Riskide juhtimise ja hoolsusmeetmete kohaldamise juhend

2.30. II kaitseliin hõlmab riskijuhtimise ja vastavuskontrolli funktsioone, mille eesmärk on tagada tegevuste vastavus kehtivatele õigusaktidele, juhenditele ning teistele asjakohastele dokumentidele, samuti hinnata õigusliku või regulatiivse keskkonna muudatuste võimalikku mõju kohustatud isiku tegevusele ja vastavuskontrolli raamistikule. 

2.31. Riskijuhtimise ja vastavuskontrolli funktsioone võib täita sama isik või struktuuriüksus. Juhul kui II kaitseliini eest vastutav isik täidab samal ajal ka muid tööülesandeid või funktsioone, peab juhatus tuvastama võimalikud huvide konfliktid ning rakendama asjakohaseid meetmeid nende vältimiseks või maandamiseks.

2.32. II kaitseliini ülesandeks on toetada I kaitseliini, tuvastada kohad, kus riskid esinevad (näiteks kahtlaste või ebaharilike tehingute ja tegevuse analüüs), ning aidata I kaitseliinil efektiivselt neid riske juhtida. II kaitseliin ei võta riske, kuid tagab kõigi riskide tuvastamise, hindamise, mõõtmise, jälgimise ja juhtimise ning teavitab neist juhatust. Riskijuhtimise funktsiooni täitja keskendub eelkõige riskiisust kinnipidamisele, riskide muutumise tuvastamisele ja kaasnevate riskide ülevaate andmisele juhatusele.

2.33. Vastavuskontrolli osana või selle kõrval tegutseb II kaitseliinis tavapäraselt ka Rahapesu Andmebüroo kontaktisik (edaspidi kontaktisik), kelle määrab ettevõtte juhatus ja kelle vastavuse RahaPTS-i nõuetele kinnitab Rahapesu Andmebüroo. Kontaktisiku määramise kohustus, sealhulgas erisused, on sätestatud RahaPTS-i § 17. Seejuures:

2.33.1. Kontaktisiku paiknemine organisatsiooni struktuuris peab olema selline, et võimaldab täita rahapesu ja terrorismi rahastamise tõkestamise nõudeid, nagu on õigusaktides sätestatud. Samuti tuleb tagada, et kontaktisik alluks vahetult juhatusele või filiaali juhatajale ning oleks võimalikult sõltumatu ettevõtte tavapärastest äriprotsessidest;

2.33.2. Kontaktisikul peab olema vajalik pädevus, vahendid ja vahetu juurdepääs asjakohasele teabele igal ajahetkel kogu organisatsioonis. See tähendab eelkõige juurdepääsu ärisuhete loomise aluseks või eelduseks olevale informatsioonile, sealhulgas kliendi isikuandmetele ning tema majandustegevust kajastavatele andmetele, dokumentidele ja muule olulisele teabele. Samuti tagab juhatus kontaktisikule õiguse vajadusel osaleda juhatuse koosolekutel, kui kontaktisik peab seda oma ülesannete täitmisel vajalikuks.

2.34. Kontaktisiku ülesanded on järgmised:

2.34.1. korraldada tegevuses ilmnevate ebatavaliste või rahapesu kahtlusega tehingute või asjaolude või terrorismi rahastamisele viitava teabe kogumist ja analüüsimist. Selleks säilitab ta muu hulgas kirjalikku taasesitamist võimaldavas vormis kõik töötajatelt laekunud teated kahtlaste ja ebaharilike tehingute kohta, samuti nende teadete analüüsimiseks kogutud informatsiooni ja muud asjakohased dokumendid;

2.34.2. edastada teavet Rahapesu Andmebüroole rahapesu või terrorismi rahastamise kahtluse korral. See hõlmab kohustust säilitada kirjalikku taasesitamist võimaldavas vormis Rahapesu Andmebüroole edastatud teated koos teate edastamise aja ja teate edastanud töötaja andmetega;

2.34.3. teha juhatusele perioodiliselt kirjalikke ülevaateid. Ülevaadete perioodilisus sõltub kohustatud isiku suurusest ning tema tegevusega kaasnevatest riskidest. Kohustatud isik määrab perioodilisuse ise, kuid ülevaade tuleb koostada vähemalt üks kord aastas. Ülevaates tuleb käsitleda vähemalt järgmisi teemasid:

• 2.34.3.1. rahapesu ja terrorismi rahastamise nüüdisaegsed meetodid, konkreetsed tüpoloogiad/kaasused ja trendid ning nendega kaasnevad riskid, sealhulgas nende mõju ning vajadus maandada riske organisatsioonilise ülesehituse ja sisekontrollisüsteemi kaudu;
• 2.34.3.2. tegevuse, teenuse osutamisega ja/või toodete pakkumisega kaasnevad riskid, nende mahud ning võimalikud muutused (nt otsustatakse lõpetada mõne teenuse või toote pakkumine, uute teenuste või toodete turuletoomine, kliendibaasi laiendamine või teenuste/toodete pakkumine väljaspool Eestit);
• 2.34.3.3. hinnang riskide maandamismeetmete (sealhulgas IT-süsteemide ja inimressursi) piisavusele ja tõhususele;
• 2.34.3.4. riskiisust kinnipidamise hindamine ning ettepanekud rahapesu ja terrorismi rahastamise tõkestamise meetmete, riskiisu ja/või riskihinnangu muutmiseks või täiendamiseks;
• 2.34.3.5. rahapesu ja terrorismi rahastamise tõkestamisega seotud intsidendid, sealhulgas sisemised teated ja Rahapesu Andmebüroole edastatud teated;
• 2.34.3.6. muud asjaolud, mis on vajalikud rahapesu ja terrorismi rahastamise tõkestamise nõuete täitmise selgitamiseks ja hindamiseks;
• 2.34.3.7. teatud riskide või intsidentide esinemisel tuleb koostada ja esitada ülevaade ka erakorraliselt ad-hoc versioonis. Erakorralise ülevaate koostamise vajaduse ja sellega seotud asjaolud otsustab II kaitseliin.

2.35. Kontaktisik täidab ka muidu rahapesu ja terrorismi rahastamise tõkestamisega seotud ülesandeid, mis ei ole pandud vastavuskontrolli või riskijuhtimise ülesanneteks. 

2.36. Protseduurid peavad sisaldama kontaktisiku asendamise korda. Ei ole lubatud olukord, kus kontaktisiku ülesanded on täitmata või nende täitmine ei ole tagatud.

2.37. Kontaktisiku määramine kooskõlastatakse Rahapesu Andmebürooga. Kui kontaktisikuks on määratud struktuuriüksus, siis täidab kontaktisiku ülesandeid, sealhulgas teadete esitamise kohustust, majandustegevuse registris märgitud ja Rahapesu Andmebüroo poolt kooskõlastatud struktuuriüksuse juht. Kui soovitakse, et struktuuriüksuses on teadete esitamise õigus ka teistel töötajatel peale struktuuriüksuse juhi, siis tuleb vastavad töötajad eelnevalt Rahapesu Andmebürooga kooskõlastada.

2.38. Uue kontaktisiku määramisest teavitatakse Rahapesu Andmebürood vähemalt 30 päeva enne kavandatava muudatuse jõustumist. Kui kontaktisiku muutmine on tingitud kohustatud isikust sõltumatutest asjaoludest, näiteks ootamatult töölt lahkumine, teavitab kohustatud isik Rahapesu Andmebürood viivitamata, kuid hiljemalt viie tööpäeva jooksul kontaktisiku muutumisest.^[12]