12.2 Dokumentering av lån till ledningsorganets ledamöter och deras närstående parter samt ytterligare information

Instituten bör säkerställa att den som rapporterar överträdelsen skyddas från alla eventuella negativa följder såsom repressalier, diskriminering och andra former av orättvis behandling. Institutet bör säkerställa att ingen person som står under institutets kontroll utsätter en person som rapporterat en överträdelse för bestraffning eller diskriminering och bör om så sker vidta lämpliga åtgärder mot de ansvariga.

Instituten bör även skydda personer som är föremål för rapportering från negativa följder om inga bevis som motiverar åtgärder mot personen framkommer under utredningen. Om åtgärder vidtas bör det göras på ett sätt som syftar till att skydda den berörda personen från oavsiktliga negativa effekter som går utöver avsikten med åtgärderna.

I synnerhet bör interna förfaranden för uppgiftslämning

• a. dokumenteras (t.ex. i personalhandböcker),
• b. omfatta tydliga regler som säkerställer att uppgifter om den som rapporterar en överträdelse, den som är föremål för rapportering och överträdelsen i sig behandlas konfidentiellt i enlighet med direktiv 95/2016/EG, såvida inte offentliggörande i enlighet med nationell lagstiftning krävs i samband med ytterligare utredningar eller efterföljande rättsliga förfaranden,
• c. skydda personal som tar upp problem mot att drabbas av bestraffning eller diskriminering till följd av att de röjt överträdelser som kan rapporteras,
• d. säkerställa att de potentiella eller faktiska överträdelser som tas upp bedöms och rapporteras, när det är lämpligt även till relevant behörig myndighet eller brottsbekämpande organ, EBA Regular Use
• e. säkerställa, där så är möjligt, att personal som rapporterat en potentiell eller faktisk överträdelse får en bekräftelse på att uppgifterna tagits emot,
• f. säkerställa att resultaten av utredningar av rapporterade överträdelser följs upp, och
• g. säkerställa lämplig registerhållning.

Behöriga myndigheter bör inrätta effektiva och tillförlitliga mekanismer för att underlätta för institutens personal att rapportera till behöriga myndigheter om potentiella eller faktiska överträdelser av rättsliga och administrativa krav, inklusive men inte begränsat till kraven i förordning (EU) nr 575/2013 och nationella bestämmelser om införlivande av direktiv 2013/36/EU. Dessa mekanismer bör åtminstone omfatta

• a. särskilda förfaranden för mottagande av rapporter om överträdelser och uppföljning av dem, exempelvis en särskild avdelning, enhet eller funktion för visselblåsning,
• b. lämpligt skydd såsom beskrivs i avsnitt 13,
• c. skydd av personuppgifter både för den fysiska person som rapporterar överträdelsen och den fysiska person som påstås vara ansvarig för överträdelsen, i enlighet med förordning nr 2016/679/EG (den allmänna dataskyddsförordningen), och
• d. tydliga förfaranden i enlighet med avsnitt 13.

Utan att det påverkar möjligheten att rapportera överträdelser via behöriga myndigheters mekanismer kan dessa myndigheter uppmuntra personalen att först försöka använda de interna förfarandena för uppgiftslämning vid det institut där de arbetar.

Instituten bör utveckla och upprätthålla en kultur som främjar en positiv inställning till riskkontroll och efterlevnad inom institutet samt ett robust och heltäckande ramverk för internkontroll. Inom detta ramverk bör institutets olika affärsområden vara ansvariga för hanteringen av de risker som deras respektive verksamhet medför och tillämpa kontroller i syfte att säkerställa efterlevnaden av interna och externa krav. Som en del av detta ramverk bör instituten ha interna kontrollfunktioner med lämplig och tillräcklig auktoritet, tyngd och tillgång till ledningsorganet för att kunna fullgöra sitt uppdrag samt ett ramverk för riskhantering. EBA Regular Use

Det berörda institutets ramverk för internkontroll bör vara anpassat på individuell nivå till dess verksamhets specifika karaktär, dess komplexitet och de medföljande riskerna, med beaktande av koncernkontexten. Berörda institut bör organisera det nödvändiga informationsutbytet på ett sätt som säkerställer att varje ledningsorgan, affärsområde och intern enhet, inklusive varje intern kontrollfunktion, kan utföra sina uppgifter. Detta innebär exempelvis ett nödvändigt och tillräckligt informationsutbyte mellan affärsområdena och efterlevnadsfunktionen och efterlevnadsfunktionen i frågor om bekämpning av penningtvätt och finansiering av terrorism (om den utgör en separat kontrollfunktion) på koncernnivå samt mellan cheferna för interna kontrollfunktioner på koncernnivå och institutets ledningsorgan.

Instituten bör genomföra lämpliga processer och förfaranden som säkerställer att de fullgör sina skyldigheter i fråga om bekämpning av penningtvätt och finansiering av terrorism. Instituten bör bedöma sin exponering för risken för att de kan utnyttjas för penningtvätt eller finansiering av terrorism och vid behov vidta mildrande åtgärder för att minska dessa risker samt sina tillhörande operativa och anseendemässiga risker. Instituten bör vidta åtgärder för att säkerställa att personalen är medveten om sådana risker för penningtvätt och finansiering av terrorism samt om hur penningtvätt och finansiering av terrorism påverkar institutet och det finansiella systemets integritet.

Ramverket för internkontroll bör omfatta hela organisationen, inklusive ledningsorganets ansvarsområden och uppgifter, och samtliga affärsområdens och interna enheters verksamheter, inbegripet interna kontrollfunktioner samt utkontrakteradverksamhet och distributionskanaler.