12.2 Ylimmän hallintoelimen jäsenille ja heidän lähipiirilleen myönnettyjen lainojen dokumentointi ja niitä koskevat lisätiedot

Laitosten tulee myös suojella ilmoituksen kohteena olevaa henkilöä kaikilta haitallisilta seurauksilta siinä tapauksessa, ettei tutkimuksissa löydetä näyttöä, jonka perusteella voitaisiin ryhtyä toimenpiteisiin kyseistä henkilöä vastaan. Jos toimenpiteisiin ryhdytään, laitoksen tulee toimia tavalla, joka suojelee kyseessä olevaa henkilöä tahattomilta haitallisilta seurauksilta, jotka ovat toimenpiteen tavoitteita laajempia.

Erityisesti sisäisten ilmoitusmenettelyjen tulee

• a. olla dokumentoituja (esim. henkilöstön käsikirjat)
• b. tarjota selkeät säännöt, jotka varmistavat, että ilmoittajan ja ilmoituksen kohteena olevan henkilön tietoja käsitellään luottamuksellisesti asetuksen (EU) 2016/679 mukaisesti, ellei kansallinen lainsäädäntö edellytä tietojen julkistamista jatkotutkimusten tai niitä seuraavien oikeudenkäyntien yhteydessä
• c. suojella huolenaiheistaan ilmoittavaa henkilöstöä epäoikeudenmukaiselta kohtelulta, joka johtuu rikkomusten ilmoittamisesta
• d. varmistaa, että ilmoitetut mahdolliset tai tapahtuneet rikkomukset arvioidaan ja että niistä raportoidaan tarvittaessa asianmukaiselle toimivaltaiselle viranomaiselle tai lainvalvontaviranomaiselle
• e. varmistaa, mikäli mahdollista, että mahdollisista tai tapahtuneista rikkomuksista ilmoittaneille henkilöstön jäsenille toimitetaan vastaanottokuittaus
• f. varmistaa ilmoitettua rikkomusta koskevan tutkinnan tulosten seuranta
• g. varmistaa asianmukainen tietojen kirjaaminen.

Toimivaltaisten viranomaisten tulee luoda tehokkaat ja luotettavat mekanismit, jotka antavat laitosten henkilöstölle mahdollisuuden ilmoittaa toimivaltaisille viranomaisille mahdollisista tai tapahtuneista sääntelyvaatimusten rikkomuksista, kuten niistä, jotka on määritelty asetuksessa (EU) N:o 575/2013 ja direktiivin 2013/36/EU kansallisissa täytäntöönpanosäännöksissä. Näiden mekanismien tulisi sisältää vähintään

• a. erityismenettelyt rikkomusilmoitusten vastaanottamiseen ja niiden seurantaan, esimerkiksi erityinen väärinkäytösten paljastamisesta vastaava osasto, yksikkö tai toiminto
• b. 13 jaksossa kuvatun mukainen asianmukainen suojelu
• c. sekä ilmoittajana olevan luonnollisen henkilön että ilmoituksen mukaisen rikkomuksesta vastuussa olevan luonnollisen henkilön henkilötietojen suojaaminen asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) mukaisesti
• d. 13 jaksossa määritellyt selkeät menettelyt.

Toimivaltaiset viranomaiset voivat kannustaa henkilöstöä pyrkimään käyttämään ensisijaisesti laitoksensa sisäisiä ilmoitusmenettelyitä, tämän kuitenkaan rajoittamatta mahdollisuutta ilmoittaa rikkomuksista toimivaltaisen viranomaisen mekanismien kautta.

Laitosten tulee kehittää ja pitää yllä kulttuuria, joka kannustaa positiiviseen asenteeseen riskienhallintaa ja laitoksen sisäistä sääntöjen noudattamista sekä vankkaa ja kokonaisvaltaista sisäistä valvontajärjestelmää kohtaan. Laitoksen liiketoiminta-alueiden tulee tämän järjestelmän puitteissa olla vastuussa niiden toiminnasta muodostuvien riskien hallinnoinnista ja niiden on harjoitettava valvontaa, jonka tavoitteena on varmistaa sisäisten ja ulkoisten vaatimusten noudattaminen. Osana tätä järjestelmää laitoksilla tulee olla sisäisiä valvontatoimintoja, joilla on asianmukainen ja riittävä toimivalta, painoarvo ja yhteys ylimpään hallintoelimeen tehtävänsä suorittamiseksi, sekä riskienhallintajärjestelmä.

Laitosten sisäistä valvontajärjestelmää tulee mukauttaa yksilöllisesti niiden liiketoiminnan erityispiirteiden ja monitahoisuuden sekä siihen liittyvien riskien mukaisesti ottamalla huomioon laitoksen konsernikonteksti. Laitosten tulee järjestää tarvittava tietojenvaihto siten, että varmistetaan, että kukin ylin hallintoelin, liiketoiminta-alue ja sisäinen yksikkö, mukaan lukien kukin sisäinen valvontatoiminto, pystyy suorittamaan velvollisuutensa. Tämä tarkoittaa esimerkiksi tarpeellista asianmukaisten tietojen vaihtamista liiketoiminta-alueiden ja säännösten noudattamista valvovan toiminnon sekä mahdollisen erillisen rahanpesun ja terrorismin rahoituksen torjuntaa koskevien sääntöjen noudattamista valvovan toiminnon välillä konsernin tasolla sekä konsernin tason sisäisten valvontatoimintojen päälliköiden ja laitoksen ylimmän hallintoelimen välillä.

Laitosten tulee panna täytäntöön asianmukaisia prosesseja ja menettelyjä, joilla varmistetaan, että ne noudattavat rahanpesun ja terrorismin rahoituksen torjuntaan liittyviä velvoitteitaan. Laitosten tulee arvioida, missä määrin ne altistuvat riskille joutua käytetyksi rahanpesuun ja terrorismin rahoitukseen liittyviin tarkoituksiin, sekä tarvittaessa toteuttaa lieventäviä toimenpiteitä näiden riskien sekä niihin liittyvien operatiivisten riskien ja maineriskien vähentämiseksi. Laitosten olisi toteutettava toimenpiteitä sen varmistamiseksi, että niiden henkilöstö on tietoinen tällaisista rahapesuun ja terrorismin rahoitukseen liittyvistä riskeistä ja niiden vaikutuksista laitokseen ja rahoitusjärjestelmän eheyteen.

Sisäisen valvontajärjestelmän tulee kattaa koko organisaatio, mukaan lukien ylimmän hallintoelimen velvollisuudet ja tehtävät sekä toimet kaikilla liiketoiminta-alueilla ja kaikissa sisäisissä yksiköissä, kuten sisäisissä valvontatoiminnoissa, ulkoistetuissa toimissa ja jakelukanavissa.

Laitoksen sisäisen valvontajärjestelmän tulee varmistaa

• a. vaikuttava ja tehokas toiminta
• b. liiketoiminnan maltillisuus
• c. riskien asianmukainen tunnistaminen, mittaaminen ja lieventäminen
• d. sekä sisäisesti että ulkoisesti ilmoitettujen taloudellisten ja muiden kuin taloudellisten tietojen luotettavuus
• e. vakaat hallinnolliset ja kirjanpidolliset menettelyt
• f. lakien, säännösten, valvontavaatimusten ja laitoksen sisäisten käytäntöjen, menettelyjen, sääntöjen ja päätösten noudattaminen.