Intern och extern kontroll

Intern kontroll

En effektiv och tillförlitlig intern kontroll bildar grunden för iakttagande av sunda och försiktiga affärsprinciper.

Intern kontroll är en kontinuerlig process som utförs av ledningen och den övriga personalen, som syftar till att ge en rimlig visshet om att de mål som gäller verksamheter, rapportering och kravenlighet. Den består av i förväg styrande och i efterhand säkerställande uppgifter och funktioner, vars mål är att säkerställa verksamhetens kvalitet och att anvisningar och reglering följs. Dessa åtgärder riktas mot all verksamhet, även tjänster som lagts ut på entreprenad.

I OP Gruppen fastställer styrelsen för OP Andelslag principerna för den interna kontrollen på grupplanet och de här principerna följs i alla gruppens företag.

Målet för den interna kontrollen i OP Gruppen är att inom centrala funktioner bidra till och säkerställa:

• genomförande av strategi och mål
• riskhantering och kapitalutvärdering
• effektivitet och tillförlitlighet i verksamheten
• tillförlitlighet i finansiell och annan rapportering
• iakttagande av anvisningar och reglering.

I den interna kontrollen ingår all den interna styrning med vilken det säkerställs att OP Gruppens verksamhet riktas mot de uppställda målen. Den inkluderar alla de verksamhetssätt som används för att säkerställa ett högklassigt ledarskap, förebyggande och hantering av risker, verksamhetsutveckling, resultatbedömning samt en korrekt rapportering och verksamhetens överensstämmelse med reglerna. Den interna kontrollen eftersträvar ett ledarskap som skapar förutsättningar för en högklassig verksamhet.

Roller och ansvarsområden i anslutning till intern kontroll och riskhantering är indelade i tre försvarslinjer. Den första försvarslinjen, affärsrörelsen och centraliserade funktioner, är riskägare och således ansvariga för att den fastställda referensramen för riskhantering – risklimiter och måttlig riskvillighet – samt principerna för intern kontroll följs.

Affärsrörelsen är i första hand ansvarig för genomförandet och uppföljningen av den interna kontrollen i processer som den äger. I affärsrörelsen är den interna kontrollen en fortlöpande verksamhet och en del av de dagliga rutiner genom vilka affärsrörelsen säkerställer att verksamheten motsvarar målen. Affärsrörelsen är ansvarig för att de uppgifter som ska rapporteras är korrekta och tillräckliga.

De affärsoberoende funktionerna i den andra försvarslinjen ansvarar för att referensramen för intern kontroll upprätthålls och för uppföljningen av att tillhörande policyer och rutiner genomförs. Centralinstitutets riskhantering ansvarar för referensramen, bedömningen, uppföljningen och rapporteringen av riskhanteringen inom OP Gruppen. Centralinstitutets compliance ansvarar för att säkerställa och följa upp att hela organisationens interna och externa regler iakttas samt för att compliance-risker härleds från processen.

Den tredje försvarslinjen, centralinstitutets internrevision som är oberoende av affärsrörelsen och den andra försvarslinjen, utför oberoende intern revision av förvaltnings-, riskhanterings- och övervakningsprocesserna samt rapporterar till styrelserna i gruppens företag och den övriga ledningen. Också gruppens externa revisorer säkerställer för sin del den interna kontrollens funktion.

Varje försvarslinje ansvarar för att organisera den interna kontrollen inom sin verksamhet, för att den interna kontrollen är tillräcklig och för genomförandet av den interna kontrollen.

I centralinstitutets förvaltning har i synnerhet styrelsens revisionskommitté en viktig roll i att säkerställa att den interna kontrollen fungerar och att verksamheten är förenlig med föreskrifterna. Till revisionskommittén rapporteras regelbundet observationer från den interna kontrollen samt hur de rekommendationer som getts till affärsrörelsen och genomföringen av rekommendationerna framskrider.

I OP Gruppens företag har respektive styrelse till uppgift att se till att den interna kontrollen är korrekt ordnad och att den beaktar principerna för intern kontroll på grupplanet samt de anvisningar från centralinstitutet som kompletterar dem. Verkställande direktören och verkställande ledningen i respektive företag ansvarar för att se till att de praktiska åtgärderna för intern kontroll genomförs samt för att arbetsuppgifterna är ändamålsenligt åtskilda.

Den interna kontrollen kompletteras av att de anställda i OP Gruppens företag via en oberoende kanal kan rapportera misstankar om överträdelser av bestämmelser och föreskrifter (whistle blowing).

Compliance

Hanteringen av compliance-risken utgör en del av intern kontroll och intern styrning. Den utgör en integrerad del av ledningen av affärsrörelsen och företagskulturen. Ansvaret för och övervakningen av regelefterlevnaden i OP Gruppens företag ligger hos den högsta och verkställande ledningen samt alla chefer. Dessutom ansvarar var och en som är anställd vid ett företag i OP Gruppen för sin del för att reglerna efterlevs.

Compliance-funktionen biträder den högsta och verksamma ledningen samt affärsrörelsen med att hantera risker i anslutning till regelefterlevnaden, övervakar att reglerna efterlevs och bidrar till att utveckla den interna kontrollen. Centralinstitutets Compliance-organisation, som är oberoende av affärsrörelsen, ansvarar inom OP Gruppen för anvisningarna, rådgivningen och stödet för compliance-verksamheten. Compliance säkerställer regelefterlevnaden och implementeringen i regel genom att utföra compliance-kontroller, genom att göra compliance-riskbedömningar samt genom att delta i riskbedömningen av verksamhetsmodellerna för nya produkter och tjänster. Andelsbankerna har utsedda compliance-ansvariga. Regelefterlevnaden i andelsbankernas verksamhet stöds av styrningen från Hushållsbanksrörelsen som tillhör centralinstitutet och ingår l den första försvarslinjen. Dessutom övervakar och stöder centralinstitutets compliance-organisation Andelsbankernas compliance-verksamhet. I vissa rörelsesegment har det i den första försvarslinjen grundats en organisation vid namn Risk & Compliance Lead som stöd för tryggandet av affärsrörelsens regelefterlevnad och den interna kontrollen.

Observationerna i compliance-verksamheten rapporteras regelbundet till affärsrörelsesegmenten, styrnings- och compliance-kommittén vid OP Andelslags direktion, direktionen samt styrelsens risk- och revisionskommittéer. Compliance-funktionen rapporterar dessutom kvartalsvis till styrelserna för centralinstitutskoncernens centrala dotterföretag om de compliance-ärenden som regleringen kräver såsom centrala compliance-observationer, compliance-rekommendationer och hur genomföringen av dessa framskrider.

Riskhantering

• Den verkställande ledningen bereder affärsrörelsens strategiska val, som beträffande risktagningen baserar sig på dokumentet Principer för OP Gruppens risktagning (RAS), som fastställts av OP Andelslags förvaltningsråd. I Principerna för risktagning ges riktlinjer för och motiveringar till vilka risker affärsrörelsen är beredd att ta och i vilken utsträckning. Affärsrörelserna är förpliktade att bedriva verksamheten inom ramen för dessa begränsningar.
• Den verkställande ledningen beslutar om arbetsfördelningen i anslutning till risktagning. Det dras upp riktlinjer för vilka risker olika intjäningslogiska helheter (produkt- och tjänstekoncept) kan ta, och eventuellt preciseras de risker som juridiska företag och olika funktioner inom dessa helheter kan ta.
• Den verkställande ledningen ansvarar för att upprätthålla och utveckla tillräckliga resurser och kunskaper såväl i den första och andra som i den tredje linjens kontrollfunktioner. 
• Förvaltningsstrukturen skapar en grund för att centrala principer som styr verksamheten och de policyer och instruktioner som preciserar principerna har beretts och beslutats på tillbörligt sätt, och att varje rörelse utvärderas och övervakas med hänsyn till dess kvalitet, omfattning och komplexitet på tillbörligt sätt förutom av affärsrörelsens egen uppföljning också av aktörer som är oberoende av affärsrörelsen.
• OP Gruppens ersättningssystem byggs upp i enlighet med gruppens grunduppgift, värden och mål samtidigt som man ser till att de är förenliga med regleringen. Ersättningarna ska inte uppmuntra till onödig risktagning eller verksamhet som står i konflikt med kundens intresse. Compliance- och riskhanteringsfunktionerna deltar i beredningen av ersättningsprinciperna, ersättningspolicyn och ersättningssystemen samt i att fastställa metoder för övervakning av ersättningsprocesserna.
• Principerna för styrsystemet, som det solidariska ansvaret kräver, fastställer och anger riktlinjerna för centralinstitutets och dess medlemsandelsbankers bankspecifika styrsystem som det solidariska ansvaret kräver.
• Ramarna för rutinerna sätts dessutom av principerna för intern kontroll, intern styrning, god affärssed och företagssäkerhet.

Internrevision

Internrevisionen är oberoende och objektiv analys-, säkrings- och konsulteringsverksamhet som ska ge mervärde åt OP Gruppen och förbättra dess verksamhet. Centralinstitutets internrevision ansvarar på grupplanet för att internrevisionen genomförs riskbaserat i alla företag som hör till OP Gruppen. Internrevisionen leds av revisionsdirektören som har utnämnts av OP Andelslags styrelse. Revisionsdirektören rapporterar verksamheten administrativt till chefdirektören och operativt till revisionskommittén vid OP Andelslags styrelse.

Internrevisionen ska årligen upprätta en verksamhetsplan som baserar sig på internrevisionens bedömning av aktuella och framtida betydande risker i anslutning till OP Gruppens verksamhet. Verksamhetsplanen och eventuella ändringar i den behandlas av OP Andelslags direktion och styrelsens revisionskommitté och den godkänns av OP Andelslags styrelse. Internrevisionen rapporterar regelbundet sina granskningsobservationer och hur dess rekommendationer har genomförts till OP Gruppens högsta och verkställande ledning.

Internrevisionen iakttar i sin verksamhet Internrevisionens verksamhetsprinciper (Internal Audit Charter), som fastställts av OP Andelslags styrelse, samt de internationella branschstandarderna för internrevision (International Standards for the Professional Practice of Internal Auditing), som fastställts av IIA (Institute of Internal Auditors). Den externa kvalitetsbedömningen av verksamheten sker med cirka fem års mellanrum. 

Extern kontroll

Revision

• regelbundet höra revisorn
• behandla och bedöma revisionsplanen och revisionsberättelserna samt andra väsentliga rapporter som revisorn ger
• följa upp och bedöma revisionen
• bedöma revisorns oberoende
• bedöma revisorns utbud av sidotjänster och följa upp användningen av dem
• godkänna specialuppdrag som ges revisorn

Tillsyn över sammanslutningen av inlåningsbanker

Myndighetstillsyn