12.2 Juhtorgani liikmetele ja nendega seotud isikutele antavate laenude ning täiendava teabe dokumenteerimine

Samuti peaksid krediidiasutused ja investeerimisühingud kaitsma mis tahes negatiivse tagajärje eest isikuid, kellest on teatatud, kui uurimisel ei leita tõendeid, mis õigustaksid vastava isiku suhtes meetmete võtmist. Meetmete võtmisel peaks krediidiasutus või investeerimisühing neid rakendama nii, et asjassepuutuv isik oleks kaitstud soovimatute negatiivsete tagajärgede eest, mis ületavad meetme eesmärgi.

Eeskätt peaks õigusrikkumistest teavitamise kord:

• a. olema dokumenteeritud (nt töötajate käsiraamatutes);
• b. kehtestama selged reeglid, mis tagavad teavitamist, teatatud isikuid ja rikkumist puudutavate andmete konfidentsiaalse töötlemise kooskõlas määrusega (EL) 2016/679, välja arvatud juhud, kui täiendavate uurimiste või järgnevate kohtumenetluste raames on riiklike õigusaktide alusel nõutav avalikustamine;
• c. kaitsma kahtlustest teatanud töötajat rikkumise avalikustamisest tingitud ohvristamise eest;
• d. tagama tõstatatud potentsiaalsete või tegelike rikkumiste hindamise ja neist teatamise (vajaduse korral muu hulgas asjaomasele pädevale asutusele või õiguskaitseorganile);
• e. võimalusel tagama, et potentsiaalsetest või tegelikest rikkumistest teatanud töötaja saaks kinnituse teabe kättesaamise kohta;
• f. tagama teatatud rikkumise uurimise tulemuste jälgimise; ja
• g. tagama nõuetekohase aruandluse.

Pädevad asutused peaksid looma tõhusad ja usaldusväärsed mehhanismid, mis võimaldavad krediidiasutuste ja investeerimisühingute töötajatel teavitada pädevaid asutusi asjakohastest regulatiivsete nõuete (sh määruse (EL) nr 575/2013 nõuete ja direktiivi 2013/36/EL ülevõtvate riiklike sätete) potentsiaalsetest või tegelikest rikkumistest. Need mehhanismid peaksid hõlmama vähemalt järgmist:

• a. rikkumisteadete vastuvõtmise erimenetlused ja nende järelkontroll (nt rikkumisest teatamise osakond, üksus või talitus);
• b. jaos 13 viidatud asjakohane kaitse;
• c. nii rikkumisest teatava füüsilise isiku kui ka väidetavalt rikkumise toimepaneku eest vastutava füüsilise isiku isikuandmete kaitse kooskõlas määrusega (EL) 2016/679 (GDPR);
• d. jaos 13 sätestatud selged eeskirjad.

Ilma et see piiraks pädevate asutuste mehhanismide kaudu rikkumistest teatamise võimalust, võivad pädevad asutused julgustada töötajaid järgima esmalt krediidiasutuste ja investeerimisühingute õigusrikkumistest teavitamise korda.

Krediidiasutused ja investeerimisühingud peaksid edendama ning alal hoidma kultuuri, mis toetab positiivset hoiakut riskikontrolli suhtes, nõuete järgimist krediidiasutuses või investeerimisühingus ning usaldusväärset ja terviklikku sisekontrolli raamistikku. Selle raamistiku kontekstis peaksid krediidiasutuste ja investeerimisühingute äriliinid vastutama oma tegevuses ettetulevate riskide juhtimise eest ning kehtestama kontrollmeetmed, mille eesmärk on tagada vastavus asutusesisestele ja välisnõuetele. Raamistiku osana peaksid krediidiasutustes ja investeerimisühingutes olema sisekontrolli funktsioonid, kellel on oma kohustuste täitmiseks asjakohane ja piisav võim, kaal ja juurdepääs juhtorganile, ning riskijuhtimise raamistik.

Krediidiasutuse või investeerimisühingu sisekontrolli raamistikku tuleks individuaalselt kohandada, lähtudes äritegevuse spetsiifikast, keerukusest ja seotud riskidest ning võttes arvesse konsolideerimisgruppi tervikuna. Krediidiasutused ja investeerimisühingud peaksid korraldama vajaliku teabevahetuse nii, et kõik juhtorganid, äriliinid ning siseüksused (sh sisekontrolli funktsioonid) saaksid oma ülesandeid täita. See tähendab nt asjakohase teabe vahetamist äriliinide ja vastavuskontrolli funktsiooni ning konsolideerimisgrupi tasandil tegutseva rahapesu ja terrorismi rahastamise vastase võitluse vastavuskontrolli funktsiooni (kui eraldiseisev kontrollifunktsioon on olemas) vahel ning konsolideerimisgrupi tasandil tegutsevate sisekontrolli funktsioonide juhtide ja krediidiasutuse või investeerimisühingu juhtorgani vahel.

Krediidiasutused ja investeerimisühingud peaksid rakendama sobivaid protsesse ja kordasid, millega tagatakse, et nad täidavad rahapesu ja terrorismi rahastamise vastase võitluse kontekstis oma kohustusi. Krediidiasutused ja investeerimisühingud peaksid hindama nende rahapesu või terrorismi rahastamise eesmärgil kasutamise riski ja võtma vajaduse korral maandavaid meetmeid nende riskide ning nendega seotud operatsiooni- ja maineriskide vähendamiseks. Krediidiasutused ja investeerimisühingud peaksid võtma meetmeid tagamaks, et nende töötajad on teadlikud rahapesu ja terrorismi rahastamisega seotud riskidest ning rahapesu ja terrorismi mõjust krediidiasutusele või investeerimisühingule ja finantssüsteemi puutumatusele.

Sisekontrolli raamistik peaks hõlmama kogu organisatsiooni, sh juhtorgani kohustusi ja ülesandeid, ning kõigi äriliinide ja siseüksuste tegevust, sh sisekontrolli funktsioone, edasiantud tegevusi ja turustuskanaleid.

Krediidiasutuse või investeerimisühingu sisekontrolli raamistik peaks tagama:

• a. toimingute efektiivsuse ja tulemuslikkuse;
• b. äritegevuse usaldusväärsuse;
• c. riskide nõuetekohase tuvastamise, hindamise ja maandamise;
• d. asutusesiseselt ja väliselt jagatava finantsteabe ning muude andmete usaldusväärsuse;
• e. haldus- ja raamatupidamistava nõuetekohasuse; ja
• f. kooskõla õigusaktide, eeskirjade ja järelevalvealaste nõuete ning krediidiasutuse või investeerimisühingu sise-eeskirjade, protsesside, normide ja otsustega.