12.2 Dokumentira nje podataka o kreditima danima članovima upravljačkog tijela i s njima povezanim osobama i dodatnih informacija

In stitucije trebaju zaštititi i prijavljene osobe od svih negativnih učinaka u slučaju da se istragom ne pronađu dokazi kojima bi se opravdalo poduzimanje mjera protiv tih osoba. Ako se poduzmu mjere, institucija ih treba poduzeti na način da zaštiti predmet nu osobu od nenamjernih negativnih učinaka koji nadilaze cilj poduzete mjere.

Točnije, postupci unutarnjeg upozoravanja trebaju:

• a. biti dokumentirani (npr. priručnici za radnike);
• b. pružiti jasna pravila kojima se osigurava povjerljivo postupanje s informacija ma o osobama koje prijavljuju kršenje, prijavljenim osobama i samim kršenjem u skladu s Uredbom (EU) 2016/679, osim ako je obveza objave propisana nacionalnim pravom u kontekstu daljnjih istraga ili kasnijih sudskih postupaka;
• c. zaštititi radnike koji su isk azali zabrinutost u pogledu svoje viktimizacije jer su prijavili kršenja koja se trebaju prijaviti;
• d. osigurati da se prijavljena potencijalna ili stvarna kršenja procijene i o njima informira uključujući, kad je to prikladno, odgovarajuće nadležno tijelo i li agenciju za provedbu zakona;
• e. osigurati, kad je to moguće, da se radnicima koji su prijavili potencijalna ili stvarna kršenja izda potvrda o zaprimanju informacija;
• f. osigurati praćenje ishoda istrage prijavljenog kršenja; i
• g. osigurati odgovarajuće vođenje evidencije.

Nadležna tijela trebaju uspostaviti učinkovite i pouzdane mehanizme kojima se omogućuje radnicima institucija izvješćivanje nadležnih tijela o relevantnim potencijalnim ili stvarnim kršenjima regulatornih zahtjeva, uključujući, među ostalim, one iz Uredbe (EU) br. 575/2013 i nacionalne odredbe kojima se prenosi Direktiva 2013/36/EU. Ti mehanizmi trebaju uključivati barem:

• a. posebne postupke za zaprimanje izvješća o kršenjima i daljnje praćenje, p rimjerice poseban odjel, jedinicu ili funkciju za zviždanje;
• b. odgovarajuću zaštitu, kako je navedeno u odjeljku 13.;
• c. zaštitu osobnih podataka fizičke osobe koja prijavljuje kršenje i fizičke osobe koja je navodno odgovorna za kršenje u skladu s Uredbom (EU) 2016/679 (Opća uredba o zaštiti podataka); i
• d. jasne postupke, kako su utvrđeni u odjeljku 13.

Ne dovodeći u pitanje mogućnost izvješćivanja o kršenjima s pomoću mehanizama nadležnih tijela, nadležna tijela mogu poticati radnike da prvo pokušaju upotrijebit i te da nastoje upotrebljavati postupke unutarnjeg upozoravanja svoje institucije.

Institucije trebaju razviti i održavati kulturu kojom se potiče pozitivan stav prema kontroli rizika i usklađenosti unutar institucije te pouzdan i sveobuhvatan okvir unutarnje kontrole. U tom okviru poslovne linije institucija trebaju biti odgovorne za upravljanje rizicima koji nastaju tijekom provedbe njihovih aktivnosti te trebaju uspos taviti kontrole čiji je cilj osigurati usklađenost s unutarnjim i vanjskim zahtjevima. U tom okviru institucije trebaju imati kontrolne funkcije s odgovarajućim i dostatnim ovlastima, uporištem i pristupom upravljačkom tijelu radi ispunjavanja svoje misije te trebaju imati okvir upravljanja rizicima.

Okvir unutarnje kontrole institucija treba se prilagoditi posebnostima poslovanja svake institucije zasebno, njezinoj složenosti i povezanim rizicima, uzimajući pritom u obzir grupni kontekst. Institucije treba ju organizirati razmjenu potrebnih informacija na način da osiguraju da svako upravljačko tijelo, poslovna linija i unutarnja jedinica, uključujući sve kontrolne funkcije, mogu obavljati svoje dužnosti. To podrazumijeva, primjerice, neophodnu razmjenu odgo varajućih informacija između poslovnih linija i funkcije praćenja usklađenosti, uključujući funkciju praćenja usklađenosti u području sprječavanja pranja novca i financiranja terorizma ako ona predstavlja zasebnu kontrolnu funkciju, na razini grupe te izme đu osoba odgovornih za rad kontrolnih funkcija na razini grupe i upravljačkog tijela institucije.

Institucije trebaju provesti odgovarajuće procese i postupke kojima se osigurava njihovo ispunjavanje obveza u kontekstu borbe protiv pranja novca i financiranja terorizma. Institucije trebaju provesti procjenu rizika od mogućnosti da ih se iskoristi u svrhu pranja novca i financiranja terorizma te po potrebi trebaju poduzeti mjere za smanjenje tih rizika kao i operativnih i reputacijskih rizika povezanih s njima. Institucije trebaju poduzeti mjere kako bi osigurale da su njihovi radnici svjesni tih rizika u pogledu pranja novca i financiranja terorizma kao i utjecaja koji pranje novca i financiranje terorizma imaju na instituciju i cjelovitost financijskog sustava.

Okvir unutarnje kontrole treba obuhvaćati cijelu organizaciju, uključujući odgovornosti i zadaće upravljačkog tijela, i aktivnosti svih poslovnih linija i unutarnjih jedinica, uključujući kontrolne funkcije, eksternalizirane aktivnosti i distribucijske kanale.

Okvir unutarnje kontrole institucije treba osigurati:

• a. učinkovito i djelotvorno poslovanje;
• b. razborito vođenje poslovanja;
• c. prikladno utvrđivanje, mjerenje i smanjenje rizikâ;
• d. pouzdanost financijskih i nefinancijskih informacija o kojima se izvješću je na unutarnjoj i vanjskoj razini;
• e. dobre administrativne i računovodstvene postupke; i
• f. usklađenost sa zakonima, propisima, nadzornim zahtjevima te unutarnjim politikama, postupcima, pravilima i odlukama institucije.