h a t á r o z a t o t

Átírás

1 / május 16. A Magyar Nemzeti Bank H-JÉ-IV-B-4/2019. számú határozata az MKB-Pannónia Egészség- és Önsegélyező Pénztárral szemben felügyeleti intézkedések alkalmazásáról Az MKB-Pannónia Egészség- és Önsegélyező Pénztárral (székhely: 1056 Budapest, Váci u. 38.) (Pénztár) szembeni, hivatalból folytatott átfogó vizsgálat megállapításai alapján a Magyar Nemzeti Bank (székhelye: 1054 Budapest, Szabadság tér 9., telephelye: 1013 Budapest, Krisztina krt. 39.) (MNB) az alábbi hozza: h a t á r o z a t o t 1. a) Felszólítja a Pénztárat, hogy egészítse ki küldöttválasztási szabályzatát a tagok küldöttekhez rendelését biztosító rendelkezésekkel az MKB tagozat régiós küldöttválasztó körzetei és a Pannónia tagozat küldötti körzetei tekintetében. b) Felszólítja a Pénztárat, hogy a jogszabályi rendelkezésekkel összhangban módosítsa alapszabályának a küldöttek megválasztására vonatkozó rendelkezéseit, ennek keretében egészítse ki alapszabályát azzal, hogy milyen elv szerint biztosítja a tagok küldöttekhez rendelését. A Pénztár a fenti b) pontban foglaltak teljesítését a soron következő, de legkésőbb szeptember 30-ig megtartandó küldöttközgyűlését követő 30 napon belül a küldöttközgyűlési dokumentumokkal alátámasztva igazolja az MNB részére. c) Felszólítja a Pénztárat, hogy a tagokat rendelje a megválasztott küldöttekhez, és tájékoztassa erről a tagságot. A Pénztár a fenti c) pontban foglaltak teljesítését a b) pontban foglalt határidőn belül dokumentumokkal alátámasztva igazolja az MNB részére. d) Felszólítja a Pénztárat, hogy a küldöttválasztás során a jövőben mindenkor biztosítsa a tagok küldöttekhez rendelését. 2. Felszólítja a Pénztárat, hogy a jövőben a Pénztár papír alapú szerződéseit a képviseleti szabályok betartásával az arra jogosultak írják alá. 3. Felszólítja a Pénztárat, hogy a jövőben mindenkor a jogszabályban meghatározott 15 napos időközt betartva küldje meg a küldöttközgyűlésekre vonatkozó meghívót az MNB részére. 4. a) Felszólítja a Pénztárat, hogy a jövőben a Pénztár részére tevékenységet végző szolgáltatókkal kötött szerződéseket azok tartalma szerint minősítse, ennek keretében a jogszabályi rendelkezésekkel összhangban biztosítsa, hogy azon szerződéseket, melyek esetében a tevékenység kihelyezése során adatkezelés vagy adatfeldolgozás is megvalósul, kiszervezésként kezelje. b) Felszólítja a Pénztárat, hogy a(z) ( ) által a Pénztár részére végzett kiszervezett tevékenységet jelentse be az MNB részére. A Pénztár a fenti b) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 15 napon belül c) Felszólítja a Pénztárat, hogy kezdeményezze a(z) ( )-nél és a(z) ( )-nél a(z) ( ), a(z) ( ) és a Pénztár által megkötött, (.) kelt megbízási szerződésmódosítás 1. számú mellékletének módosítását annak érdekében, hogy az tartalmazza a(z) ( )-nek mint a(z) ( ) által igénybe vett közreműködőnek a hozzájárulását a kiszervezett tevékenységnek a Pénztár ellenőrző bizottsága, külső könyvvizsgálója és az MNB helyszíni, illetve helyszínen kívüli ellenőrzéséhez. d) Felszólítja a Pénztárat, hogy kezdeményezze a(z) ( )-vel kötött kiszervezési szerződés akként történő módosítását, hogy az tartalmazza a kiszervezett tevékenységet végző vállalkozó hozzájárulását a kiszervezett

2 tevékenységnek a Pénztár ellenőrző bizottsága, külső könyvvizsgálója és az MNB helyszíni, illetve helyszínen kívüli ellenőrzéséhez. A Pénztár a fenti c)-d) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 90 napon belül 5. a) Felszólítja a Pénztárat, hogy gondoskodjon arról, hogy ellenőrző bizottságának a kiszervezett tevékenységekre vonatkozó vizsgálata a jövőben a jogszabályi előírásokkal összhangban a kiszervezett tevékenységek szerződésben foglaltaknak megfelelő végzésére is terjedjen ki, továbbá arról, hogy a Pénztár ellenőrző bizottsága valamennyi, kiszervezett tevékenységnek minősülő szerződés tekintetében eleget tegyen a jogszabályban előírt ellenőrzési kötelezettségének. b) Felszólítja a Pénztárat, hogy gondoskodjon arról, hogy ellenőrző bizottsága a jogszabályi előírások, az alapszabályában és szabályzataiban foglaltak megvalósulása érdekében rendszeresen vizsgálja és ellenőrizze a pénztár gazdálkodását, számvitelét, ügyvitelét, a pénztár fizetőképességének, bevételeinek és kiadásainak, eszközeinek és kötelezettségvállalásainak összhangját, a pénztár működését, ennek keretében az elvégzett ellenőrzések terjedjenek ki a pénztári működés alábbi területeire is: ba) pénztári adatszolgáltatások, bb) működési alap terhére történő kifizetések megfelelősége, bc) hozamok megállapítása, hozamfelosztás megfelelősége, bd) tagszervezési tevékenység, be) egyéni számlaértesítők és adóigazolások megküldése, megfelelősége, bf) a Pénztár honlapján lévő adattartalmak megfelelősége. 6. Felszólítja a Pénztárat, hogy a számlarendjét, és a számlatükrét a jövőben mindenkor feleltesse meg a jogszabályi előírásoknak és a pénztári gyakorlatnak. 7. a) Felszólítja a Pénztárat, hogy az adatvagyonát alkotó adatkörök és rendszerek tekintetében szabályozza a biztonsági osztályokba sorolási rendszerét, majd teljeskörűen mérje fel és sorolja be adatvagyonát a megfelelő védelmi osztályokba. A Pénztár a fenti a) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 90 napon belül b) Felszólítja a Pénztárat, hogy a jövőben az adatgazdák megfelelő kontrollt gyakoroljanak az adatok biztonsági osztályba sorolása, az adatok alapvető biztonsági, hozzáférési, továbbítási, tárolási, archiválási, törlési, megsemmisítési, fizikai hozzáférés-védelmi, címkézési, kódolási és szállítási szabályai, folyamatai felett. 8. aa) Felszólítja a Pénztárat, hogy a jogszabályi elvárásokkal és a kockázatelemzése eredményével összhangban vizsgálja felül szabályozási rendszerét, és a kockázatokkal arányosan oly módon szabályozza az informatikai tevékenységét a tervezés, a beszerzés, az üzemeltetés és az ellenőrzés területein, ami biztosítja a feladatok, felelősségek egyértelmű meghatározását, számon kérhetőségét és dokumentált végrehajtását. Ennek keretében továbbá határozza meg a szervezeti és működési rendeket, a felelősségi, nyilvántartási és tájékoztatási szabályokat, a folyamatba épített ellenőrzési követelményeket és szabályokat. ab) Felszólítja a Pénztárat, hogy biztosítsa szabályzatainak naprakészségét, a szükséges felülvizsgálatokat dokumentált módon hajtsa végre, valamint határozza meg a szabályzatok jóváhagyását megelőzően a véleményezésbe bevonandó üzleti területek körét. A Pénztár a kockázatokra tekintettel határozza meg a szabályzatok személyi hatályát, és gondoskodjon a szabályzatok dokumentált megismertetéséről. A Pénztár gondoskodjon az informatikai tárgyú szabályzatok és eljárásrendek olyan módon történő elkülönítéséről, hogy azokhoz csak azok a személyek férhessenek hozzá, akik számára ez feladatkörük alapján indokolt. ba) Felszólítja a Pénztárat, hogy a jogszabályi előírásokkal összhangban biztosítsa az informatikai rendszerének működtetésére vonatkozó utasítások és előírások meghatározását, azok megfelelő dokumentálását. bb) Felszólítja a Pénztárat, hogy a jövőben biztosítsa az üzemeltetési folyamatokat tartalmazó operátori naplók vezetését, továbbá gondoskodjon azok visszakereshetőségéről, valamint elektronikus formában való hosszú távú megőrzéséről, továbbá gondoskodjon az üzemeltetési tevékenységének kockázatokkal arányos méréséről. 2

3 c) Felszólítja a Pénztárat, hogy a jogszabályi előírásokkal összhangban belső szabályzatában határozza meg az egyes munkakörök betöltéséhez szükséges informatikai ismeretet. A Pénztár a fenti aa), ab), ba) és c) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 90 napon belül 9. a) Felszólítja a Pénztárat, hogy a jogszabályi előírásokkal összhangban a Pénztár dolgozzon ki olyan kockázatelemzési és -kezelési eljárásrendet, ami biztosítja, hogy a kockázatelemzés kiterjedjen a vállalatirányítás, a tervezés, fejlesztés és beszerzés, az üzemeltetés, a monitorozás és a független ellenőrzés területeire, a belső munkavállalók és külső támadók által elkövetett bűncselekményekből fakadó kockázatokra, tartalmazza a feltárt kockázatok elfogadható szintjének meghatározását, valamint a kockázat elfogadható szintre való csökkentését, vagy egyéb módon történő kezelését, valamint rögzítse a kockázatok felmérésének felelősét, határozza meg a felmérés elvégzésének és az azt követő tevékenységek elvégzésének szabályait. A Pénztár a fenti a) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 90 napon belül b) Felszólítja a Pénztárat, hogy a jövőben minden esetben a jogszabályi határidőben végezze el az informatikai rendszerének IT biztonsági kockázatelemzését, és mindenkor biztosítsa a kockázatelemzésének szükség szerinti, de legalább kétévenkénti felülvizsgálatát és aktualizálását, a jelen határozat 9 a) pontjában foglaltakra is kiterjedően. 10. aa) Felszólítja a Pénztárat, hogy gondoskodjon az informatikai eszközei nyilvántartásainak folyamatos naprakészségéről és a bennük tárolt adatok pontosságáról, továbbá megfelelő részletezettségéről. ab) Felszólítja a Pénztárat, hogy vizsgálja felül a ( ) szám alatti gépterem használatát lehetővé tevő szerződését és gondoskodjon a gépteremben tárolt eszközeinek fizikai- és környezeti hatások elleni védelméről, ennek keretében biztosítsa a rack szekrények zárását, valamint a rack szekrényeiben található eszközök áramellátását biztosító kábelek átkötését, illetve megóvását. ac) Felszólítja a Pénztárat, hogy tevékenysége ellátásához, nyilvántartásai naprakész és biztonságos vezetéséhez valósítsa meg a biztonsági kockázatelemzés alapján indokolt védelmi intézkedéseket és rendelkezzen legalább a szolgáltatások ellátásához szükséges informatikai rendszerrel, valamint a szolgáltatások folytonosságát biztosító tartalék berendezésekkel, illetve e berendezések hiányában az ezeket helyettesítő egyéb a tevékenységek, illetve szolgáltatások folytonosságát biztosító megoldásokkal. A Pénztár a biztonsági kockázatokkal arányosan gondoskodjon a szolgáltatások ellátásához szükséges informatikai rendszerek, valamint a szolgáltatások folytonosságát biztosító tartalékberendezések, illetve e berendezések hiányában az ezeket helyettesítő egyéb a tevékenységek, illetve szolgáltatások folytonosságát biztosító megoldások biztosításáról. A Pénztár a fenti aa)-ac) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 90 napon belül ba) Felszólítja a Pénztárat, hogy vizsgálja felül valamennyi, informatikai tárgyban megkötött szerződését, azonosítsa azokat, amelyek kiszervezésnek minősülnek, és a kockázatelemzés elvégzését követően szerződéseiben rögzítse, gyakorlatában pedig érvényesítse a jogszabályi előírásokat. Ennek keretében szabályozza a szerződésekben az adatvédelemre vonatkozó előírások érvényesítését. bb) Felszólítja a Pénztárat, hogy határozza meg a kiszervezett tevékenységet végzőtől elvárt, a tevékenység végzésének minőségére vonatkozó részletes követelményeket. Gondoskodjon a közreműködők bevonása során a személyi, tárgyi feltételeknek való megfelelés vizsgálatáról, egyetértése esetén hagyja jóvá a közreműködői szerződéseket, és gondoskodjon arról, hogy azok biztosítsák a kiszervezett tevékenységnek az MNB, a pénztár ellenőrző bizottsága, valamint könyvvizsgálója által történő ellenőrzését. A Pénztár a fenti ba)-bb) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 180 napon belül 3

4 c) Felszólítja a Pénztárat, hogy biztosítsa a szoftverek és licencek naprakész nyilvántartását, valamint erősítse a szoftver és licenc ellenőrzési folyamatot annak érdekében, hogy a szoftverek jogtisztasága, valamint használatuk szükségessége, jogossága mindenkor teljeskörűen és naprakészen bizonyítható legyen. A Pénztár a fenti c) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 90 napon belül 11. A) aa) Felszólítja a Pénztárat, hogy a jogszabályi előírásokkal összhangban a jövőben biztosítsa a kockázatokkal arányosan az informatikai hálózatának szeparálását más jogi személyektől, valamint a belső hálózatának további szeparálását az éles és tesztrendszerek megfelelő szétválasztása érdekében. A jövőben a kockázatokkal arányosan erősítse a hálózati és hálózatbiztonsági eszközök biztonsági beállításait, szüntesse meg az üzletileg nem indokolt, illetve biztonságilag kockázatos tűzfalszabályokat. ab) Felszólítja a Pénztárat, hogy vizsgálja felül a tűzfalszabály kezelési, felülvizsgálati és nyilvántartási eljárásait, gyakorlatát, továbbá a kockázatokkal arányosan gondoskodjon olyan szabályozásról és folyamatokról, melyek biztosítják a tűzfalszabályok rendszeres érdemi felülvizsgálatát, és az ellenőrzések teljeskörűségét. ac) Felszólítja a Pénztárat, hogy a pénztári eszközök és munkatársak internetelérésének védelme érdekében a jövőben a biztonsági kockázatokkal arányosan végezzen proxy alapú szűréseket. ad) Felszólítja a Pénztárat, hogy vizsgálja meg és a kockázatokkal arányosan biztosítsa a titkosított adatkapcsolatok biztonsági alapú szűrését (SSL Inspection) a határvédelmi eszközei esetében. ae) Felszólítja a Pénztárat, hogy végezze el a nem éles (vagy nem az élesnek megfelelően kontrollált) környezetekben a védendő információk anonimizálását, ezáltal biztosítva, hogy a felhasználók kizárólag a szigorúan szabályozott szerepkörüknek megfelelően férhessenek a védendő információkhoz. A Pénztár a fenti ab)-ae) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 90 napon belül B) ba) Felszólítja a Pénztárat, hogy mindenkor gondoskodjon a rendszer biztonsági kockázattal arányos vírusvédelméről. Ennek megteremtésére végezze el a kártékony kód elleni védelmi megoldásának teljes körű telepítését, és a biztonsági kockázatokkal arányosan alakítson ki és működtessen olyan folyamatot, mely biztosítja a hálózatán üzemelő eszközökön a kártékony kód elleni védelmi rendszer telepítettségének rendszeres ellenőrzését, jelentését. bb) Felszólítja a Pénztárat, hogy vizsgálja felül a ( ) megoldásának biztonsági beállításait, majd ennek eredményeképpen a kockázatokkal arányosan erősítse azokat, és korlátozza azok módosíthatóságát. A Pénztár biztosítsa az eszközeinek heti teljes (Full Scan) vírusellenőrzését, valamint a kockázatokkal arányosan alkalmazza a rendszer riasztási és riportolási funkcióit. A Pénztár erősítse továbbá az internetes elérések során a többszintű, mélységi kártékonykód elleni védelmet nyújtó biztonsági környezetet. Továbbá formalizálja a vírusriadók esetén szükséges intézkedések folyamatát, majd rendszeres, dokumentált teszteléssel győződjön meg az eljárásrendjében leírtak alkalmazhatóságáról. A Pénztár a fenti ba-bb) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 90 napon belül 12. aa) Felszólítja a Pénztárat, hogy vizsgálja felül és erősítse meg az egyes rendszereiben használt verzióváltozások és nyomon követések folyamatát, szabályozását, és gondoskodjon az egyes rendszereinek a naprakészségéről, a biztonsági javítások telepítésének rendszerességéről, a használt termékverziók egyenszilárdságáról. ab) Felszólítja a Pénztárat, hogy biztosítsa a már nem támogatott operációs rendszerek, alkalmazások cseréjét, vagy amennyiben ez valamilyen üzleti funkcionalitás fenntartása miatt csak hosszú távon lehetséges azok kiegészítő kontrollokkal történő megerősítését, és határozza meg a hosszú távú kivezetés határidejét. A Pénztár a fenti aa)-ab) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 90 napon belül 4

5 ba) Felszólítja a Pénztárat, hogy a jövőben folyamatosan biztosítsa az informatikai biztonsági rendszer önvédelmére, kritikus elemei védelmének zártságára vonatkozó ellenőrzés teljeskörűségét az Internet irányából elérhető szolgáltatásai, mobilalkalmazásai esetében, valamint részletesen szabályozza és erősítse a biztonsági vizsgálatok folyamatát, beleértve a felelősségeket, a kockázatok kezelését és felvállalását. bb) Felszólítja a Pénztárat, hogy a biztonsági kockázatokkal arányosan gondoskodjon belső hálózatain a sérülékenységvizsgálatok elvégzéséről. bc) Felszólítja a Pénztárat, hogy a kockázatokkal arányosan hozzon létre és tartson naprakészen a biztonsági beállítások erősítésére, egységesítésére szolgáló hardening eljárásokat és ellenőrzési folyamatot a hálózati eszközei, operációsrendszerei, adatbázisai és alkalmazásai esetében. A Pénztár a fenti bb)-bc) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 90 napon belül 13. Felszólítja a Pénztárat, hogy a jövőben biztosítsa a rendszerek szabályozott, ellenőrizhető és rendszeresen ellenőrzött felhasználói adminisztrációját. Ennek keretében a Pénztár vizsgálja felül jogosultságkezelési gyakorlatát és szabályozását, valamint erősítse a jogosultságok nyilvántartásának, összeférhetetlenségek meghatározásának és kezelésének, visszavonásának és ellenőrzésének folyamatait, illetve gondoskodjon a szükségtelen jogosultságok visszavonásáról. A Pénztár a fenti pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 90 napon belül 14. a) Felszólítja a Pénztárat, hogy a jövőben rendelkezzen olyan biztonsági mentésekkel és mentési renddel, amelyek az adott rendszer helyreállíthatóságát a rendszer által nyújtott szolgáltatás kritikus helyreállítási idején belül lehetővé teszik. Ennek érdekében vizsgálja felül a mentési eljárásait, és gondoskodjon az adatgazdák bevonásáról a mentési rend meghatározásába, valamint biztosítsa a mentési rendbe és rendszerbe bevonni szükséges eszközök naprakészen tartását. b) Felszólítja a Pénztárat, hogy a jövőben biztosítsa a mentések kockázati szempontból elkülönített és tűzbiztos tárolását, a mentések forrásrendszerrel azonos szintű hozzáférés védelmét, a mentések bizalmasságát, a mentések jogszabályi elvárások szerinti megőrzési időig történő tárolását, valamint, hogy a nyilvántartási adatállomány teljes körű mentésének egy aktuális példánya mindenkor rendelkezésre álljon a Pénztárnál. A Pénztár a fenti a) és b) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 90 napon belül 15. a) Felszólítja a Pénztárat, hogy határozza meg az adatok és a rendszerek elvárt helyreállítási értékeit (RTO, PRO) és a jövőben biztosítsa a rendszerek működésének az elvárt időablakon belüli, elvárt pontra történő helyreállíthatóságát, ennek hiányában léptessen életbe helyettesítő folyamatot. b) Felszólítja a Pénztárat, hogy vizsgálja felül az informatikai üzletmenet folytonossági és katasztrófa tervét, valamint alakítson ki olyan DRP terveket, amelyek valamennyi, a Pénztár működése szempontjából kritikus rendszerre, a kockázatelemzésben azonosított forgatókönyvre és hirtelen bekövetkező szcenáriókra kiterjednek. Vizsgálja felül továbbá a feladat- és felelősségi köröket, jelölje ki a tartalék adattárolási és feldolgozási helyszínt. A Pénztár gondoskodjon a tervek rendszeres és teljes körű dokumentált gyakorlati teszteléséről. A Pénztár a fenti a) és b) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 180 napon belül c) Felszólítja a Pénztárat, hogy készítsen a kiszervezésre vonatkozó szerződésben foglaltaktól eltérő tevékenységvégzésből eredő, rendkívüli helyzetek kezelésére kidolgozott intézkedési tervet. A Pénztár a fenti c) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 45 napon belül 5

6 16. a) Felszólítja a Pénztárat, hogy a jövőben a biztonsági kockázattal arányosan tartson fent olyan biztonsági környezetet, amely az informatikai rendszer működése szempontjából kritikus folyamatok eseményeit naplózza, alkalmas a naplózás rendszeres (esetleg önműködő) és érdemi értékelésére, valamint lehetőséget nyújt a nem rendszeres események kezelésére is. b) Felszólítja a Pénztárat, hogy gondoskodjon arról, hogy a jövőben a végfelhasználók által és a kiemelt jogosultságokkal elvégzett tevékenységek naplózása megvalósuljon, a naplófájlok sérthetetlensége és rendelkezésre állása biztosított legyen, valamint a kritikus rendkívüli eseményekről automatikus figyelmeztetések generálódjanak. A fentiek érdekében a Pénztár vizsgálja felül a naplóelemzési eljárásait, szabályozza a tevékenységet, majd készítsen tervet és valósítsa meg az infrastruktúra elemek, szerverek, alkalmazások, adatbázisok biztonsági naplózását, a naplóállományok gyűjtését, valamint kockázatokkal arányosan alakítsa ki a központi automatikus biztonsági naplóelemzési- és riasztási képességeit. A Pénztár a fenti a) és b) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 180 napon belül 17. Felhívja a Pénztárat, hogy mindenkor tartsa be a fogyasztókkal szembeni tisztességtelen kereskedelmi gyakorlat tilalmára vonatkozó jogszabályi rendelkezéseket, ennek keretében biztosítsa, hogy az általa nyújtott szolgáltatás igénybevételéhez kapcsolódó adókedvezményről a fogyasztóknak szóló tájékoztatásokban minden esetben valós információk szerepeljenek. 18. Felhívja a Pénztárat, hogy mindenkor tartsa be a panaszkezelési szabályzat honlapon történő közzétételére vonatkozó jogszabályi rendelkezést. 19. a) Felhívja a Pénztárat, hogy mindenkor tartsa be a fogyasztókkal szembeni tisztességtelen kereskedelmi gyakorlat tilalmára vonatkozó jogszabályi rendelkezéseket, ennek keretében biztosítsa, hogy a szolgáltatással összefüggésben gyakorolható jogaikról minden esetben valós tartalmú tájékoztatást nyújtson a panaszt előterjesztő fogyasztók számára. b) Felhívja a Pénztárat, hogy a panaszok teljes körű megválaszolására, valamint a panasz elutasítása esetén nyújtandó jogorvoslati tájékoztatásra vonatkozó jogszabályi rendelkezéseknek mindenkor feleljen meg. 20. Felhívja a Pénztárat, hogy a pénztártitok megtartására vonatkozó jogszabályi rendelkezéseknek mindenkor feleljen meg. 21. a) Felszólítja a Pénztárat, hogy a jogszabályi rendelkezésekkel összhangban a betétlekötések Pénztár általi végrehajtásához alkalmazzon befektetési vezetőt. b) Felszólítja a Pénztárat, hogy a jövőben tartsa be a saját vagyonkezelés feltételeire vonatkozó jogszabályi előírásokat. A Pénztár a fenti a) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 45 napon belül 22. Kötelezi a Pénztárat, hogy a) vezessen be folyamatba épített kontrollokat annak érdekében, hogy az új tagsági jogviszony létesítésével egyidejűleg, vagy azt megelőzően a szankciós szűrések megtörténjenek, b) biztosítsa, hogy gyakorlata a meglévő ügyfélállománya vonatkozásában megfelel a jogszabályi rendelkezéseknek, azaz rendelkezzen olyan szűrőrendszerrel, amely biztosítani képes a pénzügyi és vagyoni korlátozó intézkedéseket elrendelő uniós jogi aktusok és ENSZ BT határozatok haladéktalan és teljes körű végrehajtását, c) vezessen be folyamatba épített kontrollokat, illetve dolgozzon ki intézkedési tervet a meglévő ügyfélállománya vonatkozásában a kiemelt közszereplői minőség beleértve a kiemelt közszereplő, a kiemelt közszereplő közeli hozzátartozója, illetve a kiemelt közszereplővel közeli kapcsolatban álló személy státuszának ellenőrzését is. A Pénztár a fenti a)-c) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 45 napon belül 6

7 23. a) Kötelezi a Pénztárat arra, hogy a pénzmosás és a terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló törvény végrehajtásának az MNB által felügyelt szolgáltatókra vonatkozó, valamint az Európai Unió és az ENSZ Biztonsági Tanácsa által elrendelt pénzügyi és vagyoni korlátozó intézkedések végrehajtásáról szóló törvény szerinti szűrőrendszer kidolgozásának és működtetése minimumkövetelményeinek részletes szabályairól szóló 19/2017. MNB rendelet július 20-i hatályba lépését követően a Pénztárhoz munkavállalóként belépett személyek részére tartsa meg a jogszabályban előírt pénzmosás és a terrorizmus finanszírozása megelőzésével összefüggő általános ügyintézői oktatást. b) Kötelezi a Pénztárat, hogy a jövőben mindenkor tartsa be a dolgozói oktatására vonatkozó jogszabályi rendelkezéseket, azaz a belépést követő 30 napon belül részesítse őket a pénzmosás és a terrorizmus finanszírozása megelőzésével összefüggő általános ügyintézői képzésben. A Pénztár a fenti a) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 45 napon belül 24. Figyelmezteti a Pénztárat, hogy a jövőben tartsa be a mindenkor hatályos pénzmosás és a terrorizmus finanszírozása megelőzéséről és megakadályozásáról szóló törvény ügyfél-átvilágításra vonatkozó rendelkezéseit, ennek keretében biztosítsa, hogy mindenkor csak érvényes személyazonosító okmány alapján végzi el az ügyfél-átvilágítást. 25. a) Felszólítja a Pénztárat, hogy a jelen átfogó vizsgálattal érintett időszak negyedéves adatszolgáltatásait II. negyedévtől kezdődően vizsgálja felül a más szolgáltató által végzett ügyfél-átvilágítás átvételére vonatkozó adatok tekintetében, a szükséges módosításokat végezze el, és a módosított adatszolgáltatásokat küldje meg az MNB részére. A Pénztár a fenti a) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 45 napon belül b) Felszólítja a Pénztárat, hogy a jövőben a jogszabályi rendelkezésekkel összhangban olyan felügyeleti adatszolgáltatást küldjön az MNB részére, melynek alapját a magyar számviteli jogszabályok szerint készített főkönyvi, analitikus és egyéb nyilvántartások képezik, ennek keretében gondoskodjon arról, hogy a más szolgáltató által végzett ügyfél-átvilágítás átvételéről küldött adatszolgáltatása az ezen adatokat tartalmazó belső nyilvántartásán alapuljon. c) Felszólítja a Pénztárat, hogy a jövőben a felügyeleti adatszolgáltatásait a jogszabályi előírásoknak megfelelően a belső nyilvántartásában szereplő adatokkal egyezően készítse el, ennek keretében biztosítsa, hogy a folyamatban lévő panaszokra vonatkozó adatszolgáltatása a panasznyilvántartásán alapuljon. 26. Felszólítja a Pénztárat, hogy a jövőben a tagsági jogviszony megszűnésére tekintettel teljesített tagi kifizetések esetében a vonatkozó jogszabályi előírásokat tartsa be, ennek keretében a pénztártag halála miatt szükségessé váló egyösszegű kifizetést vagy átutalást a jogosultság igazolását követő 15 napon belül végezze el. 27. a) Felszólítja a Pénztárat, hogy a beiskolázási támogatás kifizetése során a jövőben tartsa be a jogszabályi rendelkezéseket, ennek keretében követelje meg aa) a családi pótlék folyósításának, továbbá ab) az igénylés szerinti tanévnek megfelelő tanulói jogviszony igazolását; valamint ac) a gyermek nevének feltüntetését a számlán. b) Felszólítja a Pénztárat, hogy a soron következő küldöttközgyűlésén módosítsa alapszabályát és szolgáltatási szabályzatát a lakáscélú jelzáloghitel törlesztésének támogatása szolgáltatás tekintetében, ennek keretében helyezze hatályon kívül a szolgáltatás közeli hozzátartozók által történő igénybevételét lehetővé tevő rendelkezéseket. A Pénztár a fenti b) pontban foglaltak teljesítését a soron következő, de legkésőbb szeptember 30-ig megtartandó küldöttközgyűlését követő 30 napon belül a küldöttközgyűlési dokumentumokkal alátámasztva igazolja az MNB részére. 28. Felszólítja a Pénztárat, hogy módosítsa titokvédelmi szabályzatát az elektronikus irat használatára vonatkozó jogszabályi rendelkezésekkel összhangban. 7

8 A Pénztár a fenti pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 30 napon belül 29. Felszólítja a Pénztárat, hogy szüntesse meg a(z) ( ) és a(z) ( ) részére a pénztártitok körébe tartozó adatok érintettek hozzájárulása nélküli átadását. A Pénztár a fenti pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 30 napon belül 30. a) Felszólítja a Pénztárat, hogy a jogszabályi rendelkezésekkel összhangban július 15. napjáig szüntesse meg a Gondoskodás Alap díjának előre történő zárolását az egyéni számlákon, és gondoskodjon az egyéni számlák terhére levont 2019 augusztusától esedékes biztosítási díjak egyéni számlákon történő jóváírásáról július 15-ig. A Pénztár a fenti a) pontban foglaltak teljesítését július 31. napjáig dokumentumokkal alátámasztva igazolja az MNB részére. b) Felszólítja a Pénztárat, hogy a 2019 augusztusától és ezt követően esedékessé váló biztosítási díjakat a jogszabályi rendelkezésekkel és a szolgáltatásfinaszírozó egészségbiztosítási szerződésben foglalt díjfizetési gyakorisággal összhangban havonta vonja le az egyéni számlákról. A Pénztár a fenti b) pontban foglaltak teljesítése érdekében megtett intézkedéseiről szeptember 15. napjáig dokumentumokkal alátámasztva tájékoztassa az MNB-t. c) Felszólítja a Pénztárat, hogy kezdeményezze a(z) ( )-vel ( )-én kötött Csoportos Egészségbiztosítási Szolgáltatások ún. Gondoskodás Szolidáris Alap" nyújtására vonatkozó szerződés elnevezésű megállapodás 5.2 pontjának módosítását, ennek keretében helyezze hatályon kívül a fenti szerződés azon rendelkezését, mely alapján a pénztártagnak vagy a munkáltatónak gondoskodnia kell arról, hogy a biztosítási időszak (év) első hónapját megelőző hónapban az 1. és 20. naptári nap közötti időben, vagy belépéskor, valamint a szolgáltatásra bejelentett Öpt. szerinti közeli hozzátartozó (a Ptk. 8:1. (1) bekezdés 1. pontjában meghatározott közeli hozzátartozó és Ptk. 6:514. -a szerinti élettárs) csatlakoztatásakor a kockázatviselés első hónapját megelőző hónapban az 1. és a 20. naptári nap közötti időben a vállalt biztosítási díj(ak) teljes, vagy időarányos éves összege a Pénztár által díjfizetés miatti zárolásra rendelkezésre álljon. d) Felszólítja a Pénztárat, hogy biztosítsa a Gondoskodás Közösségi Alapból finanszírozott egészségbiztosítás hatályos feltételeinek elérhetőségét a Pénztár honlapján. A Pénztár a fenti c) és d) pontban foglaltak teljesítését a jelen határozat kézhezvételét követő 30 napon belül 31. Felszólítja a Pénztárat, hogy a jelen határozat 1 b) és 27 b) pontjaiban foglaltak végrehajtására alkalmas, az alapszabályának és az alapszabály mellékletét képező szolgáltatási szabályzata módosítását tartalmazó napirenddel hívjon össze szeptember 30-ig megtartandó rendkívüli szükség szerint megismételt küldöttközgyűlést. 32. Kötelezi a Pénztárat a) a határozat rendelkező részének és 21., pontjaiban foglalt jogszabálysértésre tekintettel ,- Ft, azaz nyolcmillió-háromszázezer forint összegű felügyeleti bírság, b) a határozat rendelkező részének 17. és 19 a) pontjaiban foglalt jogszabálysértésre tekintettel ,- Ft, azaz egymillió forint összegű fogyasztóvédelmi bírság és c) a határozat rendelkező részének 22. pontjában megállapított jogszabálysértés miatt ,- Ft, azaz ötszázezer forint összegű bírság, azaz összesen ,- Ft, azaz kilencmillió-nyolcszázezer forint összegű bírság megfizetésére. A kiszabott felügyeleti bírságot a határozat jogerőre emelkedésétől számított 30 (harminc) napon belül kell az MNB hatósági bírság és költségtérítés fizetése bankszámlájára ( ) felügyeleti és fogyasztóvédelmi bírság megjelöléssel, valamint a határozat számának feltüntetésével befizetni. A bírság önkéntes befizetésének elmaradása esetén azokat az MNB megkeresésére az állami adóhatóság hajtja be. A bírság 8

9 befizetésére meghatározott határidő elmulasztása esetén, a be nem fizetett bírságösszeg után késedelmi pótlék felszámolására kerül sor, amelynek mértéke minden naptári nap után a felszámítás időpontjában érvényes jegybanki alapkamat kétszeresének 365-öd része. A késedelmesen megfizetett késedelmi pótlék után nem számítható fel késedelmi pótlék. A késedelmi pótlékot az MNB hivatkozott számú számlájára kell befizetni, a határozat számának feltüntetésével, késedelmi pótlék megjelöléssel. Ha a kötelezett a bírságfizetési kötelezettségének határidőben nem tesz eleget, a fizetési kötelezettséget az MNB rendeli el, és a végrehajtást az adóhatóság foganatosítja. 33. Felszólítja a Pénztárat, hogy az igazgatótanács elnöke e határozatot az igazgatótanács és az ellenőrző bizottság ülésén a közléstől számított 15 (tizenöt) napon belül, a pénztártagokkal a következő küldöttközgyűlésen ismertesse. Az MNB felhívja a Pénztár figyelmét, hogy amennyiben jelen határozati felszólításoknak, illetve felhívásoknak nem, vagy nem teljeskörűen, illetve késedelmesen tesz eleget, az MNB-nek jogszabályban biztosított intézkedések alkalmazására van lehetősége, ideértve további bírság kiszabását is. Az MNB eljárása során eljárási költség nem merült fel. ( ) Budapest, május 7. A Magyar Nemzeti Bank nevében eljáró Dr. Kandrács Csaba pénzügyi szervezetek felügyeletéért felelős ügyvezető igazgató s.k., ELEKTRONIKUSAN ALÁÍRT IRAT 9