III. Analýza rizik a plánování vnitřního auditu
1. Plánování činnosti a rozvrhování kapacit vnitřních auditorů je založeno na analýze rizik.
2. Analýza rizik hodnotí míru rizik spojených s jednotlivými činnostmi povinné osoby tak, že zohlední pravděpodobnost selhání řídicího a kontrolního systému v jednotlivých oblastech a míru možné ztráty z tohoto selhání vyplývající. Výstup z provedené analýzy rizik předkládá osoba pověřená výkonem vnitřního auditu představenstvu a dozorčímu orgánu, případně výboru pro audit k projednání. Odlišné názory představenstva nebo dozorčího orgánu, případně výboru pro audit na výstup z analýzy rizik jsou zdokumentovány.
3. Na základě analýzy rizik sestavuje osoba pověřená výkonem vnitřního auditu návrh strategického a periodického plánu vnitřního auditu. Při přípravě plánu rovněž vyžaduje a vyhodnocuje podněty dozorčího orgánu, případně výboru pro audit, představenstva a vrcholného vedení, zohledňuje požadavky příslušných právních předpisů na prověření vnitřním auditem a přihlíží k dalším významným relevantním informacím a skutečnostem, například k nově zaváděným činnostem povinné osoby a k obsahu zpráv orgánů dohledu. Zároveň bere v úvahu činnost a požadavky vnitřního auditu jiných osob, které jsou členem téhož konsolidačního celku a auditora.
4. Plány činnosti vnitřního auditu jsou před schválením představenstvem předloženy k projednání dozorčímu orgánu, případně výboru pro audit. Důvody případných změn plánů vnitřního auditu jsou zdokumentovány.
5. Strategický plán vnitřního auditu je sestavován na období tří až pěti let. Strategický plán zajišťuje, aby činnost vnitřního auditu byla efektivně rozvržena na příslušné období (tří až pěti let), byla zohledněna strategická rozhodnutí orgánů povinné osoby, rizikovost jednotlivých činností a určena předpokládaná perioda ověřování. Strategický plán je v návaznosti na provedenou analýzu rizik případně aktualizován.
6. Periodický plán vnitřního auditu je sestavován na období jednoho roku, případně na kratší časový úsek. Periodický plán určuje cíl, předmět a termín plánovaných vnitřních auditů. Periodický plán dále rozvrhuje kapacitu na plánované vnitřní audity, mimořádné vnitřní audity, vzdělávání a ostatní činnosti.