Tulenevalt rahapesu ja terrorismi rahastamise tõkestamise seadusest (edaspidi RahaPTS) teostab Rahapesu Andmebüroo (edaspidi RAB) järelevalvet kohustatud isikute tegevuse üle RahaPTS ja rahvusvahelise sanktsiooni seaduse nõuete osas.
Tulenevalt eelnevast teostab RAB järelevalvemenetlusi ka virtuaalvääringu teenuse pakkujate (edaspidi VASP) tegevuse osas.
RAB viis 2022. a lõpuni läbi 2021. a lõpus alustatud 10 VASP järelevalvemenetlust. Mitmed järelevalvemenetlused lõppesid enne menetluse lõppu, sest VASP-id ise otsustasid loobuda enda tegevusloast Majandustegevuse registris (edaspidi MTR). Mitmed tegevusloast loobumised olid seotud järelevalvemenetluse käigus tuvastatud märkimisväärsete rikkumistega, mis viisid ettevõtted mõistmiseni, et järelevalve tuvastab nende tegevuses niivõrd olulisi rikkumisi, mille tulemusel tunnistaks RAB nende tegevusloa kehtetuks. Eelnevalt mainitud 10 järelevalvest 5 lõppesid ettevõtte poolt vabatahtlikult majandustegevusest loobumise tulemusel. Nende viie ettevõtte kohta on RAB avaldanud ka artiklid enda kodulehel.
Antud märgukirja üheks eesmärgiks on tuua välja peamised puudused, mida RAB on järelevalvemenetlustes tuvastanud. Teiseks eesmärgiks on anda ülevaade parimatest praktikatest rahapesu ja terrorismi rahastamise riskide maandamisel. Eelnevalt kirjeldatud puuduste ja parimate praktikate välja toomine aitab tõsta VASP-ide teadlikkust RahaPTS nõuete rakendamise osas, mis aitab omakorda maandada rahapesu ja terrorismi rahastamise riske.
VASP-ide järelevalvetes tuvastatud peamised puudused
Organisatsiooni struktuur ja kultuur
Tõhusa rahapesu ja terrorismi rahastamise tõkestamise ja riskide maandamise aluseks on ettevõtte juhtkond, kes juurutab rahapesu ja terrorismi rahastamise tõkestamise põhimõtteid ja olulisust. Ainult ettevõtte sisemiste protseduuride muutmine ei ole piisav edendamaks rahapesu ja terrorismi rahastamise tõkestamist. Juhtkond peab aktiivselt osalema uute protseduuride koostamisel ning rahapesu ja terrorismi rahastamise kultuuri kujundamisel ettevõttes. Samuti tuleb juhtkonnal selgitada, milleks mingi protseduuri loodud on – ei piisa, kui selgitatakse kuidas uute protseduuride järgi töötada, vaid töötajad peavad mõistma miks see on vajalik ja milleks seda tehakse. Ettevõtte juhtkond peab mõistma, et investeering rahapesu ja terrorismi rahastamise tõkestamisesse ei ole ebaoluline, vaid just vältimatult vajalik, et tegutseda vastavalt RahaPTS-le ning tõkestada finantskuritegevust. Lühidalt öeldes rahapesu ja terrorismi rahastamise tõkestamine algab kohustatud isiku juhatuse poolse kultuuri ja mõtteviisi loomisest ettevõttes, et rahapesu ja terrorismi rahastamise tõkestamine on tähtis.
Täiendav investeering ei saa olla vaid tehniliste lahenduste hankimine. Rahapesu ja terrorismi rahastamise riskide maandamise aluseks on asjaolu, et ettevõttes on olemas vastav struktuur nende riskide maandamiseks piisava tööjõuga. Ettevõtte struktuur peab olema üles ehitatud kolme kaitseliini põhimõttel, mis aitab vältida huvide konflikti tekkimist erinvate kaitseliinide vahel.
Kolme kaitseliini põhimõte on maandada rahapesu ja terrorismi rahastamise riske selliselt, et ei tekiks huvide konflikti kaitseliinide vahel. RAB on järelevalvemenetlustes tuvastanud, et VASP-ide juhatuse liikmed, kes tegelevad riskide võtmisega (I kaitseliin) ehk kliendisuhete loomisega, on ühtlasi vastutavad ka II kaitseliini tööülesannete eest ehk riskide maandamise eest. Eelnevalt kirjeldatud olukorras on tegemist huvide konfliktiga I ja II kaitseliini vahel, sest riskide võtja (I kaitseliin) ei saa olla samal ajal ka iseenda võetud riskide hindaja (II kaitseliin).
Järelevalves tuvastatud asjaolude kohaselt puudus mitmel VASP-il piisav ressurss sh tööjõud, et tulla toime niivõrd suure klientide arvuga, kellest osad on kõrge riskiga. Näiteks oli tegemist olukorraga, kus ettevõttes oli tööl 2 töötajat, aga kliente oli ettevõttes üle 400 000, käive üle 5 miljardi ja kliendid tegid üle 9 miljoni tehingu. Eelnevalt nimetatud vähese ressursi puudumine põhjustas ettevõttes olukorra, kus RAB tuvastas mitmeid RahaPTS nõuete rikkumisi, mida oleks aga saanud vältida, kui ettevõttes oleks olnud piisavalt tööjõudu, et kohaldada nõuetekohaselt hoolsusmeetmeid.
RAB-i soovitus on, et VASP-idel oleks piisavalt ressurssi, mis võimaldaks maandada rahapesu ja terrorismi rahastamise riske, mis omakorda aitab vältida ka huvide konflikti teket erinevate kaitseliinide vahel. Kui eelnevalt nimetatud asjaoludes on puudused, siis see ilmestab selgelt seda, et ettevõte ei mõista enda tegevusega kaasnevaid riske ega suuda neid riske juhtida. RAB on tuvastanud, et virtuaalvääringu teenuse pakkumisel ei piisa vaid tehnilistele lahendustele tuginemine. Kõik turul pakutavad tehnilised lahendused ei tööta vastavalt ettevõtte riskiisule, vaid üldiste parameetrite järgi. Kõikidel virtuaalvääringu teenusepakkujatel ei saa olla ühesugused alused riskiisu ja riskihinnangu koostamisel ning meetmed riskide maandamiseks. Seega on oluline, et lisaks tehnilistele lahendustele, panustatakse ka inimressursile. Kompetentset tööjõudu on vaja ka selleks, et kontrollida automatiseeritud tehnilisi lahendusi ning vajadusel kohaldada hoolsusmeetmeid uuesti või teha täiendavaid toiminguid.
Riskihinnang ja riskiisu
VASP-id on kohustatud rahapesu ja terrorismi rahastamise riskide maandamiseks ning rahvusvahelise sanktsiooni kohaldamiseks koostama riskihinnangu ja riskiisu. Riskihinnangu eesmärk on tuvastada, hinnata ning analüüsida ettevõtte tegevusega kaasnevaid rahapesu ja terrorismi rahastamise, rahvusvahelise sanktsiooni rikkumise kui ka massihävitusrelvade leviku rahastamise riske. Riskiisu eesmärk on määratleda riskide taseme ja riskide tüüpide kogum, mida ettevõte on valmis enda majandustegevuses võtma. Mõlemat eelnimetatud dokumenti tuleb regulaarselt uuendada, et need oleksid kooskõlas ettevõtte süsteemide ja tegevusega, riskidega.
RAB on järelevalvetes mitmel juhul tuvastanud, et VASP-ide riskihinnang ja riskiisu ei ole vastavuses ettevõtte tegeliku tegevuse ja sellega kaasnevate riskidega. Eelnev tähendab seda, et VASP-id ei ole kajastanud enda riskihinnangus ja riskiisus kõiki riske, mis nende tegevusega tegelikult kaasneb. Kui ettevõtte tehingute käive ja arv, klientide arv, pakutavate teenuste maht või töötajate arv suureneb või laieneb geograafiline tegevus, siis vastavalt sellele tuleb ettevõttel üle vaadata ka riskihinnang ja riskiisu, sest eelnevalt nimetatud asjaolud on otseselt seotud rahapesu, terrorismi rahastamise ja finantssanktsioonidega seotud riskidega. RAB on tuvastanud, et tihtipeale ei ole ettevõtted peale tegevusloa saamist riskihinnangu ja riskiisu dokumenti uuendanud/ajakohastanud ega uusi asjaolusid analüüsinud, kuigi näiteks ettevõte klientide arv ja tehingute käive on tõusnud mitmekordselt ja kliendisuhteid luuakse uutes geograafilistest piirkondadest võrreldes esialgselt äriplaanis välja toodud prognoosiga. Samuti tuleb riskihinnangut ja riskiisu uuendada, kui ettevõte hakkab pakkuma mingisugust uut teenust – näiteks esialgu pakkus VASP ainult virtuaalvääringu vahetusteenust, kuid äritegevuse kestel otsustab hakata pakkuma ka virtuaalvääringu rahakotiteenust. Uue teenuse lisamine toob ettevõtte igapäevasesse tegevusse kaasa ka uued rahapesu ja terrorismi rahastamise riskid, mida tuleb hinnata, analüüsida ja maandada ning otsusta selle pinnalt, kas seda riski ollakse valmis võtma või mitte.
RAB on tuvastanud järelevalves mitmeid puudusi selles, et riskiisu ja riskihinnangu dokumendid ei ole omavahel kooskõlas. Kui ettevõtte riskihinnang on puudulik, ei ole ettevõte võimeline määratlema ka korrektset riskiisu, sest riskitaluvuse ehk riskiisu eeltingimuseks on nõuetele vastav riskihinnang. Seetõttu jääb ettevõttel määramata kvalitatiivsel ja kvantitatiivsel tasemel (mõõdetavad) riskid, mida kohustatud isik oli valmis oma äritegevuses võtma või mida ta soovib vältida seoses rahapesu, terrorismi rahastamise ja finantssanktsioonide riskidega. Näiteks tihti ettevõte on oma riskiisus määratlenud, milliseid riske ta võtab, kuid riskihinnangus ei ole üldse vastavaid riske/ohte analüüsitud. Puudused või vastuolud riskihinnangus ja riskiisus näitavad omakorda ettevõtte juhatuse suutmatust paika panna organisatsiooni struktuuri, kes oleks vastutav riskihinnangu ja riskiisu vastavuse eest. Vastupidiselt eelnevale on RAB enda töös näinud ka väga paljusid ettevõtteid, kes on korrektsed ja pidevalt uuendavad enda riskiisu ja riskihinnangut. Samuti on RAB järelevalves näinud ettevõtteid, kes on järelevalve alguses aru saanud oma riskikeskkonnast ja puudustest ning on sellest tulenevalt hakanud muutma oma riskihinnangut ja riskiisu järelevalve kestel, et riskihinnang ja riskiisu oleks vastavuses ettevõtte tegevusega kaasnevate reaalsete rahapesu ja terrorismi rahastamise riskidega.
Füüsilise isiku isikusamasuse tuvastamine
Väga palju probleeme on järelevalvetes tuvastatud VASP-ide klientide isikusamasuse tuvastamisega. Antud probleemile on RAB juhtinud ka varasemalt avalikult tähelepanu, et VASP-id tihtipeale ei tea, kes on nende tegelikud kliendid.[1] Euroopa Nõukogu ekspertkomitee Moneyval raporti kohaselt peavad samuti VASP-id panema rohkem ressurssi kliendi isikusamasuse tuvastamisele, sest VASP-id on kõrge riskiga sektor ning suur osa VASP-ide klientidest on mitteresidendid, kellega kaasnevad samuti suuremad rahapesu ja terrorismi rahastamise riskid.[2]
Eelkõige on RAB tuvastanud probleeme isikusamasuse tuvastamisel klientide osas, kes on pärit Euroopa Majanduspiirkonna välisest riigist või tema elu- või asukoht on sellises riigis ning kui nende potentsiaalsete klientide isikusamasus tuvastatakse kaugtuvastuse teel. Eelnevalt nimetatud olukord nõuab muuhulgas, et isikuga viidaks läbi videointervjuu, mis tähendab reaalset isikuga suhtlemist sellisel moel, mida teostataks muidu isikuga vahetul kohtumisel (struktureeritud vestluse, lähtudes ankeetküsitluse tulemustest). Lisaks on nõutud, et VASP-id kasutaksid sellises olukorras isikusamasuse tuvastamiseks kõrge usaldusväärsuse tasemega e-identimise süsteemi vahendit (RahaPTS §-s 31 lg 6). VASP-id ei saa luua ärisuhteid isikutega, kes asuvad väljaspool Euroopa Majanduspiirkonda ja kellel puudub kõrge usaldusväärsuse tasemega e-identimise süsteemi vahend ja võimekus, sest sellisel juhul ei ole kaugtuvastamise teel isikusamasus tuvastatud nõuetekohaselt. Siinakohal juhime tähelepanu ka asjaolule, et ainuüksi nõuetele vastava e-identimise süsteemi olemasolu ei tähenda seda, et kliendi tuvastus oleks tehtud nõuetekohaselt. VASP peab jälgima, et antud e-identimise süsteem võimaldab konkreetse riigi kliendil seeläbi saada tuvastatud vastavalt nõuetele.
RAB-i soovitused eelnevalt kirjeldatud vigade vältimiseks
Järgnevalt on RAB välja toonud joonistel soovituslikud juhised, kuidas võiks toimuda hoolsusmeetmete rakendamine ning isikusamasuse tuvastamine. RAB juhib tähelepanu asjaolule, et tegemist on nõuetega, mida tuleb vajadusel täiendada arvestades sealjuures iga ettevõtte äritegevusega kaasnevaid rahapesu ja terrorismi rahastamise riske.
