NORMĂ nr. 17 din 18 decembrie 2003privind organizarea şi controlul intern al activităţii instituţiilor de credit şi administrarea riscurilor semnificative, precum şi organizarea şi desfăşurarea activităţii de audit intern a instituţiilor de credit
EMITENT
  • BANCA NAŢIONALĂ A ROMÂNIEI
    • Publicat în  MONITORUL OFICIAL nr. 47 din 20 ianuarie 2004



    Având în vedere prevederile art. 26 alin. (2) lit. a) din Legea nr. 101/1998 privind Statutul Băncii Naţionale a României, cu modificările şi completările ulterioare, ale art. 24 alin. 1 lit. d) şi f), art. 38 alin. 1 şi 2, art. 45 alin. 1 lit. g), art. 66, art. 83^3 alin. 3 şi ale art. 83^6 din Legea nr. 58/1998 privind activitatea bancară, cu modificările şi completările ulterioare, ale art. 4 alin. (2) şi ale art. 19 din Legea nr. 541/2002 privind economisirea şi creditarea în sistem colectiv pentru domeniul locativ, modificată şi completată prin Ordonanţa de urgenţă a Guvernului nr. 99/2003, precum şi cele ale art. 3 alin. 2 şi ale art. 284 alin. 2 din Ordonanţa de urgenţă a Guvernului nr. 97/2000 privind organizaţiile cooperatiste de credit, aprobată şi modificată prin Legea nr. 200/2002,în temeiul dispoziţiilor art. 50 alin. (1) din Legea nr. 101/1998, cu modificările şi completările ulterioare, şi ale art. 93 din Legea nr. 58/1998, cu modificările şi completările ulterioare,Banca Naţională a României emite prezentele norme.  +  Capitolul I Dispoziţii generale  +  Articolul 1Prezentele norme se aplică instituţiilor de credit, persoane juridice române, şi reglementează cadrul general pentru: a) organizarea şi controlul intern al activităţii instituţiilor de credit; b) administrarea riscurilor semnificative de către instituţiile de credit; c) organizarea şi desfăşurarea activităţii de audit intern.  +  Articolul 2 (1) Instituţiile de credit sunt responsabile pentru organizarea şi controlul intern al activităţii lor, pentru administrarea riscurilor semnificative, precum şi pentru organizarea şi desfăşurarea activităţii de audit intern a acestora. (2) Casele centrale ale cooperativelor de credit sunt responsabile şi pentru organizarea şi controlul intern al activităţii, pentru administrarea riscurilor semnificative, precum şi pentru organizarea şi desfăşurarea activităţii de audit intern la nivelul reţelelor cooperatiste de credit. (3) Instituţiile de credit trebuie să asigure aplicarea în mod corespunzător a prevederilor prezentelor norme de către entităţile cuprinse în perimetrul de consolidare al acestora, astfel încât să fie create condiţiile pentru efectuarea supravegherii pe bază consolidată. (4) Instituţiile de credit trebuie să asigure aplicarea în mod corespunzător a prevederilor prezentelor norme de către societăţile prestatoare de servicii auxiliare sau conexe, care nu intră în categoria entităţilor prevăzute la alin. (3), prin adaptare la specificul acestora.  +  Articolul 3În sensul prezentelor norme, termenii şi expresiile de mai jos au următoarele semnificaţii: a) instituţii de credit - bănci, instituţii emitente de monedă electronică, case de economii pentru domeniul locativ şi case centrale ale cooperativelor de credit, persoane juridice române, autorizate să funcţioneze în conformitate cu prevederile Legii nr. 58/1998 privind activitatea bancară, cu modificările şi completările ulterioare, Legii nr. 541/2002 privind economisirea şi creditarea în sistem colectiv pentru domeniul locativ, modificată şi completată prin Ordonanţa de urgenţă a Guvernului nr. 99/2003, respectiv ale Ordonanţei de urgenţă a Guvernului nr. 97/2000 privind organizaţiile cooperatiste de credit, aprobată şi modificată prin Legea nr. 200/2002; b) control intern - proces continuu la care participă consiliul de administraţie, conducătorii, precum şi personalul instituţiilor de credit, prin care se furnizează o asigurare rezonabilă asupra atingerii obiectivelor prevăzute la art. 4 alin. (1) din prezentele norme; c) conducere operativă - persoanele care asigură conducerea nemijlocită a compartimentelor din cadrul instituţiei de credit, al sucursalelor şi al altor sedii secundare; d) sistem informaţional - ansamblul de fluxuri informaţionale organizate într-o concepţie unitară, care asigură legătura dintre nivelul de conducere (decizional) şi nivelul de execuţie (operaţional); e) administrarea riscurilor semnificative - proces focalizat pe analiza profilului de risc, în vederea maximizării raportului dintre risc şi profit în diferite domenii de activitate ale unei instituţii de credit; f) riscuri semnificative - riscuri cu impact însemnat asupra situaţiei patrimoniale şi/sau reputaţionale a instituţiilor de credit; g) risc de credit - riscul înregistrării de pierderi sau al nerealizării profiturilor estimate, ca urmare a neîndeplinirii de către contrapartidă a obligaţiilor contractuale; h) risc de ţară - risc asociat riscului de credit, care este determinat de condiţiile economice, sociale şi politice ale ţării de origine a împrumutatului; i) risc de transfer - componentă a riscului de ţară, care apare atunci când obligaţia împrumutatului nu este exprimată în moneda locală a acestuia; j) risc de piaţă - riscul înregistrării de pierderi sau al nerealizării profiturilor estimate, care apare din fluctuaţiile pe piaţă ale preţurilor, ratei dobânzii şi cursului valutar; k) risc de preţ - componentă a riscului de piaţă, care apare din fluctuaţiile pe piaţă ale preţurilor valorilor mobiliare, mărfurilor şi instrumentelor financiare derivate; l) risc valutar - componentă a riscului de piaţă, care apare din fluctuaţiile pe piaţă ale cursului valutar; m) risc al ratei dobânzii - componentă a riscului de piaţă, care apare din fluctuaţiile pe piaţă ale ratei dobânzii; n) risc de lichiditate - riscul înregistrării de pierderi sau al nerealizării profiturilor estimate, ce rezultă din imposibilitatea instituţiilor de credit de a onora în orice moment obligaţiile de plată pe termen scurt, fără ca aceasta să implice costuri sau pierderi ce nu pot fi suportate de instituţiile de credit; o) risc operaţional - riscul înregistrării de pierderi sau al nerealizării profiturilor estimate, care este determinat de factori interni (derularea neadecvată a unor activităţi interne, existenţa unui personal sau unor sisteme necorespunzătoare etc.) sau de factori externi (condiţii economice, schimbări în mediul bancar, progrese tehnologice etc.); p) risc juridic - componentă a riscului operaţional, apărut ca urmare a neaplicării sau a aplicării defectuoase a dispoziţiilor legale ori contractuale, care afectează negativ operaţiunile sau situaţia instituţiilor de credit; q) risc reputaţional - riscul înregistrării de pierderi sau al nerealizării profiturilor estimate, ca urmare a lipsei de încredere a publicului în integritatea instituţiilor de credit; r) audit intern - activitate independentă, destinată îmbunătăţirii activităţii instituţiilor de credit, fie prin îndeplinirea unor angajamente de audit, fie prin acordarea unor servicii de consultanţă structurilor/entităţilor auditate; s) angajament de audit - activitate constând într-o examinare obiectivă a modului de realizare a administrării riscurilor, sistemului de control intern şi proceselor de conducere ale instituţiilor de credit, în scopul furnizării unei asigurări rezonabile că acestea funcţionează corespunzător şi vor permite atingerea obiectivelor instituţiilor de credit, precum şi în scopul formulării unor recomandări de îmbunătăţire a activităţii acestora; t) serviciu de consultanţă - activităţi de consiliere ale căror obiective şi întindere se vor stabili cu conducerea structurii beneficiare a unui astfel de serviciu sau, după caz, cu conducerea instituţiei de credit, în funcţie de necesităţile acestora şi de statutul auditului intern; u) structură organizatorică - ansamblu format din compartimente şi sedii secundare ale instituţiilor de credit, cărora, pentru funcţionarea eficientă a acestora, le-au fost precizate atribuţii şi între care s-au stabilit relaţiile de raportare; v) coordonatorul activităţii de audit intern - responsabilul pentru organizarea şi desfăşurarea activităţii de audit intern a instituţiilor de credit, ale cărui atribuţii sunt prevăzute la cap. IV din prezentele norme. În cazul în care activitatea de audit intern nu este externalizată, acesta este conducătorul compartimentului de audit intern.  +  Capitolul II Organizarea şi controlul intern al activităţii instituţiilor de credit  +  Articolul 4 (1) Obiectivele controlului intern constau în: a) desfăşurarea activităţilor în condiţii de eficienţă şi eficacitate; b) furnizarea unor informaţii credibile, relevante, complete şi oportune structurilor implicate în luarea deciziilor în cadrul instituţiei de credit şi utilizatorilor externi ai informaţiilor; c) asigurarea conformităţii activităţilor instituţiilor de credit cu cadrul legal şi cu politicile şi procedurile proprii. (2) În vederea îndeplinirii obiectivelor de control intern, instituţiile de credit trebuie să îşi organizeze un sistem de control intern care se compune din următoarele elemente aflate în strânsă corelare: a) rolul şi responsabilităţile consiliului de administraţie şi ale conducătorilor instituţiilor de credit; b) identificarea şi evaluarea riscurilor semnificative; c) activităţile de control şi separarea responsabilităţilor; d) informarea şi comunicarea; e) activităţile de monitorizare şi corectare a deficienţelor.  +  Secţiunea 1 Rolul şi responsabilităţile consiliului de administraţie şi ale conducătorilor instituţiilor de credit  +  Articolul 5 (1) Consiliul de administraţie al instituţiilor de credit este responsabil pentru stabilirea şi menţinerea unui sistem de control intern adecvat şi eficient. (2) În contextul prevederilor alin. (1), consiliul de administraţie al instituţiilor de credit are cel puţin următoarele atribuţii: a) să aprobe şi să revizuiască periodic, cel puţin anual, strategiile generale şi politicile privitoare la activitatea instituţiei de credit; b) să stabilească niveluri acceptabile pentru riscurile semnificative şi să asigure luarea măsurilor necesare de către conducători pentru identificarea, evaluarea, monitorizarea şi controlul riscurilor respective; c) să supravegheze conducătorii în legătură cu modul în care aceştia monitorizează funcţionarea adecvată şi eficientă a sistemului de control intern; d) să aprobe structura organizatorică. (3) Pentru îndeplinirea atribuţiilor ce îi revin, consiliul de administraţie trebuie să întreprindă cel puţin următoarele măsuri: a) discuţii periodice (de regulă trimestrial) cu conducerea operativă privind eficienţa sistemului de control intern; b) analiza periodică (de regulă trimestrial) a evaluărilor sistemului de control intern efectuate de conducerea operativă, de auditul intern şi, după caz, de auditorul financiar al instituţiilor de credit şi de Banca Naţională a României; c) asigurarea implementării de către conducerea operativă a recomandărilor formulate de auditul intern, de auditorul financiar şi de Banca Naţională a României cu privire la deficienţele sistemului de control intern şi examinarea efectului măsurilor implementate.  +  Articolul 6Instituţiile de credit trebuie să constituie un comitet de audit, potrivit prevederilor secţiunii a 6-a a cap. IV din prezentele norme, care să asiste consilul de administraţie în îndeplinirea atribuţiilor ce îi revin.  +  Articolul 7 (1) Conducătorii instituţiilor de credit au responsabilităţi pe linia monitorizării funcţionării adecvate şi eficiente a sistemului de control intern. (2) În contextul prevederilor alin. (1), conducătorii instituţiilor de credit au cel puţin următoarele atribuţii: a) să implementeze strategiile generale şi politicile privitoare la activitatea instituţiilor de credit, aprobate de consiliul de administraţie; b) să coordoneze procesul de elaborare a procedurilor de identificare, evaluare, monitorizare şi control pentru riscurile semnificative şi să ia măsurile necesare pentru identificarea, evaluarea, monitorizarea şi controlul acestor riscuri; c) să se asigure că responsabilităţile delegate conducerii operative, cu privire la stabilirea politicilor şi procedurilor de control intern, sunt îndeplinite în mod corespunzător; d) să menţină o structură organizatorică adecvată; e) să stabilească fluxul informaţional necesar; f) să se asigure că toate activităţile instituţiilor de credit sunt realizate de personal calificat, având experienţă şi cunoştinţe necesare; g) să asigure instruirea corespunzătoare a personalului propriu.  +  Articolul 8În cazul externalizării unor activităţi, consiliul de administraţie şi conducătorii instituţiilor de credit răspund pentru atingerea obiectivelor controlului intern aferente respectivelor activităţi.  +  Articolul 9 (1) Consiliul de administraţie şi conducătorii unei case centrale a cooperativelor de credit sunt responsabili pentru îndeplinirea obiectivelor controlului intern la nivelul reţelei cooperatiste de credit, inclusiv în condiţiile art. 8. (2) Consiliul de administraţie al unei case centrale a cooperativelor de credit va îndeplini atribuţiile prevăzute la art. 5 alin. (2) lit. a)-c) şi la nivelul reţelei cooperatiste de credit. (3) Conducătorii unei case centrale a cooperativelor de credit vor îndeplini atribuţiile prevăzute la art. 7 alin. (2) lit. a) şi b) şi la nivelul reţelei cooperatiste de credit.  +  Articolul 10 (1) Consiliul de administraţie şi conducătorii instituţiilor de credit sunt responsabili pentru promovarea unor standarde de etică şi integritate pentru personalul instituţiilor de credit în ceea ce priveşte controlul intern, care să evidenţieze şi să asigure conştientizarea importanţei acestuia la toate nivelurile organizatorice. (2) Consiliul de administraţie şi conducătorii unei case centrale a cooperativelor de credit sunt responsabili pentru promovarea unor standarde de etică şi integritate pentru personalul reţelei cooperatiste de credit în ceea ce priveşte controlul intern, care să evidenţieze şi să asigure conştientizarea importanţei acestuia.  +  Secţiunea a 2-a Identificarea şi evaluarea riscurilor semnificative  +  Articolul 11 (1) Pentru a avea un sistem de control intern eficient instituţiile de credit trebuie să identifice şi să evalueze permanent riscurile semnificative care pot periclita atingerea obiectivelor controlului intern. (2) Identificarea şi evaluarea riscurilor semnificative trebuie să se facă atât la nivel de ansamblu al unei instituţii de credit, cât şi la toate nivelurile organizatorice ale acesteia, trebuie să acopere toate activităţile şi să ţină cont de apariţia unor noi activităţi.  +  Articolul 12 (1) Identificarea şi evaluarea riscurilor semnificative trebuie să se realizeze cu luarea în considerare a factorilor interni (de exemplu: complexitatea structurii organizatorice, natura activităţilor desfăşurate, calitatea personalului şi fluctuaţia acestuia) şi a factorilor externi (de exemplu: condiţii economice, schimbări legislative sau legate de mediul concurenţial în sectorul bancar, progrese tehnologice). (2) Procesul de evaluare a riscurilor trebuie să includă identificarea atât a riscurilor care sunt controlabile de către instituţiile de credit, cât şi a celor necontrolabile. În cazul riscurilor controlabile, instituţiile de credit trebuie să stabilească dacă îşi asumă integral aceste riscuri sau măsura în care doresc să le reducă prin proceduri de control. În cazul riscurilor necontrolabile, instituţiile de credit trebuie să decidă dacă le acceptă sau dacă elimină ori reduc nivelul activităţilor afectate de riscurile respective. (3) Evaluarea riscurilor semnificative trebuie efectuată şi în condiţiile unor scenarii alternative, inclusiv în condiţii de criză.  +  Articolul 13Evaluarea riscurilor se va realiza de către specialişti din cadrul instituţiilor de credit care nu au responsabilităţi în realizarea performanţei comerciale şi financiare.  +  Articolul 14Instituţiile de credit trebuie să revizuiască activităţile de control pentru a identifica şi evalua în mod corespunzător orice riscuri noi sau care au atins pragul de la care acestea le consideră riscuri semnificative.  +  Articolul 15În vederea atingerii obiectivelor de control intern, casa centrală a cooperativelor de credit trebuie să identifice şi să evalueze permanent riscurile semnificative la nivelul reţelei cooperatiste de credit, cu aplicarea corespunzătoare a prevederilor prezentei secţiuni.  +  Secţiunea a 3-a Activităţile de control şi separarea responsabilităţilor3.1. - Activităţile de control  +  Articolul 16 (1) Activităţile de control trebuie să se constituie ca parte integrantă a activităţilor zilnice ale instituţiilor de credit. (2) Activităţile de control trebuie să aibă în vedere riscurile identificate de instituţiile de credit în cadrul procesului de identificare şi evaluare a riscurilor.  +  Articolul 17Activităţile de control trebuie definite pentru fiecare nivel organizatoric al instituţiilor de credit şi implică două etape: a) stabilirea politicilor şi procedurilor de control; b) verificarea respectării politicilor şi procedurilor de control stabilite.  +  Articolul 18Activităţile de control includ cel puţin următoarele: a) analize la nivelul consiliului de administraţie şi al conducătorilor; b) analize operative la nivelul compartimentelor şi sediilor secundare ale instituţiilor de credit; c) controale faptice care au în vedere restricţionarea accesului la active, cum ar fi titluri sau numerar, restricţionarea accesului la conturile clienţilor etc.; d) analiza încadrării în limitele impuse expunerilor la risc şi urmărirea modului în care sunt soluţionate situaţiile de neconformitate; e) aprobări şi autorizări, în cazul operaţiunilor ce depăşesc anumite limite de sume, asigurându-se astfel controlul asupra realizării operaţiunilor respective de către nivelul de conducere competent şi stabilirea responsabilităţilor; f) verificări ale tranzacţiilor efectuate de instituţiile de credit şi reconcilieri, în special acolo unde există diferenţe între metodologiile sau sistemele de evaluare utilizate în compartimentele însărcinate cu iniţierea tranzacţiilor (front office) şi compartimentele însărcinate cu înregistrarea şi monitorizarea tranzacţiilor iniţiate (back office). Rezultatele verificărilor vor fi comunicate nivelului de conducere competent.  +  Articolul 19Activităţile de control desfăşurate de o casă centrală a cooperativelor de credit la nivelul reţelei cooperatiste de credit vor include cel puţin următoarele: a) analize la nivelul consiliului de administraţie şi al conducătorilor casei centrale a cooperativelor de credit; b) analiza încadrării în limitele impuse expunerilor la risc la nivelul reţelei cooperatiste de credit şi urmărirea modului în care sunt soluţionate situaţiile de neconformitate.3.2. - Separarea responsabilităţilor  +  Articolul 20Instituţiile de credit trebuie să realizeze o repartizare corespunzătoare a atribuţiilor la toate nivelurile organizatorice şi să se asigure că personalului nu îi sunt alocate responsabilităţi care să conducă la conflicte de interese (de exemplu: responsabilităţi duale ale unei persoane în domenii cum ar fi: acţionarea în front-office şi back-office, aprobarea tragerii fondurilor şi tragerea efectivă, evaluarea documentaţiei de credit şi monitorizarea clientului după contractarea creditului etc.).  +  Articolul 21Domeniile care pot fi afectate de potenţiale conflicte de interese trebuie să fie identificate şi supuse unei monitorizări independente exercitate de persoane neimplicate direct în activităţile respective, a căror informare este efectuată pe baza unor linii de raportare stabilite în mod corespunzător.  +  Secţiunea a 4-a Informare şi comunicare  +  Articolul 22Casa centrală a cooperativelor de credit este responsabilă pentru respectarea principiilor de informare şi comunicare la nivelul reţelei cooperatiste de credit afiliate.4.1. - Informare  +  Articolul 23 (1) Instituţiile de credit trebuie să asigure existenţa datelor financiare, operaţionale şi de conformitate, adecvate şi complete, pentru desfăşurarea activităţii lor. (2) Instituţiile de credit trebuie să dispună de informaţii despre piaţă referitoare la evenimente şi condiţii care sunt relevante pentru luarea deciziilor. (3) Informaţiile trebuie să fie credibile, relevante, complete, oportune, accesibile şi furnizate într-un format consecvent.  +  Articolul 24Instituţiile de credit trebuie să dispună de sisteme informaţionale adecvate, care să acopere toate activităţile acestora.  +  Articolul 25Instituţiile de credit trebuie să dispună de proceduri pentru a preveni utilizarea necorespunzătoare a informaţiei, prin care să se evite: a) prejudicierea, directă sau indirectă, a reputaţiei acestora; b) dezvăluirea informaţiilor secrete sau confidenţiale; c) utilizarea informaţiilor de către personalul instituţiei de credit pentru obţinerea unor beneficii personale.  +  Articolul 26 (1) În cadrul sistemului informaţional instituţiile de credit trebuie să dispună de sisteme informatice. Arhitectura acestor sisteme trebuie să asigure un grad adecvat de securitate a informaţiei. Monitorizarea sistemelor informatice va fi asigurată de o structură de personal independentă de cea care le utilizează. (2) Instituţiile de credit trebuie să dispună de prevederi referitoare la organizarea şi controlul intern al procesării informaţiilor în formă electronică, astfel încât să fie posibilă obţinerea de probe de audit.  +  Articolul 27 (1) În vederea evitării apariţiei disfuncţionalităţilor în cadrul activităţii şi a eventualelor pierderi generate de acestea, instituţiile de credit trebuie să controleze eficient riscurile implicate de utilizarea sistemelor informatice. În acest scop, se vor efectua atât controale generale la nivelul întregului sistem informatic, cât şi controale la nivelul fiecărei aplicaţii informatice din componenţa acestuia. (2) Controalele generale se efectuează asupra infrastructurii hardware şi de comunicaţii a sistemelor informatice (sisteme mainframe, sisteme client/server, routere, echipamente de reţea, staţii de lucru ale utilizatorilor finali), precum şi asupra sistemelor de operare care asigură funcţionarea acestora. Controalele au drept scop verificarea funcţionării continue şi corespunzătoare a acestora. (3) Controalele generale includ şi verificarea existenţei şi aplicării unei strategii de informatizare, a procedurilor interne de salvare şi restaurare a datelor, a politicilor de efectuare a achiziţiilor, a procedurilor de dezvoltare a aplicaţiilor informatice, a procedurilor de administrare şi întreţinere, precum şi a politicilor de securitate vizând accesul fizic şi logic la resursele sistemului informatic. (4) Controalele efectuate la nivelul aplicaţiilor informatice reprezintă proceduri de validare şi control incluse în codul aplicaţiilor informatice utilizate, precum şi proceduri manuale de verificare a modului de procesare a tranzacţiilor şi efectuării operaţiunilor.  +  Articolul 28 (1) În vederea evitării pierderilor generate de întreruperea activităţii datorită unor factori externi ce nu pot fi controlaţi de către instituţiile de credit, acestea, trebuie să elaboreze planuri alternative (de rezervă), care să le permită reluarea activităţii în cazul apariţiei unor situaţii neprevăzute. Replicarea sistemelor critice trebuie asigurată fie prin existenţa unor sisteme de rezervă situate într-o altă locaţie aparţinând instituţiei de credit (centru de back-up), fie prin intermediul unui furnizor extern de servicii. (2) Funcţionarea planurilor alternative trebuie testată periodic prin simularea operaţiunilor pe sistemele de rezervă, în scopul verificării disponibilităţii acestora.4.2. - Comunicare  +  Articolul 29În vederea organizării unui sistem de control intern eficient, instituţiile de credit trebuie să dispună de canale de comunicare care să asigure că personalul instituţiilor de credit cunoaşte politicile şi procedurile cu implicaţii asupra atribuţiilor şi responsabilităţilor sale şi că orice alte informaţii relevante ajung în timp util la acesta.  +  Articolul 30Structura organizatorică a instituţiilor de credit trebuie să asigure un flux corespunzător de informaţii, pe verticală (în ambele sensuri) şi pe orizontală, care să permită următoarele: a) informarea consiliului de administraţie şi a conducătorilor asupra riscurilor aferente activităţii şi funcţionării instituţiilor de credit; b) informarea nivelurilor inferioare de conducere operativă şi a personalului atât asupra strategiilor instituţiilor de credit, cât şi asupra politicilor şi procedurilor stabilite; c) difuzarea informaţiilor între compartimentele şi sediile secundare ale instituţiilor de credit pentru care respectivele informaţii au relevanţă.  +  Secţiunea a 5-a Activităţile de monitorizare şi corectare a deficienţelor  +  Articolul 31 (1) Instituţiile de credit trebuie să monitorizeze permanent eficacitatea sistemului de control intern, cu luarea în considerare a modificărilor intervenite în condiţiile interne şi externe de desfăşurare a activităţii. (2) Instituţiile de credit trebuie să asigure un rol important auditului intern în procesul de monitorizare a sistemului de control intern. (3) Monitorizarea eficacităţii sistemului de control intern va fi efectuată atât de personalul responsabil pentru fiecare compartiment şi sediu secundar al instituţiei de credit, cât şi de auditul intern. (4) Monitorizarea eficacităţii sistemului de control intern trebuie să facă parte din activităţile zilnice ale instituţiilor de credit şi trebuie să includă şi evaluări separate ale sistemului de control intern în general. (5) Evaluările separate, periodice, ale sistemului de control intern vor fi efectuate atât de personalul responsabil pentru fiecare compartiment şi sediu secundar (autoevaluare), cât şi de auditul intern. (6) Frecvenţa cu care trebuie monitorizate diferitele activităţi ale instituţiilor de credit depinde de riscurile implicate de activităţile respective, precum şi de natura şi frecvenţa schimbărilor din activitatea respectivă.  +  Articolul 32 (1) Deficienţele identificate în legătură cu sistemul de control intern trebuie să fie raportate imediat nivelului de conducere competent care trebuie să ia măsuri pentru remedierea cu promptitudine a acestora. (2) Deficienţele majore ale sistemului de control intern trebuie să fie raportate conducătorilor instituţiilor de credit şi consiliului de administraţie al acestora. (3) Conducătorii instituţiilor de credit au responsabilitatea de a stabili un sistem de detectare a deficienţelor sistemului de control intern şi de a întreprinde măsuri pentru soluţionarea respectivelor deficienţe.  +  Articolul 33Casa centrală a cooperativelor de credit va monitoriza permanent atingerea obiectivelor de control intern la nivelul reţelei cooperatiste de credit, cu aplicarea corespunzătoare a prevederilor prezentei secţiuni.  +  Capitolul III Administrarea riscurilor semnificative  +  Secţiunea 1 Cadrul general  +  Articolul 34Instituţiile de credit trebuie să ia măsuri pe linia administrării următoarelor riscuri semnificative: riscul de credit, riscul de piaţă, riscul de lichiditate, riscul operaţional şi riscul reputaţional.  +  Articolul 35În domeniul administrării riscurilor semnificative, consiliul de administraţie al instituţiilor de credit are cel puţin următoarele atribuţii: a) să aprobe şi să reconsidere profilul de risc al acestora; b) să aprobe politicile privind administrarea riscurilor respective, să le analizeze periodic, cel puţin anual, şi să dispună revizuirea acestora, după caz; c) să asigure luarea de către conducătorii instituţiei de credit a măsurilor necesare pentru identificarea, evaluarea, monitorizarea şi controlul riscurilor, inclusiv pentru activităţile externalizate; d) să aprobe procedurile de stabilire a competenţelor şi a responsabilităţilor în domeniul administrării riscurilor; e) să aprobe externalizarea unor activităţi; f) să aprobe politica de instruire a personalului;  +  Articolul 36În domeniul administrării riscurilor semnificative, conducătorii instituţiilor de credit sunt responsabili cel puţin pentru următoarele: a) implementarea strategiilor aprobate de consiliul de administraţie şi asigurarea comunicării acestora personalului implicat în punerea lor în aplicare; b) asigurarea comunicării politicilor şi procedurilor pentru identificarea, evaluarea, monitorizarea şi controlul riscurilor personalului implicat în punerea lor în aplicare; c) menţinerea unor sisteme de raportare corespunzătoare a expunerilor la riscuri, precum şi a altor aspecte legate de riscuri; d) menţinerea limitelor corespunzătoare privind expunerea la riscuri, inclusiv pentru condiţii de criză, în conformitate cu mărimea, complexitatea şi situaţia financiară a instituţiei de credit; e) menţinerea eficienţei şi eficacităţii sistemului de control intern; f) analizarea oportunităţii externalizării unor activităţi prin prisma riscurilor implicate de externalizare; g) supravegherea şi monitorizarea contractului de externalizare; h) asigurarea unui personal calificat, având experienţa şi cunoştinţele necesare; i) asigurarea instruirii corespunzătoare a personalului; j) asigurarea concordanţei politicilor de remunerare a personalului cu strategia instituţiei de credit privind riscurile.  +  Articolul 37În procesul de administrare a riscurilor, instituţiile de credit trebuie să constituie un comitet de administrare a riscurilor, potrivit prevederilor secţiunii a 5-a din prezentul capitol.  +  Articolul 38 (1) Instituţiile de credit trebuie să opteze pentru un profil de risc, stabilind obiectivul şi strategia pentru fiecare risc semnificativ, inclusiv în ceea ce priveşte activităţile externalizate. (2) Instituţiile de credit vor stabili tipurile de riscuri pe care sunt pregătite să le asume, precum şi pragul de la care un risc este considerat semnificativ. La stabilirea acestora se vor avea în vedere natura, dimensiunea şi complexitatea activităţii. (3) Strategia instituţiilor de credit privind administrarea riscurilor semnificative trebuie să determine raportul dintre risc şi profit pe care instituţia de credit îl consideră acceptabil în condiţiile asigurării continuităţii activităţii acesteia pe baze sănătoase şi prudente.  +  Articolul 39Instituţiile de credit trebuie să adopte politici pentru administrarea riscurilor semnificative, în vederea implementării profilului de risc ales. Politicile respective trebuie să corespundă strategiilor generale, să fie corelate cu nivelul fondurilor proprii ale instituţiilor de credit şi cu experienţa acestora în administrarea riscurilor, precum şi cu disponibilitatea de expunere la risc stabilită de consiliul de administraţie.  +  Articolul 40 (1) Politicile privind administrarea riscurilor semnificative, corespunzătoare naturii, dimensiunii şi complexităţii activităţilor instituţiilor de credit, trebuie să fie transpuse în mod clar şi transparent în norme interne, proceduri, inclusiv în manuale şi coduri de conduită, făcându-se distincţie între standardele generale aplicabile întregului personal şi regulile specifice aplicabile anumitor categorii de personal. (2) Pentru activitatea de tipul "electronic banking", inclusiv cea de emisiune şi administrare de monedă electronică, instituţiile de credit trebuie să dezvolte politici şi proceduri care să asigure integritatea, autenticitatea şi confidenţialitatea datelor, precum şi securitatea proceselor de operare.  +  Articolul 41 (1) Politicile de administrare a riscurilor semnificative trebuie să asigure, după caz, stabilirea cel puţin a: a) unui sistem de proceduri de autorizare a operaţiunilor afectate de riscurile respective; b) unui sistem de stabilire a limitelor expunerii la risc şi de monitorizare a acestora, care să reflecte profilul de risc ales şi care să fie în conformitate cu legislaţia şi cu reglementările în vigoare; limitele stabilite la nivelul activităţilor şi/sau compartimentelor/sediilor secundare trebuie corelate cu cele stabilite la nivel de ansamblu al instituţiilor de credit; c) unui sistem de raportare a expunerilor la riscuri, precum şi altor aspecte legate de riscuri către nivelurile de conducere corespunzătoare; d) unui sistem de proceduri pentru situaţii neprevăzute; e) unor criterii de recrutare şi remunerare a personalului, care să stabilească standarde ridicate pentru pregătirea, experienţa şi integritatea acestuia; f) unui program de instruire a personalului; (2) Politicile de securitate ale instituţiilor de credit aferente activităţii de tipul "electronic banking", inclusiv a celei de emisiune şi administrare de monedă electronică, trebuie să cuprindă cel puţin: definirea responsabilităţilor pentru dezvoltarea şi implementarea unor proceduri de securitate a informaţiilor, stabilirea unor proceduri pentru evaluarea conformităţii cu politica, punerea în aplicare a unor măsuri de remediere şi raportarea situaţiilor de nerespectare a măsurilor de securitate. (3) Procedurile de securitate ale instituţiilor de credit, aferente activităţii de tipul "electronic banking", inclusiv a celei de emisiune şi administrare de monedă electronică, trebuie să cuprindă o combinare de elemente de hardware şi soft-ware, cum ar fi: codificare, parole, firewalls, controale ale viruşilor şi monitorizarea angajaţilor. (4) Pentru activităţile cu instrumente financiare derivate, băncile trebuie să stabilească politici şi proceduri de evaluare a poziţiilor şi să verifice respectarea acestora, a frecvenţei de evaluare, precum şi a independenţei şi calităţii surselor de stabilire a preţurilor de evaluare, în special pentru instrumentele emise şi tranzacţionate pe pieţe cu lichiditate scăzută. (5) Prevederile alin. (4) se vor aplica în mod corespunzător şi în cazul poziţiilor pe care băncile le deţin în valori mobiliare necotate pe pieţe organizate.  +  Articolul 42 (1) Înainte de angajarea în activităţi cu instrumente financiare derivate, conducătorii băncilor trebuie să se asigure că sunt obţinute toate aprobările prevăzute de cadrul legal şi de reglementare şi că există proceduri de administrare şi sisteme de control al riscurilor adecvate. (2) Decizia privind angajarea băncilor în activităţi cu instrumente financiare derivate va fi de competenţa consiliului de administraţie şi se va baza cel puţin pe următoarele: a) descrierea instrumentelor financiare derivate relevante, precum şi a pieţelor şi strategiilor propuse; b) resursele necesare pentru stabilirea de sisteme eficiente de administrare a riscurilor, precum şi pentru atragerea de personal cu experienţă în tranzacţionarea instrumentelor financiare derivate; c) analiza activităţilor propuse în funcţie de situaţia financiară generală a băncii şi de fondurile proprii ale acesteia; d) analiza riscurilor cu care băncile se pot confrunta ca urmare a desfăşurării activităţilor respective; e) procedurile pe care băncile le vor utiliza pentru a evalua, monitoriza şi controla riscurile; f) tratamentul contabil relevant; g) tratamentul fiscal relevant; h) analiza oricărei restricţii legale privind desfăşurarea respectivelor activităţi.  +  Articolul 43 (1) Instituţiile de credit trebuie să efectueze sistematic o evaluare a riscurilor semnificative. (2) Evaluarea riscurilor trebuie să ţină cont şi de: a) implicaţiile corelării fiecărui risc semnificativ cu celelalte riscuri semnificative la care se expune instituţia de credit; b) previzionările profitului şi fondurilor proprii pe baza diferitelor scenarii în condiţii de criză, inclusiv o cuantificare a pierderilor maxime în condiţii extreme. (3) Scenariile în condiţii de criză trebuie să aibă în vedere identificarea evenimentelor posibile sau a modificărilor viitoare ale condiţiilor economice care ar putea avea efecte nefavorabile asupra expunerilor instituţiei de credit la riscurile semnificative, precum şi evaluarea capacităţii instituţiei de credit de a face faţă acestora.  +  Articolul 44Instituţiile de credit trebuie să dispună de un sistem de informare adecvat pentru identificarea, evaluarea, monitorizarea şi documentarea sistematică a riscurilor semnificative atât la nivelul instituţiilor de credit, cât şi la nivelul compartimentelor şi sediilor secundare ale acestora.  +  Articolul 45Instituţiile de credit trebuie să asigure că există o separare corespunzătoare a atribuţiilor în cadrul procesului de administrare a riscurilor, pentru evitarea potenţialelor conflicte de interese.  +  Articolul 46Instituţiile de credit trebuie să asigure o monitorizare sistematică a conformităţii cu procedurile stabilite pentru riscurile semnificative şi să soluţioneze deficienţele constatate.  +  Articolul 47Instituţiile de credit trebuie să dispună de un sistem adecvat de control intern asupra procesului de administrare a riscurilor semnificative, care implică analize independente şi regulate şi evaluări ale eficacităţii sistemului şi, acolo unde se impune, asigurarea remedierii deficienţelor constatate. Rezultatele unor astfel de analize trebuie să fie comunicate în mod direct consiliului de administraţie, comitetului de administrare a riscurilor şi comitetului de audit.  +  Articolul 48Casa centrală a cooperativelor de credit trebuie să ia măsuri pe linia administrării riscurilor semnificative şi a respectării principiilor de administrare a acestor riscuri la nivelul reţelei cooperatiste de credit, cu aplicarea corespunzătoare a prevederilor prezentului capitol.  +  Secţiunea a 2-a Administrarea riscului de credit şi a riscului de ţară  +  Articolul 49Strategia instituţiilor de credit privind riscul de credit trebuie să includă cel puţin următoarele: a) categoriile de credit pe care doreşte să le promoveze, tipul expunerii, sectorul economic, forma de proprietate, categoria contrapartidei, rezidenţa, aria geografică, moneda, durata iniţială şi profitabilitatea estimată; b) identificarea pieţelor pe care doresc să acţioneze şi determinarea caracteristicilor portofoliului de credite (inclusiv gradul de diversificare şi gradul de concentrare).  +  Articolul 50 (1) Politicile şi procedurile instituţiilor de credit privind riscul de credit trebuie să se refere la toate activităţile acestora şi trebuie să aibă în vedere atât creditele la nivel individual, cât şi întregul portofoliu. (2) Politicile şi procedurile vor trebui stabilite şi implementate de către instituţiile de credit astfel încât să se asigure următoarele: a) menţinerea unor standarde sănătoase de creditare; b) monitorizarea şi controlul riscului de credit; c) evaluarea corespunzătoare a noilor oportunităţi de afaceri; d) identificarea şi administrarea creditelor neperformante. (3) Politicile instituţiilor de credit vor stabili cadrul de desfăşurare a activităţii de creditare şi se vor referi inclusiv la următoarele: a) contrapartidele eligibile şi condiţiile ce trebuie îndeplinite de către acestea pentru a putea intră în relaţie de afaceri cu instituţia de credit; b) garanţiile acceptabile de către instituţia de credit. (4) În vederea prevenirii intrării în relaţii de afaceri cu persoane implicate în activităţi frauduloase şi alte activităţi de natură infracţională, instituţiile de credit trebuie să aibă în funcţiune politici stricte care să includă cel puţin: a) solicitarea de referinţe şi informaţii de la persoane autorizate; b) consultarea informaţiilor puse la dispoziţie instituţiilor de credit de structuri, constituite sub forma Centralei Riscurilor Bancare sau sub forma unor entităţi cu activitate similară, organizate în condiţiile legii, având drept scop colectarea şi furnizarea de informaţii privind situaţia contrapartidei în calitatea sa de beneficiar de credite ori alte informaţii de natură financiară; c) cunoaşterea structurii participanţilor la capitalul societăţii, precum şi a persoanelor responsabile de administrarea acesteia, în cazul clienţilor persoane juridice, verificarea referinţelor şi a situaţiei financiare personale a administratorilor şi asociaţilor.  +  Articolul 51Instituţiile de credit trebuie să evalueze riscul de credit aferent tuturor activităţilor ce sunt afectate de acest risc, indiferent dacă rezultatele respectivelor activităţii sunt reflectate în bilanţ sau în afara bilanţului.  +  Articolul 52 (1) La evaluarea riscului de credit instituţiile de credit trebuie să ia în considerare cel puţin: a) performanţa financiară curentă şi previzionată a contrapartidelor; b) concentrarea expunerilor faţă de contrapartide, pieţele în care acestea operează, sectoarele economice şi ţările unde sunt stabilite; c) capacitatea de punere în aplicare, din punct de vedere legal, a angajamentelor contractuale; d) capacitatea şi posibilitatea de a executa garanţiile, în condiţiile pieţei; e) angajamentele contractuale cu persoanele aflate în relaţii speciale cu instituţiile de credit, personalul propriu, precum şi familia acestuia. (2) În ceea ce priveşte cadrul contractual, instituţiile de credit trebuie să aibă în vedere cel puţin următoarele: a) natura specifică a creditului; b) clauzele contractuale aferente creditului; c) profilul expunerii până la scadenţă prin prisma evoluţiilor potenţiale ale pieţei; d) existenţa garanţiilor reale sau personale; e) probabilitatea nerespectării obligaţiilor contractuale, stabilită pe baza unui sistem intern de rating.  +  Articolul 53 (1) Instituţiile de credit trebuie să desfăşoare activitatea de creditare în baza unor criterii sănătoase şi bine definite de acordare a creditelor. (2) În activitatea de creditare, instituţiile de credit trebuie să aibă în vedere cel puţin următoarele: a) destinaţia creditului şi sursa de rambursare a acestuia; b) profilul de risc curent al contrapartidei şi garanţiile prezentate, precum şi senzitivitatea garanţiilor la evoluţiile economice şi cele ale pieţei; c) istoricul serviciului datoriei aferent contrapartidei şi capacitatea curentă şi viitoare de rambursare a acesteia, bazată de evoluţiile financiare istorice şi proiecţiile viitoarelor fluxuri de numerar; d) experienţa în activitate a contrapartidei şi sectorul economic în care aceasta îşi desfăşoară activitatea, precum şi poziţia sa în cadrul acestui sector, în cazul creditelor comerciale; e) termenii şi condiţiile propuse în contractul de creditare, inclusiv clauzele destinate să limiteze modificările în profilul de risc viitor al contrapartidei; f) capacitatea instituţiilor de credit de executare şi valorificare a garanţiilor, dacă este cazul, într-un termen cât mai scurt. (3) Creditele care depăşesc un anumit procent din fondurile proprii ale instituţiilor de credit şi/sau care presupun un risc de credit ridicat ori cele care nu se înscriu în politica în domeniul creditării trebuie să fie aprobate la nivelul consiliului de administraţie.  +  Articolul 54Instituţiile de credit trebuie să dispună de proceduri de identificare şi înregistrare a expunerilor mari şi a modificărilor care pot interveni asupra lor, precum şi de mecanisme de monitorizare a acestor expuneri în funcţie de politica în materie de expuneri.  +  Articolul 55 (1) La aprobarea pentru prima dată a contrapartidelor, instituţiile de credit trebuie să ia în considerare integritatea şi reputaţia acestora, precum şi capacitatea lor juridică de a-şi asuma obligaţii. (2) Instituţiile de credit trebuie să se asigure că informaţiile pe care le primesc sunt suficiente pentru luarea unei decizii de creditare corecte.  +  Articolul 56 (1) Instituţiile de credit trebuie să dispună de proceduri pentru aprobarea noilor credite, precum şi pentru restructurarea celor existente (de exemplu: reeşalonare, refinanţare). (2) Refinanţarea creditelor nu va conduce la încadrarea acestora într-o categorie de clasificare superioară. (3) Instituţiile de credit vor clasifica creditele reeşalonate în condiţii mai stricte decât cele asociate situaţiei iniţiale a respectivelor credite. (4) Procedurile prevăzute la alin. (1) trebuie să stabilească competenţele şi responsabilităţile în legătură cu deciziile prezentate la alineatul respectiv.  +  Articolul 57 (1) Instituţiile de credit trebuie să dispună de proceduri pentru evaluarea continuă a garanţiilor reale. (2) În legătură cu garanţiile personale, instituţiile de credit trebuie să evalueze capacitatea garanţilor de a-şi asuma obligaţii.  +  Articolul 58Instituţiile de credit trebuie să aibă proceduri de stabilire, într-o manieră consecventă, de la o perioadă la alta, a provizioanelor specifice şi a provizioanelor generale pentru riscul de credit (provizioane constituite pentru pierderi potenţiale, neidentificate în mod specific, dar pe care experienţa le precizează ca fiind prezente în portofoliul de credite) şi trebuie să dispună de suficiente fonduri proprii pentru a înregistra un nivel de solvabilitate corespunzător.  +  Articolul 59 (1) Instituţiile de credit trebuie să stabilească limite privind expunerile la riscul de credit şi să monitorizeze respectarea acestora. (2) Limitele de expunere trebuie stabilite în legătură cu orice activitate a instituţiei de credit care implică risc de credit. (3) Limitele trebuie stabilite la nivel de ansamblu al instituţiei de credit, iar limitele stabilite la nivelul compartimentelor şi sediilor secundare ale instituţiei de credit trebuie să fie corelate cu acestea. (4) Instituţiile de credit trebuie să stabilească limite şi pentru diverse sectoare economice, regiuni geografice şi produse bancare specifice.  +  Articolul 60Personalul instituţiei de credit implicat în activitatea de creditare trebuie să aibă o experienţă corespunzătoare dimensiunii şi complexităţii operaţiunilor în legătură cu care are competenţe.  +  Articolul 61 (1) Instituţiile de credit trebuie să dispună de sisteme de informare în baza cărora aspectele legate de riscul de credit să fie raportate la t