Riskide juhtimise ja hoolsusmeetmete kohaldamise juhend

2.40. III kaitseliini moodustab sõltumatu ja tõhus siseauditi või sisekontrolli funktsioon, mille eesmärk on hinnata organisatsiooni protsesside ja kontrollimehhanismide toimimist. Siseauditi funktsiooni võib näha ette organisatsiooni struktuuris või sisse osta vastava teenuse osutajalt. Kui õigusaktidest ei tulene kohustust siseauditi funktsiooni loomiseks, peab kohustatud isik tagama kontrollifunktsiooni täitmise muul proportsionaalsel ja sõltumatul viisil, arvestades kohustatud isiku suurust, tegevuse olemust, riske ja keerukust ning huvide konflikti riski (juhendi punkt 3.37.).

2.41. Organisatsioonisiseselt võib siseauditi või sisekontrolli funktsiooni täita üks või mitu töötajat ja/või selleks moodustatud struktuuriüksus. Sel juhul struktuuriüksuse juht vastutab siseauditi ülesannete nõuetekohase täitmise eest. 

2.42. Siseauditi või sõltumatu sisekontrolli funktsiooni teostaja peamine ülesanne on seirata ning hinnata organisatsiooni kriitiliste protsesside ja süsteemide toimimist. Siseauditi või sisekontrolli funktsiooni täitja ei tohi hinnata (auditeerida) tegevusi või funktsioone, mille täitmises ta ise osaleb, vältimaks enesekontrolli riski ja huvide konflikti. Sama põhimõte kehtib ka sisemiste dokumentide väljatöötamise puhul – siseauditi funktsiooni täitja (siseaudiitor) ei tohi osaleda dokumentide koostamises või sisulises kujundamises, kui ta peab hiljem hindama nende dokumentide alusel toimiva sisekontrollisüsteemi tõhusust ja vastavust nõuetele.

2.43. Siseauditi või sisekontrolli teostajal peab olema piiramatu ja õigeaegne juurdepääs kogu asjakohasele teabele ning ta peab olema teadlik kohustatud isiku suurusest, tegevusest, teenustest, riskidest ja riskiisust ning omama ajakohast ülevaadet rahapesu ja terrorismi rahastamise riskidest, meetoditest ja trendidest. 

2.44. Siseauditi või sisekontrolli funktsioon hindab muu hulgas, kas:

2.44.1. organisatsiooniline ülesehitus toetab rahapesu ja terrorismi rahastamise tõkestamist;

2.44.2. sisemised dokumendid ja protsessid on a(s)jakohased ning vastavuses kehtivate õigusaktide nõuetega, samuti organisatsiooni riskiisu ja strateegiatega;

2.44.3. igapäevane tegevus vastab õigusaktidest tulenevatele nõuetele, sisemistele protseduurireeglitele ning muudele sisemistele dokumentidele;

2.44.4. I ja II kaitseliini tegevus on asjakohane, kvaliteetne ja mõjus ning huvide konfliktid puuduvad või need on piisavalt tuvastatud, hinnatud ja maandatud.

2.45. Auditi või sisekontrolli teostamise regulaarsuse määramisel tuleb arvestada kohustatud isiku suurust ning tegevuse ja osutatavate teenuste olemust, ulatust ja keerukusastet, sealhulgas riskiisu ja tegevusega kaasnevaid riske.

2.46. Väiksemate või ühe töötajaga ettevõtete puhul ei pruugi eraldiseisva siseauditi funktsiooni loomine olla põhjendatud. Sellisel juhul peab kohustatud isik ise tagama ja olema võimeline tõendama, et kontrollimehhanismid on rakendatud, nõuete täitmist on hinnatud ning asjakohased toimingud ja andmed on dokumenteeritud viisil, mis võimaldab nende hilisemat kontrolli ja taasesitamist.