Vérifier si le cadre documenté fonctionne avant que l'organisme de réglementation, la banque, le vérificateur ou l'incident ne présente une lacune.
Exemples de dossiers clients, décisions de sanctions, alertes KYT, escalades d'activités inhabituelles, dossiers d'accès, rapprochements, rapports de gestion et contrôles des changements. Les constatations devraient être suivies jusqu'à la clôture fondée sur des données probantes.
Aperçu des services
Les tests devraient révéler si les contrôles fonctionnent comme prévu et si le personnel peut expliquer et démontrer ses responsabilités dans des scénarios réalistes.
- Plan d'assurance et d'échantillonnage
- Entretiens de masse et passage en marche du système
- Registre des constatations et des mesures correctives
- Clôture de l'examen des preuves
Vérifier si le cadre fonctionne sous pression
L'assiduité à la formation ne montre pas à elle seule la compétence et l'examen des politiques ne teste pas à elle seule l'exécution. L'échantillonnage doit suivre les vrais clients, alertes, dépassements et décisions de gestion.
Le produit d'assurance
Des constatations prioritaires, des mesures d'assainissement responsables et des éléments probants montrant que les leçons tirées touchent à la fois le personnel et la configuration du système.
Exécution d'essai, pas de participation
L'échantillonnage suit les vrais clients, les alertes, les décisions, l'accès, le rapprochement et les événements de changement. Les résultats indiquent la cause profonde, l'assainissement responsable, la date d'échéance, le nouveau test et les preuves de fermeture.
Coordonner le cycle d'assurance obligatoire
Le cadre opérationnel comprend désormais des tests annuels de pénétration de systèmes critiques et connectés, des tests fondés sur le risque d'autres systèmes au moins tous les trois ans, une analyse de vulnérabilité deux fois par an et une assurance indépendante qualifiée. Un fournisseur de services d'actifs virtuels nouvellement inscrit doit obtenir le cadre de risque et l'opinion d'audit indépendante actuelle dans les 12 mois suivant l'enregistrement.
Un échec commun
Les diapositives de formation et les reconnaissances de politique sont traitées comme une preuve de compétence, même si le personnel ne peut pas gérer un cas réaliste ou une défaillance du système.
Ce que vous pouvez attendre de nous
Nous commençons par le modèle en direct et les preuves actuelles, nous convenons des décisions et des dépendances, puis nous émettons une portée écrite. Vous pouvez nous engager pour des conseils et un examen seulement, pour un module de mise en œuvre défini, ou pour la construction complète et la coordination réglementaire. Le devis plafonne nos frais professionnels pour les hypothèses convenues et sépare les frais d'inscription officiels GEL 5 000, les traductions, le personnel, le bureau, le logiciel, l'assurance et d'autres coûts tiers.
Décision du fondateur
D'accord sur le périmètre du produit, les marchés, les contreparties et l'appétit pour les risques avant un travail de construction coûteux.
Preuves opérationnelles
Relier chaque revendication à une personne responsable, configurer le contrôle, enregistrer et tester les résultats.
Résultat du lancement
Transmettre les hypothèses approuvées dans le dépôt, les services bancaires, l'enregistrement des clients et la vérification des fournisseurs et les opérations supervisées.
Questions que nous abordons dans ce domaine de travail
Pas tout seul. La formation devrait correspondre à chaque rôle, produit et système, inclure de nouveaux risques et changements réglementaires, et vérifier si les gens peuvent gérer des clients réalistes, les résultats des sanctions, alertes, incidents et décisions d'escalade.
Il devrait tester les personnes, les dossiers et le système de fonctionnement ensemble: acceptation du client, transactions, alertes, rapports, surveillance des fournisseurs, accès, rapprochement, incidents, approbations de changement et informations de gestion. L'exercice devrait mesurer le temps de récupération et la qualité des décisions.
Les administrateurs et les propriétaires de processus de conformité, d'exploitation, de finances, de technologie, de sécurité et de clientèle devraient expliquer les contrôles dont ils sont responsables. Les réponses doivent être dans leurs propres mots et être d'accord avec le modèle d'exploitation déposé.
Chaque découverte nécessite un risque clair, une cause profonde, un propriétaire responsable, une date d'échéance et des mesures correctives. La fermeture devrait exiger des preuves et une nouvelle vérification indépendante, le cas échéant, les articles en retard ou en échec devant être transférés à la direction.
L'assurance devrait identifier les faiblesses, tester les compétences et améliorer les éléments de preuve dont dispose la direction. Sa valeur pratique réside dans la détection en temps opportun, les rapports honnêtes, les mesures correctives, la revérification et la gouvernance démontrable.
Textes législatifs et réglementaires applicables
- Banque nationale de Géorgie — Questions et réponses des prestataires de services d'actifs virtuels
- Décret no 94/04 du Gouverneur de la Banque nationale de Géorgie — enregistrement, annulation et réglementation des prestataires de services d'actifs virtuels
- Décret no 207/04 du Gouverneur de la Banque nationale de Géorgie — exigences en matière d'essais et d'assurances indépendantes
