیم وظیفه پاسخگویی نسبت به فرآیندها و فعالیت‌های نظارتی را بر عهده دارند، با استفاده از شاخص‌ها و امتیازها ایجاد نماید. داشبورد مذکور باید شامل حداقل اطلاعات زیر باشد: ۴۳
• ۱ - امتیازدهی عملکرد اجزای نظام کنترل داخلی؛ ۴۳
• ۲ - شاخص‌ها و یا اطلاعات بااهمیت برای انجام ارزیابی و پیگیری‌های بعدی؛ ۴۳
• ۳ - تناوب ارزیابی‌های انجام شده و آخرین ارزیابی؛ ۴۳
• ۴ - ناکارآمدی‌های شناسایی شده و اصلاحات مربوط؛ ماده ۴۴
• هیات عامل موسسه اعتباری موظف است با بهره گیری از فن آوری اطلاعات، برنامه کاربردی پایش خودکار]پاورقی ۲[نظام کنترل داخلی را تهیه و مورد استفاده قرار دهد. برنامه کاربردی مذکور شامل حداقل موارد زیر می‌باشد: پاورقی ۲. Automated monitoring ۴۴
• ۱ - بررسی و تطبیق مبادلات و تراکنش‌ها با آستانه‌های از پیش تعریف شده به منظور شناسایی مبادلات و تراکنش‌های غیرعادی؛ ۴۴
• ۲ - پایش مبادلات و تراکنش‌ها برای بررسی روند‌ها یا الگوها؛ ۴۳
• ۳ - ارزیابی شاخص‌ها و معیار‌های عملکرد در راستای بهبود فرآیندهای کسب و کار. ماده ۴۵
• هیات عامل موسسه اعتباری موظف است ارزیابی‌های موردی کنترل‌های داخلی را از طریق روش‌هایی نظیر موارد زیر انجام دهد: ۴۵
• ۱ - انجام بررسی‌ها و بازدیدهای نظارتی بدون اطلاع قبلی؛ ۴۵
• ۲ - انجام بررسی‌های تطبیقی کنترل داخلی میان واحدهای عملیاتی مشابه در موسسه اعتباری؛ ۴۵
• ۳ - بکارگیری اشخاص مستقل بیرونی به منظور انجام ارزیابی ویژه. ماده ۴۶
• واحد حسابرسی داخلی موسسه اعتباری موظف است ارزیابی‌های جداگانه ای را در خصوص اجزای اصلی نظام کنترل داخلی انجام دهد. ماده ۴۷
• هیات عامل موسسه اعتباری موظف است رویه مناسبی به منظور بررسی شکایات مشتریان با هدف بررسی ضعف‌های نظام کنترل داخلی ایجاد و به تصویب هیات مدیره برساند. فصل هفتم: گزارشگری ماده ۴۸
• هیات مدیره موسسه اعتباری موظف است شیوه‌های ناظر بر تهیه گزارش ناکارآمدی‌های نظام کنترل داخلی را تعیین نموده و پس از بررسی نتایج گزارش‌های مذکور، بر برنامه‌ها و اقدامات اصلاحی هیات عامل در این خصوص نظارت عالی نماید. ماده ۴۹
• هیات عامل موسسه اعتباری موظف است ناکارآمدی‌های نظام کنترل داخلی را ارزیابی به هنگام نموده و بر اساس معیارهایی نظیر ماهیت، منشا و میزان اهمیت ناکارآمدی به هیات مدیره گزارش و اقدامات اصلاحی مقتضی را پیشنهاد نماید. ماده ۵۰
• واحدهای سازمانی و افراد مسئول اجرای کنترل‌ها موظفند گزارشی از موارد عدم رعایت کنترل‌های تعریف شده بر اساس این دستورالعمل را در مقاطع زمانی حداکثر سه ماهه به واحدهای مدیریت ریسک و حسابرسی داخلی ارایه نمایند. ماده ۵۱
• واحد مدیریت ریسک موسسه اعتباری موظف است گزارشات ماخوذه از اجرای مفاد این دستورالعمل را در فرآیند شناسایی، اندازه گیری، پایش، کنترل و گزارشگری ریسک‌های موسسه اعتباری نظیر ریسک عملیاتی، اعتباری، نقدینگی و بازار مد نظر و مورد استفاده قرار دهد. ماده ۵۲
• حواحد حسابرسی داخلی موسسه اعتباری موظف است فعالیت کنترلی مرتبط با اجرای سیاست‌ها، خط مشی‌ها و رویه‌های اجرایی مصوب هیات مدیره و مسئول اجرای کنترل‌های مذکور را در برنامه حسابرسی تعیین و گزارش موارد با اهمیت از عدم اجرای صحیح فعالیت‌های یاد شده را در مقاطع زمانی حداکثر سه ماهه به کمیته حسابرسی ارایه نماید. ماده ۵۳
• مدیر ارشد حسابرسی داخلی موظف است برنامه حسابرسی داخلی را مبتنی بر ریسک و در مقاطع زمانی حداکثر سالیانه تدوین و گزارش نماید به نحوی که اولویت‌های فعالیت حسابرسی داخلی در راستای اهداف و راهبردهای مصوب هیات مدیره تعیین شود. تبصره
• برنامه حسابرسی داخلی موضوع این ماده در صورت بروز هرگونه تغییر در اهداف، اجزا و سطوح نظام کنترل داخلی موسسه اعتباری در حین اجرای برنامه حسابرسی داخلی، باید متناسب با تغییرات مذکور در حداقل زمان ممکن به روزرسانی گردد. ماده ۵۴
• واحد حسابرسی داخلی موسسه اعتباری موظف است گزارش یافته‌های برنامه حسابرسی را حسب مورد به مسئولین واحدهای عملیاتی یا هیات عامل موسسه اعتباری ارایه نماید و پاسخ‌ها و اقدامات انجام شده واحد عملیاتی را در خصوص نقاط ضعف کنترل‌های داخلی مربوط مستندسازی نماید. تبصره
• در صورت عدم رفع نقاط ضعف کنترل‌های داخلی موضوع این ماده، مدیر ارشد حسابرسی داخلی موظف است مراتب را به کمیته حسابرسی گزارش نماید. ماده ۵۵
• واحد حسابرسی داخلی موسسه اعتباری موظف است در صورت بروز تقلب و سوءاستفاده از دارایی‌های موسسه اعتباری، مراتب را به واحد مدیریت ریسک گزارش دهد و واحد مذکور موظف است موضوع را در فرآیند مدیریت ریسک عملیاتی مد نظر و مورد استفاده قرار دهد به گونه ای که از بروز مجدد تقلب و سوءاستفاده مذکور ممانعت به عمل آید. ماده ۵۶
• مدیر ارشد واحد حسابرسی داخلی موسسه اعتباری موظف است در صورت با اهمیت بودن نقاط ضعف اجرای سازوکارهای کنترلی مورد اشاره در این دستورالعمل یا بروز تقلب با اهمیت، اقدامات اصلاحی مقتضی مربوط به نظام کنترل داخلی را به کمیته حسابرسی پیشنهاد نماید. تبصره ۱
• کمیته حسابرسی موسسه اعتباری موظف است گزارش ارایه شده موضوع این ماده را بررسی و تا صدور مصوبه هیات مدیره پیگیری نماید. تبصره ۲
• مدیر ارشد حسابرسی داخلی موظف است مصوبه هیات مدیره موضوع تبصره (۱) این ماده را به مدیریت کل نظارت بر بانک‌ها و موسسات اعتباری بانک مرکزی و حسابرس مستقل ارسال نماید. ماده ۵۷
• مدیر ارشد حسابرسی داخلی موسسه اعتباری موظف است موارد بسیار بااهمیت ناکارآمدی‌های نظام کنترل داخلی را در مقاطع زمانی شش ماهه یا حسب درخواست بانک مرکزی، به بانک مرکزی گزارش نماید. ماده ۵۸
• مدیر ارشد رعایت قوانین و مقررات (تطبیق)، موظف است گزارش‌های مربوط به رعایت مفاد این دستورالعمل و مصادیق عدم رعایت آن را به کمیته رعایت قوانین و مقررات (تطبیق) ارایه نموده و پس از تایید در کمیته یاد شده، مراتب را در هیات مدیره برای تصویب، گزارش نماید و مصوبه هیات مدیره را به مدیریت کل نظارت بر بانک‌ها و موسسات اعتباری بانک مرکزی ارسال کند. ماده ۵۹
• هیات مدیره موسسه اعتباری موظف است به صورت سالانه گزارش کنترل داخلی مشتمل بر نحوه استقرار نظام کنترل داخلی بر اساس مفاد این دستورالعمل و نتایج حاصل از ارزیابی اثربخشی آن را به بانک مرکزی و حسابرس مستقل ارایه دهد. فصل هشتم
• سایر موارد ماده ۶۰
• هیات مدیره موسسه اعتباری موظف است ضوابط داخلی پیشنهادی مدیر ارشد حسابرسی داخلی ناظر بر اجرای کارا و اثربخش این دستورالعمل را ظرف مدت شش ماه از تاریخ ابلاغ آن تصویب نماید و نسخه ای از آن را به بانک مرکزی ارسال نماید. ماده ۶۱
• تخطی از احکام این دستورالعمل موجب اعمال مجازات‌های مقرر در قوانین و مقررات ذی ربط می‌شود. دستورالعمل حداقل الزامات ناظر بر استقرار نظام کنترل‌های داخلی در موسسات اعتباری» در (۶۱) ماده و (۴) تبصره در پنجاه و یکمین جلسه مورخ ۱۴۰۲/۱۱/۲۹ کمیسیون مقررات و نظارت موسسات اعتباری به تصویب رسید و پس از تاریخ ابلاغ، لازم الاجرا بوده و از تاریخ لازم الاجرا شدن این دستورالعمل، «رهنمودهایی برای نظام موثر کنترل داخلی در موسسات اعتباری» موضوع بخشنامه شماره ۱۱۷۲/مب مورخ ۱۳۸۶/۰۳/۳۱ و سایر ضوابط و مقررات مغایر با دستورالعمل حاضر منسوخ می‌گردد.