Kapitel 5 Den interne systemrevision
Bestyrelsen i en datacentral kan bestemme, at der skal oprettes en intern systemrevision, jf. dog stk. 2.
Stk. 2 Datacentraler, der varetager væsentlige it-driftsopgaver, herunder bogførings-, registrerings- og clearingsopgaver for pengeinstitutter, er forpligtet til at oprette en intern systemrevision.
Den interne systemrevision skal ledes af en systemrevisionschef. Ansættelse og afskedigelse af systemrevisionschefen kan alene foretages af datacentralens bestyrelse.
Stk. 2 Systemrevisionschefen skal ved ansættelsen have deltaget i praktisk systemrevisionsarbejde i mindst 3 af de seneste 5 år.
Stk. 3 Bestyrelsen kan udpege en vicesystemrevisionschef som stedfortræder for systemrevisionschefen.
Når en systemrevisionschef tiltræder, skal dette indberettes til Finanstilsynet senest 1 måned efter tiltrædelsen.
Stk. 2 Bestyrelsen skal ved indberetning til Finanstilsynet om ansættelse af systemrevisionschefen afgive en erklæring om, at systemrevisionschefen opfylder kravene efter § 11, stk. 2.
Stk. 3 Når en systemrevisionschef fratræder sin stilling, skal bestyrelsen og systemrevisionschefen senest 1 måned efter fratrædelsen sende hver sin redegørelse til Finanstilsynet om baggrunden herfor.
Systemrevisionschefen skal have adgang til alle oplysninger, som denne finder nødvendige for systemrevisionens gennemførelse, herunder bestyrelsesprotokollater.
Stk. 2 Systemrevisionschefen og medarbejderne i den interne systemrevision må ikke deltage i andet arbejde i datacentralen end revision.
Stk. 3 Systemrevisionschefen og medarbejderne i den interne systemrevision skal være uafhængige. Systemrevisionen skal kunne rette henvendelse og rapportere direkte til bestyrelsen, uafhængigt af direktionen.
I datacentraler, der har en intern systemrevision, skal der foreligge en funktionsbeskrivelse, som er godkendt af bestyrelsen. Funktionsbeskrivelsen skal som minimum indeholde bestemmelser om følgende:
-
1) Den interne systemrevisions almindelige beføjelser, ansvar og arbejdsopgaver.
-
2) Medarbejdernes kvalifikationer.
-
3) Hvorledes og i hvilket omfang systemrevisionschefen og medarbejderne i den interne systemrevision sikres løbende efteruddannelse.
-
4) At ansættelse og afskedigelse af medarbejdere i den interne systemrevision skal foretages eller godkendes af systemrevisionschefen.
-
5) Den interne systemrevisions budget, herunder at dette godkendes af datacentralens bestyrelse.
-
6) Oplysning om aftaler mellem datacentralens ledelse og den interne systemrevision om udførelse af særlige revisionsopgaver, dog med undtagelse af engangsopgaver og opgaver af midlertidig karakter, som alene behøver at fremgå af den interne systemrevisionsprotokol, jf. § 17.
Stk. 2 De opgaver, der er nævnt i stk. 1, nr. 6, må ikke bevirke, at systemrevisionschefen kommer i en situation, hvor vedkommende erklærer sig eller oplyser om forhold eller dokumenter, som systemrevisionschefen eller ansatte i den interne systemrevision har udarbejdet grundlaget for.
Stk. 3 Den interne systemrevision skal fremlægge revisionsplanen for bestyrelsen, herunder alle it-revisioner og eventuelle væsentlige ændringer heraf. Revisionsplanen og dens gennemførelse, herunder art, omfang og hyppighed, skal afspejle og stå i et rimeligt forhold til de iboende it-risici i virksomheden og ajourføres regelmæssigt.
I datacentraler, der har en intern systemrevision, skal systemrevisionsarbejdet udføres i overensstemmelse med god revisorskik og i henhold til en systemrevisionsaftale mellem den eksterne systemrevision og systemrevisionschefen. Systemrevisionsaftalen skal som minimum indeholde følgende:
-
1) En overordnet beskrivelse af hvilke systemrevisionsopgaver der skal udføres, og hvilke af disse opgaver der påhviler henholdsvis den eksterne systemrevision og den interne systemrevision.
-
2) Retningslinjer for samarbejdet mellem den eksterne systemrevision og den interne systemrevision, herunder det arbejde den eksterne og interne systemrevision skal udføre i forbindelse med kontrol af systemrevisionsarbejdet.
-
3) En beskrivelse af hvordan, og i hvilket omfang, der udveksles oplysninger mellem den interne systemrevision og den eksterne systemrevision om den udførte systemrevision.
-
4) Retningslinjer for samarbejdet med
-
a) intern og ekstern revision i tilsluttede virksomheder, og
-
b) intern og ekstern systemrevision i andre datacentraler, der er omfattet af denne bekendtgørelse.
-
Intern systemrevision skal tage stilling til datacentralens efterlevelse af Finanstilsynets tilsynsreaktioner ved at gennemgå og efterprøve relevant dokumentation.