DORA ir MiCA atitiktis: kodėl darbuotojų psichologinis pasirengimas yra operacinė rizika
Trumpai: ES taisyklės, tokios kaip DORA ir MiCA, reikalauja patikimų veiklos kontrolės priemonių, incidentų valdymo, valdysenos ir veiklos tęstinumo. Jos neįpareigoja teikti darbuotojų psichikos sveikatos programų, tačiau nuovargis ir ilgalaikis stresas gali prisidėti prie žmogiškųjų klaidų, kurioms išvengti skirtos šios kontrolės priemonės. Todėl rizikos vadovai pažintinį krūvį ir atsigavimą turėtų vertinti kaip operacinio atsparumo dalį.
Europos Sąjungoje veikiančioms finansų įstaigoms ir kriptoturto paslaugų teikėjams, arba CASP (Crypto-Asset Service Provider), taikomi platūs veiklos ir valdysenos reikalavimai. Skaitmeninės veiklos atsparumo aktas DORA ir Kriptoturto rinkų reglamentas MiCA peržengia įprasto finansinio audito ribas, nustatydami technologijų rizikos, reagavimo į incidentus, valdysenos, rinkos vientisumo ir veiklos tęstinumo reikalavimus.
Reguliavimo patikrai besiruošiančios vadovų komandos daug investuoja į kibernetinį saugumą, atsargines sistemas ir automatinę stebėseną. Tačiau operacinis atsparumas taip pat priklauso nuo žmonių, kurie vertina perspėjimus, priima sprendimus ir eskaluoja incidentus.
Kai atitikties ir operacijų komandos dirba patirdamos ilgalaikį, nesprendžiamą spaudimą, nuovargis gali mažinti dėmesį ir lėtinti sprendimus. Pavargęs specialistas gali neteisingai įvertinti pinigų plovimo prevencijos, arba AML (Anti-Money Laundering), kliento pažinimo, arba KYC (Know Your Customer), ar MiCA stebėsenos signalą, o perkrautas IKT operatorius — praleisti DORA pranešimo terminą. Pats stresas nėra reguliavimo pažeidimas, tačiau gali prisidėti prie kontrolės sutrikimų, turinčių rimtų veiklos ir priežiūros pasekmių.
Reguliavimo sistema: didelio spaudimo pareigos kaip operacinis pažeidžiamumas
Didelis darbo krūvis ir nepakankamas atsigavimas gali pakenkti dviem svarbioms sritims: IKT incidentų valdymui ir kriptoturto operacijoms.
1. DORA: skaitmeninis veiklos atsparumas
DORA reikalauja, kad į jo taikymo sritį patenkantys finansų subjektai valdytų IKT riziką, nustatytų ir klasifikuotų incidentus, praneštų apie reikšmingus su IKT susijusius incidentus bei išbandytų veiklos tęstinumo ir atkūrimo planus. Pirminio pranešimo terminai gali būti trumpi: paprastai pranešti reikia per keturias valandas po incidento pripažinimo reikšmingu ir ne vėliau kaip per 24 valandas po aptikimo.
Išsekus atitikties ir IKT operacijų komandoms, budrumas ir sprendimų greitis gali mažėti, todėl didėja pavėluoto klasifikavimo, eskalavimo ar pranešimo rizika. Pažeidimai gali lemti priežiūros priemones ir sankcijas pagal taikomas nacionalines taisykles; reguliuotojai baudžia už kontrolės sutrikimą, o ne patį darbuotojų nuovargį.
2. MiCA: kriptoturto rinkos
MiCA reikalauja, kad atitinkami CASP užtikrintų patikimą valdyseną, tinkamą darbuotojų kvalifikaciją, vidaus kontrolę, atsparias IKT priemones ir veiklos tęstinumo politiką. Jis taip pat nustato piktnaudžiavimo kriptoturto rinka prevencijos ir nustatymo taisykles.
Kadangi kriptoturto rinkos veikia nenutrūkstamai ir gali labai svyruoti, CASP bei profesionaliai kriptoturto sandorius organizuojantys ar vykdantys asmenys gali patirti didelį laiko spaudimą. Nuovargis didina vykdymo klaidų, nepastebėtų įtartinų modelių ar pavėluoto eskalavimo riziką. Tiksli teisinė pareiga priklauso nuo organizacijos vaidmens ir konkrečios veiklos.
Kaip stresas prekyboje ir atitikties darbe gali prisidėti prie kontrolės sutrikimo
1. Perspėjimų nuovargis
Atitikties komandos gali peržiūrėti daugybę sandorių perspėjimų, KYC patikrų ir rizikos pranešimų. Nuolat gausus perspėjimų srautas gali sukelti perspėjimų nuovargį, dėl kurio sunkiau atskirti reikšmingus signalus nuo įprasto triukšmo. Spaudžiamas sumažinti darbų eilę darbuotojas gali patvirtinti didelės rizikos sandorį ar nepastebėti tyrimo reikalaujančio modelio.
KYC ir kovos su pinigų plovimu pareigos pirmiausia kyla iš AML teisės aktų, o ne vien MiCA. Tačiau praktikoje reguliuojamos organizacijos dažnai taiko AML/KYC, MiCA ir kitas stebėsenos priemones vienu metu, todėl krūvis gali kauptis per kelias reguliavimo sistemas.
2. Vykdymo klaidos esant dideliam spaudimui
Esant nepastovioms rinkos sąlygoms, prekiautojai ir rizikos specialistai greitai apdoroja daug informacijos. Ilgalaikis nuovargis gali bloginti dėmesį, sprendimus ir emocijų valdymą, todėl išvengiamų vykdymo klaidų ar pavėluoto eskalavimo tikimybė auga. CASP tokios žmogiškosios klaidos gali pakenkti vidaus kontrolei, piktnaudžiavimo rinka stebėsenai ar veiklos tęstinumo priemonėms.
3. Priklausomybė nuo pagrindinių žmonių ir darbuotojų kaita
Atitikties, prekybos ir IKT komandos dažnai priklauso nuo žmonių, turinčių specialių organizacijos žinių. Jei išsekęs atitikties vadovas ar vyresnysis operatorius išeina audito ar incidento metu, žinioms atkurti gali prireikti mėnesių. Likę darbuotojai perima darbus, o tai dar labiau didina spaudimą ir operacinį pažeidžiamumą.
Psichologinio pasirengimo įtraukimas į operacinės rizikos strategiją
Reguliuojamoms organizacijoms klaidinga darbuotojų gerovę vertinti tik kaip gyvenimo būdo priedą. DORA ir MiCA nereikalauja, kad darbdaviai teiktų psichikos sveikatos programas, tačiau rizikos vadovai gali pagrįstai vertinti pažintinę perkrovą ir nuovargį kaip galimus žmogiškųjų klaidų veiksnius.
Užuot pasikliovusios tik bendromis, į problemas reaguojančiomis konsultavimo programomis, organizacijos gali siūlyti konfidencialią pagalbą, pritaikytą atitikties, prekybos ir IKT pareigoms paskirstytose Europos komandose. Sėkmę reikėtų vertinti pagal įsitraukimo, žmogiškųjų klaidų rodiklių, neatvykimo, perdegimo rizikos ir darbuotojų kaitos visumą, o ne vien registracijas.
Praktiniai žingsniai rizikos ir personalo vadovams
- Nustatykite stresorius vertindami operacines priklausomybes. Nustatydami kritines priklausomybes nuo žmonių ir darbo krūvio riziką, įtraukite atitikties pareigūnus, prekybos darbuotojus ir IKT incidentų vadovus.
- Teikite lengvai prieinamą psichikos sveikatos pagalbą. Suteikite darbuotojams greitą prieigą prie kvalifikuotų specialistų be sudėtingų įmonės registracijos procedūrų.
- Siūlykite daugiakalbę pagalbą Europos padaliniuose. Pagalba darbuotojo pageidaujama kalba gali palengvinti jos gavimą ir naudojimą.
- Atlikite psichosocialinės rizikos vertinimus. Bendradarbiaukite su patikimu psichikos sveikatos partneriu, kad nustatytumėte riziką ir išvadas paverstumėte praktiniais veiksmais. Siffi netrukus pristatys psichosocialinės rizikos vertinimo priemonę, padedančią organizacijoms vykdyti pareigas ir teikti prasmingą pagalbą. Sekite naujienas.
Dažniausiai užduodami klausimai
Ar DORA arba MiCA priežiūra konkrečiai tikrina darbuotojų stresą?
Ne. Šie reglamentai nereikalauja psichologinio testavimo ar privalomos darbuotojų psichikos sveikatos programos. Priežiūros institucijos vertina taikomų valdysenos, IKT, pranešimo ir kontrolės pareigų vykdymą. Su nuovargiu susijusi klaida gali prisidėti prie kontrolės sutrikimo, tačiau priežiūros priemonės susijusios su pažeidimu ar netinkama kontrole, o ne pačiu stresu.
Kodėl atitikties ir prekybos pareigos pažeidžiamos perdegimo rizikos?
Šiose pareigose dera didelis informacijos kiekis, trumpas sprendimų priėmimo laikas ir rimtos praleistų signalų pasekmės. Trumpas dėmesio praradimas gali sukelti finansinį nuostolį, pavėluotą eskalavimą ar vidaus kontrolės nesilaikymą.
Kaip aktyvi psichikos sveikatos pagalba mažina klaidas?
Tinkama pagalba gali padėti darbuotojams valdyti pažintinį krūvį, kurti atsigavimo įpročius ir susidoroti su ilgalaikiu spaudimu. Ji papildo, bet nepakeičia pakankamo darbuotojų skaičiaus, aiškių procedūrų, mokymų, automatizavimo ir veiksmingos priežiūros.
