Internal Audit Charter BNG Bank

Internal Audit Charter BNG Bank Koninginnegracht 2 2514 AA Den Haag T 070 3750 750 www.bngbank.nl Vastgesteld door de Raad van Bestuur op 12 februari 2018 en goedgekeurd door de Raad van Commissarissen op. BNG Bank is een handelsnaam van N.V. Bank Nederlandse Gemeenten, statutair gevestigd te Den Haag, KvK-nummer 27008387

Artikel 1 Internal Audit Charter Dit Internal Audit Charter legt de functie, opdracht, taken, bevoegdheden en verantwoordelijkheden van de Interne Auditdienst van N.V. Bank Nederlandse Gemeenten en haar groepsmaatschappijen (hierna IAD, respectievelijk BNG Bank) vast. Dit Charter is door de Raad van Bestuur vastgesteld en door de Raad van Commissarissen goedgekeurd. 2 van 8 Artikel 2 Opdracht De IAD is een op het management van BNG Bank georiënteerde functie met als doelstelling het leveren van toegevoegde waarde door: het, op basis van uitgevoerde audits 1, geven van een objectief en onafhankelijk oordeel over: o de kwaliteit en effectiviteit van het functioneren van de governance, het risicobeheer en de risicobeheers- en controlesystemen in processen en (geautomatiseerde) systemen (opzet, bestaan en werking beheersmaatregelen); o de compliance met relevante wet- en regelgeving. het geven van gevraagd en ongevraagd (IT) advies m.b.t. (externe en interne) ontwikkelingen zoals de toereikendheid van nieuw te ontwikkelen systemen; het uitvoeren van specifieke audits op verzoek van de Raad van Bestuur en het dragen van de verantwoordelijkheid over alle verbijzonderde interne controle activiteiten binnen BNG Bank. De IAD vervult bij de uitvoering van zijn opdracht de rol van derde lijn in het three lines of defense-model. Artikel 3 Onafhankelijkheid en objectiviteit Algemeen 1. Onafhankelijkheid en objectiviteit zijn essentieel voor de effectiviteit van de IAD. Deze onafhankelijkheid en objectiviteit betekenen namelijk dat de IAD audits kan uitvoeren gebaseerd op een onpartijdige en onbevooroordeelde evaluatie. De IAD is daarom onafhankelijk van de lijn en staat los van de dagelijkse interne controle maatregelen, die in de diverse onderdelen van de onderscheiden bedrijfsprocessen zijn geïntegreerd. De IAD voorkomt, bij de uitvoering van audits en advisering, elke vorm van belangentegenstelling (in schijn en wezen). Zijn onafhankelijkheid en objectiviteit vormen hier een solide basis voor. Indien er toch een mogelijkheid tot een (schijn van) belangentegenstelling ontstaat, bespreekt het hoofd IAD dit met de voorzitter van de Raad van Bestuur. 1 Operational audits, IT audits, Compliance audits, Project audits en Governance audits.

Benoeming en aanspreekpunt 2. De onafhankelijkheid en objectiviteit van de IAD worden gewaarborgd door de volgende maatregelen: a. de IAD functioneert onder de verantwoordelijkheid van de Raad van Bestuur; b. de Raad van Bestuur functioneert als de opdrachtgever voor de IAD; c. het hoofd IAD wordt benoemd en ontslagen door de Raad van Bestuur waarbij zowel de benoeming als het ontslag van het hoofd IAD, samen met een advies van het Audit Committee, ter goedkeuring wordt voorgelegd aan de Raad van Commissarissen; d. de voorzitter van de Raad van Bestuur is hiërarchisch verantwoordelijk voor de IAD en e. het hoofd IAD heeft periodiek overleg met alle leden van de Raad van Bestuur afzonderlijk. 3 van 8 Raad van Commissarissen, Audit Committee en Remuneratiecommissie 3. De onafhankelijkheid en objectiviteit van de IAD worden verder gewaarborgd door de volgende maatregelen: a. de Raad van Commissarissen beoordeelt jaarlijks de rol, het functioneren en de effectiviteit van de IAD. Het Audit Committee bereidt deze beoordeling voor. De beoordeling wordt gedocumenteerd; b. de Raad van Commissarissen bespreekt het jaarplan, (waarin opgenomen het verslag van de werkzaamheden), de risicoanalyse en de management letter van de IAD, welke ingebracht worden door de Raad van Bestuur. Deze bespreking wordt voorbereid door het Audit Committee; c. tenzij het Audit Committee anders beslist, worden de vergaderingen van het Audit Committee bijgewoond door het hoofd IAD; d. de Raad van Commissarissen keurt het jaarplan van de IAD goed. Het Audit Committee bereidt deze goedkeuring voor; e. het hoofd IAD heeft onbeperkt toegang tot de voorzitter van de Raad van Commissarissen en heeft een rapportagelijn naar het Audit Committee; f. het hoofd IAD heeft in beginsel tweemaal per jaar een bilateraal gesprek met de voorzitter van het Audit Committee. Van het gesprek wordt een verslag opgesteld en ter kennis gebracht van de Raad van Commissarissen en de Raad van Bestuur; g. inzake het beloningsbeleid heeft het hoofd IAD een rapportagelijn naar de Remuneratiecommissie. In geval van conflicten met de Raad van Bestuur over het beloningsbeleid kan worden geëscaleerd naar de voorzitter van de Raad van Commissarissen; h. in het geval van ernstig en blijvend verschil van inzicht met de Raad van Bestuur is het Audit Committee het aanspreekpunt voor het hoofd IAD. Artikel 4 Werkterrein, Audit Universe en uit te voeren werkzaamheden Werkterrein 1. Het werkterrein van de IAD omvat alle activiteiten en alle onderdelen van BNG Bank. Dit houdt onder meer in dat gelieerde Instellingen (waaronder de volledige dochters BNG Gebiedsontwikkeling en Hypotheekfonds voor Overheidspersoneel) en stafafdelingen tot het werkterrein van de IAD behoren.

Audit Universe en middelen 2. Door de IAD wordt een Audit Universe (totaal van de periodiek te onderzoeken objecten) opgesteld. De frequentie en prioriteitstelling van de uit te voeren audits wordt in overleg met de Raad van Bestuur vastgesteld. Als onderdeel van het jaarplan keurt de Raad van Commissarissen de auditfrequentie goed (zie artikel 6.1). Het Audit Committee bereidt deze goedkeuring voor. De auditfrequentie voldoet minimaal aan de geldende wet- en regelgeving. De Raad van Bestuur stelt aan het hoofd IAD voldoende middelen ter beschikking om werkzaamheden op verantwoorde wijze, naar eigen inzicht en waar nodig op eigen initiatief te verrichten. 4 van 8 Betrokkenheid bij operationele werkzaamheden en projecten 3. 1. Op verzoek van de Raad van Bestuur kan het hoofd IAD, als niet stemmend lid, participeren in stuurgroepen van, voor BNG Bank van strategisch belang zijnde, projecten. Zijn rol zal dan beperkt zijn tot het tijdig op de agenda brengen van voor de risicobeheersing van belang zijnde onderwerpen. In de stuurgroep wordt zijn bijzondere positie gerespecteerd: hij heeft bijvoorbeeld de mogelijkheid te melden dat hij door de stuurgroep genomen besluiten niet onderschrijft en dit te laten notuleren. Als niet stemmend lid is hij niet verantwoordelijk voor door de stuurgroep genomen besluiten en de gevolgen daarvan. 2. Het hoofd en medewerkers van de IAD kunnen en mogen niet participeren in projecten en operationele werkzaamheden. Op verzoek van de Raad van Bestuur kunnen medewerkers van de IAD (tijdelijk) worden overgeplaatst om te participeren in een (voor BNG Bank van strategisch belang zijnd) project of om (operationele) werkzaamheden (voor BNG Bank van strategisch belang zijnd) uit te voeren. De participatie in projecten of uit te voeren (operationele) werkzaamheden valt onder de verantwoordelijkheid van de projectleiding en/of het operationeel management. De Raad van Bestuur geeft het hoofd IAD, bij (tijdelijke) overplaatsing van een medewerker, voldoende alternatieve (externe of interne) middelen om de doelstelling van de IAD (geformuleerd in het Audit Universe en het jaarplan) alsnog te realiseren. Na de eventuele terugkeer in de formatie van de IAD zal de (tijdelijk) overgeplaatste medewerker pas na 1 jaar weer betrokken kunnen worden bij de beoordeling van risicobeheersing binnen het betrokken auditobject. Artikel 5 Bevoegdheden Informatie en geheimhouding 1. Teneinde zijn opdracht te kunnen uitvoeren, heeft de IAD de volgende bevoegdheden: op verzoek van de IAD zijn directeuren en andere medewerkers van BNG Bank binnen een redelijke termijn bereid het hoofd IAD en/of medewerkers van de IAD te woord te staan en bijvoorbeeld bevindingen en aanbevelingen te bespreken; op verzoek van de IAD zullen alle medewerkers van BNG Bank de IAD behulpzaam zijn (zonder dat de IAD een verzoek behoeft te motiveren) in de uitvoering van zijn werkzaamheden; de IAD heeft altijd direct, zonder beperkingen en zo nodig zonder

vooraankondiging, toegang tot alle locaties van en vertrekken binnen het gebouw van BNG Bank; de IAD heeft altijd, voortdurend en zonder beperking toegang tot alle (fysiek en elektronisch) vastgelegde (interne en externe) informatie binnen BNG Bank. Tot personeelsdossiers van individuele medewerkers wordt slechts toegang gevraagd, nadat vooraf (bijvoorbeeld op basis van het plan van aanpak) overleg is gevoerd met het hoofd Personeelszaken of zonodig het verantwoordelijk lid van de Raad van Bestuur of de voorzitter van de Raad van Bestuur. 5 van 8 Alle verkregen informatie zal de IAD als vertrouwelijk behandelen in overeenstemming met de professionele standaarden (zie artikel 7.2). Indien noodzakelijk voor het functioneren van de IAD is het aan het hoofd IAD toegestaan BNG Bank te vertegenwoordigen in overleg met derden zoals de Europese Centrale Bank (ECB), de Nederlandsche Bank (DNB), de Autoriteit Financiële Markten (AFM), de Nederlandse Vereniging van Banken (NVB), de Nederlandse Beroepsorganisatie van Accountants (NBA), de Nederlandse Beroepsorganisatie van IT-Auditors (NOREA) en het Nederlands Instituut voor Internal Auditors (IIA). Verbijzonderde interne controle activiteiten 2. Het hoofd IAD is verantwoordelijk voor de verbijzonderde interne controle activiteiten. De IAD zal bij zijn auditwerkzaamheden zoveel als mogelijk gebruik maken van de werkzaamheden van deze verbijzonderde interne controle activiteiten. Compliance Officer 3. 1. Het door de Compliance Officer opgestelde jaarplan met de in het boekjaar uit te voeren werkzaamheden wordt afgestemd met het hoofd IAD alvorens dit ter bespreking aan de vergadering van de Raad van Bestuur wordt voorgelegd. 2. De IAD voert jaarlijks een audit uit op de werkzaamheden van de Compliance Officer. Externe accountant 4. 1. De externe accountant heeft als opdracht om als onafhankelijk deskundige een oordeel uit te spreken over de getrouwheid van de jaarrekeningen van BNG Bank. 2. De externe accountant heeft, met inachtneming van zijn opdracht, een eigen taak en verantwoordelijkheid ter zake van de inrichting en uitvoering van zijn werkzaamheden. Aangezien de jaarrekening niet alleen een weergave is van de uitkomsten van de financiële processen binnen BNG Bank maar ook de bedrijfsprocessen en interne beheersmaatregelen weerspiegelt, betrekt de externe accountant de voor de jaarrekening van belang zijnde processen mede in zijn controle. De externe accountant zal bij zijn onderzoek zoveel mogelijk gebruikmaken van de werkzaamheden van de IAD. De externe accountant stemt zoveel mogelijk zijn werkzaamheden af op de werkzaamheden van de IAD en de verbijzonderde interne controleafdeling.

3. De externe accountant voert gestructureerd en periodiek overleg met het hoofd IAD. Onderwerpen van dit overleg zijn onder meer: afstemmen van de jaarplannen en risicoanalyses van de externe accountant en de IAD; afstemmen van het jaarplan voor de verbijzonderde interne controle activiteiten; planning werkzaamheden door de externe accountant en de IAD; definitieve rapportages en bevindingen uitgebracht door de IAD; bevindingen van externe accountant en realisatie jaarplan lopende boekjaar door IAD. Het hoofd IAD communiceert zonder beperkingen met de externe accountant. 6 van 8 Toezichthouders 5. De IAD zal zich in zijn contacten met Toezichthouders baseren op interbancair vastgestelde regelingen en binnen BNG Bank vastgestelde procedures m.b.t. deze contacten. De IAD zal zich in zijn contacten met de Toezichthouder mede baseren op het hoofdstuk Audit uit de Code Banken (code ingaande 1 januari 2015). Artikel 6 Verantwoordelijkheden Jaarplan 1. De IAD stelt, op basis van het Audit Universe (zie artikel 4), interne en externe ontwikkelingen, reeds uitgevoerde audits en een risicoanalyse, een jaarplan op met de in het boekjaar uit te voeren werkzaamheden en legt dit jaarplan ter bespreking voor aan de Raad van Bestuur. Na instemming van de Raad van Bestuur wordt het jaarplan door de IAD afgestemd met de externe accountant, alvorens dit ter behandeling wordt ingebracht in de vergadering van het Audit Committee en vervolgens Raad van Commissarissen. De Raad van Bestuur stelt het jaarplan vast. Het Audit Committee brengt een advies uit over het jaarplan waarna de Raad van Commissarissen het jaarplan goedkeurt. Initiatief tot audits 2. De door de IAD uit te voeren audits zijn gebaseerd op het jaarplan, verzoeken van de Raad van Bestuur en op eigen inzicht. Uitvoering en rapportages 3. De vormvoorschriften voor de uitvoering van audits zijn vastgelegd in de procedure onderzoeken IAD (1799093). De vaststelling van de scope van de audit en de wijze en diepgang van de uit te voeren werkzaamheden is de verantwoordelijkheid van de IAD. Op elke bevinding van de IAD volgt (indien mogelijk en noodzakelijk) een aanbeveling tot verbetering van de beheersing van gesignaleerd risico. Van elke bevinding wordt aangegeven wat de omvang van het gesignaleerde (na alle beheersmaatregelen resterende) risico is (de risico-indicatie). Aan leden van Raad van Bestuur/organisatie en hoofden van stafafdelingen (die niet in Raad van Bestuur/organisatie zijn vertegenwoordigd) wordt de gelegenheid tot hoor en wederhoor op feitelijke bevindingen en aanbevelingen geboden. De definitieve rapportage wordt uitgebracht aan de leden van Raad van

Bestuur/organisatie en verantwoordelijke hoofden van stafafdelingen (die niet in Raad van Bestuur/ organisatie zijn vertegenwoordigd). Op basis van het onderzoek en de gedane bevindingen wordt een conclusie geformuleerd over de mate van risicobeheersing in het proces (de audit rating). De bepaling van risico-indicaties en audit ratings is de verantwoordelijkheid van de IAD. Realisatie jaarplan 4. Het hoofd IAD informeert de Raad van Bestuur periodiek over de realisatie van het jaarplan. 7 van 8 Management Letter 5. De IAD brengt minimaal eenmaal per jaar een Management Letter uit aan de Raad van Bestuur. Deze Management Letter is gericht op: structurele ontwikkelingen binnen de governance, het risicobeheer en de risicobeheers- en controlesystemen in processen en (geautomatiseerde) systemen; een korte duiding van alle uitgebrachte rapportages (inclusief follow-up); de realisatie van het jaarplan over het lopende c.q. afgelopen boekjaar. Deze Management Letter wordt na instemming door de Raad van Bestuur ter bespreking ingebracht in het Audit Committee en vervolgens de Raad van Commissarissen. En indien relevant bij bevindingen met betrekking tot beloning in de Remuneratiecommissie. Artikel 7 Deskundigheid en professioneel handelen Deskundigheid 1. Het hoofd en de medewerkers van de IAD moeten voldoende kennis en ervaring voor de uitvoering van geplande en te plannen audits hebben. De formatie als collectiviteit moet voldoende kennis en ervaring vergaren en behouden om zijn verantwoordelijkheid te kunnen dragen. Indien binnen de IAD onvoldoende kennis en ervaring voor een specifieke audit aanwezig is, zal deze door het hoofd IAD intern of extern verkregen dienen te worden. De Raad van Bestuur stelt het hoofd IAD hiertoe voldoende middelen ter beschikking. Professioneel handelen 2. Auditwerkzaamheden vereisen een specifieke professionaliteit, ervaring en kennis. Deze vereisten zijn uitgewerkt in professionele standaarden van Nederlandse beroepsorganisaties (NBA en NOREA) in de Verordening Gedragsen Beroepsregels Accountants en het Reglement Gedragscode Register IT auditors alsook in the code of Ethics (integriteit, objectiviteit, vertrouwelijkheid en vakbekwaamheid) van buitenlandse (IIA en ISACA) beroepsorganisaties. Het handelen en functioneren van de IAD is hierop gebaseerd. Door de IAD dient daarom voldaan te worden aan eisen onder meer ten aanzien van: kantoororganisatie; management van de audits en de onderzoekssystematiek; IAD als geheel; dossiervorming; deskundigheid en ervaring; uitvoering van de werkzaamheden; permanente educatie; rapportage; geheimhouding van vertrouwelijke oordeelsvorming; informatie.

Kwaliteitsborging 3. Door de IAD worden voldoende beheersingsmaatregelen geïmplementeerd om te waarborgen, dat voldaan wordt aan the code of Ethics en professionele standaarden als de Verordening Gedrags- en Beroepsregels Accountants en het Reglement Gedragscode Register IT auditors. Periodiek kan door de beroepsorganisaties onderzocht worden in hoeverre de IAD voldoet aan the code of Ethics en professionele standaarden als de Verordening Gedrags- en Beroepsregels Accountants en het Reglement Gedragscode Register IT auditors. Op basis van de diverse vaktechnische kwalificaties en lidmaatschap van de beroepsorganisaties zijn het hoofd IAD en alle medewerkers van de IAD onderworpen aan meerdere vormen van tuchtrecht, zoals die van de NBA en NOREA. 8 van 8