12.2 Документиране на кредитите за членове на ръководния орган и свързаните с тях лица и допълнителна информация

Институциите следва да гарантират, че лицето, което докладва за нарушение, е подходящо защитено срещу евентуални отрицателни последици, напр. репресивни мерки, дискриминация или други форми на несправедливо отношение. Институцията следва да гарантира, че няма лице под контрола на институцията което да участва в преследването на лице, което е докладвало за нарушение, и да предприеме подходящи мерки срещу лицата, които са отговорни за подобно преследване.

Институцията следва също така да защити лицата, за които са били получени доклади, от всякакви отрицателни последици, в случай че при разследването не бъдат установени доказателства, които обуславят предприемането на мерки срещу това лице. Ако се предприемат мерки, институцията следва да ги предприеме по начин, който има за цел да защити съответното лице от нежелателни отрицателни последици, които надхвърлят целта на предприетата мярка.

По - специално вътрешните процедури за подаване на сигнали следва:

• а. да бъдат документирани (напр. оперативно ръководство за служители);
• б. да осигуряват ясни правила, гарантиращи, че информацията относно докладването, докладваните лица и нарушението се третират при спазване на изискванията за поверителност в съответствие с Регламент (ЕС) 2016/69, освен ако оповестяването не се изисква съгласно националното законодателство в контекста на по - нататъшни разследвания или последващи съдебни производства;
• в. да защитават служителите, които поставят проблемни въпроси, от преследване, поради това, че те са разкрили нарушения, подлежащи на докладване;
• г. да гарантират, че докладваните потенциални или настоящи нарушения са оценени и съобщени, включително, ако е уместно, на съответния компетентен орган или правоприлагащ орган ;
• д. да гарантират, когато е възможно, че на служителите, които са поставили проблемни въпроси относно потенциални или настоящи нарушения, е предоставено потвърждение за получаването на информацията;
• е. да осигурят проследяването на резултатите от дадено разследване на докладваното нарушение; и
• ж. да осигурят подходящо водене на архив.

Компетентните органи следва да създават ефективни и надеждни механизми, с които да се даде възможност на служителите в институциите да докладват на компетентните органи за съответните потенциални или настоящи нарушения на регулаторни изисквания, които включват, но без да се ограничават до, разпоредбите на Регламент (ЕС) № 575/2013 и националните разпоредби, с които се транспонира Директива 2013/36/ЕС. Тези механизми следва да включват най - малко:

• а. специални процедури за получаването на доклади за нарушения и за предприемането на последващи действия, например специален отдел, звено или функция за приемане на сигнали;
• б. подходяща защита съгласно посоченото в раздел 13;
• в. защита на личните данни както на физическото лице, което докладва нарушението, така и на физическото лице, за което се предполага, че е отговорно за нарушението, в съответствие с Регламент (ЕС) 2016/679 (ОРЗД); и
• г. ясни процедури, както е посочено в раздел 13.

Без да се засяга възможността за докладване на нарушения чрез механизмите на компетентните органи, компетентните органи могат да насърчават служителите първо да се опитат да използват вътрешните процедури за подаване на сигнали на тяхната институция.

Институциите следва да развият и поддържа култура, която насърчава положително отношение към контрола на риска и нормативното съответствие в рамките на институцията, както и надеждна и всеобхватна рамка за вътрешен контрол. Съгласно тази рамка бизнес линиите на институциите следва да отговарят за управлението на рисковете, които възникват при извършването на техните дейности, и да въведат контролни механизми, които имат за цел да осигурят спазване на вътрешните и външните изисквания. Като част от тази рамка институциите следва да разполагат с функции за вътрешен контрол с подходящи и достатъчни правомощия, статут и достъп до ръководния орган за изпълнението на техните задачи, както и с рамка за управление на риска.

Рамката за вътрешен контрол на институцията следва да бъде приспособена на индивидуална основа към специфичните особености на нейната дейност, нейната сложност и свързаните рискове, като се вземе предвид дейността на групата. Институциите следва да организират обмена на необходимата информация по начин, който гарантира, че всеки ръководен орган, бизнес линия и вътрешно звено, включително всяка функция за вътрешен контрол, е в състояние да изпълнява своите задължения. Това означава, например, необходим обмен на подходяща информация между бизнес линиите, функцията за нормативно съответствие и функцията за нормативно съответствие с изискванията, свързани с борбата с изпирането на пари и финансирането на тероризма, когато тя е отделна функция за контрол, вкл. на ниво група, и между ръководителите на функциите за вътрешен контрол на ниво група и ръководния орган на институцията.

Институциите следва да прилагат подходящи процеси и процедури, които да гарантират, че спазват задълженията си в контекста на борбата с изпирането на пари и финансирането на тероризма. Институциите следва да оценят своята експозиция към риска, която да бъде използвана за целите на ИП/ФТ, и когато е необходимо, да предприемат мерки за редуциране на тези рискове, както и на своите операционни рискове и репутационни рискове, свързани с тях. Институциите следва да предприемат мерки, за да гарантират, че техните служители са запознати с тези рискове от ИП/ФТ и с въздействието, което ИП/ФТ оказва върху институцията и целостта на финансовата система.

Рамката за вътрешен контрол следва да обхваща цялата организация, включително отговорностите и задачите на ръководния орган, и дейностите на всички бизнес линии и вътрешни звена, включително функциите за вътрешен контрол, възложените на външни изпълнители дейности и каналите за разпространение.