EKP 2025. aasta SREP-tsüklis moodustas sisejuhtimine 17% kõigist kvalitatiivsetest meetmetest ja mitte ükski oluline krediidiasutus ei saanud selles elemendis paremat hinnet kui 2-. Põhjus ei ole puuduvad protseduurid, vaid see, et asutused panevad kokku esitluskõlbliku kausta seal, kus järelevalve testib toimivat kontrolli.
Kohapealseks kontrolliks valmistutakse peaaegu alati nii, nagu oleks tegemist dokumendiülevaatusega. Poliitikad värskendatakse, komiteede materjalid indekseeritakse, riskiisu avaldus trükitakse uuesti välja, kaanel jooksev aastaarv. Kõik see vastab küsimusele, mida järelevalve on ammu lakanud esitamast. Tegelik küsimus on kitsam ja tunduvalt raskem: kas kontroll toimib kogu populatsiooni ulatuses, mida ta väidab katvat, jättes jälje, mida asutuseväline inimene suudab järgida ilma kellegi kinnitust uskumata. Tähelepanekud sünnivad täpselt sellest vahest kausta ja kontrolli vahel, ning kontrollimeeskonnad on selle leidmises muutunud väga tõhusaks.
Koondnumbrid ütlevad sedasama. EKP 2025. aasta SREP-tsüklis, mis hõlmas 105 olulist krediidiasutust, moodustas sisejuhtimine 17% väljastatud kvalitatiivsetest meetmetest, jäädes alla üksnes krediidiriskile (40%). Sisejuhtimise keskmine hinne paranes 2,83-lt 2,77-le, mis näib edasiminekuna seni, kuni märkad, et 36% pankadest püsib endiselt hindel 3 ja et mitte ükski asutus ei ole selles elemendis saanud 2+ või paremat. Sisejuhtimine on valdkond, kus hinded liiguvad kõige vähem. Kirjapandud korrast puudust ei ole.
2020. aasta uuendus võttis organigrammilt kaitseväärtuse
Kui Institute of Internal Auditors 2020. aasta juulis oma mudeli uuesti avaldas, kadus nimest sõna "kaitse" ja, mis praktikas kaalub palju rohkem, lakati liine kirjeldamast kohtadena. Uuendatud Three Lines Model kirjeldab rolle: juhtorgani teostatavat järelevaatust, esimese ja teise liini rolle, mis mõlemad alluvad juhtkonnale, ning siseauditi sõltumatut kindlustunnet. Asutus ei saa seetõttu enam vastata järelevalve etteheitele, osutades organigrammil ühele kastikesele. Kui kontrolli kavandavad, kalibreerivad ja jälgivad needsamad inimesed, kes alustegevust teostavad, siis teise liini rolli ei täideta, ükskõik mida aruandlusliin väidab.
Euroopa õigus oli selles suunas juba liikunud. Suunis EBA/GL/2021/05 (2. juuli 2021) sätestab punktis 175 neli kumulatiivset tingimust, et sisekontrolli funktsiooni saaks pidada sõltumatuks: selle töötajad ei täida ühtegi operatiivülesannet valdkonnas, mida nad jälgivad; funktsioon on kontrollitavatest tegevustest organisatsiooniliselt eraldatud; selle juht ei allu isikule, kes vastutab jälgitavate tegevuste juhtimise eest; ning selle tasustamine ei ole seotud kontrollitavate tegevuste tulemustega. Just viimane tingimus murdub kõige vaiksemalt. Vastavuskontrolli juht, kelle muutuvtasu järgib ülevaadatava üksuse ärilisi tulemusi, kannab sõltumatuse puudust, mida ükski põhikiri ei paranda.
Aruandlusliine kontrollitakse samal põhjusel. Punkt 172 nõuab, et riskijuhtimise, vastavuskontrolli ja siseauditi juhid annaksid aru vahetult juhtorganile ning et juhtorgan hindaks nende tulemuslikkust. Punkt 174, mis kordab direktiivi 2013/36/EL artikli 76 lõiget 5, on veelgi karmim: riskijuhtimise funktsiooni juhti ei tohi tagandada ilma juhtorgani järelevalvefunktsiooni eelneva nõusolekuta. Rahapesu tõkestamise poolel nõuab suunis EBA/GL/2022/05, mida kohaldatakse alates 1. detsembrist 2022, et üks nimeliselt määratud juhtorgani liige kannaks lõplikku vastutust, ning paigutab AML/CFT vastavuskontrolli juhi teise liini koos otsejuurdepääsuga nõukogule. Neid sätteid ei loeta kavatsustena, vaid kontrollitakse. Kes kirjutas alla vastavuskontrolli juhi viimasele hindamisele ja kas järelevalvefunktsioon nägi seda enne allkirjastamist?
Kavandatud kontroll ja toimiv kontroll on kaks eri katset
Kavandatud kontroll elab protseduuris: omanik, teatatud sagedus, kirjeldatud toiming. Toimiv kontroll jätab iga kord jälje, milles on vähemalt kuupäev, ulatus, isik ja tulemus ning ebasoodsa tulemuse korral ka tehtud otsus ja selle tagajärg. Järelevalve testib neid eraldi. Teise katse asutused kaotavad.
Võtame kõrge riskiga kliendisuhete korralise ülevaatuse. Kavand on harva probleem. Toimimise otsustavad kaks küsimust. Esiteks populatsiooni terviklikkus: mitu kliendisuhet kuulus perioodil ulatusse, millisest süsteemist need võeti, millega neid võrreldi. Kui riskiaruandes olev arv erineb operatiivsüsteemi omast, ei käi jutt enam rahapesu tõkestamisest, vaid andmehaldusest, ja see nihe on toimunud enne, kui ühtegi toimikut on avatud. Teiseks valimi tulemused. Kontrollija võtab ehk kakskümmend viis toimikut, kallutatuna teadlikult keeruliste juhtumite poole, ja loeb, mis on kirja pandud sinna, kus omandiahel jäi läbipaistmatuks või klient koostööd ei teinud. Puhas toimik ei tõenda peaaegu midagi. Keeruline toimik näitab, kuidas kontroll käitub surve all.
Terviklikkus on selle paari alahinnatud pool. EKP on otsesõnu öelnud, et riskiandmete koondamise ja riskiaruandluse edenemine on jätkuvalt aeglane ja ebapiisav, tuues välja prioriseerimise puudumise nõukogu tasandil, ebasobiva andmearhitektuuri ja IT-taristu ning puudujäägid andmekvaliteedi kontrollides; ta lisab, et parandusprogrammidel napib sageli vajalikku ambitsiooni. RDARR moodustas 2025. aastal 20% sisejuhtimise kvalitatiivsetest meetmetest, samal tasemel riskijuhtimise raamistikuga ja vahetult juhtorgani järel (23%). Järelevalveprioriteedid aastateks 2026-2028 näevad ette sihitud kohapealsed kontrollid nii RDARR-raamistike kui ka varem tuvastatud raskete tähelepanekute üle. Asutus, kes ei suuda oma populatsioone omavahel kokku viia, peab arvestama, et tema teise liini töö jäetakse tervikuna kõrvale.
Limiidid, mis kedagi ei seo
Riskiisu raamistik on koht, kus teine liin muutub kõige sagedamini dekoratiivseks. Nõukogu kinnitab avalduse, mis on väljendatud koondsuhtarvudes ja mida ei viida kunagi tasemele, mida äriliini juht teisipäeva hommikul otsust tehes tunneks. Järelevalve on seda otse katsetanud. 2024. aasta neljandast kvartalist 2025. aasta teise kvartalini võrdles EKP 28 panga riskiisu raamistikke ning laiendas seda tööd alates 2025. aasta kolmandast kvartalist ligikaudu kahekümnele täiendavale olulisele krediidiasutusele. Enamikku raamistikke peeti küpseks. Puudujäägid olid täpsed: raamistikku ümbritsev juhtimisprotsess, teatavate mittefinantsriskide tegelik kaetus, riskide tuvastamise ja riskiisu omavaheline sobivus, mõõdikute ja limiitide detailsus ning tasustamisraamistiku seos riskiisuga. Detailsus on tehniline sõna selle kohta, kas limiit jõuab inimeseni, kes suudab seda ületada.
Sellega käib kaasas näitaja, mis toodetakse ja seejärel alla neelatakse. Lävend ületatakse, ületamine ilmub materjalidesse, protokoll märgib, et komitee võttis selle teadmiseks, ja edasi ei liigu miski. See on halvem kui mittemõõtmine, sest asutus on kuude kaupa dokumenteerinud, et nägi positsiooni halvenemist ega otsustanud midagi. Kogenud kontrollijad loevad näitajaridu tagurpidi just sel põhjusel: leia kuu, mil number pöördus, ja vaata siis, mis pärast seda muutus. Kui ainus vastus on joonealune märkus, on teine liin ehitanud aruandlustegevuse ja pidanud seda kontrolliks.
Eskaleerimist kontrollitakse ametiastme ja kuupäevade kaudu. Keda teavitati, millisel tasemel, mitu tööpäeva pärast avastamist ja millised volitused sellel isikul olid. Eskaleerimisahel, mis lõpeb komiteel, kellel puudub õigus tegevust peatada, ei ole eskaleerimisahel.
Tähelepanek, puudus ja plaan, mis libises
Asutused ajavad tähelepaneku ja puuduse harjumuspäraselt segamini; järelevalve mitte kunagi. Tähelepanek on tõenditega varustatud märkus. Puudus on järeldus, et kontroll ei saavuta oma eesmärki, ning sellel on raskusaste, nimeline vastutaja ja tähtaeg. Puuduse ümbernimetamine tähelepanekuks sõnastust pehmendades on tuntud käik, mille hind on samuti tuntud: kui sama teema järgmises tsüklis uuesti pinnale kerkib, saab varasemast pehmendusest tõend asutuse juhtimise kohta, mitte enam algse sisu kohta.
Parandusmeetmete jälgimine on koht, kus see hind kuhjub. Plaan, millel on sihtkvartal ja osakonna nimi, libiseb. Plaan, milles on nimeline vastutaja, vahetähtajad, määratletud sulgemistõendid ja valideerimine mõne muu funktsiooni kui parandaja enda poolt, üldjuhul peab. EKP on kehtestanud määratletud parandus- ja eskaleerimisprotsessi just selleks, et jälgida edenemist aja jooksul, ning varasematest tsüklitest üle kantud lahtised punktid loetakse hinnanguks juhtkonnale, mitte enam teemale endale.
Kakskümmend aastat Baseli juhendmaterjali osutab samale. 2005. aasta dokument vastavuskontrolli funktsiooni kohta nõudis juba siis, et pank suudaks tõendada valitud lähenemise tõhusust, ja 2015. aasta äriühingu üldjuhtimise põhimõtted kordasid sama ootust riskijuhtimise funktsiooni suhtes. Asutused loevad neid tekste struktuurikirjeldusena. Järelevalve loeb neid tõendamisnõudena.
Kaheksa nädalat enne kontrolli, kulutatud teisiti
Lõpetage poliitikate värskendamine. Valige välja kuus kontrolli, mis kaaluvad kõige rohkem selles, mida teine liin nõukogule kinnitab, ja koostage igaühe kohta üksainus lehekülg: populatsioon ja selle tuletamise viis, võrdlus lähtesüsteemidega, testitud valim ja selle tulemused, leitud erandid, eskaleerimised koos nimede ja kuupäevadega ning parandusmeetmete seis koos vastutajaga. Tehke see ära enne kontrollimeeskonna saabumist ja käsitlege iga kontrolli, mille kohta seda lehekülge ei õnnestu viie tööpäevaga kokku panna, puudusena, mille olete just ise tuvastanud. Öelge see siis avakoosolekul välja, tähtajad juures. Asutus, kes annab üle omaenda nimekirja nõrkadest kontrollidest, muudab kohapealse kontrolli iseloomu: meeskonna töö muutub avastamise asemel kontrollimiseks, valimid ahenevad ja järeldused tulevad kiiremini. Asutused, kes tulevad kohapealsest kontrollist hästi välja, on märkimisväärse järjekindlusega need, kes leidsid probleemi esimesena.
Allikad
Euroopa Keskpank, Aggregated results of the 2025 SREP, november 2025. Euroopa Keskpank, Supervisory priorities 2026-28, november 2025. Euroopa Keskpank, Annual Report on supervisory activities 2024, märts 2025. Euroopa Pangandusjärelevalve, Guidelines on internal governance under Directive 2013/36/EU (EBA/GL/2021/05), 2. juuli 2021. Euroopa Pangandusjärelevalve, Guidelines on the role and responsibilities of the AML/CFT compliance officer (EBA/GL/2022/05), 14. juuni 2022. Institute of Internal Auditors, The IIA's Three Lines Model: An Update of the Three Lines of Defense, juuli 2020. Baseli pangajärelevalve komitee, Compliance and the compliance function in banks, aprill 2005. Baseli pangajärelevalve komitee, Corporate governance principles for banks, juuli 2015.