12.2 Dokumentácia úverov pre členov riadiaceho orgánu a ich spriaznené osoby a ďalšie informácie

Inštitúcie majú takisto chrániť osoby, ktoré boli nahlásené, pred akýmikoľvek negatívnymi účinkami v prípade, že sa pri vyšetrovaní nezistia dôkazy, ktoré by odôvodňovali prijatie opatrení proti tejto osobe. Ak sa opatrenia prijmú, inštitúcia ich má prijať spôsobom, ktorý má za cieľ chrániť dotknutú osobu pred neželanými negatívnymi vplyvmi, ktoré presahujú cieľ prijatého opatrenia.

Postupy na predkladanie vnútorných upozornení:

• a. sa majú zdokumentovať (napr. príručky pre zamestnancov);
• b. majú poskytnúť jasné pravidlá s cieľom zabezpečiť, aby sa s informáciami o podávaní správ a o nahlásených osobách a porušeniach v súlade s nariadením (EÚ) 2016/679 zaobchádzalo dôverne, pokiaľ sa podľa vnútroštátneho práva v súvislosti s ďalšími vyšetrovaniami alebo následnými súdnymi konaniami nevyžaduje ich zverejnenie;
• c. majú chrániť zamestnancov, ktorí uvádzajú obavy z viktimizácie z dôvodu, že zverejnili porušenia, ktoré sa majú nahlásiť;
• d. majú zabezpečiť, aby sa potenciálne alebo skutočné porušenia posúdili a vystupňovali, a to podľa potreby príslušnému orgánu alebo orgánu presadzovania práva;
• e. majú zabezpečiť, ak je to možné, aby sa zamestnancom, ktorí upozornili na potenciálne alebo skutočné porušenia, zaslalo potvrdenie o prijatí týchto informácií;
• f. majú zabezpečiť sledovanie výsledkov vyšetrovania nahláseného porušenia; a
• g. majú zabezpečiť náležité uchovávanie záznamov.

Príslušné orgány majú zaviesť účinné a spoľahlivé mechanizmy, ktoré zamestnancom inštitúcií umožnia nahlasovať príslušným orgánom závažné potenciálne alebo skutočné porušenia regulačných požiadaviek, okrem iného vrátane požiadaviek nariadenia (EÚ) č. 575/2013 a vnútroštátnych ustanovení, ktorými sa transponuje smernica 2013/36/EÚ. Tieto mechanizmy majú obsahovať minimálne:

• a. osobitné postupy na prijímanie správ o porušeniach a následných opatreniach, napríklad na určených oddeleniach, útvaroch či funkciách zameraných osobitne na oznamovanie protispoločenskej činnosti;
• b. primeranú ochranu, ako sa uvádza v oddiele 13;
• c. ochranu osobných údajov fyzickej osoby, ktorá nahlasuje porušenie, a fyzickej osoby, ktorá údajne zodpovedá za porušenie, v súlade s nariadením (EÚ) 2016/679 (všeobecné nariadenie o ochrane údajov); a
• d. jasné postupy, ako sa stanovuje v odseku 13.

Bez toho, aby bola dotknutá možnosť nahlasovania porušení prostredníctvom mechanizmov príslušných orgánov, príslušné orgány môžu povzbudiť zamestnancov, aby sa najskôr pokúsili využiť postupy na predkladanie vnútorných upozornení svojich inštitúcií.

Inštitúcie majú rozvíjať a udržiavať kultúru, ktorá podporuje pozitívny postoj ku kontrole rizík a k dodržiavaniu súladu v rámci inštitúcie, a spoľahlivý a komplexný rámec vnútornej kontroly. V tomto rámci majú byť obchodné línie inštitúcií zodpovedné za riadenie rizík, ktoré im vzniknú pri vykonávaní ich činností, a mali by mať zavedené kontroly zamerané na zabezpečenie súladu s vnútornými a vonkajšími požiadavkami. Ako súčasť tohto rámca majú inštitúcie mať funkcie vnútornej kontroly s primeranou a dostatočnou právomocou, vážnosťou a prístupom k riadiacemu orgánu na plnenie ich poslania, a rámec riadenia rizík.

Rámec vnútornej kontroly príslušnej inštitúcie sa má individuálne prispôsobiť špecifickosti jej činností, jej komplexnosti a súvisiacim rizikám pri zohľadnení kontextu skupiny. Inštitúcie majú organizovať výmenu potrebných informácií takým spôsobom, ktorým sa zabezpečí, aby každý riadiaci orgán, obchodná línia a vnútorný útvar vrátane každej funkcie vnútornej kontroly mohol plniť svoje povinnosti. To napríklad znamená potrebnú výmenu príslušných informácií medzi obchodnými líniami a funkciou dodržiavania súladu a funkciou dodržiavania predpisov v oblasti boja proti praniu špinavých peňazí/financovaniu terorizmu na úrovni skupiny, pokiaľ ide o samostatnú funkciu kontroly, a medzi vedúcimi funkcií vnútornej kontroly na úrovni skupiny a riadiacim orgánom inštitúcie.

Inštitúcie majú zaviesť vhodné procesy a postupy, ktorými sa zabezpečí dodržiavanie ich povinností v súvislosti s bojom proti praniu špinavých peňazí a financovaniu terorizmu. Inštitúcie majú posúdiť mieru vystavenia riziku, že môžu byť použité na účely prania špinavých peňazí alebo financovania terorizmu, a v prípade potreby prijať zmierňujúce opatrenia na zníženie tohto rizika, ako aj s ním súvisiaceho operačného rizika a rizika poškodenia dobrej povesti. Inštitúcie majú prijať opatrenia na zabezpečenie toho, aby boli ich zamestnanci informovaní o takýchto rizikách prania špinavých peňazí a financovania terorizmu a o vplyve, ktorý majú na inštitúciu a integritu finančného systému.

Rámec vnútornej kontroly sa má vzťahovať na celú organizáciu vrátane zodpovedností a úloh riadiaceho orgánu a činností všetkých obchodných línií a vnútorných útvarov vrátane funkcií vnútornej kontroly, externe zabezpečovaných činností a distribučných kanálov.

Rámec vnútornej kontroly inštitúcie má zabezpečiť:

• a. efektívne a účinné operácie;
• b. obozretné vykonávanie činnosti;
• c. primeranú identifikáciu, meranie a zmierňovanie rizík;
• d. spoľahlivosť finančných a nefinančných informácií vykazovaných interne aj externe;
• e. riadne správne a účtovné postupy; a
• f. dodržiavanie zákonov, predpisov, požiadaviek dohľadu a vnútorných politík, procesov, pravidiel a rozhodnutí inštitúcie.