Model met drie verdedigingslinies
Ons risicobeheer is gebaseerd op een model met drie verdedigingslinies (Three Lines of Defense-model),waarmee we ons wapenen tegen risico’s die het behalen van onze doelstellingen in het gedrang kunnen brengen
- De business zelf. De business draagt de volle verantwoordelijkheid voor alle risico’s van zijn activiteitsdomein en dient te zorgen voor effectieve controles. De business verzekert hierbij dat de juiste controles op de juiste manier uitgevoerd worden, er voldoende kwaliteit schuilt in zelfbeoordelingen van de eigen business en er voldoende risicobewustzijn aanwezig is en voldoende prioriteit / capaciteit toegewezen wordt aan risico-onderwerpen.
- De Risicofunctie, Compliance, en (voor bepaalde zaken) Finance, Juridische en Fiscale Zaken en Informatierisicobeveiliging. Onafhankelijk van de business formuleren de tweedelijnsrisico- en controlefuncties hun eigen mening aangaande de risico’s waarmee KBC geconfronteerd wordt. Op die manier geven de tweedelijnsrisico- en controlefuncties een behoorlijke zekerheid dat de eerstelijnscontrolefunctie zijn risico’s onder controle heeft, dit evenwel zonder de primaire verantwoordelijkheid over te nemen van de eerste lijn. Hiervoor dienen de tweedelijnsfuncties risico’s te identificeren, te meten en te rapporteren. Om te verzekeren dat de risicofunctie gehoord wordt, heeft deze een vetorecht. Detweedelijnsrisico- en controlefuncties ondersteunen eveneens de consistente implementatie van het risicobeleid, het groepswijde kader, enz. doorheen de Groep. Ze zien bovendien toe op de toepassing ervan. De compliancefunctie is een onafhankelijke functie, die als doel heeft te voorkomen dat KBC een compliancerisico loopt of schade lijdt als gevolg van het niet-naleven van de toepasselijke wetten, regelgeving of interne regels. In dat kader besteedt ze bijzondere aandacht aan de naleving van het integriteitsbeleid.
- Interne audit. Als onafhankelijke derdelijnscontrole is Interne Audit verantwoordelijk voor de kwaliteitscontrole van de bestaande bedrijfsprocessen. Zij voeren risico-gebaseerde en algemene audits uit om de effectiviteit en efficiëntie te verzekeren van het interne controle- en risicobeheersysteem, inclusief het Risicobeleid, en dat beleidsmaatregelen en processen aanwezig zijn en consistent toegepast worden binnen de Groep, zodat de continuïteit van de activiteiten verzekerd is.