PETTUSTE TÕKESTAMISE HEA TAVA JA MEETMETE KAVA

PETTUSTE TÕKESTAMISE HEA TAVA

I         EESMÄRK JA ULATUS

Eesti Pangaliidu pettuste tõkestamise hea tava (edaspidi „hea tava") eesmärk on kehtestada põhimõtted, millest lähtuvad Eesti krediidiasutused ja välismaa krediidiasutuste Eesti filiaalid (edaspidi ühiselt nimetatud „pangad") pettuste ennetamisel ja tõkestamisel. Hea tava aitab kaasa pankadevahelise koostöö edendamisele, ausale ja vabale konkurentsile ning usaldusväärse pangandussüsteemi toimimisele ja hea maine kindlustamisele. See dokument on osa laiemast heast pangandustavast.

Riigi ja erasektori kasvav sõltuvus digilahendustest eeldab turvalist ja usaldusväärset keskkonda. Digiühiskonna teenuste, süsteemide jms mugavus ning lihtsus teeb selle ühtlasi mugavaks keskkonnaks petturitele, kes kasutavad ära digiühiskonna tugevusi ja nõrkusi, vähendades usaldust digitaalsete suhtluskanalite ja süsteemide vastu. Seetõttu on pettuste tõkestamine oluline nii klientide vara kaitseks kui ka Eesti digiühiskonna usaldusväärsuse tagamiseks. Eesti kui digiriik on küber- ja pettuste riskidele eksponeeritud, kuid sektoriteülene koostöö loob eeldused pettuste süsteemseks tõkestamiseks.

Hea tava eesmärk on:

1. kirjeldada ühiseid väärtusi, suuniseid ja põhimõtteid, millest pangad pettuste tõkestamisel lähtuvad;
2. suurendada pankade ja ühiskonna teadlikkust pettuste riskidest ning kaitsemeetmetest;
3. edendada tulemuslikku koostööd pettuste tõkestamisel nii pangandussektoris kui ka erinevate sektorite, sh avaliku sektoriga, arvestades iga panga autonoomiat konkreetsete meetmete valimisel ja rakendamisel.

Pangad on pettuste tõkestamise süsteemis keskse tähtsusega osalised, kelle roll on muu hulgas klientide vara kaitsmine ning panganduskeskkonna turvalisuse tagamine. Pangad teadvustavad, et kelmide toime pandud kuritegude süsteemne, organiseeritud ja rahvusvaheline iseloom välistab võimaluse, et üksik turuosaline või ametiasutus suudaks iseseisvalt kogu pettuste ahelat katta ning seda tõhusalt tõkestada. Pettuste terviklik tõkestamine eeldab laiemat sektoriteülest koostööd, toetavat õiguskeskkonda ning era- ja avaliku sektori vahelist toimivat infovahetust, milles pangad osalevad aktiivselt ja konstruktiivselt.

II       VÄÄRTUSED JA ÜLDPÕHIMÕTTED

1. Usalduse kaitse: pangad teadvustavad, et pettuste tõkestamine on oluline mitte üksnes klientide vara kaitseks, vaid ka digiühiskonna usaldusväärsuse tagamiseks laiemalt. Pangad arvestavad oma tegevuses, et pettuste tagajärjed ulatuvad kaugemale otsesest materiaalsest kahjust ning hõlmavad ka usalduse vähenemist digitaalsete suhtluskanalite ja süsteemide vastu.
2. Klientide vara kaitse: klientide vara säilitamine on pankade jaoks esmatähtis, mistõttu rakendatakse ja arendatakse järjepidevalt nii füüsilise kui ka infotehnoloogilise turvalisuse meetmeid, mis on suunatud kõigi pettuse liikide asjakohasele tõkestamisele.
3. Riskipõhine lähenemine: iga pank hindab iseseisvalt, milliseid kaitsemeetmeid ja kontrollimehhanisme ning milliste riskifaktorite ilmnemisel rakendada, arvestades panga klientuuri, tooteid ja tehnoloogilist valmisolekut.
4. Õiguspärasus ja proportsionaalsus: pangad rakendavad meetmeid, millel on selge õiguslik alus või mille rakendamine on lubatud lepingutingimuste ja regulatiivsete nõuete alusel. Meetmeid rakendatakse proportsionaalselt tuvastatud riskiga. Valdkondades, kus õigusselgus puudub, toetuvad pangad regulaatori või riigi ettekirjutustele ning hoiduvad ühisest kohustuste võtmisest seni, kuni vastav regulatsioon on kehtestatud. Ühtlasi on pangad valmis aktiivselt osalema regulatsiooni kujundamises, tehes ettepanekuid Pangaliidu kaudu pädevatele ametiasutustele.
5. Läbipaistvus ja kommunikatsioon: pangad korraldavad oma tegevust läbipaistvalt ja vastutustundlikult. Pettuste tõkestamise kontekstis võib see hõlmata muu hulgas üldise teadlikkuse suurendamist levinud petuskeemidest ja kaitsevõimalustest, kusjuures iga pank otsustab iseseisvalt teavitustegevuse vormi, ulatuse ja sisu üle.
6. Koostöö ja teabevahetus: pangad teevad Pangaliidu kaudu koostööd pettuste tõkestamise valdkonnas, jagades valdkondlikke teadmisi, statistikat ja parimaid praktikaid, arvestades seejuures pangasaladuse hoidmise kohustust krediidiasutuste seaduse tähenduses ning isikuandmete kaitse ja konkurentsiõiguse nõudeid.
7. Sisemine juhtimine: iga Pangaliidu liige tagab, et pettuste tõkestamisel on pangasiseselt selge vastutusjaotus. See hõlmab muu hulgas pettustevastase tegevuse koordineerimist ning asjakohaste siseprotseduuride olemasolu. Konkreetne juhtimisstruktuur sõltub panga suurusest ja tegevuse ulatusest.

III   PANKADE OTSESED MEETMED PETTUSTE TÕKESTAMISEL

Pangad rakendavad oma otseses tegevusvaldkonnas järgmisi meetmeid klientide vara kaitsmiseks ja pettuste tõkestamiseks. Sektoriüleselt kavandatavad meetmed, ajaraamid ja rakendamise ulatus lepitakse kokku Pangaliidu tegevuskavas. Iga pank kohandab meetmeid vastavalt oma tegevuse eripärale.

1. Kliendi autentimine ja seadmete turvalisus: pangad rakendavad ja arendavad kliendi autentimise ning seadmete turvalisuse meetmeid, sealhulgas uute seadmete tuvastamist, mitmefaktorilist autentimist ning klientide teavitamist turvariskidest. Pangad lähtuvad autentimislahenduste valikul parimatest turupraktikatest ja tehnoloogilisest arengust.
2. Küberjulgeoleku meetmed: pangad rakendavad ja arendavad küberjulgeoleku meetmeid, mis on suunatud pettuste tõkestamisele infotehnoloogiliste süsteemide tasandil.
3. Limiitide haldus: pangad vaatavad perioodiliselt üle klientide tehingulimiidid, lähtudes riskianalüüsist ja kliendiprofiilist. Iga pank kehtestab iseseisvalt asjakohased lävendid, nende ulatuse ja ülevaatamise sageduse.
4. Monitooringusüsteemide arendamine: pangad hoiavad monitooringusüsteemide tehnilised lahendused ja pettuste tõkestamiseks kasutatava teabe ajakohasena, tagades, et pettuste tuvastamise reeglid ja stsenaariumid peegeldavad teadaolevat pettuste maastikku ning et algoritmilised lahendused on kohandatud vastavalt uutele petuskeemidele. Monitooringusüsteemide arenduste sisu ja ulatus sõltub iga panga olemasolevast infrastruktuurist ja investeerimisvõimekusest.
5. Maksete turvalisus: pangad rakendavad riskipõhiseid meetmeid maksete turvalisuse tagamiseks, sealhulgas kaaluvad riskifaktorite ilmnemisel täiendavate kontrollide rakendamist suure riskiga maksete puhul.
6. Kliendi teavitamine ja haridus: pangad panustavad klientide teadlikkuse suurendamisse levinud petuskeemidest ning kaitsevõimalustest, kasutades selleks panga spetsiifikat arvestavaid lahendusi. Ühise tegevusena koordineerib Pangaliit kommunikatsioonikampaaniaid, mille eesmärk on elanikkonna üldise teadlikkuse tõstmine pettuste ennetamise valdkonnas. Pangad ja Pangaliit toetavad klientide finantskirjaoskuse arendamist.
7. Kliendigruppide erisuste arvestamine: pangad teadvustavad, et erinevad kliendirühmad võivad olla pettuste suhtes erineva haavatavustasemega. Pangad võtavad seda pettuste tõkestamise meetmete kujundamisel arvesse. Konkreetsete meetmete valik ja ulatus jääb iga panga iseseisvaks otsuseks.
8. Tehnoloogiline innovatsioon: pangad jälgivad tehisintellekti ja muude uute tehnoloogiate arengut ning nende mõju pettuste maastikule. Pangad kaaluvad võimaluse ja vajaduse korral uudsete tehnoloogiliste lahenduste rakendamist pettuste tuvastamiseks ja tõkestamiseks.
9. Kolmandate osapoolte riskide haldamine: pangad arvestavad pettuste tõkestamise meetmete kujundamisel riske, mis võivad tuleneda kolmandatest osapooltest makseahelas. Pangad rakendavad oma riskijuhtimise raamistikus asjakohaseid meetmeid, et maandada pettuste riski ka nende teenuste osas, mille osutamisel on kaasatud kolmandad osapooled.
10. Pettuse ohvrite abistamine: pangad kujundavad protsesse, mis on suunatud pettuse ohvritele kiire ja selge suhtluse võimaldamisele pärast pettuse tuvastamist ning on valmis tegema koostööd teiste asutustega, et toetada ohvrite asjakohast abistamist. Pangad hindavad iga tuvastatud pettuse asjaolusid individuaalselt ja lähtuvad ohvri abistamisel hoolsuspõhimõttest.
11. Töötajate pädevus ja koolitus: pangad peavad oluliseks pettuste tõkestamiseks vajaliku ressursi olemasolu ning pettuste tõkestamisega seotud töötajate pädevust. Iga pank tagab pettuste tõkestamise üksuse ja teiste asjakohaste struktuuride, sealhulgas klientidega vahetult kokkupuutuvate töötajate teadmiste pideva arendamise. Pädevuse arendamine hõlmab muu hulgas pettuste maastiku tundmist, haavatavamate kliendigruppide erisuste arvestamist ning suutlikkust suunata kliente asjakohase abi poole.
12. Infovahetus: pangad korraldavad oma töö viisil, mis võimaldab mõistliku aja jooksul reageerida teistelt pankadelt laekunud pettusekahtluse teadetele, hinnata saadud teavet ning rakendada meetmeid võimaliku kahju vähendamiseks.
13. Rikkumistest teavitamine: pangad tagavad, et pangasisesed isikud saavad tutvuda hea tava põhimõtetega ning et pettusekahtlustest ja hea tava rikkumistest on võimalik teavitada konfidentsiaalselt ja ilma kättemaksu kartuseta. Juhul kui pangasisesed teavituskanalid ei ole andnud tulemust, on pangatöötajal võimalik pöörduda hea tava rikkumiste osas otse Pangaliidu poole. Teavitamise kanalid ja protseduurid peavad olema kooskõlas kehtivate õigusaktidega.

IV   PANKADE PANUS SEKTORITEÜLESESSE PETTUSTE TÕKESTAMISSE

Pangad teadvustavad, et pettuste terviklik tõkestamine eeldab kogu pettuste ahela käsitlemist ning sektoriteülest koostööd. Pangad osalevad aktiivselt järgmistes valdkondades, mis jäävad osaliselt või täielikult väljapoole pankade otsest tegevusala.

1. Elektroonilise side turvalisus: pangad toetavad elektroonilise side teenuse osutajate suutlikkuse suurendamist pettuste tõkestamisel. Pangad aitavad kaasa helistaja identiteedi- ja numbrivõltsimise tõkestamise ja kahtlaste kõnede blokeerimise lahenduste väljatöötamisele, jagades oma kogemusi petuskeemide äratundmisel.
2. Sotsiaalmeedia ja digiplatvormid: pangad toetavad sotsiaalmeedia platvormide ja infoühiskonna teenuse osutajate tegevust pettusliku sisu tuvastamisel ja eemaldamisel. Pangad aitavad kaasa reklaamiandja identifitseerimise põhimõtete väljatöötamisele ning jagavad teavet levinud pettusliku reklaami tunnuste kohta.
3. Õiguskeskkonna arendamine: pangad toetavad õiguskeskkonna arendamist, mis tagab selge õigusliku aluse ennetavate meetmete rakendamiseks, sealhulgas kahtlaste tehingute peatamiseks ja riskipõhiste piirangute kehtestamiseks. Pangad toetavad ja osalevad aktiivselt õigusloome täiendamises, mis on suunatud osapoolte õiguste, kohustuste ja vastutuse tasakaalu ülevaatamiseks ning andmevahetuse reguleerimiseks era- ja avaliku sektori vahel ning karistusõiguslike meetmete ja teokirjelduste ülevaatamiseks, et tagada pettuste süsteemne ja organiseeritud käsitlemine.
4. Sektoriteülene operatiivkoostöö: pangad aitavad kaasa sektoriteülese operatiivkoostöö tugevdamisele ning tõhusama infovahetuse soodustamisele era- ja avaliku sektori osaliste vahel. Pangad toetavad selgemate koostöörutiinide loomist erinevate sektorite esindajate vahel.
5. Andmekaitse ja avalike andmete turvalisus: pangad toetavad meetmeid, mis piiravad isikuandmete ebaseaduslikku kogumist ja kuritarvitamist, sealhulgas avalikult kättesaadavate andmebaaside turvalisuse suurendamist. Pangad aitavad kaasa andmekogujate ja -vahendajate kohustuste selgemale reguleerimisele.
6. Rahvusvaheline koostöö ja Euroopa Liidu tasand: pangad toetavad Euroopa Liidu tasandil tervikliku pettustevastase tegevuskava väljatöötamist ning aitavad võimaluste piires kaasa piiriülese koostöö tugevdamisele, sealhulgas rahvusvahelise infovahetuse ja ühiste uurimisvõtete arendamisele.
7. Riikliku koordinatsiooni toetamine: pangad toetavad ideed luua püsiv pettuste ennetamise ja tõkestamisega tegelev avaliku ja erasektori koostööplatvorm, kus toimub eesmärgistatud järjepidev ühistegevus kogu pettuste ahela katmiseks. Pangad toetavad juhtorganisatsiooni määramist pettuste ennetamise tervikvaate hoidmiseks riiklikul tasandil. Organisatsiooni pädevusse kuuluks erinevate ministeeriumite ja erasektori vahelise koostöö juhtimine ja koordineerimine. Pangad on valmis osalema sellise koostööstruktuuri töös aktiivselt ja konstruktiivselt.

V       ÜLEVAATAMINE JA AJAKOHASTAMINE

Head tava täiendatakse ja ajakohastatakse vajaduse korral, muu hulgas tulenevalt muudatustest pangandus-, majandus- ja õiguskeskkonnas.

Hea tava meetmete tegevuskava vaadatakse üle vähemalt kord aastas. Ülevaatamise käigus hinnatakse, kas hea tava põhimõtted ja suunised on endiselt asjakohased ning kas tegevuskava vajab kohandamist lähtuvalt pettuste trendide muutumisest, regulatiivsetest arengutest või pankade tagasisidest.

Sektoriülese aruandluse tagamiseks esitavad Pangaliidu liikmed Pangaliidule regulaarselt anonüümistatud ülevaate pettuste statistikast oma tegevusvaldkonnas. Pangaliit koondab esitatud andmed ning avaldab kokkuvõtliku sektoriaruande, mis toetab tõenduspõhist poliitikakujundamist ja sektori läbipaistvust. Aruandluse täpsemad põhimõtted, sealhulgas andmete struktuur ja ajaraam, kehtestatakse tegevuskavas.

VI   KINNITAMINE JA JÕUSTUMINE

Hea tava on Pangaliidu liikmete vabatahtlik kokkulepe, mis väljendab pankade ühist tahet ja suuniseid pettuste tõkestamise valdkonnas. Hea tava ei kujuta endast õiguslikult siduvat lepingut ega loo iseseisvaid õigusi ega kohustusi kolmandate isikute suhtes. Pangaliidu liikmed kinnitavad oma valmisolekut hea tava põhimõtetest lähtuda, säilitades seejuures täieliku autonoomia konkreetsete meetmete valikul ja rakendamisel.

Juhul kui Pangaliidu liige kaldub olulisel määral kõrvale hea tava põhimõtetest, võib Pangaliit algatada asjaomase liikmega dialoogi eesmärgiga selgitada kõrvalekaldumise põhjuseid ning leida lahendusi hea tava põhimõtete järgimise taastamiseks. Pangaliit käsitleb selliseid olukordi konfidentsiaalselt ja konstruktiivselt, kaasates vajadusel Pangaliidu volikogu või volikogu määratud toimkonnad, tagades seejuures asjaomase liikme ärisaladuste ja konkurentsitundliku teabe kaitse.

Sõltumata peatükis V sätestatud ajakohastamisest vaadatakse hea tava tervikuna üle vähemalt iga kolme aasta järel või vajaduse korral sagedamini, arvestades olulisi muudatusi pettuste maastikul, regulatiivses keskkonnas või tehnoloogilises arengus. Tervikliku ülevaatamise algatab Pangaliit ja ülevaatamise tulemused kinnitab Pangaliidu volikogu.

Eesti Pangaliidu pettuste tõkestamise hea tava on kinnitanud Eesti Pangaliidu volikogu 19.05.2026.

EESTI PANGALIIDU PETTUSTE TÕKESTAMISE MEETMETE KAVA

I. EESMÄRK JA KOHALDAMISALA

Käesoleva Eesti Pangaliidu pettuste tõkestamise meetmete kava eesmärk (edaspidi „meetmete kava") on sätestada praktilised ja selged meetmed, mida Eesti Pangaliidu liikmed (edaspidi „pangad") rakendavad pettuste tõkestamisel ja ennetamisel. Meetmete kava on osa Eesti Pangaliidu pettuste tõkestamise heast tavast (edaspidi „hea tava“) ning täpsustab heas tavas sätestatud põhimõtete praktilist rakendamist.

Meetmete kavas sätestatud ajaraamid on kehtestatud eeldusel, et vastavaid meetmeid rakendab enamik Eesti turul tegutsevaid panku, kelle tegevus hõlmab aktiivsete arvelduskontode pakkumist.

 Meetmete kava on oma olemuselt meetmete rakendamise plaan, mitte koheselt kasutusele võetavate praktikate kogum. Tehnoloogilised investeeringud vajavad nii analüüsi kui ka prioriteetide seadmist iga panga sisemises tööplaanis.

2026. aasta teise kvartali seisuga on kavandatud meetmete kava ülevaatamine enne 2026. aasta lõppu järgmiste etappide ja planeeritud tegevuste osas. Pankadeüleselt on käesoleval hetkel kokku lepitud alljärgnevad tegevused, eesmärgiga rakendada need 2026. aasta lõpuks või vahetult pärast seda enamiku pankade poolt.

Meetmete kava uuendamine järgnevate etappide osas algab hiljemalt 2026. aasta neljandas kvartalis.

II. PETTUSTE TÜPOLOOGIAD

Meetmete kava keskendub kahele peamisele pettuste tüpoloogiale: kontode ülevõtmised (edaspidi „ATO"), mille puhul klient annab oma autentimisvahendi ja võimaldab seeläbi pangakontole juurdepääsu kolmandale osapoolele, ning autoriseeritud makse kelmused (edaspidi „APP"), mille puhul klient haldab oma kontot ise ja autoriseerib makseid kolmandatele osapooltele.

Nimetatud tüpoloogiate eristamine võimaldab hinnata, kas konkreetse riski puhul konkreetse meetme rakendamine annab soovitud tulemuse. Ühtlasi tagab see mõõdetavuse, kuna pettuste ennetamise ja toimunud pettuste mahud on teada ning rakendamise järgselt on võimalik tulemusi mõõta.

III. MEETMETE KAVA 2026

2026. aasta meetmete kava tegevused hõlmavad eelkõige madalama komplekssusega meetmeid, mille rakendamine on kiirem, avalikkusele arusaadav ning mille puhul eeldatakse mõõdetavat mõju. Ühtlasi alustavad osapooled tehnoloogiliselt keerukamate ja mõjusamate lahenduste väljatöötamisega, mis vastavad ka PSD3-PSR ootustele ning mille eeldatav rakendamise ajaraam on 9 kuni 15 kuud, hiljemalt 2027. aasta keskpaigaks.