Ehdotettu voimaantulo on liian aikaisin.

Transkriptio

1 (12) Finanssivalvonnalle kirjaamo@finanssivalvonta.fi Lausuntopyyntö 9/2011, Dnro 1/01.00/2011 Finanssivalvonnan lausuntopyyntö operatiivisen riskin hallintaa koskevista määräyksistä ja ohjeista Finanssivalvonta (Fiva) on pyytänyt lausuntoa Finanssialan Keskusliitolta (FK) operatiivisen riskinhallintaa koskevien määräysten ja ohjeiden luonnoksesta (luonnos). Lausuntonaan FK esittää seuraavaa. Keskeiset asiat FK pitää hyvänä, että Fiva pyrkii määräyksessä ja ohjeessa kattamaan koko finanssisektorin. Luonnoksen rakenne on pääosin selkeä ja asiakokonaisuudet on helposti löydettävissä. Koko finanssisektoria koskevan määräyksen ja ohjeen tulee olla periaatepohjainen eikä hyvin yksityiskohtainen, kuten luonnos. FK kyseenalaistaa Fivan valtuudet antaa hyvin yksityiskohtaisia määräyksiä ja ohjeita. Finanssisektorin eri toimijoiden erilaisuus tulisi huomioida paremmin.. Luonnos pohjautuu lähes kokonaan luottolaitoksille tarkoitettuihin määräyksiin ja kansainvälisiin suosituksiin. Vakuutussektorin voimassa olevaa sääntelyä ja tulevan sääntelyn (Solvenssi II) aikataulua tai velvoittavuutta ei ole huomioitu. Ehdotettu voimaantulo on liian aikaisin. I Yleistä Ohjeena annettavat normit FK kiinnittää huomiota siihen, että merkittävä osa luonnoksen sääntelystä on tarkoitus antaa ohjeena, koska Fivalle ei ole annettu lainsäädännössä määräyksenantovaltuutusta. Suuri ohjeistuksen määrä on perustuslain ja valvottavien oikeusturvan kannalta ongelmallista. Perustuslain 80 :n 2 momentin mukaan hallintoviranomainen voidaan

2 (12) lailla valtuuttaa antamaan määräyksiä, jos siihen on sääntelyyn kohteeseen liittyviä erityisiä syitä eikä sääntelyn asiallinen merkitys edellytä, että asiasta säädetään lailla tai asetuksella. Kyseessä on aina tekninen ja vähäisiä yksityiskohtia koskeva sääntely, johon ei liity harkintavallan käyttöä. Sitovien määräysten lisäksi valvontaviranomainen voi antaa toimivaltansa rajoissa ohjeita ja suosituksia, jotka eivät ole oikeudellisesti sitovia. Ohjeilla ei kuitenkaan voida asettaa valvottaville lakiin perustumattomia velvoitteita, sillä muutoin perustuslain 80 :n 2 momentti menettää käytännössä merkityksensä FK korostaa, että viranomaisen ohjeella on finanssimarkkinoilla huomattava käytännön merkitys riippumatta siitä, ovatko ne lain valtuuden nojalla annettuja lainsäädäntöä täydentäviä määräyksiä vai muodollisesti sitomattomia ohjeita. Kun yksittäistapauksessa esimerkiksi oikeudessa tai lautakunnissa käsitellään valvottavan toimia, annetaan Fivan ohjeille huomattava merkitys. Sääntelyn kohteena olevan valvottavan näkökulmasta ei näin ollen ole ratkaisevaa eroa siinä, onko käytännössä sitovaksi koettu normi muodollisesti velvoittava vai ei. Valvottavien kannalta erityisen ongelmallista näissä tilanteissa on lisäksi se, että muodollisesti sitomattomista normeista puuttuu sitoviin normeihin liittyvä laajapohjainen valmistelu ja oikeussuojakoneisto. Yllämainitun takia FK katsoo, että Fivan ohjeena annettava sääntely on käytävä vielä tarkasti läpi ja ohjeista on poistettava kaikki lakiin perustumattomia velvoitteita asettavat kohdat. Lisäksi FK katsoo, että sääntelyn tarpeellisuus tulee kunkin ohjeen ja määräyksen kohdalla arvioida ja harkita tarkoin. On syytä varoa ylisääntelyä ja pyrkiä mieluimmin vähempään mutta parempaan sääntelyyn. Fivan uuteen määräys- ja ohjekokoelmaan ei tule automaattisesti ja ilman perusteellista harkintaa siirtää aiempien viranomaisten ohjeita ja kannanottoja tai tuoda yhden sektorin sääntelyä suoraan toiselle sektorille. FK katsoo, että luonnoksen liiallinen yksityiskohtaisuus ohjaa helposti liiketoimintaa, joka on hallituksen ja toimitusjohtajan, ei valvontaviranomaisen, tehtävä. Yleistä luonnoksesta FK pitää luonnosta liian yksityiskohtaisena, jotta se sellaisenaan soveltuu koko finanssisektorille. Kaikkia finanssisektorin toimijoita koskevan määräyksen ja ohjeen tulee olla periaatepohjainen, jotta se ei ole ristiriidassa eri sektoreita koskevan lainsäädännön ja EU-sääntelyn kanssa. FK kiinnittää huomiota myös siihen, että eri sektoreiden toimijat eroavat toisistaan merkittävästi ja myös sektorien sisällä toimijat ovat hyvin erilaisia esimerkiksi kooltaan ja konsernirakenteeltaan. Eri toimijoiden välisiä eroja ei ole huomioitu luonnoksessa riittävästi. Esimerkiksi suhteellisuusperiaate tulee tuoda voimakkaammin esille. FK ehdottaa, että valtuutussäännökset kirjoitetaan erikseen ennen jokaista määräysosiota, kuten on tehty esimerkiksi vakuutussektorin MOK:ssa 9/101/2011. Nyt luonnoksen alkuun (luku 2.3) on kerätty jokaisen sektorin lainsäädännöstä tulevat valtuutukset. Yksittäisten määräysten kohdalla Fiva viittaa vain kohdan 2.3 listaan eikä erittele tarkemmin, onko sillä toimivalta antaa tietty määräys jokaiselle sektorille. FK katsoo, että yhden sektorin valtuutus ei anna Fivalle oikeutta antaa samaa määräystä toiselle sektorille, minkä takia valtuutussäännökset tulee eritellä tarkemmin.

3 (12) Osakeyhtiölain nojalla (OYL 6 luku 2 ) yrityksen hallituksen tehtävänä on huolehtia yhtiön hallinnosta ja toiminnan asianmukaisesta järjestämisestä. Koska hallitus kantaa myös vastuun yrityksen toiminnasta, sen toimintaa ei tulisi ohjata yksityiskohtaisilla määräyksillä ja ohjeilla. Luonnoksessa asetetut tavoitteet eivät edellytä ehdotetunkaltaista yksityiskohtaista sääntelyä ylimmän johdon tehtävistä. On myös huomioitava, että erityisesti hallintoneuvostolle ei sovi monikaan ylimmälle johdolle määrätty tehtävä. FK kiinnittää huomiota siihen, että luonnoksessa keskitytään valvottavakohtaiseen sääntelyyn mutta jätetään konsernirakenne huomioimatta. Käytännössä monet esimerkiksi riskienhallintaan, tietojärjestelmiin ja tietoturvallisuuteen liittyvät prosessit ohjeistetaan ja/tai hoidetaan osin tai kokonaan konsernitasolla tai toisessa konserniyhtiössä. Tämä auttaa huolehtimaan operatiivisten riskien hallinnan tehokkuudesta ja yhdenmukaisesta läpiviennistä koko konsernissa. Luonnoksessa tulisi siten olla maininta, että valvottava voi järjestää operatiivisen riskin hallintansa soveltuvin osin myös konsernitasolla tai toisessa konserniyhtiössä. Esimerkiksi ohjeen 4.2 (13) toteamus, että riskinoton valvonnan tulisi olla riskiä ottavasta liiketoiminnasta ja riskienhallinnasta riippumattoman riskienhallinnan arviointitoiminnon tehtävä, on liiketoimintaa harjoittavassa valvottavassa hankala järjestää mutta konsernitasolla kuvausta hyvin vastaava toiminta on useimmiten olemassa. FK kiinnittää huomiota luonnoksen kieliasun osittaiseen epäselvyyteen ja ristiriitaisuuteen. Kohtien ja nojalla tuleva määräys ja ohje koskisi lähes koko finanssialaa. Kuitenkin joissakin luonnoksen kohdissa määräyksen tai ohjeen sisällöstä voi päätellä, että soveltamisala on rajattu (esimerkiksi luku 7 ja luvun 9.3 kohdat 14-15). FK esittää, että kussakin kohdassa selkeästi kerrottaisiin, mille toimijoille määräys tai ohje on tarkoitettu. Epäselvyyttä aiheuttavat myös käytetyt ilmaisut. Esimerkiksi useissa ohjeissa käytetään ilmaisuja, joilla on erilainen velvoittavuus. Esimerkiksi kohdassa 4.5 ohje (kohdat 34-37) käytetään seuraavia ilmaisuja: (34) Valvottavan on syytä arvioida, (35) Johdon saamien raporttien tulisi sisältää ja (36) Operatiivisen riskin aiheuttamien tappioiden seuranta voidaan järjestää. Ja esimerkiksi ohjeessa 5.2(15) Finanssivalvonta suosittaa ja kohdassa 8.2.1(22) Varautumisvelvollisen on turvattava. Ohjeiden sanamuodon ei pitäisi olla sitova eikä niissä käytettävillä ilmaisuilla pitäisi olla erilaista merkitystä. Ohjeiden kieliasu tulisi tarkistaa. Luonnoksen ristiriitaisuus näkyy esimerkiksi ohjeiden 4.5 (36) ja (37) sekä määräyksen 9.2(11) välillä. Ohjeiden mukaan operatiivisen riskin seuranta ja raportointi voidaan järjestää esimerkkitaulukon mukaisesti mutta määräyksen nojalla vuosi-ilmoitus on tehtävä ohjeissa viitatun taulukon mukaan. Määräyksellä ei pidä tehdä ohjeesta pakottavaa. Ristiriitaisuus näkyy myös määritelmissä. Luonnoksen kohdassa 1.2 annetut määritelmät eivät ole yhteneviä läpi koko dokumentin. Esimerkiksi kohdassa 4.2(11) Toimivan johdon määritelmä on ristiriidassa kohdassa 1.2 määritellyn kanssa. Kohdassa 1.2 toimiva johto tarkoittaa toimitusjohtajaa ja johtoryhmän jäseniä sekä ylin johto hallitusta ja mahdollisesti hallintoneuvostoa. Määräyksessä toimivalla johdolla tarkoitettaisiin toimitusjohtajaa ja hallitusta sekä mahdollisesti hallintoneuvostoa. Määritelmien tulee

4 (12) olla yhdenmukaisia koko määräyksessä ja ohjeessa. Lisäksi FK kiinnittää huomiota siihen, että vakuutussektorilla ei ole käytetty käsitettä toimiva johto vaan ainoastaan käsitteitä hallitus ja toimitusjohtaja, jotka vastaavat yhtiön toiminnasta (vertaa osakeyhtiölain säännökset toimitusjohtajan ja hallituksen tehtävistä). Vakuutusyhtiön hallintoneuvosto ei ole osa ylintä johtoa, eikä sille voi antaa samoja tehtäviä kuin hallitukselle. Luottolaitokset FK toteaa, että luonnos vastaa pääosin voimassa olevaa Rahoitustarkastuksen (Rata) standardia 4.4b, jota on sovellettu luottolaitoksiin, sijoituspalveluyrityksiin ja rahastoyhtiöihin alkaen. FK pitää hyvänä, että luonnos selkeyttää voimassa olevan standardin rakennetta sitovan ja ei- sitovan norminannon osalta ja että luonnoksessa on muutettu eräitä standardin sitovia kohtia ohjeiksi. Vakuutusyritykset FK kiinnittää huomiota siihen, että luonnoksessa ei viitata kohdissa 2.2 Euroopan unionin direktiivit ja kohdassa 2.4 Kansainväliset suositukset vakuutusalaa koskevaan sääntelyyn ja suosituksiin. FK katsoo, että kyseisiin luottolaitossektorin säännöksiin ja voimassa olevaan standardiin 4.4b perustuva ohjeistus ei sovellu sellaisenaan vakuutussektorille. Euroopan parlamentin ja neuvoston direktiivi 2009/138/EY vakuutus- ja jälleenvakuutustoiminnan aloittamisesta ja harjoittamisesta (Solvenssi II) tulee pian voimaan. Solvenssi II asettaa henki-, vahinko- ja jälleenvakuutusyritykselle vaatimuksia riskienhallinnasta, jonka tulee käsittää muun muassa operatiivinen riski (artikla 44). FK katsoo, että tuleva Solvenssi II sääntely kattaa suuren osan luonnoksen ehdotuksista. Lisäksi Solvenssi II direktiiviä täydennetään EU:ssa yksityiskohtaisilla toisen ja kolmannen tason säännöksillä. Vakuutusyhtiöt valmistautuvat täyttämään Solvenssi II vaatimukset määräajassa. FK katsoo, että Fivan ei tulisi tuoda vakuutussektorille Solvenssi II:n sisältämää sääntelyä etukäteen, vaikka luonnoksen ehdotukset ovatkin tulevan Solvenssi II sääntelyn mukaisia. Solvenssi II implementoidaan vakuutusyhtiölakiin ja se vaikuttaa huomattavasti myös meneillään olevaan työeläkevakuutusyhtiölain uusimiseen. Tämän hetkinen käsitys on, että ainakin toisen tason säännökset annetaan Euroopan unionin asetuksina, jotka ovat suoraan sovellettavaa lainsäädäntöä. FK ei pidä tarkoituksenmukaisena, että kansallisesti tuotaisiin määräyksillä ja ohjeilla voimaan suoraan sovellettavaa sääntelyä etukäteen vaan valmistautumisaikataulu tulisi jättää yhtiöille. On myös syytä huomioida, että toisen ja erityisesti kolmannen tason sääntelyn sisältöä ei ole vielä vahvistettu. Lisäksi kansalliset Solvenssi II sääntelyn kaltaiset yksityiskohtaiset määräykset ja ohjeet eivät takaa valvonnan Euroopan laajuista konvergenssia FK kiinnittää huomiota siihen, että luonnoksen operatiivisen riskin määritelmä kohdassa 1.2 poikkeaa Solvenssi II direktiivin määritelmästä (artikla 101(4)), jossa maineriski on rajattu operatiivisen riskin ulkopuolelle, Fivan määritelmässä maineriskiä ei ole mainittu

5 (12) erikseen. Luonnoksen yksityiskohtaisuus korostaa operatiivisen riskin hallintaa liiaksi verrattuna vakuutussektorin merkittävimpiin riskeihin, jotka liittyvät sijoitus- ja vakuutustoimintaan. FK kiinnittää huomiota, että luonnoksessa ehdotetaan kumottavaksi nykyisen vakuutusalan määräys- ja ohjekokoelman (MOK) luku 15.3, joka koskee poikkeusoloihin varautumista. Tämän jälkeen vakuutusalan MOK:aan jää kuitenkin viittauksia operatiivista riskiä käsitteleviä tai sitä sivuavia kohtia, kuten Riskienhallinnan järjestäminen, Riskit ja riskienhallinta ja Riskienhallinta riskityypeittäin. FK katsoo, että Fivan tulee varmistaa, että operatiivisen riskin hallintaa koskeva kokonaisuus on vain yhdessä määräyskokoelmassa. Määräyksen ja ohjeen voimaantulo FK pitää luonnoksen voimaantuloa liian aikaisena ja ehdottaa, että määräystä ja ohjetta sovellettaisiin aikaisintaan alkaen. Vaihtoehtoisesti määräys ja ohje voisi tulla voimaan ehdotetun mukaisesti mutta toimijoille sallittaisiin ainakin vuoden siirtymäaika. Voimaantulon siirto tai siirtymäaika tarvitaan, sillä vakuutussektorilla luonnoksessa ehdotettu yksityiskohtaisuus on uusi asia ja pankkisektorilla on varattava aikaa hallitusten periaatepäätösdokumenttien valmisteluun. Säännösten voimaantulossa tulee myös huomioida, että kansallisesti ei tule saattaa voimaan Solvenssi II sääntelyä etukäteen vaan vakuutusyhtiöiden tulisi antaa valmistautua uuteen sääntelyyn muuttamatta nykyisiä vaatimuksia merkittävästi.. II Yksityiskohtaiset kommentit 1.2 Määritelmät Operatiivisen riskin määritelmä ei vastaa Solvenssi II direktiivin artiklan 13 kohdan (33) määrittelyä. Lisäksi luonnoksen kohdassa 4.2 (12) ohje vaatii, että valvottava laatii omasta liiketoiminnastaan johdetun operatiivisen riskin määritelmän. FK katsoo, että valvottavan tulisi itse määritellä mitä operatiivinen riski valvottavan omassa toiminnassa tarkoittaa ja sisältää. FK katsoo, että luvun 5 sisältö ei vastaa operatiivisen riskin määritelmässä tarkoitettuja prosesseja, henkilöitä, järjestelmiä, ulkoisia tekijöitä ja oikeudellisia asioita. Lisäksi merkittäviä laajennuksia tehdään luvuissa 6, 7 ja Operatiivisen riskin hallinnan organisointi (11) Toimivan johdon määritelmä on ristiriidassa kohdassa 1.2 määritellyn kanssa. Kohdassa 1.2 toimiva johto tarkoittaa toimitusjohtajaa ja johtoryhmän jäseniä sekä ylin johto hallitusta ja mahdollisesti hallintoneuvostoa. Määräyksessä toimivalla johdolla tarkoitettaisiin toimitusjohtajaa ja hallitusta sekä mahdollisesti hallintoneuvostoa. Määritelmien tulee olla yhdenmukaisia koko määräyksessä ja ohjeessa. Lisäksi on hyvä huomioida, että vakuutussektorilla ei ole käytetty käsitettä toimiva johto vaan ainoastaan käsitteitä hallitus ja toimitusjohtaja, jotka vastaavat yhtiön toiminnasta. Vakuutusyhtiöillä hallintoneuvosto ei kuulu ylimpään johtoon, eikä sille voi antaa samoja tehtäviä kuin

6 (12) hallitukselle. On myös huomioitava, että Solvenssi II ei sääntele hallintoneuvoksen tehtäviä. (13) Yleisesti käytössä olevassa niin sanotussa three lines of defence mallissa liiketoimintayksikkö omistaa riskin ja riskienhallinta valvoo. Riskienhallinnan arviointitoiminto puolestaan arvioi riskinoton prosesseja ja menettelytapoja mutta ei itse riskinottoa, mitä ohje edellyttää. (14) FK ei pidä ohjetta tarpeellisena. Hallitus vastaa yhtiön toiminnasta ja sen asianmukaisesta järjestämisestä. Fivan ei tule ohjeistaa yrityskulttuurin luomista. (15) FK ei pidä ohjetta tarpeellisena. Sisäisen tarkastuksen tehtäviin kuuluu arvioida operatiivisten riskien hallintaa osana kokonaisvaltaista riskienhallintaa. 4.4 Uuden tuotteen ja palvelun hyväksymismenettely FK katsoo, että osio ei ole loogisessa kohdassa ainakaan vakuutusyhtiön näkökulmasta. Uuden tuotteen ja palvelun hyväksymismenettely on yksi osa-alue muiden joukossa ja sisältyy monesti vakuutusyhtiöissä vakuutusten myöntämistä koskevaan politiikkaan ja sitä kautta liiketoiminta-alueiden vastuunvalintaohjeistuksiin tai toisaalta sijoitustoiminnan osalta sijoituspolitiikkaan. 4.5 Operatiivisen riskin seuranta ja raportointi (28) Tappiotietokanta on hyvä käytäntö, jos tapahtumia on paljon. Vakuutussektorin toimijoiden kohdalla tapahtumien määrä on kuitenkin varsin alhainen ja vaatimus operatiivisen riskin tappiotietokannasta on siten vakuutussektorilla ylimitoitettu. (31) FK pitää haasteellisena, että määräys vaatii valvottavaa luomaan ennakoivat menettelyt ja mittarit operatiivisen riskin havaitsemiseksi. Operatiivisen riskin käsite on hyvin laaja ja ennakoivia mittareita on vaikea luoda. Lisäksi kohta on ristiriidassa ohjeen 4.1(3) kanssa, jossa todetaan, että operatiivista riskin toteutumista ei voi kaikissa tapauksissa mitata tai se voidaan havaitaan viiveellä. (32) FK ei pidä tarkoituksenmukaisena raportoida operatiivisista riskeistä erillään muista riskeistä. (33) FK ei pidä määräystä selkeänä. Epäselvää on, vaaditaanko määrämuotoista raportointia vai tulkitseeko valvottava itse määräyksen sisällön. 5.2 Rahoitusvälineillä käytävän kaupan riskit FK katsoo, että kohtaa ei tulisi soveltaa vakuutussektoriin s. 18 numerointivirhe: Otsikko Määräys (kohdat 9-15) tulisi lukea Määräys (kohdat 8-14)

7 (12) (10) FK katsoo, että määräys tuo uuden fit and proper vaatimuksen toimitusjohtajalle ja hallituksen (ja hallintoneuvoston) jäsenille. Määräyksestä ei käy myöskään ilmi, onko vaatimus kollektiivinen vai henkilökohtainen. (11) FK kiinnittää huomiota terminologiaan, sillä middle office ja back office eivät tarkoita samanlaista toimintoa jokaisessa valvottavassa. Esimerkiksi middle office toiminto saattaa rajoittua vain limiittien valvontaan. (12) Kauppaa käyviä henkilöitä rajoitetaan tuotteiden ja limiittien avulla eikä ole tarkoituksenmukaista määritellä toimenkuviin kokonaisvolyymiä eikä transaktioiden kokoa. FK ehdottaa, että valtuudet voidaan esittää toimenkuvan sijasta myös muussa dokumentissa. (15) Ohje tulee poistaa. Valvottavan omaan harkintaan tulee jättää, soveltaako se mallisopimuksia. Kilpailuoikeudellisesta näkökulmasta ei liene järkevää, että Fiva ohjaa valvottavia soveltamaan samoja ehtoja. (19) FK katsoo, että ohjeen noudattamisella ei voida havaita kaupankäyntitoimintaan liittyviä epäselvyyksiä. OTC-kaupan vakuuksien (margin calls) osalta niiden perustana olevien positioiden vastaavuus tarkistetaan vakuusvaateen tekevän vastapuolen (esimerkiksi Interbank-vastapuoli) kanssa. Pörssikaupassa vaadittavat vakuudet määrittelee Clearing House (CH) ja vakuudet perustuvat CH:n järjestelmissään oleviin kauppoihin. Pankki sovittaa CH:n ilmoittamat kaupat omiin kaupankäyntijärjestelmiinsä. Pörssikauppojen osalta ei siten ole syytä seurata vakuuksien ja päätettyjen kauppojen suhdetta, koska pörssit raportoivat kyseisen suhteen. (21) FK ei pidä ohjetta tarpeellisena. Monella valvottavalla puhelinnauhoitus tai muu mahdollisuus tarkistaa sovittu kauppa on normaali käytäntö. (22) FK ei pidä ohjetta tarpeellisena. Vaatimus seuraa suoraan vuosilomalaista. (23) FK ei pidä ohjeen tarkoitusta selkeänä, joten ohje pitäisi poistaa. (24) Ei ole selvää, mitä pidetään poikkeavana kauppana. Tarkoitetaanko esimerkiksi limiittien ylityksiä vai asiakkaan antamaa tavanomaisesta poikkeavaa toimeksiantoa? 5.3 Oikeudellinen riski (30) FK ei pidä ulkoistamisrajoitusta perusteltuna. FK:n käsityksen mukaan esimerkiksi Solvenssi II ei aseta vastaavia rajoituksia ulkoistamisen suhteen. (31) FK katsoo, että Fiva ei voi velvoittaa yhtiötä seuraamaan sekä kansallisen että kansainvälisen sääntelyn muutoksia ennakolta.

8 (12) 5.4 Henkilöstö (34) FK ei pidä määräystä tarpeellisena. Terve liiketoiminta edellyttää ammattitaitoista henkilöstä. Ei ole tarpeen vaatia erikseen periaatteita henkilökunnan ammattitaidon tarkastamisesta. (35) FK pitää kohtaa liian voimakkaana määräyksenä. Valvottavalla on muun muassa tietosuojasäännösten nojalla hyvin rajalliset mahdollisuudet tutkia työntekijöiden taustoja. Ei ole myöskään perusteltua, että valvottavan tulisi tutkia jokaisen uuden työntekijän taustoja työntekijän asemasta riippumatta. (37) FK ei pidä määräystä tarpeellisena. Salassapidon reunaehdot tulevat laista ja ne pitää ohjeistaa henkilökunnalle, mutta valvottavat tuskin voivat laatia omia periaatteita. Lisäksi toimialajärjestöt ovat tehneet sekä pankki- että vakuutussalaisuuden noudattamisesta käytännesääntöjä ja ohjeita, joten hallituksen ei ole tarvetta käsitellä salassapidon periaatteita, vaikka kyseessä onkin yrityskohtainen asia. (38) FK ei pidä tarkoituksen mukaisena, että operatiivisen riskin hallintaa koskevassa määräyksessä ja ohjeessa säännellään valvottavan palkitsemisjärjestelmiä. Palkitsemisen sääntely määräytyy osana Euroopan unionin direktiivejä. Lisäksi siitä on ohjeistettu esimerkiksi listayhtiöille annetussa hallintokoodissa sekä Fivan palkitsemiseen liittyvällä kannanotolla (1/2010). (39) FK huomauttaa, että operatiivisten riskienhallinnan jalkauttaminen organisaatioon tarkoittaa myös sitä, että jokainen osallistuu operatiivisten riskien hallintaan ja moni myös niiden valvontaan ja raportointiin. Kannusteiden määrän osalta riskien valvonnan tehtäviä hoitavia henkilöitä ei saa asettaa eriarvoiseen asemaan muiden kanssa. Rahoitustarkastuksen vanhoissa standardeissa on mainittu, että kannusteet voivat kuitenkin perustua koko valvottavan tulokseen, mikä tulisi huomioida määräyksessä. Esimerkiksi joillakin valvottavilla henkilöstörahaston palkkioerä perustuu ryhmän yhtiöiden tuloksiin. 6 Tietojärjestelmät ja tietoturvallisuus FK katsoo, että luku vastaa pitkälle ISO 27001/27002 standardia ja on itsenäisenä kokonaisuutena suurilta osin asiallinen. 6.1 Tietojärjestelmät (5) FK ei pidä määräystä tarpeellisena. Tietotekniikka strategia on osa normaalia liiketoimintastrategiaa. (7) FK pitää määräystä liian vaativana ja se tulisi siirtää ohjeeksi. Erityisesti pienellä toimijalla käyttäjät usein osallistuvat järjestelmäkehitykseen. (8) FK ei pidä tarpeellisena antaa määräystä, joka kuvailee normaalia hyvää toimintatapaa. Ei ole selvää, millaisten tietojen saantia tässä yritetään rajata

9 (12) (9) FK ei pidä määräystä tarpeellisena. Sisäisen tarkastuksen tulee aina olla pätevä suhteessa tehtävän antoon. Tätä ei ole syytä toistaa yksittäistä aluepiiriä koskevassa määräyksessä tai ohjeessa Tietoturvallisuuden määritelmä ja perusvaatimukset (23) FK ei pidä määräystä tarpeellisena. Hallitus vastaa yhtiön toiminnasta ja sen asianmukaisesta järjestämisestä. Ei ole tarvetta asettaa hallitukselle näin yksityiskohtaisia tehtäviä. (24) FK ei pidä määräystä tarpeellisena. Omistajien määrittely kaikelle käsitellylle tiedolle ei ole tarkoituksenmukaista. (25) FK ei pidä tarpeellisena, että määräyksessä määritellään miten käyttövaltuudet annetaan. (26) Määräyksestä ei käy ilmi, mitä tarkoitetaan tapahtumalla. Tarkoitetaanko tapahtumalla muutakin kuin tiedon muutoksia? Tietoturvallisuutta koskeva ohjeistus ja koulutus (33) FK ei pidä määräystä tarpeellisena. Määräys puuttuu liian yksityiskohtaisesti hallituksen velvollisuuksiin. (34) FK pitää määräystä liian rajoittavana. Tietoturvallisuusvastuut tulisi voida määritellä myös työntekijäryhmittäin. 7 Maksujärjestelmät ja maksujen välitys FK katsoo, että osio ei koske vakuutussektoria. Tämä tulisi todeta luonnoksessa selkeästi. (6) FK ei pidä hallitusta oikeana elimenä asettamaan määräyksessä mainittuja tavoitteita. 8 Jatkuvuus- ja valmissuunnittelu FK ehdottaa, että vakuutussektorilla määräyksen ja ohjeen voimaantulo ajoittuisi Solvenssi II:n soveltamisen aloittamiseen jatkuvuussuunnittelun osalta, koska kyseistä säännöstä ei nykyisin ole vakuutussektorilla. 8.1 Jatkuvuussuunnittelu (4) Määräyksen toisella rivillä tarkoitettaneen enimmäistoipumisaikaa eikä vähimmäistoipumisaikaa.

10 (12) Varautumisvelvollisuus (20) FK kiinnittää huomiota siihen, että Fiva laajentaa laissa vaadittua varautumisvelvollisuutta tulkitsemalla, että laissa säädetyt velvoitteet täyttyvät vain, jos valvottava noudattaa luonnoksen ohjeita tarkoituksenmukaisen varautumisohjeen lisäksi Toiminta poikkeusoloissa (34) FK kiinnittää huomiota ohjeen kohtaan "Varautumisvelvollisen tulisi varmistaa palveluiden tuottamisessa tarvittavat keskeiset tiedot niin, että varsinaisten tietojenkäsittelykeskusten tai niissä olevien tietojen ja varmistusten tuhoutuessa tiedot voidaan palauttaa. Tietojen palauttaminen erilliseltä varmistukselta yleisesti luettavaan sähköiseen muotoon tulisi testata." Vaatimuksella viitataan ns. suoja-/kriisikopiointiin. Vaatimus on epäselvästi määritelty, toiminnalliselta kannalta epärealistinen ja kansainvälisessä tarkastelussa ainutlaatuinen. FK:n käsitys on, että ohjeen ajatuksena on, että finanssialan toimijan kaikkien tietojenkäsittelykeskusten (käytännössä 2-4 kpl kullakin toimijalla) sekä niissä olevien tietojen ja niiden varmistusten tuhoutuessa samanaikaisesti, on vielä olemassa yksi kopio, josta käyttöjärjestelmät, sovellukset ja tiedot voitaisiin palauttaa joko asianomaisen toimijan tai jonkun muun toimijan tietojärjestelmiin ja näin välttää toiminnan pysyvä keskeytyminen sekä siitä asiakkaille aiheutuvat tappiot. FK pitää ehdotusta ymmärrettävänä teoriassa mutta käytännössä sen toteutus on epärealistinen. Pankki- ja vakuutusyhtiöiden tietojärjestelmien kautta päivittäin virtaavien transaktioiden määrä on niin valtava, että tällaisia suoja-/kriisikopioita jouduttaisiin ajamaan erittäin usein. Toimialan verkostoluonteesta johtuen tällaiset "snap shotit" pitäisi lisäksi ottaa samaan aikaan kaikkien toimijoiden järjestelmistä, jotta edes jonkinlainen audit trail säilyisi. Myös vaatimus yleisesti luettavissa olevasta sähköisestä muodosta on kohtuuton. Ensinnäkään sellaista tiedostomuotoa ei ole, vaan se/ne pitää erikseen määritellä. Toiseksi tällaisen kopion luominen edellyttäisi kaikkien normaalien salaus- ja suojausmenetelmien kieltämistä, mikä vaarantaisi asiakastietojen ja asiakkaiden varallisuustietojen luottamuksellisuuden ja todennäköisimmin olisi muun muassa henkilötietojen käsittelyä sekä pankki- ja vakuutussalaisuutta koskevien normien vastaista. Kolmanneksi tietojen hyödyntäminen muun toimijan järjestelmissä tuskin tulisi kyseeseen. Jonkinlaista osviittaa antavat pankki- ja vakuutusfuusiot, joissa asiakas- ja transaktiokantojen siirto järjestelmästä toiseen on normaaleissakin olosuhteissa ollut kuukausien, jopa vuosien hanke. Neljäntenä ongelmana on se, ettei skenaario lainkaan määritä tilannetta, josta siinä kuvattu keskusten ja tietojen täystuho voisi aiheutua. Siinä ei toisin sanoen anneta eväitä Fivan valvonnassa oleville toimijoille ratkaista kysymystä rationaalisesti, vaan asetetaan heille velvoite, jota muilla toimijoilla ei ole (37) Ohje tulisi poistaa, sillä sen toteuttaminen on käytännössä mahdotonta. Sepa-infrastruktuuri perustuu eurooppalaisten pankkien työnjakoon ja kohdassa esitettyjen vaatimusten toteuttaminen, esimerkiksi maksujenvälityksessä käytettävien järjestelmien toimivuuden varmistaminen, on pitkälti yksittäisten valvottavien vaikutusmahdollisuuksien ulkopuolella.

11 (12) 9.1 Ilmoitus toiminnan häiriöstä ja virheestä Luku on vakuutussektorille uutta sääntelyä. Mikäli on tarkoitettu, että luku koskee myös vakuutussektoria, on soveltamisen alkaminen kohtuuton vaatimus. (2) Merkittävän häiriön ja virheen määritelmä on tarkennettava siten, että valvottava itse määrittelee merkittävän häiriön tai virheen toimintansa laajuuden, luonteen ja laadun perusteella. (3) Kohdassa velvoitetaan ilmoittamaan Finanssivalvonnalle liiketoimintaa vaarantavat häiriöt ja virheet. Tämän tyyppisistä ilmoitusvelvollisuuksista määrättäessä tulisi ottaa huomioon raportointivelvoitteet kokonaisuutena. Päällekkäistä sääntelyä tulisi välttää. (4) FK pitää kohtaa enemmänkin esimerkkinä kuin määräyksenä, joten se tulisi siirtää ohjeisiin. (5) FK pitää kohtaa enemmänkin esimerkkinä kuin määräyksenä, joten se tulisi siirtää ohjeisiin. (6) FK pitää kohtaa enemmänkin esimerkkinä kuin määräyksenä, joten se tulisi siirtää ohjeisiin. 9.2 Vuosi-ilmoitus operatiivisen riskin aiheuttamista tappioista (7) Tappiotietojen kerääminen ja ilmoittaminen on ylimitoitettu menettely. Kohdassa tehdään osion 4.5 ohjeet pakollisiksi. Ohjeet eivät ole pakottavaa sääntelyä eikä niitä siten voi tehdä pakottaviksi määräyksen ja ohjeen muissa kohdissa. Mikäli kohdassa viitataan määräyksiin 4.5 (31-33), ei tulisi käyttää ohje-termiä. (9) ja (10) FK katsoo, että määräys (10) täydentää määräystä (9). Kohdan (10) voi kuitenkin lukea myös siten, että yhtiön olisi tehtävä (9) kohdan lisäksi erikseen vapaamuotoinen kirjallinen ilmoitus kymmenestä suurimmasta tappiosta. (10) FK katsoo, että määräys on ristiriidassa ohjeen 4.1(3) kanssa. Ohjeen mukaan tappio ei ole kaikissa tapauksissa mitattavissa ja voi myös toteutua viiveellä. Määräyksen täyttämiseksi valvottavan olisi kuitenkin laskettava jokainen tappio euromääräisesti, jotta tunnetaan yli euron tappiotapahtumat. FK katsoo, että valvottavan osalta lähtökohdan pitäisi olla riskien tunnistaminen, arvioiminen, rajoittaminen ja valvominen eikä vuosittaisen euromääräinen tappion laskeminen. (10) FK pitää ilmoitettavan tappion rajaa ( euroa) liian alhaisena. Sopiva raja ei välttämättä ole sama koko finanssisektorille. 9.3 Ilmoitus rahasto-osuuden arvon julkistamisessa tapahtuneesta olennaisesta virheestä FK:n käsityksen mukaan osio koskee vain rahastoyhtiöitä, mikä tulisi näkyä selvästi ohjetta lukematta.

12 (12) 10 Kumotut määräykset ja ohjeet FK katsoo, että Fivan tulee varmistaa, että operatiivisen riskin hallinnasta ei säännellä päällekkäisillä määräyksillä. Kumottavien määräysten ja ohjeiden ulkopuolelle jää kuitenkin voimaan useita operatiivisen riskin hallintaan liittyviä osioita. Esimerkiksi luonnoksessa ehdotetaan kumottavaksi nykyisen vakuutussektorin MOK:n 9/101/2011 luku 15.3, joka koskee poikkeusoloihin varautumista. Tämän jälkeen vakuutusalan MOK:aan jää kuitenkin viittauksia operatiivista riskiä käsitteleviä tai sitä sivuavia kohtia. Esimerkiksi Riskienhallinnan järjestäminen, Riskit ja riskienhallinta ja Riskienhallinta riskityypeittäin. FINANSSIALAN KESKUSLIITTO Esko Kivisaari Varatoimitusjohtaja