12.2 A vezető testület tagjainak és kapcsolt feleiknek nyújtott hitelek és a kiegészítő információk dokumentálása

Az intézményeknek továbbá meg kell védeniük a bejelentés tárgyát képező személyeket az esetleges negatív hatásoktól abban az esetben, ha a vizsgálat során nem találnak olyan bizonyítékot, amely indokolhatná az érintett személlyel szemben hozott intézkedéseket. Ha sor kerül ilyen intézkedésekre, az intézménynek úgy kell meghoznia azokat, hogy közben igyekezzen megvédeni az érintett személyt azoktól a nem szándékos negatív hatásoktól, amelyek a hozott intézkedés célját meghaladják.

A belső figyelmeztetési folyamatokat különösen:

• a. dokumentálni kell (pl. személyzeti kézikönyv);
• b. egyértelmű szabályokat kell tartalmazniuk, amelyek biztosítják, hogy a bejelentő és a jelentés tárgyát képező személyekre, valamint a jogsértésre vonatkozó információkat az (EU) 2016/679 rendelettel összhangban bizalmasan kezelik, kivéve akkor, ha a nyilvánosságra hozatalt a nemzeti jog a további vizsgálatok vagy az azt követő bírósági eljárás összefüggésében előírja;
• c. megvédik az aggályaikat megfogalmazó személyeket attól, hogy a bejelenthető jogsértések feltárása miatt áldozattá váljanak;
• d. biztosítják, hogy a bejelentett potenciális vagy tényleges jogsértéseket értékeljék és továbbítsák, adott esetben a releváns illetékes hatóság vagy bűnüldöző szerv felé;
• e. biztosítják, hogy adott esetben a potenciális vagy tényleges jogsértés bejelentő munkatárs részére megerősítést küldjenek az információ beérkezéséről;
• f. biztosítják a bejelentett jogsértéssel kapcsolatos vizsgálat eredményének nyomon követését; továbbá
• g. biztosítják a megfelelő nyilvántartás vezetését.

Az illetékes hatóságoknak hatékony és megbízható mechanizmusokat kell létrehozniuk annak érdekében, hogy az intézmények munkatársai bejelenthessék a jogszabályi követelmények potenciális vagy tényleges megsértését, beleértve többek között az 575/2013/EU rendelet követelményeit, valamint a 2013/36/EU irányelvet átültető nemzeti végrehajtási rendelkezéseket. E mechanizmusoknak legalább a következőkre kell kiterjedniük:

• a. a jogsértésekről szóló jelentések átvételére és nyomon követésére vonatkozó konkrét eljárások, például egy külön visszaélés - bejelentési osztály, egység vagy részleg;
• b. a 13. szakaszban említett megfelelő védelem;
• c. a jogsértést bejelentő természetes személy, valamint a jogsértésért feltehetően felelős természetes személy személyes adatainak védelme, az (EU) 2016/679 rendelettel (általános adatvédelmi rendelet) összhangban; valamint
• d. a 13. pontban meghatározott egyértelmű eljárások.

A jogsértéseknek az illetékes hatóságok mechanizmusai révén történő bejelentésére irányuló lehetőség sérelme nélkül az illetékes hatóságok arra ösztönözhetik az intézmény munkatársait, hogy először vegyék igénybe az intézmény belső figyelmeztetési eljárásait.

Az intézményeknek olyan kultúrát kell kialakítaniuk és fenntartaniuk, amely ösztönzi az intézményen belüli kockázatellenőrzéssel és megfeleléssel kapcsolatos pozitív hozzáállást, valamint a megbízható és átfogó belsőkontroll - keretrendszert. E keretrendszer szerint az intézmény üzletágai felelnek a tevékenységük végzése során felmerülő kockázatok kezeléséért, és olyan ellenőrzésekkel rendelkeznek, amelyek biztosítják a belső és külső követelményeknek való megfelelést. E keretrendszer részeként az intézményeknek a feladataik ellátásához megfelelő és kellő önállósággal, mérettel és a vezető testülethez való hozzáféréssel rendelkező belsőkontroll - részleggel, valamint kockázatkezelési keretrendszerrel kell rendelkezniük.

Az érintett intézmény belsőkontroll - keretrendszerét egyéni alapon a saját üzleti tevékenységéhez, összetettségéhez és a kapcsolódó kockázatokhoz kell igazítani, figyelembe véve a vállalatcsoport kontextusát. Az érintett intézményeknek a szükséges információ cseréjét oly módon kell megszervezniük, hogy az biztosítsa, hogy minden egyes vezető testület, üzletág és belső egység – az egyes belsőkontroll - részlegeket is beleértve – képes legyen kötelességeinek teljesítésére. Ez például azt jelenti, hogy meg kell osztani a megfelelő információkat az üzletágak és a csoportszintű megfelelési részleg és az AML/CFT megfelelési részleg (amennyiben az különálló ellenőrzési részleg), valamint a csoportszintű belsőkontroll - részlegek vezetői és az intézmény vezető testülete között.

Az intézményeknek megfelelő folyamatokat és eljárásokat kell bevezetniük, amelyek biztosítják, hogy megfelelnek a pénzmosás és a terrorizmus finanszírozása elleni küzdelemmel kapcsolatos kötelezettségeiknek. Az intézményeknek fel kell mérniük, hogy ki vannak - e téve annak a kockázatnak, hogy felhasználhatják őket pénzmosásra vagy a terrorizmus finanszírozására, és szükség esetén intézkedéseket kell hozniuk e kockázatok és az ezekhez kapcsolódó működési és reputációs kockázatok csökkentése érdekében. Az intézményeknek intézkedéseket kell hozniuk annak biztosítása érdekében, hogy alkalmazottaik tisztában legyenek az ilyen pénzmosási és terrorizmusfinanszírozási kockázatokkal, valamint a pénzmosásnak és terrorizmusfinanszírozásnak az intézményre és a pénzügyi rendszer integritására gyakorolt hatásával.

A belsőkontroll - keretrendszernek a teljes szervezetre ki kell terjednie, a vezető testület felelősségi köreit és feladatait is beleértve, ahogy az összes üzletág és belső egység tevékenységeire is, beleértve a belsőkontroll - részlegeket, a kiszervezett tevékenységeket és forgalmazási csatornákat.

Az intézmények belsőkontroll - keretrendszerének a következőket kell biztosítania:

• a. eredményes és hatékony műveletek;
• b. prudens ügymenet;
• c. a kockázatok megfelelő azonosítása, mérése és csökkentése;
• d. a belsőleg és külsőleg bejelentett pénzügyi és nem pénzügyi információk megbízhatósága;
• e. megbízható adminisztratív és számviteli eljárások; továbbá
• f. a jogszabályoknak, rendeleteknek, felügyeleti előírásoknak, továbbá az intézmény belső politikáinak, eljárásainak, szabályainak és döntéseinek való megfelelés.