Ład korporacyjny

Nadrzędnym celem banku w zakresie działań informacyjnych jest zagwarantowanie wysokich standardów komunikacji z uczestnikami rynku kapitałowego. Standardy komunikacji są wyrazem poszanowania zasad powszechnego i równego dostępu do informacji. Aby zrealizować ten cel, bank prowadzi politykę informacyjną w sposób gwarantujący właściwy, rzetelny i kompletny dostęp do informacji o banku dla wszystkich inwestorów, bez stosowania preferencji w stosunku do któregokolwiek z nich. Te reguły bank formalnie przyjął w Zasadach polityki informacyjnej PKO Banku Polskiego w zakresie kontaktów z inwestorami i klientami.

Realizując tę politykę, bank dokłada szczególnej staranności, aby umożliwić inwestorom i analitykom zadawanie pytań oraz uzyskiwanie wyjaśnień na interesujące ich tematy. W tym celu organizowane są cykliczne, indywidualne spotkania inwestorów z przedstawicielami banku, konferencje wyjazdowe związane z prezentacją banku (w gronie inwestorów i analityków rynku kapitałowego) oraz konferencje i telekonferencje bezpośrednio po publikacji raportów okresowych PKO Banku Polskiego (w 2020 roku ze względu na pandemię głównie w formie elektronicznej z użyciem dostępnych aplikacji). Inwestorzy na bieżąco otrzymują odpowiedzi na pytania także zadawane pisemnie, drogą elektroniczną lub telefonicznie.

Aby jak najszybciej informować rynek o sytuacji PKO Banku Polskiego, wyniki finansowe są publikowane w możliwie najkrótszym czasie po zakończeniu okresu sprawozdawczego. Sukcesywne skracanie terminów publikacji zaburzyła w 2020 roku konieczność określenia wpływu pandemii na wyniki banku i grupy kapitałowej. W ramach szeroko pojętej polityki informacyjnej bank w rocznych sprawozdaniach Zarządu z działalności grupy opisuje główne zasady polityki w zakresie działalności sponsorskiej i charytatywnej. Bank ma również rekomendowane uregulowania wewnętrzne dotyczące udzielania wyjaśnień i sprostowań dotyczących nieprawdziwych, nieścisłych lub szkodliwych doniesień medialnych.

Potwierdzeniem jakości prowadzonych działań informacyjnych może być fakt, że w 2020 roku w największym w Polsce badaniu relacji inwestorskich w spółkach z WIG30 przygotowanym przez „Parkiet” i Izbę Domów Maklerskich, bank zajął 3. miejsce wśród spółek, które według inwestorów instytucjonalnych i analityków najlepiej komunikują się z rynkiem.

Członkowie Zarządu i Rady Nadzorczej PKO Banku Polskiego są powoływani w sposób umożliwiający wybór osób reprezentujących wysokie kwalifikacje i doświadczenie. Znajduje to odzwierciedlenie w przyjętych w 2020 roku w banku politykach oceny odpowiedniości dotyczących członków obu tych organów, z uwzględnieniem zasady ich zróżnicowania. Zasada zróżnicowania ma zapewnić dobór członków Zarządu lub Rady Nadzorczej tak, aby mieli szeroki zakres kompetencji, wiedzy i umiejętności, które są adekwatne do stanowiska i gwarantują wydawanie przez nich (indywidualnie i jako organ) niezależnych opinii i decyzji w całym zakresie działalności banku. Zasada zróżnicowania doboru opiera się o obiektywne kryteria merytoryczne w zakresie wykształcenia i doświadczenia zawodowego. W razie potrzeby bank zapewnia Radzie Nadzorczej możliwość korzystania z profesjonalnych, niezależnych usług doradczych.

Zarówno członkowie Zarządu, jak i Rady Nadzorczej poświęcają niezbędny czas na wykonywanie swoich obowiązków. Frekwencja na posiedzeniach Rady Nadzorczej jest wysoka, a nieobecność uzyskuje usprawiedliwienie wyrażone w uchwałach Rady Nadzorczej. Pełnienie funkcji w Zarządzie banku jest głównym obszarem aktywności członków tego organu, a członkostwo w organach innych podmiotów w głównej mierze polega na sprawowaniu funkcji nadzorczych w spółkach grupy kapitałowej.

Rada Nadzorcza banku, w ramach zarządzania sukcesją, podejmuje decyzje w zakresie doboru nowych członków Zarządu banku. Celem tego procesu jest zapewnienie ciągłości podejmowania decyzji w zakresie obszaru działania nadzorowanego przez danego członka Zarządu banku, jak i całego Zarządu banku. Kierując się tą zasadą, ze względu na kończącą się w połowie 2020 roku kadencję Zarządu, Rada Nadzorcza dokonała wyboru członków tego organu z odpowiednim wyprzedzeniem.

Statutowym zobowiązaniem banku w zakresie utrzymywania składu Rady Nadzorczej jest konieczność zwołania Walnego Zgromadzenia, aby uzupełnić skład Rady Nadzorczej w przypadku, gdyby zmniejszył się poniżej 5.

Bank wyodrębnia w swojej strukturze jednostki odpowiedzialne za realizację zadań w poszczególnych systemach i funkcjach, w szczególności jednostki zajmujące się kontrolą wewnętrzną, zarządzaniem ryzykiem i zgodnością. Główne założenia systemu kontroli wewnętrznej oraz zasad zarządzania ryzykiem w banku są dostępne na stronie Relacji Inwestorskich w zakładce Audytor i kontrola wewnętrzna.

Bank dąży do odbywania zwyczajnych walnych zgromadzeń w możliwie najkrótszym terminie po publikacji raportu rocznego. Na przestrzeni pięciu ostatnich lat okres ten skrócił się o około miesiąc. Wyjątek stanowi data odbycia Zwyczajnego Walnego Zgromadzenia banku w 2020 roku, która za względu na pandemię przypadła na koniec sierpnia 2020 roku. Obrady walnego zgromadzenia są transmitowane w czasie rzeczywistym.

Przepisy wewnętrzne PKO Banku Polskiego gwarantują przestrzeganie rekomendacji i zasad zawartych w Dobrych Praktykach. W banku obowiązują przepisy wewnętrzne dotyczące zarządzania konfliktami interesów. Zgodnie z tymi przepisami, zarówno członek Rady Nadzorczej, jak i członek Zarządu powinien powstrzymywać się od podejmowania aktywności zawodowej lub pozazawodowej, która mogłaby prowadzić do powstania konfliktu interesów lub w inny sposób wpływać negatywnie na jego reputację jako członka organu odpowiednio nadzorującego lub zarządzającego. Określone są również zasady dotyczące obowiązku ujawniania konfliktów, wstrzymania się od podejmowania decyzji i wyłączania członków tych organów z udziału w rozpatrywaniu spraw, z którymi związany jest konflikt interesów.

W banku obowiązuje polityka wynagrodzeń członków Rady Nadzorczej oraz Zarządu aktualnie przyjęta przez Zwyczajne Walne Zgromadzenie w 2020 roku. Zgodnie z treścią tej polityki wynagrodzenie całkowite członka Zarządu banku składa się z części stałej oraz części zmiennej. Wynagrodzenie zmienne jest uzależnione od poziomu realizacji celów zarządczych takich jak: osiągnięcie wyniku finansowego netto banku i grupy, osiągnięcie wskazanych wskaźników ekonomiczno-finansowych, realizacja strategii banku i grupy oraz utrzymanie pozycji rynkowej banku.

W PKO Banku Polskim przyjęte są również zasady wynagradzania pracowników, których działalność ma istotny wpływ na profil ryzyka banku. Wynagrodzenia kluczowych menedżerów są bezpośrednio uzależnione od sytuacji finansowej banku oraz wzrostu jego wartości. Poziom wynagrodzeń członków organów banku i kluczowych menedżerów jest adekwatny do powierzonego poszczególnym osobom zakresu zadań. Praca w komitetach Rady Nadzorczej banku uwzględniana jest w wysokości wynagrodzenia członków tych komitetów.

Funkcjonowanie powołanego w ramach Rady Nadzorczej Banku Komitetu Nominacji i Wynagrodzeń odpowiada warunkom opisanym w Załączniku nr I do Zalecenia Komisji Europejskiej 2005/162/WE dotyczącego roli dyrektorów niewykonawczych lub będących członkami rady nadzorczej spółek giełdowych i komisji rady (nadzorczej).

Bank na bieżąco aktualizuje zasady ustalania zmiennych składników wynagrodzeń. Robi to zgodnie z wymogami dyrektywy CRD IV i Rozporządzenia delegowanego nr 604/2014, które uzupełnia dyrektywę Parlamentu Europejskiego i Rady 2013/36/UE w odniesieniu do regulacyjnych standardów technicznych w zakresie kryteriów jakościowych i właściwych kryteriów ilościowych ustalania kategorii pracowników, których działalność zawodowa ma istotny wpływ na profil ryzyka instytucji z 4 marca 2014 roku. Podstawą przyznania zmiennych składników wynagrodzeń są przede wszystkim cele premiowe nadawane w ramach zarządzania przez cele – Management by Objectives (MbO).

Nadawane cele mają zagwarantować uwzględnienie ryzyka związanego z działalnością banku. Ryzyko jest uwzględniane zarówno poprzez ustalenie odpowiednich, wrażliwych na ryzyko kryteriów oceny efektywności pracy, jak i redukcję lub brak wynagrodzenia zmiennego w przypadku pogorszonych wyników finansowych, straty lub pogorszenia innych wskaźników. Zmienne składniki wynagrodzeń za dany okres premiowania (rok kalendarzowy) przyznawane są po rozliczeniu celów premiowych. Okres odroczenia, na jaki przyznawane są akcje fantomowe wynosi 5 lat (w ujęciu kalendarzowym). Każdy z naliczonych składników wynagrodzenia zmiennego może zostać obniżony w następstwie:

• naruszenia obowiązków, które wynikają z umowy,
• uchybień w przestrzeganiu przepisów prawa lub standardów obsługi klientów,
• nieprawidłowego wykonywania wyznaczonych zadań służbowych,
• zachowań w stosunku do innych pracowników, które naruszają zasady współżycia społecznego.

Kwota premii członka Zarządu (CZB) może zostać skorygowana na minus lub na plus o określony wskaźnik, w zależności od osiągniętych wyników banku określonych w rocznej Nocie banku (zestaw kluczowych wskaźników zarządczych określonych na dany rok kalendarzowy). Kwota premii MRT (Material Risk Takers) nie będącego członkiem Zarządu może zostać skorygowana na plus o określony wskaźnik w zależności od wyników banku określonych w rocznej Nocie banku. Możliwe jest zastosowanie (odpowiednio przez Radę Nadzorczą lub Zarząd banku) rozwiązania typu malus, które obniża wielkość należnego wynagrodzenia zmiennego odroczonego w kolejnych okresach rozliczeniowych. Jest to możliwe w przypadku:

• znacznego pogorszenia wyników banku,
• znaczącej negatywnej zmiany w kapitale własnym,
• naruszenia przez MRT przepisu prawa lub popełnienia przezeń istotnych błędów,
• korekty realizacji i stopnia realizacji wyników lub celów MRT,
• pogorszenia wyników obszarów nadzorowanych lub kierowanych przez wyżej wymienione osoby,
• przyznania wynagrodzenia zmiennego na podstawie nieprawidłowych, wprowadzających w błąd informacji lub w wyniku oszustwa MRT.

Polityka wynagrodzeń członków Rady Nadzorczej i Zarządu banku nie przewiduje obowiązku zwrotu przyznanego i już wypłaconego wynagrodzenia zmiennego. Polityka ta uprawnia Radę Nadzorczą do przyjmowania dodatkowych postanowień m.in. w zakresie żądania zwrotu przez bank wynagrodzenia zmiennego (clawback). W latach 2019-2020 takie żądanie nie wystąpiło.

W przypadku przyznania odprawy związanej z odwołaniem z funkcji (innej niż wynikająca z powszechnie obowiązujących przepisów prawa), wysokość odprawy odzwierciedla ocenę pracy w ciągu ostatnich trzech lat zatrudnienia. Maksymalną wysokość odpraw określają wewnętrzne przepisy banku. Odprawa przysługuje członkowi Zarządu pod warunkiem pełnienia funkcji członka Zarządu banku przez okres co najmniej dwunastu miesięcy przed rozwiązaniem umowy. Odprawa MRT może być przyznana pod warunkiem zatrudnienia na stanowisku MRT przez okres co najmniej dwunastu miesięcy przed rozwiązaniem umowy o pracę.

Członkowie Zarządu i wybrani MRT objęci są ponadto umowami o zakazie konkurencji, które z tytułu powstrzymywania się przed zatrudnieniem w firmie konkurencyjnej po zakończeniu zatrudnienia w banku, przewidują wypłaty odszkodowań – maksymalnie przez okres sześciu miesięcy, w wysokości do 100% wynagrodzenia stałego wynikającego z umowy.

Bank w pierwszej połowie 2020 roku wprowadził zmiany Zasad zatrudniania i wynagradzania członków Zarządu banku, Polityki wynagradzania pracowników banku i Grupy PKO Banku Polskiego oraz Zasad wynagradzania pracowników banku, których działalność ma istotny wpływ na profil ryzyka Banku – Material Risk Takers w banku. Bank zrobił to w związku z komunikatami Europejskiego Urzędu Nadzoru Bankowego (EUNB) z 31 marca 2020 roku oraz Urzędu Komisji Nadzoru Finansowego (UKNF) z 17 kwietnia 2020 roku dotyczącymi oczekiwanych działań banków oraz zakładów ubezpieczeń w odpowiedzi na wybuch pandemii, w tym odnoszącymi się do wypłaty zmiennych składników wynagradzania.

W szczególności zmieniono Politykę wynagradzania pracowników banku i Grupy PKO Banku Polskiego. Gdy zajdą nadzwyczajne i nieprzewidziane okoliczności wymagające zastosowania konserwatywnego podejścia do wynagrodzenia zmiennego, można czasowo:

• zmienić proporcję wynagrodzeń zmiennych odroczonych i nieodroczonych na rzecz zwiększenia części wynagrodzenia zmiennego odroczonego,
• przedłużyć okresy odroczeń wypłat wynagrodzeń zmiennych oraz przedłużyć terminy, z których wartość bazowa wynagrodzenia zmiennego jest przeliczana na wartość instrumentów finansowych, a wartość instrumentów finansowych będzie stanowiła podstawę przeliczenia instrumentu finansowego na gotówkę do wypłaty,
• zmienić proporcję między wynagrodzeniem zmiennym w formie gotówkowej i w formie instrumentu finansowego na rzecz zwiększenia części wynagrodzenia zmiennego w formie instrumentu finansowego.

W maju 2020 roku Zarząd banku podjął uchwałę w sprawie wypłat w 2020 roku zmiennych składników wynagrodzenia przyznanych Material Risk Takers w banku. W czerwcu 2020 roku Rada Nadzorcza banku podjęła uchwałę w sprawie zatwierdzenia wysokości wypłat zmiennych składników wynagrodzeń członkom Zarządu banku w 2020 roku. Uchwały Zarządu i Rady Nadzorczej (w związku z ogłoszeniem stanu epidemii COVID-19 w kraju oraz wymienionymi wyżej komunikatami EUNB i UKNF) przesądziły o zmianach proporcji oraz terminów wypłat wynagrodzeń zmiennych.

Od 1 lipca 2017 roku zasady zatrudnienia i wynagradzania członków Zarządu banku zostały dostosowane do przepisów ustawy z 9 czerwca 2016 roku o zasadach kształtowania wynagrodzeń osób kierujących niektórymi spółkami (Dz. U. z 2016 poz. 1202 z późn. zm.). Po zmianie, członkom Zarządu nie przysługuje prawo do pozafinansowych składników wynagrodzenia.

Miesięczne wynagrodzenie członków Rady Nadzorczej banku zostało ustalone przez Politykę wynagrodzeń członków Rady Nadzorczej oraz Zarządu banku. Miesięczne wynagrodzenie członków Rady Nadzorczej ustalone jest jako iloczyn podstawy wymiaru, o której mowa w art. 1 ust. 3 pkt 11 ustawy z 9 czerwca 2016 roku o zasadach kształtowania wynagrodzeń osób kierujących niektórymi spółkami oraz mnożnika: dla Przewodniczącego Rady Nadzorczej – 2,75, dla Wiceprzewodniczącego Rady Nadzorczej – 2,5, dla Sekretarza Rady Nadzorczej – 2,25, dla pozostałych członków Rady Nadzorczej – 2.

Wynagrodzenie zostaje podwyższone o 10% w przypadku, gdy członek Rady Nadzorczej uczestniczy w co najmniej jednym stałym komitecie Rady Nadzorczej. Członkowi Rady Nadzorczej, niezależnie od wynagrodzenia, przysługuje zwrot kosztów poniesionych w związku z wykonywaniem funkcji, a w szczególności kosztów przejazdu z miejsca zamieszkania do miejsca posiedzenia Rady Nadzorczej i z powrotem, kosztów zakwaterowania i wyżywienia.

• Ryzyko kredytowe – ryzyko poniesienia straty w wyniku niewywiązania się klienta z zobowiązań wobec grupy lub ryzyko spadku wartości ekonomicznej wierzytelności grupy, gdy pogorszy się zdolność klienta do obsługi zobowiązań.
• Ryzyko walutowe – ryzyko poniesienia straty przy zmianie kursów walutowych, generowane przez utrzymywanie otwartych pozycji w poszczególnych walutach.
• Ryzyko stopy procentowej – ryzyko poniesienia straty na pozycjach bilansowych i pozabilansowych grupy wrażliwych na zmiany stóp procentowych, przy zmianie stóp procentowych na rynku.
• Ryzyko płynności – ryzyko braku możliwości terminowego wywiązania się z zobowiązań ze względu na brak płynnych środków; w ramach ryzyka płynności wyróżnia się ryzyko finansowania.
• Ryzyko operacyjne – ryzyko powstania straty, która wynika z niedostosowania lub zawodności wewnętrznych procesów, ludzi i systemów lub zdarzeń zewnętrznych. To ryzyko uwzględnia ryzyko prawne, czyli ryzyko poniesienia straty w wyniku nieznajomości, niezrozumienia i niestosowania norm prawnych oraz standardów rachunkowości, niemożności wyegzekwowania postanowień umów, niekorzystnych interpretacji lub rozstrzygnięć sądów albo organów administracji publicznej. Ryzyko operacyjne nie obejmuje ryzyka utraty reputacji i ryzyka biznesowego.
• Ryzyko walutowych kredytów hipotecznych dla gospodarstw domowych – ryzyko poniesienia straty, gdy klient nie wywiąże się z zobowiązań wobec banku z tytułu walutowego kredytu hipotecznego.
• Ryzyko biznesowe (strategiczne) – ryzyko nieosiągnięcia założonych celów finansowych, w tym poniesienia strat, które wynika z niekorzystnych zmian w otoczeniu biznesowym, niekorzystnych decyzji, nieprawidłowego wdrożenia decyzji lub braku odpowiednich działań w odpowiedzi na zmiany w otoczeniu biznesowym.
• Ryzyko zmian makroekonomicznych – ryzyko pogorszenia sytuacji finansowej grupy w wyniku niekorzystnej zmiany warunków makroekonomicznych.
• Ryzyko modeli – ryzyko poniesienia strat w wyniku błędnych decyzji biznesowych podejmowanych na podstawie modeli.

Szczegółowy opis zasad zarządzania istotnymi rodzajami ryzyka, w tym technik ograniczania ryzyka, stosowanych zabezpieczeń oraz polityki w zakresie rachunkowości zabezpieczeń znajduje się w Skonsolidowanym sprawozdaniu finansowym (Nota 29 dotycząca rachunkowości zabezpieczeń) oraz w raporcie Adekwatność kapitałowa oraz inne informacje podlegające ogłaszaniu Grupy Kapitałowej PKO Banku Polskiego według stanu na 31 grudnia 2020 roku.

PKO Bank Polski na bieżąco monitoruje sytuację klientów oraz dostosowuje politykę kredytową, aby minimalizować skutki COVID-19 dla klientów i zabezpieczyć dobrą jakość portfela kredytowego banku. W 2020 roku bank:

• rozwijał narzędzia i techniki zarządzania ryzykiem kredytowym:
  • wdrożył nowe narzędzie do oceny jakości pracy oddziałów, które bazuje na jakości portfela kredytowego, wynikach audytów i weryfikacji jakości procesów,
  • wdrożył Rating Stabilności, zgodnie z którym ocena klienta indywidualnego jest dokonywana na podstawie dziennych danych behawioralnych,
  • digitalizował procesy kredytowe,
  • kalibrował modele ryzyka kredytowego, w tym w związku z pandemią COVID-19,
  • w związku z nowym czynnikiem ryzyka kredytowego COVID-19 zwiększył częstotliwość monitorowania i na bieżąco dostosowywał politykę kredytową,
• wprowadził specjalne rozwiązania w procesach kredytowych w związku z COVID-19, w szczególności uproszczenie procesu oceny ryzyka (automatyczne lub półautomatyczne przedłużenie/zawieszenie spłaty kredytów); w III kwartale 2020 roku te rozwiązania były stopniowo wygaszane,
• utrzymywał bezpieczny poziom płynności, który umożliwia szybką i skuteczną reakcję na potencjalne zagrożenia,
• w zakresie ryzyka stopy procentowej zawierał transakcje zabezpieczające IRS oraz kształtował odpowiednio strukturę aktywów i pasywów,
• w zakresie zarządzania ryzykiem operacyjnym kładł nacisk na przeciwdziałanie zagrożeniom, które wynikały z pandemii:
  • powołał Sztab Kryzysowy, który na bieżąco koordynował całość działań grupy w okresie pandemii COVID-19, aby zapewnić bezpieczeństwo klientom i pracownikom oraz ciągłość działania procesów biznesowych,
  • na bieżąco identyfikował zagrożenia związane z COVID-19, które były cyklicznie monitorowane i raportowane do Komitetu Ryzyka Operacyjnego,
  • podejmował działania, które ograniczają zidentyfikowane zagrożenia, w tym w szczególności w zakresie trybu i warunków pracy, zapewnienia odpowiedniej wydajności infrastruktury IT oraz jej bezpieczeństwa; wdrożył nowe metody monitorowania cyberbezpieczeństwa pod kątem zagrożeń pracy zdalnej; dostosował istniejące zabezpieczenia do nowych realiów, prowadził testy penetracyjnie związane z pracą zdalną i cykliczne skanowanie podatności stacji podłączonych poprzez VPN wraz z analizą wpływu podatności na utrzymanie akceptowalnego poziomu bezpieczeństwa,
• cyklicznie przeprowadzał akcje edukacyjne dla klientów i pracowników w zakresie cyberbezpieczeństwa, które jest szczególnie ważne w związku z rosnącym wykorzystaniem kanałów zdalnych.

• Grupa zarządza wszystkimi zidentyfikowanymi rodzajami ryzyka,
• proces zarządzania ryzykiem jest odpowiedni do skali działalności oraz do istotności, skali i złożoności danego ryzyka i na bieżąco dostosowywany do nowych czynników i źródeł ryzyka,
• metody zarządzania ryzykiem (w szczególności modele i ich założenia) oraz systemy pomiaru lub oceny ryzyka są dostosowane do skali i złożoności ryzyka, aktualnie prowadzonej i planowanej działalności grupy i otoczenia, w którym grupa działa oraz okresowo weryfikowane i walidowane,
• zachowana jest niezależność organizacyjna obszaru zarządzania ryzykiem od działalności biznesowej,
• zarządzanie ryzykiem jest zintegrowane z systemami planistycznymi i kontrolingowymi,
• poziom ryzyka jest na bieżąco monitorowany i kontrolowany,
• proces zarządzania ryzykiem wspiera realizację strategii banku przy zachowaniu zgodności ze strategią zarządzania ryzykiem, w szczególności w zakresie poziomu tolerancji na ryzyko.

Bank ma politykę bezpieczeństwa, która odnosi się również do zasad bezpieczeństwa cyfrowego. Zarząd przyjął tę politykę w 2015 roku. W banku funkcjonuje Departament Cyberbezpieczeństwa, który zajmuje się:

• zapewnianiem bezpieczeństwa systemu informatycznego banku,
• rozwojem systemów oraz monitorowaniem parametrów cyberbezpieczeństwa i usług krytycznych,
• zapewnianiem obsługi zdarzeń i incydentów dotyczących cyberbezpieczeństwa, w tym zdarzeń i incydentów w zakresie bankowości elektronicznej.

Za kontrolę aktualnego poziomu bezpieczeństwa infrastruktury odpowiada dyrektor tego departamentu. Podlega mu również Operacyjne Centrum Bezpieczeństwa (SOC – Security Operations Centre). Za realizację polityki cyberbezpieczeństwa i kontrolę cyberbezpieczeństwa odpowiada dyrektor Departamentu Cyberbezpieczeństwa. Nadzór nad realizacją tych funkcji sprawuje wiceprezes Zarządu odpowiedzialny za Obszar Informatyki. Nadzór nad realizacją polityki sprawuje prezes Zarządu. Aby doskonalić metody przeciwdziałania przestępstwom Departament Cyberbezpieczeństwa przygotowuje analizy i przedstawia Zarządowi i Radzie Nadzorczej banku wnioski i rekomendacje dotyczące wdrożenia lub modyfikacji rozwiązań.

Monitorowaniem i reagowaniem na incydenty zajmuje się w banku specjalistyczna komórka CERT. Aby zapewnić bezpieczeństwo informatyczne usług banku w zakresie reagowania na incydenty, wdrożono tryb pracy 24/7/365. CERT PKO Banku Polskiego jest członkiem międzynarodowego forum zrzeszającego zespoły reagujące (FIRST) oraz należy do grupy roboczej europejskich zespołów reagujących (TERENA TF-CSIRT) i działającej przy niej organizacji Trusted Introducer.

W ramach wymiany informacji o zagrożeniach w 2020 roku bank korzystał z informacji o złośliwym oprogramowaniu, incydentach czy atakach phishingowych, w szczególności z danych o trendach i nowych zagrożeniach z CIRCL (The Computer Incident Response Center Luxembourg) oraz NICP (instytucji biorących udział w NATO Industry Cyber Partnership). PKO Bank Polski jako jedyny bank z Polski jest członkiem NICP.

Bank systematycznie edukuje pracowników w zakresie bezpieczeństwa środowiska teleinformatycznego oraz bezpieczeństwa informacji przetwarzanych w tym środowisku. Bank przygotował pakiet obowiązkowych szkoleń dla każdego nowego pracownika w zakresie:

• korzystania z urządzeń mobilnych,
• korzystania z własnego sprzętu informatycznego w celach zawodowych oraz korzystania ze sprzętu służbowego w celach prywatnych,
• publikowania przez pracowników informacji dotyczących banku w Internecie (w szczególności na portalach społecznościowych),
• ataków socjotechnicznych.

Zgodnie z polityką banku zasad cyberbezpieczeństwa muszą przestrzegać nie tylko pracownicy, ale również podmioty zewnętrzne (wykonawcy). Wymagania bezpieczeństwa dla dostawców usług IT rozumiane jako standardowe wymagania banku w zakresie ochrony informacji banku, dostępu do budynków i pomieszczeń banku, ochrony SIB, stanowią integralną część umowy i warunków realizacji przedmiotu zamówienia.

Bank na bieżąco identyfikuje zagrożenia dla cyberbezpieczeństwa. Monitoruje źródła informacji, wdraża zabezpieczenia przed potencjalnymi zagrożeniami oraz tworzy plany reagowania na incydenty. W banku funkcjonuje sformalizowany proces weryfikacji bezpieczeństwa i podatności nowych lub modyfikowanych systemów i aplikacji przed dopuszczeniem ich do produkcji. Ten proces bank realizuje w dwóch wymiarach: jako związany z wdrażaniem i modyfikacją oprogramowania oraz jako proces projektowy. Każdy nowy projekt, w którym zmienia się system kluczowy dla procesów biznesowych, jest poddawany audytowi bezpieczeństwa IT.

Audyt wewnętrzny obejmuje procesy IT minimum raz w cyklu 3-letnim. Wybór procesów IT do audytu wewnętrznego w danym roku zależy m.in. od: wyników przeprowadzonych audytów wewnętrznych, zmian środowiska teleinformatycznego, ryzyk związanych ze zidentyfikowanymi oszustwami wewnętrznymi i zewnętrznymi oraz zmian w przepisach wewnętrznych i zewnętrznych wpływających na funkcjonowanie i działalność operacyjną banku. Wewnętrzne audyty procesów IT prowadzi Zespół Audytu IT i Bezpieczeństwa, zgodnie z ustalonym harmonogramem. Audyty zewnętrzne cyberbezpieczeństwa są zlecane firmom audytowym z którymi bank podpisał umowy ramowe.

Według banku oraz PKO TFI najistotniejszym zagrożeniem dla bezpieczeństwa klientów są potencjalne przestępcze działania osób trzecich, wymierzone w klientów korzystających z elektronicznych kanałów dostępu do usług bankowych i inwestycyjnych.

Po pierwsze, w banku stosowane są najnowsze rozwiązania bezpieczeństwa teleinformatycznego gwarantujące klientom bezpieczny dostęp do swoich środków. Bank stale podnosi jakość zabezpieczenia systemów IT, w szczególności aplikacji dla klientów banku. Dotyczy to m.in. aktywnego zwalczania stron phishingowych podszywających się pod serwisy banku, śledzenia rozwoju złośliwego oprogramowania atakującego klientów banku, rozwoju mechanizmów detekcji zainfekowanych komputerów klientów oraz doskonalenia reguł i rozszerzania zakresu monitoringu transakcji elektronicznych.

Po drugie, bank przywiązuje bardzo dużą wagę do informowania i podnoszenia świadomości klientów na temat bezpiecznego korzystania z bankowości elektronicznej i kart płatniczych. Dzieje się tak dlatego, że bezpieczeństwo w tym zakresie uzależnione jest w znacznej mierze od działań użytkownika. Działania edukacyjne banku to między innymi:

• masowe kampanie edukacyjne np. poprzez inicjowanie tekstów na temat bezpiecznego korzystania z bankowości elektronicznej (portal edukacyjny Bankomania, media społecznościowe),
• bieżące odpowiedzi na zapytania klientów (e-mail, media społecznościowe),
• bieżące przekazywanie mediom stanowiska banku i materiałów edukacyjnych na temat cyberprzestępstw i zasad bezpieczeństwa,
• bieżące reagowanie na inne sygnały dotyczące zagrożeń,
• przekazywanie klientom informacji nt. cyberbezpieczeństwa poprzez strony internetowe banku, serwis transakcyjny i mailingi.

W 2020 roku bank doskonalił systemy wykrywania incydentów, anomalii oraz zaawansowanych typów złośliwego oprogramowania. Automatyzował także wiele działań związanych z obsługą incydentów. Wymienił stos technologiczny rozwiązań do informatyki śledczej. Dodatkowo przedstawiciele banku angażują się w prace Bankowego Centrum Cyberbezpieczeństwa (BCC) przy Związku Banków Polskich. Celem BCC są kompleksowe i długofalowe działania na rzecz zwiększenia poziomu bezpieczeństwa bankowości mobilnej i elektronicznej oraz przygotowanie narzędzi (struktury procedury, mechanizmy wymiany informacji) umożliwiających zarządzanie sytuacją kryzysową (np. w przypadku zmasowanego ataku).

Bank nie posiada certyfikacji w zakresie ISO 27001, jednak procesy i przepisy w zakresie cyberbezpieczeństwa tworzy w oparciu o wymagania tej normy. Wysoka dojrzałość organizacyjna w obszarze obsługi incydentów cyberbezpieczeństwa jest szczególnie istotna w świetle decyzji KNF z 2018 roku o uznaniu PKO Banku Polskiego za operatora usługi kluczowej w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa.

PKO Bank Polski nie toleruje korupcji i przeciwdziała wszelkim praktykom korupcyjnym. Zjawiska takie jak nepotyzm oraz przyjmowanie lub oferowanie jakichkolwiek dóbr materialnych, aby wpłynąć na podejmowane decyzje lub działania, są sprzeczne z wyznawanymi przez bank wartościami: wiarygodnością i zaufaniem. W banku obowiązują przepisy dotyczące zapobiegania korupcji, w tym przyjmowania korzyści, prezentów lub upominków, w szczególności:

• Kodeks Etyki PKO Banku Polskiego,
• Kodeks Etyki Bankowej (Zasady Dobrej Praktyki Bankowej) Związku Banków Polskich,
• Zasady zarządzania ryzykiem braku zgodności oraz ryzykiem postępowania w banku.

[205-1] W grupie kapitałowej, w tym w banku, ryzyka związane z korupcją identyfikowane są w szczególności: w obszarach obsługi klientów (indywidualnych i biznesowych), w obszarze dostaw dóbr i usług dla podmiotów grupy, w tym banku przez podmioty zewnętrzne, w związku z dokonywanymi darowiznami i umowami sponsorskimi oraz w obszarze relacji pracowników podmiotów grupy z organami administracji państwowej.

Obszary te są objęte szczególną uwagą, procesy są szczegółowo regulowane, a decyzje, które niosą ze sobą poważne skutki finansowe akceptowane są, co do zasady, na tzw. „drugą rękę” (wymagają podwójnej akceptacji). Przepisy wewnętrzne banku dotyczące zapobiegania korupcji w odniesieniu do pracowników banku i osób, które działają w imieniu banku obejmują:

• zakaz przyjmowania od klientów, potencjalnych klientów oraz przedstawicieli podmiotów które współpracują z bankiem lub ubiegają się o nawiązanie współpracy, korzyści, prezentów lub upominków przeznaczonych do osobistego użytku. Szczególnie, gdy te korzyści i prezenty mogłyby: tworzyć nieformalne zobowiązanie wobec danego klienta lub osoby współpracującej z bankiem, powodować konflikt interesów lub w inny sposób negatywnie wpływać na sposób wykonywania przez pracownika banku jego obowiązków służbowych,
• powyższy zakaz dotyczy w szczególności pieniędzy lub ich ekwiwalentu, darowizn rzeczowych (prezentów i upominków) oraz innych korzyści o charakterze materialnym (w szczególności finansowanie kosztów podróży, wypoczynku lub szkolenia, uczestnictwa w imprezie, bądź użyczenie składnika majątku), jak również przyjmowania przez osoby zaangażowane w organizowane przez bank postępowania o udzielenie zamówienia jakichkolwiek upominków i korzyści od podmiotów będących oferentami lub potencjalnymi oferentami,
• wykluczenie możliwości obejścia zakazu przez nakłanianie innych osób do przyjęcia prezentu w ich imieniu,
• wyjątkowo dopuszczalne jest przyjęcie korzyści lub prezentu w relacjach biznesowych, na warunkach określonych w przepisach wewnętrznych banku,
• zakaz oferowania w imieniu banku klientom, kontrahentom, przedstawicielom organów administracji publicznej oraz innym podmiotom jakichkolwiek korzyści, prezentów, upominków bądź zachęt niebędących elementem oferty produktów i usług banku, w celu nakłonienia tych osób do określonego zachowania, w tym zwłaszcza do podjęcia działań niezgodnych z przepisami prawa lub dobrymi obyczajami.

Gdy pracownik banku ma wątpliwości, czy w danej sytuacji może przyjąć korzyść, prezent lub upominek, ma on obowiązek skonsultować się z przełożonym lub z komórką organizacyjną w banku, która zarządza ryzykiem braku zgodności. Informację na temat obowiązujących w tym zakresie zasad otrzymuje każdy nowy pracownik banku. Bank kwalifikuje zachowania korupcyjne jako przypadki braku zgodności i raportuje do Zarządu i Rady Nadzorczej banku. Ryzyko korupcji stanowi element oceny ryzyka braku zgodności.

Każdy z podmiotów zależnych grupy, którego działalność jest związana z ryzykiem korupcyjnym, posiada odpowiednie regulacje dotyczące przeciwdziałania praktykom korupcyjnym. Każdy pracownik ma obowiązek zapoznać się z nimi i je stosować. Każdy podmiot formułuje odpowiednie regulacje przy uwzględnieniu specyfiki swojej działalności i własną ocenę obszarów ryzyka korupcji i łapownictwa, dlatego w grupie w tym zakresie nie obowiązuje jednolita polityka.

W 2020 roku nie stwierdzono zdarzeń krytycznych i nie zidentyfikowano w podmiotach grupy takich zachowań korupcyjnych, które miałyby wpływ na zakłócenie działalności banku lub pozostałych podmiotów grupy. Bank i pozostałe podmioty grupy działaniami antykorupcyjnymi obejmują także swoich potencjalnych kontrahentów na poziomie przystępowania do postępowania zakupowego.

Bank wprowadził uchwałą Zarządu i Rady Nadzorczej system anonimowego zgłaszania naruszeń (instytucja sygnalisty odnosi się do wszystkich działań nieetycznych lub niezgodnych z prawem). Dodatkowo, każdy z pracowników banku, zgodnie z przepisami wewnętrznymi, jest zobowiązany zgłaszać każdy przypadek podejrzenia popełnienia przestępstwa związanego z działalnością banku. Zgłoszenie dotyczące członka zarządu jest kierowane do Rady Nadzorczej, w pozostałych przypadkach – do Prezesa Zarządu banku. Bank posiada wewnętrzne przepisy, które określają sposób procedowania takich spraw. W banku obowiązuje cykliczne raportowanie do Zarządu stwierdzonych przypadków fraudów, w tym działań korupcyjnych.

Gdy pracownik naruszy przepisy prawa lub przepisy wewnętrzne banku (w tym dotyczące korupcji), bank stosuje rozwiązania określone przepisami prawa pracy. Gdy konkretny przypadek kwalifikuje się do wszczęcia postępowania dyscyplinarnego, bank przeprowadza takie postępowanie i, w zależności od jego efektów, korzysta z przewidzianego w tych przepisach katalogu konsekwencji, w tym z prawa rozwiązania z takim pracownikiem umowy o pracę.

Osoby, które dokonują zgłoszenia, podlegają ochronie. Nikt, kto dokonał zgłoszenia, nie może z tego powodu zostać zwolniony z pracy ani ukarany w inny sposób. Anonimowe zgłoszenia są weryfikowane przez ograniczoną liczbę osób, które wskazuje prezes Zarządu banku.

Bank przeprowadza wstępne i regularne szkolenia pracowników banku w zakresie zgłaszania naruszeń i przypadków braku zgodności (w tym noszących znamiona korupcji). Każdy z pracowników banku ma obowiązek odbycia szkoleń z zasad przeciwdziałania wszelkim praktykom korupcyjnym. Informacje o zgłoszeniach oraz wynikach ich weryfikacji są raportowane do Zarządu i Rady Nadzorczej banku. Podobne rozwiązania są stosowane w wybranych spółkach grupy w sposób adekwatny do skali i zakresu ich działalności.

[205-3] W 2020 roku nie potwierdzono żadnych przypadków korupcji, podobnie jak w 2019 roku.

Zarząd banku przyjął 1 października 2018 roku politykę dotyczącą przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu, która odnosi się do wszystkich podmiotów grupy. Celem polityki jest zapobieganie wykorzystywaniu produktów grupy do działań związanych z praniem pieniędzy lub finansowaniem terroryzmu. Polityka określa standardy, których powinien przestrzegać bank i podmioty zależne oraz wszystkie osoby w nich pracujące, w tym stali i tymczasowi współpracownicy, konsultanci, wykonawcy, agenci zewnętrzni i ich pracownicy.

Pobierz kwestionariusz: Wolfsberg Group Correspondent Banking Due Diligence Questionnaire 2020

Polityka stanowi jedną z wewnętrznych procedur, które definiują zakres przekazywania danych, przepisów, obowiązków, standardów i środków stosowanych w zakresie przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu. Bank i spółki z grupy opracowują, wdrażają i realizują wewnętrzne przepisy dotyczące AML. Przepisy te obejmują w szczególności:

• identyfikację i weryfikację klienta,
• monitorowanie transakcji w celu oceny, czy transakcje klientów są zgodne z wiedzą o ich profilu i zamierzonym charakterze stosunków gospodarczych,
• monitorowanie sankcji zapobiegające nawiązaniu niedozwolonej relacji poprzez sprawdzanie potencjalnej obecności klientów na listach sankcyjnych,
• sposób wymiany i ochrony informacji przekazywanych,
• archiwizację,
• szkolenia.

Grupa stosuje środki bezpieczeństwa finansowego przed nawiązaniem relacji biznesowej z klientem, a następnie powtarza w trakcie trwania tej relacji w interwałach czasowych właściwych dla ryzyka danego klienta. Zamrożenie środków oraz nieudostępnienie wartości majątkowych to działania, które bank stosuje wobec osób i podmiotów znajdujących się na:

• listach ogłaszanych przez Generalnego Inspektora na podstawie rezolucji Rady Bezpieczeństwa Organizacji Narodów Zjednoczonych wydanych na podstawie rozdziału VII Karty Narodów Zjednoczonych, dotyczących zagrożeń dla międzynarodowego pokoju i bezpieczeństwa spowodowanych aktami terrorystycznymi, w szczególności na listach, o których mowa w pkt 3 rezolucji 2253 (2015) Rady Bezpieczeństwa Organizacji Narodów Zjednoczonych lub w pkt 1 rezolucji 1988 (2011) Rady Bezpieczeństwa Organizacji Narodów Zjednoczonych,
• liście ogłoszonej przez GIIF dotyczącej osób i podmiotów, wobec których stosuje się szczególne środki ograniczające,
• listach ogłoszonych na podstawie rozporządzeń Rady Unii Europejskiej,
• listach ogłoszonych przez the U.S. Department of the Treasury’s Office of Foreign Assets Control (OFAC).

Osoby wykonujące obowiązki w zakresie AML biorą udział w programach szkoleniowych z tego zakresu. Bank i podmioty zależne wyznaczają w ramach swoich organizacji AML oficera, odpowiedzialnego za wymianę informacji w grupie. Bank przeprowadza okresowy przegląd polityki grupy, nie rzadziej niż raz na rok, jak również sporządza kwartalną informację z zakresu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, którą dyrektor Departamentu Bezpieczeństwa przedkłada prezesowi Zarządu banku.