DORA ja MiCA nõuetele vastavus: miks töötajate vaimne vorm on operatsioonirisk
Lühidalt: Euroopa Liidu õigusaktid, nagu DORA ja MiCA, nõuavad tugevaid operatsioonikontrolle, intsidendihaldust, juhtimiskorda ja talitluspidevust. Need ei kohusta tööandjat vaimse tervise programmi pakkuma, kuid väsimus ja püsiv stress võivad suurendada inimlike vigade riski, mida kontrollid peaksid ennetama. Seetõttu peaksid riskijuhid käsitlema vaimset koormust ja taastumist operatsioonilise vastupidavuse osana.
Euroopa Liidus tegutsevatele finantsasutustele ja krüptovarateenuse osutajatele ehk CASP-idele (Crypto-Asset Service Provider) kehtivad ulatuslikud tegevus- ja juhtimisnõuded. Digitaalse tegevuskerksuse määrus DORA (Digital Operational Resilience Act) ja krüptovaraturge käsitlev määrus MiCA (Markets in Crypto-Assets Regulation) ulatuvad tavapärasest finantsauditist kaugemale ning seavad ootused tehnoloogiariski, intsidendile reageerimise, juhtimise, turu usaldusväärsuse ja talitluspidevuse kohta.
Juhid investeerivad regulatiivseks järelevalveks valmistudes palju küberturbesse, varusüsteemidesse ja automaatsesse seiresse. Operatsiooniline vastupidavus sõltub aga ka inimestest, kes hoiatusi tõlgendavad, otsuseid teevad ja intsidente eskaleerivad.
Kui vastavus- ja operatsioonimeeskonnad töötavad pikalt lahendamata pinge all, võib väsimus vähendada tähelepanu ning aeglustada otsustamist. Väsinud spetsialist võib valesti tõlgendada rahapesu tõkestamise või kliendi tundmise kontrolliga seotud hoiatust või MiCA seiresignaali, ülekoormatud info- ja kommunikatsioonitehnoloogia (IKT) töötaja aga DORA aruandlustähtaja tähelepanuta jätta. Stress ise ei ole regulatiivne rikkumine, kuid võib põhjustada kontrollitõrkeid, millel on tõsised tegevuslikud ja järelevalvealased tagajärjed.
Õigusraamistik: suure pingega ametikohad kui operatsioonilised haavatavused
Suur töökoormus ja ebapiisav taastumine võivad kahjustada kahte kriitilist valdkonda: IKT-intsidentide haldust ning krüptovaradega seotud tegevust.
1. DORA: digitaalne tegevuskerksus
DORA nõuab määruse kohaldamisalasse kuuluvatelt finantsüksustelt IKT-riskide juhtimise korraldust, intsidentide tuvastamist ja liigitamist, olulistest IKT-ga seotud intsidentidest teatamist ning talitluspidevuse ja taasteplaanide testimist. Esmase teavitamise tähtajad võivad olla lühikesed: üldjuhul tuleb teade esitada nelja tunni jooksul pärast intsidendi oluliseks liigitamist ja hiljemalt 24 tunni jooksul pärast selle avastamist.
Kui vastavus- ja IKT-meeskonnad on kurnatud, võivad tähelepanelikkus ja otsustuskiirus langeda. See suurendab hilinenud liigitamise, eskaleerimise või teatamise riski. Rikkumise korral võivad organisatsiooni tabada riiklikust raamistikust tulenevad järelevalvemeetmed ja karistused. Järelevalveasutus reageerib kontrollitõrkele, mitte töötaja väsimusele endale.
2. MiCA: krüptovaraturud
MiCA nõuab asjaomastelt krüptovarateenuse osutajatelt tugevat juhtimiskorda, sobivate oskustega töötajaid, sisekontrolle, vastupidavaid IKT-lahendusi ja talitluspidevuse põhimõtteid. Samuti kehtestab määrus krüptovaraturu kuritarvitamise ennetamise ja avastamise reeglid.
Krüptovaraturud toimivad ööpäev läbi ja võivad olla väga kõikuvad. Seetõttu võivad krüptovarateenuse osutajad ning tehinguid professionaalselt korraldavad või täitvad inimesed sattuda tugeva ajasurve alla. Väsimus võib suurendada tehinguvigade, kahtlaste mustrite märkamata jätmise või hilinenud eskaleerimise riski. Täpne õiguslik kohustus sõltub organisatsiooni rollist ja konkreetsest tegevusest.
Kuidas kauplemis- ja vastavusmeeskondade stress võib kontrollitõrkeid põhjustada
1. Hoiatusväsimus vastavuskontrollis
Vastavusmeeskonnad võivad läbi vaadata suure hulga tehinguhoiatusi, kliendi tundmise ehk KYC-kontrolle (Know Your Customer) ja riskiteateid. Suur hoiatusmaht võib tekitada hoiatusväsimuse, mille tõttu on olulisi signaale tavapärasest mürast raskem eristada. Lahendamata tööjärjekorra surve all võib töötaja kõrge riskiga tehingu heaks kiita või uurimist vajava mustri märkamata jätta.
KYC ja rahapesu tõkestamise ehk AML-i (Anti-Money Laundering) kohustused tulenevad eeskätt rahapesuvastasest õigusest, mitte ainult MiCA-st. Praktikas toimivad AML/KYC, MiCA ja muud seirekontrollid reguleeritud organisatsioonides sageli kõrvuti, mistõttu töökoormus võib eri raamistikest kuhjuda.
2. Suurest survest tingitud tehinguvead
Turu tugeva kõikumise ajal töötlevad kauplejad ja riskispetsialistid kiiresti suurt hulka infot. Püsiv väsimus võib halvendada tähelepanu, otsustusvõimet ja emotsioonide juhtimist ning muuta välditavad tehinguvead või hilinenud eskaleerimise tõenäolisemaks. Krüptovarateenuse osutaja puhul võivad sellised inimlikud vead nõrgestada sisekontrolle, turukuritarvituse seiret või talitluspidevuse korraldust.
3. Sõltuvus võtmeisikutest ja töötajate voolavus
Vastavus-, kauplemis- ja IKT-meeskonnad sõltuvad sageli inimestest, kellel on põhjalikud erialased ja organisatsioonisisesed teadmised. Kui kurnatud vastavusjuht või kogenud operaator auditi või intsidendi ajal lahkub, võib tema teadmiste asendamine võtta kuid. Ülejäänud töötajad peavad töö üle võtma, mis kasvatab survet ja operatsioonilist haavatavust veelgi.
Vaimse vormi lõimimine operatsiooniriski juhtimisse
Reguleeritud organisatsioon ei tohiks pidada töötajate heaolu pelgalt meeldivaks lisahüveks. DORA ja MiCA ei kohusta tööandjat vaimse tervise programmi pakkuma, kuid riskijuhid võivad põhjendatult käsitleda vaimset ülekoormust ja väsimust inimlike vigade võimalike põhjustena.
Üldiste ja üksnes probleemidele reageerivate nõustamisprogrammide asemel saavad organisatsioonid pakkuda konfidentsiaalset tuge, mis arvestab eri Euroopa riikides töötavate vastavus-, kauplemis- ja IKT-spetsialistide vajadustega. Edu tuleks hinnata osaluse, inimlike vigade näitajate, puudumiste, läbipõlemisriski ja voolavuse koosmõju, mitte ainult registreerumiste järgi.
Praktilised sammud riski- ja personalijuhtidele
- Kaardistage operatsiooniliste sõltuvuste hindamisel stressorid. Kriitiliste inimeste, teadmiste ja töökoormusriskide tuvastamisel arvestage vastavusspetsialistide, kauplejate ning IKT-intsidentide juhtidega.
- Pakkuge lihtsasti kasutatavat vaimse tervise tuge. Võimaldage töötajatele kiire ligipääs kvalifitseeritud spetsialistidele ilma keeruka ettevõttesisese vastuvõtuprotsessita.
- Pakkuge Euroopa asukohtades mitmekeelset tuge. Abi töötaja eelistatud keeles võib muuta toe kättesaadavamaks ja lihtsamini kasutatavaks.
- Viige läbi psühhosotsiaalsete riskide hindamine. Tehke riskide tuvastamiseks ja tulemuste praktilisteks tegevusteks muutmiseks koostööd usaldusväärse vaimse tervise partneriga. Siffi on peagi turule toomas psühhosotsiaalsete riskide hindamise tööriista, mis aitab organisatsioonidel oma kohustusi täita ja sisulist tuge pakkuda. Hoidke uudistel silm peal.
Korduma kippuvad küsimused
Kas DORA või MiCA järelevalve käigus hinnatakse eraldi töötajate stressi?
Ei. Need määrused ei nõua psühholoogilist testimist ega kohustuslikku vaimse tervise programmi. Järelevalveasutus hindab, kas ettevõte täidab kohaldatavaid juhtimise, IKT, aruandluse ja kontrolli kohustusi. Väsimusega seotud inimlik viga võib kontrollitõrkele kaasa aidata, kuid järelevalvemeede puudutab rikkumist või ebapiisavat kontrolli, mitte stressi ennast.
Miks võivad vastavus- ja kauplemisrollid olla läbipõlemisega seotud operatsiooniriskile vastuvõtlikud?
Nendes rollides ühinevad suur infomaht, lühike otsustusaeg ja märkamata jäänud signaalide tõsised tagajärjed. Lühike tähelepanukatkestus võib põhjustada rahalist kahju, hilinenud eskaleerimise või sisekontrolli eiramise.
Kuidas aitab ennetav vaimse tervise tugi inimlikke vigu vähendada?
Sobiv tugi aitab töötajal vaimset koormust juhtida, taastumisharjumusi kujundada ja pikaajalisele survele paremini reageerida. See täiendab, kuid ei asenda piisavat töötajate arvu, selgeid protseduure, väljaõpet, automatiseerimist ega tõhusat järelevalvet.
