1. Un demandeur sollicitant un agrément pour exploiter un APA ou un ARM en vertu de l’article 27 quinquies du règlement (UE) no 600/2014 inclut dans sa demande d’agrément des informations détaillées sur son environnement de contrôle interne. Ces informations portent notamment sur sa fonction de contrôle interne, sa fonction de vérification de la conformité, sa fonction de gestion des risques et sa fonction d’audit interne.
2. Les informations détaillées visées au paragraphe 1 comprennent:
a) un aperçu de l’organisation des fonctions de contrôle interne, de gestion des risques, de vérification de la conformité et d’audit interne du demandeur, y compris lorsque le demandeur a recours à des fonctions externalisées;
b) une évaluation des principaux risques susceptibles de survenir dans le fonctionnement de l’APA ou de l’ARM;
c) les politiques de contrôle interne du demandeur et les procédures visant à assurer leur mise en œuvre cohérente et efficace;
d) les politiques, procédures et manuels relatifs au suivi et à l’évaluation de l’adéquation et de l’efficacité des systèmes du demandeur;
e) les politiques, procédures et manuels relatifs au contrôle et à la protection des systèmes de traitement d’informations du demandeur;
f) l’identité des organes internes chargés d’évaluer les constatations résultant des contrôles internes et de décider de leurs suites.
3. En ce qui concerne la fonction d’audit interne du demandeur, les informations détaillées visées au paragraphe 1 contiennent les éléments suivants:
a) des informations sur le respect par le demandeur des normes professionnelles nationales ou internationales;
b) la charte, les méthodes et les procédures de sa fonction d’audit interne;
c) une explication de la manière dont est élaborée et mise en œuvre la méthodologie d’audit interne du demandeur, s’il en a défini une, compte tenu de la nature de ses activités, de leur complexité et des risques qu’elles comportent;
d) s’il existe un comité d’audit interne:
i) des informations sur sa composition, ses compétences et ses responsabilités;
ii) son plan de travail pour les trois ans à compter de la date de la demande, qui tienne compte de la nature et de l’étendue des activités du demandeur, de leur complexité et des risques qu’elles comportent.