9.4 Sisekontrolliraamistik

Pädevad asutused peaksid hindama, kas luba taotleval krediidiasutusel on asjakohane sisekontrolliraamistik, mis on vastavuses krediidiasutuse kavandatud tegevuse, ärimudeli, keerukuse ja seotud riskidega (nt kliendisuhete loomine veebis, küberturbe kaitse ja kord). Pädevad asutused peaksid veenduma, et ette nähtud inimressursid on asjakohased ja piisavad nii täistööajale taandatud töötajate arvu kui ka töötajate kvalifikatsiooni suhtes ning süsteemid ja eelarve sobivad ülesannete täitmise toetamiseks.

Pädevad asutused peaksid taotlusdokumendid läbi vaatama ja veenduma, et ülesannete ja kohustuste jaotus võimaldab juhtorganil täielikult mõista oma krediidiasutuse struktuuri⁴⁹ , ning tagama, „et sisekontrolli funktsioonide täitjad oleksid sõltumatud äriliinidest, mida nad juhivad. Muu hulgas tuleks tagada piisav ülesannete lahusus, asjakohase töötajate ja finantsvahendite olemasolu ning volitused vastava rolli efektiivseks täitmiseks. Krediidiasutuse või investeerimisühingu aruandlusahelad ja ülesannete jaotus (eelkõige võtmeisikute vahel) peaks olema selge, täpselt määratletud, ühtne, jõustatav ja nõuetekohaselt dokumenteeritud.“⁵⁰

⁴⁹ EBA suunised sisejuhtimise kohta, lõik 71.

⁵⁰ EBA suunised sisejuhtimise kohta, lõik 68.

Pädevad asutused peaksid saama selge kinnituse, et sisekontrolliraamistik hõlmab kõiki krediidiasutuse valdkondi ja kajastab kolme kaitseliini mudelit, millega tuvastatakse riskide käsitlemise ja juhtimise funktsioonid.

Selleks peaksid pädevad asutused kontrollima, kas on kehtestatud kord, millega tagatakse, et esimese kaitseliini moodustavad äri- ja tugiüksused vastutavad kõigepealt nende tegevusega kaasnevate riskide tuvastamise ja juhtimise eest ning asjakohaste protsesside ja kontrollide kehtestamise ja alalhoidmise eest, et tagada selliste riskide analüüsimine, mõõtmine, järelevalve, nõuetekohane teatamine ja hoidmine krediidiasutuse riskivalmiduse taseme piires ning vastavus asutusesisestele ja -välistele regulatiivnõuetele.

Riskijuhtimise funktsiooni ja vastavuskontrolli funktsiooni täitjad, kes toimivad teise kaitseliinina, ning siseauditi funktsiooni täitja, kes toimib kolmanda kaitseliinina, moodustavad ühiselt sisekontrolliraamistiku sisekontrollifunktsioonid. Pädevad asutused peaksid kontrollima, kas need funktsioonid luuakse, arvestades lõikudes 17–21 sätestatud proportsionaalsuskriteeriume, ning neile tagatakse nende ülesannete täitmiseks asjakohane ja piisav volitus ja staatus ning otsene juurdepääs juhtorganile.

Tagamaks, et sisekontrolli funktsioonid vastavad sõltumatuse nõuetele⁵¹ , peaksid pädevad asutused taotlusdokumentide põhjal kontrollima, kas nähakse ette järgmine:

• (a) nende töötajad ei täida selliste tegevustega seotud ülesandeid, mida sisekontrolli funktsioonid peavad jälgima ja kontrollima;
• (b) sisekontrolli funktsioonid on organisatsiooniliselt eraldi tegevusest, mida nad on määratud jälgima ja kontrollima;
• (c) krediidiasutuse juhtorgani liikmete üldvastutusest olenemata ei tohiks sisekontrolli funktsiooni juht alluda isikule, kes vastutab sisekontrolli funktsiooni jälgitava ja kontrollitava tegevuse juhtimise eest;
• (d) sisekontrolli funktsioonide töötajate tasustamine ei tohiks olla seotud selle tegevuse tulemuslikkusega, mida sisekontrolli funktsioon jälgib ja kontrollib, ning see ei tohiks ohustada nende objektiivsust ka teisiti.

⁵¹ Vt EBA suunised sisejuhtimise kohta, lõik 175.

Pädevad asutused peaksid kontrollima, kas sisekontrolli funktsioonide juhid vastavad järgmistele nõuetele:

• a) nad määratakse ametisse adekvaatsel hierarhiatasemel, mis annab kontrollifunktsiooni juhile kohustuste täitmiseks asjakohased volitused ja asjakohase staatuse;
• b) nad on nende kontrollitavatest äriliinidest või üksustest sõltumatud;
• c) nad annavad aru juhtorganile ja vastutavad otse juhtorgani ees ning nende tulemuslikkuse peaks üle vaatama juhtorgan;
• d) vajaduse korral on neil juurdepääs ja nad annavad aru otse järelevalvefunktsiooni täitvale juhtorganile, et osutada probleemidele ja hoiatada järelevalvefunktsiooni täitjat, kui krediidiasutust ohustavad või võivad ohustada teatud suundumused.

Sisekontrolli funktsioonide tõhusa täitmise tagamiseks peaksid pädevad asutused veenduma, et nende jaoks eraldatakse piisavad eelarvevahendid ja piisava kvalifikatsiooniga töötajad, arvestades kavandatavate tegevuste liike, ning nende jaoks on asjakohane IKT-süsteem ja tugiteenused. 9.4.2 Riskijuhtimise funktsioon

Pädevad asutused peaksid veenduma, et sisekontrolliraamistiku osana kehtestab krediidiasutus kogu krediidiasutust hõlmava tervikliku riskijuhtimisraamistiku, täielikult arvestades krediidiasutuse kõigi riskipositsioonide majanduslikku sisu.

Pädevad asutused peaksid veenduma, et riskijuhtimise funktsioon toetab usaldusväärse riskijuhtimisraamistiku rakendamist kogu krediidiasutuses ning tema rolliga krediidiasutuses kaasneb osalemine järgmises: a) riskistrateegia koostamine ja otsused; b) oluliste muudatuste hindamine; c) riskide tuvastamine, mõõtmine, hindamine, juhtimine, maandamine, järelevalve ja aruandlus; d) riskivalmiduse või riskitaluvuspiiriga seotud rikkumiste hindamine ja parandusmeetmete soovitamine. Selleks peaksid pädevad asutused läbi vaatama ka selliste riskide juhtimiseks kavandatud strateegia ja seda hindama, pöörates sealhulgas tähelepanu riskitaluvuse ja -valmiduse kohta esitatud teabele ning meetmetele, millega hinnanguline risk viiakse vastavusse riskivalmidusega.

Riskijuhtimise funktsiooni rolli osas seoses riskistrateegia ja otsuste tegemisega peaks pädevate asutuste läbivaatamise eesmärk olema kontrollida, kas taotluses nähakse ette, et riskijuhtimise funktsioon osaleb aktiivselt juba varajases etapis ja pidevalt järgmises: krediidiasutuse riskistrateegia väljatöötamine, tõhusate riskijuhtimisprotsesside tagamine krediidiasutuses ning juhtorganile asjakohase riskialase teabe tagamine, et võimaldada krediidiasutuse riskivalmidustaseme määramist. Pädevad asutused peaksid tagama, et riskijuhtimise funktsioonile on kavandatud ülesanne hinnata riskistrateegia ja -valmiduse kestlikkust ning viimasest tuletatakse asjakohaselt konkreetsed riskitaluvuspiirid, sealhulgas äriüksuste tasandil, ning riskijuhtimise funktsioon kaasatakse arutelusse, enne kui juhtorgan võtab vastu riskistrateegiaid käsitleva otsuse.

Seoses riskijuhtimise funktsiooni rolliga oluliste muudatuste hindamisel peaksid pädevad asutused kontrollima, kas on ette nähtud riskijuhtimise funktsiooni kaasamine arutelusse enne erandlike tehingute otsustamist, et võimaldada hinnata selliste muudatuste ja erandlike tehingute mõju krediidiasutuse üldriskile ning esitada järeldused enne otsustamist otse juhtorganile.

Seoses riskijuhtimise funktsiooni rolliga riskide tuvastamisel, mõõtmisel, seirel ja maandamisel ning heakskiidu saamiseks nende riskide ja seotud riskikontsentratsioonide kohta juhtorganile aru andmisel peaksid pädevad asutused tagama, et vastav poliitika ja kord on kehtestatud ning riskijuhtimise funktsioonil on juurdepääs kõigile äriliinidele ja muudele üksustele, mille tegevusega võivad kaasneda riskid.

Riskijuhtimise funktsioonil peaks olema ka ülesanne hinnata sõltumatult riskivalmiduse või riskitaluvuspiiriga seotud rikkumisi (sh leida põhjus ning teha õiguslik ja majanduslik analüüs, et võrrelda riskipositsiooni lõpetamise, vähendamise või maandamise tegelikke kulusid selle säilitamise võimaliku kuluga). Ette peaks olema nähtud, et riskijuhtimise funktsioon teavitab asjaomaseid äriüksusi ja juhtorganit ning soovitab võimalikke parandusmeetmeid. Selleks peaks riskijuhtimise funktsioonil olema juhul, kui rikkumine on oluline, võimalus anda aru otse järelevalvefunktsiooni täitvale juhtorganile, ilma et see piiraks riskijuhtimise funktsiooni kohustust anda aru teistele asutusesisestele funktsioonidele ja komiteedele.

9.4.3 Tasustamispoliitika

Kavandatud tasustamispoliitika korral peaksid pädevad asutused lisaks kapitalinõuete direktiivi artikli 92 lõike 2 punktis aa osutatud sooneutraalsuse nõude täitmise hindamisele kontrollima ka seda, kas selliste töötajate tasustamise poliitika, kelle ametialasel tegevusel on oluline mõju krediidiasutuse riskiprofiilile,⁵² on kooskõlas kapitalinõuete direktiivi artikliga 94 ja EBA suunistega tasustamispoliitika kohta .

⁵² Esitatakse vastavalt tegevusloa andmisel nõutava teabe regulatiivsetele tehnilistele standarditele.

Eelkõige peaksid nad hindama, kas kavandatud tasustamispoliitika: a) on kooskõlas krediidiasutuse kavandatud riskivalmiduse, tema äristrateegia ja pikaajaliste huvidega ning kas kavaga nähakse ette, et seda hoiab alal, selle kiidab heaks ja vaatab üle juhtorgan; b) näeb ette, et töötajad, kellel on oluline mõju krediidiasutuse riskiprofiilile, tuvastatakse asjakohaselt kooskõlas kapitalinõuete direktiivi artikli 92 lõikega 3 ja artikli 94 lõikega 3; c) näeb ette konkreetsed töötasunõuded nendele töötajatele, muu hulgas i) põhitasu ja muutuvtasu suhte kooskõlas kapitalinõuete direktiivi artikli 94 lõike 1 punktiga g ning ii) finantsinstrumentides väljamaksete tegemise korra ning edasilükkamise korra, sealhulgas muutuvtasu hilisema tagasinõudmise tingimused kooskõlas kapitalinõuete direktiivi artikli 94 lõike 1 punktidega l, m ja n⁵³ .

9.4.4 Vastavuskontrolli funktsioon

⁵³ Eelkõige tuleb tähelepanu pöörata kapitalinõuete direktiivi artikli 94 lõigetes 3 ja 4 sätestatud eranditele.

Pädevad asutused peaksid kontrollima, kas kavaga on ette nähtud, et vastavuskontrolli funktsioon juhib nõuete mittejärgimisest tulenevat riski, annab juhtorganile nõu meetmete kohta, mida tuleb võtta, et tagada kohaldatavate õigusnormide ja standardite järgimine, ning rakendab juhtorgani järelevalve all poliitikat ja menetluskorda nõuete mittejärgimisest tulenevate riskide juhtimiseks ja nõuete täitmise tagamiseks. Pädevad asutused peaksid kontrollima, kas vastavuskontrolli funktsioon on tegevuste liike ja geograafilist jaotuse (nt jurisdiktsioonides kohaldatavate erisuguste riigisiseste õigusaktide järgimine piiriülese tegevuse korral), riskide ja keerukuse suhtes asjakohane, tehes seda kooskõlas ärimudeli ja äriplaani hindamisega, mis toimub vastavalt käesolevate suuniste jaotisele 7.

Vastavuskontrolli funktsioon peaks tagama, et vastavusseire toimub struktureeritud ja täpselt määratletud vastavusseireprogrammi alusel ning vastavuskontrolli põhimõtteid järgitakse. Kavandatud peaks olema ka see, et vastavuskontrolli funktsioon ja riskijuhtimise funktsioon teevad oma ülesannete täitmisel koostööd ning vahetavad teavet, kui see on asjakohane.

Pädevad asutused peaksid samuti kontrollima, kas vastavuskontrolli funktsioonil on ülesanne kontrollida tihedas koostöös riskijuhtimise funktsiooni ja õigusüksusega, kas uued tooted ja uued menetlused on kooskõlas kehtiva õigusraamistikuga ning asjakohasel juhul õigusaktide, eeskirjade ja järelevalvenõuete teadaolevate tulevaste muudatustega.

Pädevad asutused peaksid kontrollima, kas vastavuskontrolli funktsiooni raames või sellest eraldi on ette nähtud rahapesu ja terrorismi rahastamise tõkestamise valdkonna vastavuskontrolli funktsiooni ja sisepoliitika loomine, et tagada rahapesu ja terrorismi rahastamist käsitlevate õigusaktide järgimine.

9.4.5 Rahapesu ja terrorismi rahastamise tõkestamise poliitika

Pädevad asutused peaksid kontrollima, kas rahapesu ja terrorismi rahastamise tõkestamise poliitika, mille tegevusluba taotlev krediidiasutus on esitanud vastavalt tegevusloa andmisel nõutava teabe regulatiivsete tehniliste standardite artikli 5 lõike 1 punkti c alapunktile iii, annab ülevaate rahapesu- ja terrorismi rahastamise riski vähendamiseks kehtestatavatest põhimõtetest ja menetlustest, millele on osutatud rahapesuvastase direktiivi artikli 8 lõikes 3. Seda tehes arvestavad pädevad asutused lõikudes 17–21 sätestatud proportsionaalsuskriteeriume.

Pädevad asutused peaksid veenduma, et kavandatud poliitikaga käsitletakse kõiki rahapesuvastase direktiivi artikli 8 lõikes 4⁵⁴ sätestatud elemente ning põhjendatakse, kuidas tegevusluba taotlev krediidiasutus tagab, et ta suudab alates turulepääsu esimesest päevast maandada ja tõhusalt juhtida rahapesu- ja terrorismi rahastamise riski, mille suhtes ta on avatud.

9.4.6 Siseauditi funktsioon

⁵⁴ Selles on sätestatud järgmine: „Lõikes 3 osutatud põhimõtted, kontrollimeetmed ja protseduurid hõlmavad järgmist: (a) ettevõttesiseste põhimõtete, kontrollimeetmete ja protseduuride väljatöötamine, sealhulgas riskijuhtimistavade mudel, kliendi suhtes rakendatavad hoolsusmeetmed, teatamine, andmete säilitamine, sisekontroll, nõuete täitmise kontroll, sealhulgas vastavuskontrolli eest vastutava isiku määramine juhtkonna tasandil, kui see on asjakohane äritegevuse mahtu ja laadi silmas pidades, ja töötajate kontroll; (b) kui see on ettevõtte suurust ja laadi silmas pidades asjakohane, sõltumatu audititalitus, kes testib punktis a osutatud põhimõtteid, kontrollimeetmeid ja protseduure.“

Pädevad asutused peaksid lõikudes 17–21 sätestatud proportsionaalsuskriteeriume arvestades hindama, kas tegevusluba taotlev krediidiasutus on loonud sõltumatu ja tõhusa siseauditi funktsiooni. Pädevad asutused peaksid täielikult veenduma, et siseauditi funktsioon suudab riskipõhist lähenemisviisi rakendades erapooletult hinnata krediidiasutuse kõigi tegevuste (sh edasiantavate tegevuste) ja üksuste vastavust nii krediidiasutuse poliitikale ja menetlustele kui ka välisnõuetele (muudele kui usaldatavusnõuetele), ning objektiivselt kinnitama nendele vastavust.

Selleks peaksid pädevad asutused hindama, kas siseauditi funktsiooni organisatsiooniline sõltumatus ja siseaudiitorite objektiivsus on tagatud kohustusega anda aru otse juhtorganile ning kas on tagatud piisavad vahendid funktsiooni ülesannete täitmiseks. Sellega seoses tuleks samuti tagada, et siseauditi funktsioonil on oma ülesannete täitmiseks piiramatu juurdepääs kogu krediidiasutuse kõigile andmetele, dokumentidele, teabele ja hoonetele.

Pädevad asutused peaksid hindama ka seda, kas siseauditi funktsiooni ülesanded hõlmavad vähemalt järgmist:

• (a) hinnata sisekontrolliraamistiku sobivust, sealhulgas poliitika ja menetluste asjakohasust ning nende vastavust õiguslikele ja regulatiivnõuetele;
• (b) töötada vähemalt kord aastas välja auditikava, mis põhineb iga-aastase siseauditi kontrollieesmärkidel ja mille peab heaks kiitma juhtorgan;
• (c) esitada oma tegevuse tulemuste alusel soovitusi.

Samuti peaksid pädevad asutused kontrollima, kas esimese kolme tegevusaasta jaoks kavandatud metoodika ja siseauditi kava, sealhulgas välisteenuste auditeerimine, on kooskõlas organisatsioonistruktuuri, tegevuste liikide ja riskiprofiiliga, mis on kajastatud jaotise 7 kohaselt hinnatavas äriplaanis.

9.4.7 Tegevuskerksuse ning talitluspidevuse poliitika ja kava

Talitluspidevuse poliitika ja kava kirjeldusest peaks nähtuma, et taotlejal on usaldusväärne talitluspidevuse juhtimise kava, et tagada tema suutlikkus tegutseda pidevalt ja vähendada kahjumit äritegevuse tõsiste häirete korral. See peaks tagama, et talitluspidevuse poliitika ja kava sisaldavad äritegevuse häiretega seotud peamiste riskide analüüsi ja ülevaadet leevendusmeetmetest ning näevad ette talitluspidevuse kava korrapärase testimise.

9.4.8 IKT-poliitika ja -süsteemid

Pädevad asutused peaksid hindama, kas IKT-poliitika tagab krediidiasutusele usaldusväärsed info- ja sidesüsteemid ning kas IKT-süsteemid suudavad täielikult toetada riskiandmete koondamist nii tavapärases kui ka stressiolukorras. Pädevad asutused peaksid eelkõige hindama, kas krediidiasutus suudab teha vähemalt järgmist:

• (a) koostada täpseid ja usaldusväärseid riskiandmeid;
• (b) koguda ja koondada kõiki olulisi riskiandmeid kogu krediidiasutuse ulatuses;
• (c) koostada ajakohaseid riski koondandmeid õigel ajal;
• (d) koostada riski koondandmeid, et vastata juhtorgani või pädevate asutuste mitmesugustele päringutele;
• (e) tagada asutuste sihipärast tegevust toetavate info- ja sidesüsteemide kindel, usaldusväärne ja turvaline toimimine.

Seoses IKT- ja turberiskiga⁵⁵ peaksid pädevad asutused veenduma, et juhtimisraamistik tagab krediidiasutuste tegevust toetavate info- ja sidesüsteemide kindla, usaldusväärse ja turvalise toimimise ning IKT-riskide adekvaatse ennetamise, seire ja maandamise nii tavapärases kui ka stressiolukorras. Pädevad asutused peaksid eelkõige hindama järgmist:

• (a) kas juhtorganil on üldvastutus finantseerimisasutuste IKT-strateegia (mis peaks olema kooskõlas finantseerimisasutuste üldise äristrateegiaga) rakendamise kehtestamise, heakskiitmise ja järelevalve eest;
• (b) kas IKT- ja turberiskide juhtimise raamistiku tõhusa toimimise võimaldamiseks on selgelt määratletud ja jaotatud olulised rollid ja kehtestatud aruandlusahel, sealhulgas kas IKT-tegevuse vajaduste täitmiseks ning IKT- ja turberiskide juhtimise toetamiseks on eraldatud piisavalt eelarvevahendeid;
• (c) kas IKT- ja turberiskide juhtimise ja järelevalve ülesanne on sõltumatul ja objektiivsel kontrollifunktsioonil, mis on asjakohaselt eraldatud IKT-üksuse tegevusprotsessidest ja ei vastuta siseauditi eest, ning sõltumatule siseauditi funktsioonile;
• (d) kas on kehtestatud kord, millega tagatakse ärifunktsioonide, rollide ja tugiprotsesside ajakohastatud kaardistuse kindlaksmääramine, kehtestamine ja alalhoidmine, et leida nende olulisus ja vastastiksõltuvused seoses IKT- ja turberiskidega;
• (e) seoses teabe hoidmisega IKT-süsteemides – kas on kehtestatud infoturbenõuded;
• (f) kas on määratletud IKTga seotud sõltuvuse ulatus, keerukus ja tähtsus, kui kavandatakse IKT-teenuste operatiivfunktsioonide ja IKT-süsteemidega seotud mis tahes tegevuse edasiandmist (sh edasiandmist kontserni üksustele) või kolmandate isikute kasutamist seoses selliste funktsioonide ja tegevustega.

⁵⁵ Nagu on määratletud EBA suunistes IKT- ja turberiskide juhtimise kohta , tähendab väljend „IKT- ja turberisk“ järgmist: „Sellise kahju risk, mis tekib konfidentsiaalsusnõude rikkumisest, süsteemide ja andmete terviklusega seotud riketest, süsteemide ja andmete sobimatusest või käideldamatusest või võimetusest muuta infotehnoloogiat (IT) mõistliku aja jooksul ja mõistlike kuludega, kui keskkond või äritegevuse nõuded muutuvad (st kohanemisvõimekus). See hõlmab turberiske, mis tulenevad ebapiisavatest või nurjunud siseprotsessidest või välissündmustest, sh küberrünnakutest või ebapiisavast füüsilisest turbest.“