6.4. Оценка на операционния риск

Когато оценяват рамката за управление на операционния риск, компетентните органи следва да оценят, наред с другото, съответствието на институцията с правните актове, публикувани отделно на уебсайта на ЕБО, както е посочено в точка 12.

Компетентните органи следва да оценят операционния риск във всички групи от дейности и операции на институцията, като вземат предвид констатациите от оценката на системите за вътрешно управление и механизмите за контрол в рамките на институцията, както е посочено в дял 5. При извършването на тази оценка компетентните органи следва да определят как може да се прояви операционният риск, като вземат предвид и набора от данни за загубите на институцията, както и потенциалните последици от други свързани рискове (например гранични случаи на операционен риск, свързан с кредитен и пазарен риск).

Компетентните органи следва да оценяват съществеността на операционния риск, произтичащ от трети страни доставчици на услуги, включително концентрацията (на ниво субект и, когато е уместно, на ниво група) върху една или повече услуги, предоставяни от една трета страна доставчик (пряко или косвено чрез вериги от подизпълнители), или върху ограничен брой трети страни доставчици, поддържащи критични или важни функции на институцията, както и дали това би могло да засегне оперативната устойчивост, резултатите и управлението на риска на институцията. При извършването на тази оценка компетентните органи следва да вземат предвид степента, в която едни и същи трети страни доставчици на услуги се ползват от други институции, когато те разполагат с такава информация.

При оценката на операционния риск компетентните органи следва да оценяват риска в областта на ИКТ в съответствие с DORA, както и неговото потенциално въздействие върху критичните или важните функции на институцията, включително всяко потенциално финансово, репутационно, регулаторно и стратегическо въздействие върху институцията.

Компетентните органи следва да преценят дали институцията разполага с подходящ подход за оперативна устойчивост, който да ѝ позволи да издържи, да се адаптира и да се възстанови от смущения, когато такива възникнат, както и дали този подход е бил адекватно и последователно съгласуван със съществуващата рамка за управление на риска, плановете за непрекъсваемост на дейността и управлението на трети страни.

При оценката на операционния риск компетентните органи следва да преценят, ако е приложимо, дали политиките и процедурите на институцията позволяват адекватното идентифициране, оценяване и управление на операционните рискове, произтичащи от дейностите, свързани с криптоактивите, и от технологията, на която те се основават.

Компетентните органи следва да оценяват репутационния риск съвместно с операционния риск, тъй като той е неразривно свързан със събития, свързани с операционния риск. Въпреки това, резултатът от оценката на репутационния риск не трябва да се отразява в определянето на оценка за операционния риск, а — където е относимо — трябва да се счита за част от АБМ и/или оценката на ликвидния риск, тъй като основните му последици могат да подкопаят доверието на инвеститорите, вложителите или участниците на междубанковия пазар към институцията.

Компетентните органи следва да оценят въздействието на ЕСУ рисковете върху присъщите операционни и репутационни рискове, както и адекватността на механизмите за контрол на операционния и репутационния риск, свързани с ЕСУ рисковете, като отдават приоритет на физическите рискове рисковете от прехода, свързани с околната среда. По - специално, компетентните органи следва да вземат предвид екологичните рискове и рисковете, свързани със заблуждаващите твърдения за екосъобразност, когато извършват оценка на правния риск и на репутационния риск.

6.4.2. Оценка на присъщия операционен риск

Компетентните органи следва да придобият задълбочено разбиране за присъщите експозиции към операционен риск на институцията и да оценят значимостта на пруденциалното въздействие на този риск върху институцията, както и въздействието върху способността ѝ да изпълнява критични или важни функции в случай на смущения.

За да подкрепят тази оценка, компетентните органи следва да разгледат капиталовите изисквания за операционен риск в сравнение с общите капиталови изисквания, а когато е уместно — и вътрешния капитал, разпределен от институцията за операционен риск, в сравнение с общия вътрешен капитал. Освен това компетентните органи следва да използват знанията, придобити при оценката на други елементи на ПНПО (по - специално от дял 4 и дял 5), от сравнението със сходни институции, от всякакви други надзорни дейности, включително информацията, предоставена от надзорните органи в областта на БИП/БФТ и органите за надзор на пазара, както и от други съответни източници на информация.

Компетентните органи следва да вземат предвид като минимум ключовите фактори за операционен риск, потенциалните сценарии за смущения и, когато е уместно, да ги анализират по групи от дейности, юридически лица, географски региони и категории на вида събитие (в зависимост от наличността на данни), както и да сравняват позицията на институцията спрямо сходните ѝ институции. Тези фактори следва да обхващат поне основната стратегия на институцията по отношение на операционния риск и рисковия апетит, свързан с операционния риск, бизнес средата (включително географското присъствие, ИКТ операциите и каналите за дистрибуция), скорошни значими корпоративни събития (като сливания, придобивания, продажби и преструктурирания), ИКТ системите и други аспекти, свързани с ИКТ, съгласно раздел 6.4.2.3, промени в процесите, споразумения с трети страни, въпроси, свързани с регулаторното съответствие, бизнес цели и схеми за стимулиране, както и други ключови фактори на операционния риск.

Естество и значение на експозициите към операционен риск

Компетентните органи следва да определят естеството на експозициите към операционен риск, като анализират експозициите към основните източници и фактори на операционния риск, за да формират ориентиран към бъдещето поглед върху потенциалния операционен риск. За този анализ компетентните органи:

• а. може да обхванат оперативния модел, групите от дейности, продуктите, процесите и географските региони, които са от значение за институцията, оценката на зависимостите и експозициите към операционен риск, свързани с основните фактори, обуславящи риска (например процеси, хора, системи и външни фактори), както и взаимодействията между факторите, обуславящи риска, като се използва самооценката на риска на институцията, сравнителен анализ, данни и публични бази данни и/или тези на консорциума, ако такива са налични и са от значение;
• б. следва да вземат предвид честотата и тежестта на събитията, на които е изложена институцията, и да разграничават тези, които причиняват големи загуби, и тези, които настъпват с висока честота. Въз основа на това разграничение компетентните органи следва да оценят тенденциите при загубите от операционен риск и тяхната концентрация; и
• в. следва да използват анализи на сценарии за ливъридж и да вземат предвид планираните бизнес операции и анализи на бъдещия операционен риск, извършени от институцията, ако има такива, като отчетат всички вече приложени и ефективни корективни мерки и действия за редуциране.

След идентифицирането и анализа на основните източници и фактори на операционния риск компетентните органи следва да насочат вниманието си към онези от тях, които могат да окажат най - съществено потенциално въздействие върху институцията.

Един от основните източници на информация, които компетентните органи следва да вземат предвид, е наборът от данни за загубите и събитията на институцията, тъй като той може да предостави ценна информация за динамиката на профила на операционния риск на институцията. Компетентните органи следва периодично да оценяват изчерпателността, точността и качеството на данните за загубите. Друг източник на информация следва да бъдат регистрите на институцията за всички свързани с ИКТ инциденти и значителни киберзаплахи (съгласно член 17, параграф 2 от Регламент DORA) и установените източници на риск в областта на ИКТ (съгласно член 8, параграф 2 от Регламент DORA). Оценка на подкатегориите операционен риск

Компетентните органи следва да съсредоточат оценката на подкатегориите операционен риск върху тези, които се считат за съществени за институцията. Компетентните органи следва също така да прилагат своята експертна оценка, за да определят значимите подкатегории въз основа на всички налични вътрешни и външни източници на информация. При извършването на оценката компетентните органи трябва винаги да обръщат внимание на следните аспекти на операционния риск³² :

• а. правен риск;
• б. риск, свързан с модела;
• в. риск в областта на ИКТ.

6.4.2.1. Правен риск

³² Вж. приложение III за неизчерпателна класификация на подкатегориите операционен риск.

Компетентните органи следва да вземат предвид следното, когато оценяват относимостта и значимостта на експозициите на институцията към правен риск:

• а. неправомерна продажба на продукти или услуги;
• б. конфликт на интереси при извършването на дейността;
• в. манипулиране на сравнителни лихвени проценти, обменни курсове или други финансови инструменти или индекси;
• г. пречки пред смяната на финансови продукти, докато съществуват, и/или пред смяната на доставчици на финансови услуги;
• д. автоматични подновявания на продукти или неустойки за прекратяване; и/или
• е. обработка на жалби от клиенти;
• ж. нарушение на национални и международни правила и разпоредби (данъчни правила, вътрешни измами или вътрешни кражби, правила за борба с изпирането на пари, правила за борба с тероризма и икономически санкции);
• з. свързани с ЕСУ фактори, по - специално свързани с околната среда и заблуждаващите твърдения за екологосъобразност, съдебни експозиции.

Компетентните органи следва да преценят дали институцията може да понесе разходи, глоби, санкции или наказателни обезщетения от съдебни производства, както и броя и съдържанието на жалбите. Резултатите от оценката по дял 4 следва да бъдат използвани, наред с внимателния преглед на политиките за стимулиране, за да се получат задълбочени познания за източниците на потенциални нарушения. В този контекст компетентните органи следва също така да преценят дали институцията разполага с подходящи и ефективни системи и процеси за прилагане и спазване на ограничителни мерки (напр. санкции), включително оценка на спазването от страна на институцията на Насоките на ЕБО относно вътрешните политики, процедури и механизми за контрол³³ .

³³ Насоки относно вътрешните политики, процедури и механизми за контрол, за да се гарантира прилагането на ограничителни мерки на равнището на Съюза и на национално равнище (EBA/GL/2024/14)

Въпреки това, компетентният орган трябва да приложи прогнозен подход, като също вземе предвид вероятното въздействие на промените в регулаторните изисквания и дейността на съответните органи по отношение на защитата на потребителя и предоставянето на финансови услуги като цяло.

6.4.2.2. Риск, свързан с модела

В рамките на операционния риск компетентните органи следва да оценят риска, свързан с модела, по - специално по отношение на вътрешните нерегулаторни модели (напр. модели с ИИ, ценообразуване на продукта, определяне и наблюдение на рисковите лимити, модели за ВААК/ВААЛ, варианти за възстановяване).

За оценката на риска, свързан с модела, компетентните органи следва да вземат предвид:

• а. до каква степен и за какви цели институцията използва модели, за да взема решения, както и стопанската значимост на тези решения. Компетентните органи следва да определят бизнеса/дейността, при която институцията използва модели в значителна степен, и да оценят потенциалното въздействие на риска, свързан с моделите, чрез, наред с другото, анализи на чувствителността и сценариите или стрес тестове; и
• б. ефективността на контролните механизми (по отношение на методите, честотата, последващите действия и др.), включително процеса на одобрение на моделите, извършваните редовни прегледи и степента на осведоменост на институцията относно недостатъците на моделите или промените на пазара и в бизнес средата.

Когато за целите на вземането на решения се използват модели (напр. ценообразуване на продукти, модели с ИИ, оценка на финансови инструменти, профилиране на клиенти), компетентните органи следва да оценят дали има надежден вътрешен процес на валидиране и/или процес на преглед на модела с цел установяване и редуциране на риска, свързан с модела (различен от регулаторните модели).

Когато извършват оценка на риска, свързан с модела, компетентните органи следва да вземат предвид резултата от оценката на други рискове за капитала и рисковете за ликвидността и финансирането, по - специално по отношение на адекватността на методологиите, които се използват за измерване на риска, ценообразуване и оценка на активи и/или пасиви. Резултатите от тази оценка следва да послужат за основа на констатациите относно операционния риск. 6.4.2.3. Риск в областта на ИКТ — оценка на присъщия риск в областта на ИКТ

Идентифициране на съществени рискове в областта на ИКТ

В съответствие с DORA компетентните органи следва да извършат преглед на идентифицирането, класифицирането и документирането от страна на институцията на всички бизнес функции, роли и отговорности, поддържани от ИКТ, на информационните активи³⁴ и ИКТ активите³⁵ , поддържащи тези функции, както и на тяхната роля и взаимозависимости по отношение на риска в областта на ИКТ. Настоящият преглед следва да помогне на компетентните органи да придобият задълбочено разбиране за присъщите на институцията експозиции към рискове в областта на ИКТ (профил на риска, свързан с ИКТ), да идентифицират съществените присъщи рискове в областта на ИКТ, и да съставят становище относно тяхното пруденциално въздействие. За тази цел компетентните органи следва да вземат предвид най - малко следното, когато е уместно и приложимо:

• а. отчета относно прегледа на рамката за управление на риска в областта на ИКТ (съгласно член 6, параграф 5 от DORA);
• б. източниците на риск в областта на ИКТ, по - специално рисковата експозиция към и от други финансови субекти, определени от институцията съгласно член 8, параграф 2 от DORA;
• в. докладваните съществени инциденти, свързани с ИКТ (съгласно член 19, параграф 1 от DORA), включително тенденцията на агрегираните годишни разходи и загуби, причинени от съществени инциденти с ИКТ (съгласно член 11, параграф 10 от Регламент DORA);
• г. резултатите от тестовете, предвидени в програмата за тестване на оперативната устойчивост на цифровите технологии (съгласно член 24 от DORA), включително обобщение на констатациите от тестването за проникване (TLPT) и свързаните с тях планове за отстраняване (съгласно член 26, параграф 6 от DORA);
• д. регистъра с информация (съгласно член 28, параграф 3 от DORA), включващ степента на концентрация на трети страни доставчици на услуги в областта на ИКТ, включително вътрешногрупови доставчици на услуги в областта на ИКТ, по вид ИКТ услуги и/или ИКТ системи ;
• е. препоръки и становища от водещите надзорници (съгласно член 40, параграф 3 и член 42, параграф 7 от DORA) и свързаните с тях отговори, отчети и информация от трети страни критични доставчици на услуги в областта на ИКТ (съгласно член 35, параграф 1, буква в), член 42, параграф 1 и член 48, параграф 2 от DORA);
• ж. нивото на сложност на ИКТ системите и резултати от оценката на риска в областта на ИКТ за наследените системи на ИКТ (съгласно член 8, параграф 7 от DORA);
• з. оценката на риска при съществени промени (съгласно член 8, параграф 3 от Регламент DORA);
• и. степента на внедряване и интегриране на иновативни ИКТ решения;
• й. местоположенията, а именно регионите или държавите, в които се намират центровете за данни и определените като чувствителни зони, включително случаите, в които договорни ИКТ услуги се предоставят от трети страни доставчици на услуги в областта на ИКТ, като това обхваща и местоположението на обработката и съхранението на данните;
• к. всички свързани съществени недостатъци или слабости, установени съгласно дял 5;
• л. самооценка на рисковете в областта на ИКТ и механизмите за контрол (ако е предоставена в информацията за ВААК);
• м. информацията за управлението, свързана с рисковете в областта на ИКТ, предоставена на ръководния орган на институцията;
• н. констатации от вътрешни и външни одити, свързани с ИКТ;
• о. външната среда на заплахите, включително информацията за заплахи и уязвимости.

Преглед на ИКТ системите и ИКТ услугите

³⁴ Член 3,параграф 6 от Регламент (ЕС) 2022/2554

³⁵ Член 3,параграф 7 от Регламент (ЕС) 2022/2554

Компетентните органи следва да прегледат съответната документация, методологията и процесите на институцията и да съставят становище дали институцията е идентифицирала по подходящ начин ИКТ системите и ИКТ услугите, които поддържат критични или важни функции. За тази цел компетентните органи следва да вземат предвид:

• а. ИКТ системите, поддържащи критични или важни функции, както и критичните информационни активи и активите в областта на ИКТ, идентифицирани от институцията (съгласно член 8 от DORA);
• б. ключови процеси, зависими от трети страни доставчици на услуги в областта на ИКТ, включително взаимовръзки с трети страни доставчици на услуги в областта на ИКТ, които поддържат критични или важни функции, посочени от институцията (съгласно член 8, параграф 5 от DORA).

Идентифициране и картографиране на съществените рискове в областта на ИКТ за ИКТ системите и ИКТ услугите, които поддържат критични или важни функции

След това компетентните органи следва да класифицират идентифицирания съществен риск в областта на ИКТ в категориите на рисковете в областта на ИКТ, определени в приложение III. Очаква се институциите да запазят собствената си категоризация, вместо да използват тази, посочена в приложението.

6.4.3. Оценка на рамката за управление и контрол на операционния риск

Компетентните органи следва да оценят рамката и механизмите, с които разполага институцията за управление и контрол на операционния риск, като вземат предвид резултата от анализа на цялостната рамка за управление на риска и вътрешния контрол, разгледани в дял 5, тъй като това ще окаже влияние върху експозициите към операционен риск на институцията. По отношение на риска от ИП/ФТ, компетентният орган следва да взема предвид оценката, предоставена от надзорния орган в областта на борбата с изпирането на пари и финансирането на тероризма.

Стратегия и рисков апетит за поемане на операционен риск

Компетентните органи следва да преценят дали институцията разполага със стабилна, ясно формулирана и документирана стратегия за операционен риск и ниво на рисков апетит, одобрени от ръководния орган, в които се очертават естеството, видовете и нивата на операционния риск, които институцията е готова да поеме. За тази оценка, наред с други фактори, компетентните органи следва да вземат предвид ролята на ръководния орган при определянето, одобряването, прилагането и преразглеждането на стратегията и рисковия апетит за поемане на операционен риск (включително рисковия апетит, свързан с риска в областта на ИКТ и стратегията за оперативната устойчивост на цифровите технологии), както и това дали стратегията обхваща в достатъчна степен и е подходяща с оглед на естеството и съществеността на профила на операционния риск на институцията. Организационна рамка и рамка за вътрешен контрол

Компетентните органи следва да оценят спазването от страна на институцията на член 323 от Регламент (ЕС) № 575/2013. При тази оценка компетентните органи следва да преценят надеждността и ефективността на организационната рамка и механизмите за управление, които да позволяват ефективно управление, измерване и контрол на операционния риск, като разполагат с достатъчно човешки и технически ресурси за изпълнение на необходимите задачи. Компетентните органи следва да вземат предвид дали е налице ясна йерархия на отговорностите по отношение на идентифицирането, оценката, редуцирането, наблюдението и отчитането на операционния риск, както и спазването на модела на трите линии на защита .

Компетентните органи следва да преценят дали институцията разполага със солидна рамка за контрол и надеждни предпазни мерки за намаляване на операционния риск, включително подходящи политики и процедури, обхващащи и остатъчния риск, както и дали те съответстват на готовността за поемане на операционен риск и стратегията на институцията и обхващат всички ключови операции и процеси. Това включва, наред с другото, оценка на това дали тези политики и процедури са ясно формулирани, оповестени и прилагани последователно в цялата институция.

Компетентните органи следва също така да оценят ефективността на функцията за вътрешен одит по отношение на адекватността, обхвата и честотата на вътрешните одити на рамката за управление на операционния риск.

Непрекъсваемост на дейността, реакция и възстановяване

Компетентните органи следва да оценят спазването от страна на институцията на

• i) Насоките на ЕБО относно вътрешно управление по отношение на цялостното управление на непрекъсваемостта на дейността и на ii) DORA по отношение на политиката за непрекъсваемост на дейността в областта на ИКТ, както и на плановете за реакция и възстановяване в областта на ИКТ. В тази връзка компетентните органи следва да установят дали политиката за непрекъсваемостта на дейността в областта на ИКТ, както и плановете за реакция и възстановяване в тази област, представляват неразделна част от общата политика за непрекъсваемост на дейността на институцията и от нейния план за реакция и възстановяване.

Компетентните органи следва да оценят дали институцията е установила ефективно управление на непрекъсваемостта на дейността с тествани планове за непрекъсваемост на дейността, реакция и възстановяване, обхващащи най - малко нейните критични или важни функции, включително тези, които са възложени на трети страни доставчици, и дали те разглеждат набор от сериозни, но правдоподобни сценарии, към които институцията може да бъде уязвима. Компетентните органи следва също така да преценят дали политиката за непрекъсваемост на дейността на институцията позволява предприемането на подходящи мерки за реакция и възстановяване при всякакъв вид инцидент.

Компетентните органи следва да определят дали управлението на непрекъсваемостта на дейността на институцията включва:

• а. анализ на въздействието върху дейността (АВД);
• б. подходящи стратегии за възстановяване, включващи ключови вътрешни и външни зависимости и ясно определени приоритети за възстановяване и нива на устойчивост;
• в. всеобхватни и гъвкави планове за справяне с вероятни сценарии за смущения, които се изготвят въз основа на АВД и в сътрудничество с вътрешни и външни заинтересовани страни;
• г. планове, с които се установяват стратегии за непредвидени ситуации и процедури за реакция и възстановяване;
• д. ефективно тестване на проектирането и оперативната ефективност на плановете;
• е. програми за информираност и обучение, свързани с управлението на непрекъсваемостта на дейността ;
• ж. комуникационни планове за информиране на ръководството и всички съответни заинтересовани страни, както и документация за управлението на кризи, мерки и функция за управление на кризи, когато е приложимо (съгласно член 11, параграф 7 от DORA).

Компетентните органи следва да оценят дали плановете за непрекъсваемостта на дейността, за реакция и за възстановяване на институцията:

• а. определят ролите и отговорностите, включително ясни насоки относно потенциалното наследяване, както и вътрешния процес на вземане на решения, заедно с определянето на активиращите критерии;
• б. се преразглеждат, за да се гарантира, че стратегиите за действие при непредвидени ситуации остават в съответствие с текущите операции, рисковете и заплахите, нивата на устойчивост, както и целите и приоритетите за възстановяване;
• в. отдават приоритет на мерките за осигуряване на непрекъсваемостта на дейността, като се използва подход, основан на риска;
• г. се подлагат на редовни тестове, за да се гарантира, че целите и сроковете за възстановяване могат да бъдат спазени; и
• д. включват тестване на услугите, предоставяни от трети страни доставчици, когато това е приложимо;

Компетентните органи следва също така да оценят дали резултатите от тестовете са документирани и докладвани на ръководния орган.

Оценка на рамката за управление на риска в областта на ИКТ

Компетентните органи следва да оценят спазването от страна на институцията на DORA и Насоките на ЕБО относно вътрешното управление във връзка с вътрешното управление и организацията на управлението на риска в областта на ИКТ. Компетентните органи следва да съставят становище за това дали ръководният орган на институцията носи цялостна отговорност за управлението на риска в областта на ИКТ и определя, одобрява и контролира по подходящ начин изпълнението на всички правила, свързани с ИКТ. Компетентните органи следва да преценят дали членовете на ръководния орган притежават достатъчно знания и умения, за да разбират и оценяват риска в областта на ИКТ и неговото въздействие върху дейността на институцията.

Компетентните органи следва да оценят до каква степен ролите и отговорностите за всички функции, свързани с ИКТ, както и установените механизми за управление, са вградени и интегрирани в рамката за вътрешен контрол и управление на институцията с цел управление на риска в областта на ИКТ. За тази цел компетентните органи следва да преценят дали институцията е възложила ефективно отговорността за управлението и надзора на риска в областта на ИКТ на независима контролна функция, която разполага с пряк достъп и може да докладва директно на ръководния орган в контролната му функция, както и да оценят дали институцията показва:

• а. ясна комуникация, разпределение и интегриране на ролите и отговорностите във всички функции, свързани с ИКТ, включително бизнес функции и процеси, поддържани от ИКТ;
• б. достатъчен и подходящ бюджет за изпълнение на оперативната устойчивост на цифровите технологии по отношение на всички видове ресурси, включително съответните програми за повишаване на осведомеността, обучения и умения в областта на ИКТ за целия персонал (съгласно член 5, параграф 2, буква ж) от DORA);
• в. адекватни последващи действия и реакция от страна на ръководния орган по отношение на критичните констатации от одита на ИКТ и констатациите, докладвани съгласно член 13, параграф 5 от DORA.

Компетентните органи следва да развият задълбочено разбиране на рамката за управление на риска в областта на ИКТ на институцията и да оценят дали институцията има въведени достатъчни и подходящи стратегии, политики, процедури, протоколи и инструменти в областта на ИКТ, включително нива на толерантност, за ефективно, ефикасно и цялостно справяне със съществения риск в областта на ИКТ в съответствие с DORA. За тази цел компетентните органи следва да вземат предвид, когато е приложимо:

• а. целесъобразността и ефективността на политиките³⁶ , процесите и процедурите на институцията за управление на рисковете в областта на ИКТ, които обхващат, наред с другото, управлението на трети страни доставчици на услуги в областта на ИКТ, откриването на инциденти, свързани с ИКТ, и реагирането при такива, управлението на оценките в областта на ИКТ, криптирането и криптографията, сигурността на ИКТ операциите, мрежовата сигурност, контрола на достъпа, както и дали те са одобрени от ръководния орган и съобщени на всички заинтересовани страни (съгласно член 14 от DORA);
• б. целесъобразност на нивото на толерантност към риска в областта на ИКТ на институцията и допустимата степен на въздействие при смущения на ИКТ (съгласно член 6, параграф 8, буква б) от Регламента DORA);
• в. целесъобразността и изпълнението на стратегията за оперативната устойчивост на цифровите технологии на институцията, включително привеждането ѝ в съответствие с бизнес стратегията;
• г. съгласуваността на стратегията относно риска в областта на ИКТ, пораждан от трети страни, включително стратегията за работа с множество доставчици на ИКТ, когато такава съществува, с общата бизнес стратегия и рамката за управление на рисковете в областта на ИКТ;
• д. остатъчния риск от идентифицираните рискове за институцията по отношение на договорните споразумения за използването на ИКТ услуги, подпомагащи критични или важни функции;
• е. остатъчния риск, произтичащ от идентифицираните от институцията рискове, свързани с ИКТ проекти, които оказват влияние върху критични или важни функции, за които се докладва на ръководния орган, както и от придобиването, разработването и поддръжката на ИКТ системи и от промените в областта ИКТ;
• ж. надеждността и изчерпателността на програмата за тестване на оперативната устойчивост на цифровите технологии;
• з. тенденцията и мащаба на основните инциденти и констатации в областта на ИКТ, докладвани на ръководния орган съгласно член 17, параграф 3, буква д) и член 13, параграф 5 от DORA;
• и. механизмите за контрол на риска в областта на ИКТ, специфични за идентифицирания съществен риск в областта на ИКТ;
• й. своевременно отчитане на аспектите на управлението на риска в областта на ИКТ пред ръководния орган и висшето ръководство;
• к. обхвата и констатациите на вътрешния одит.

³⁶ В съответствие с DORA те трябва да включват най - малко политиката за информационна сигурност, политиките за съхраняване на резервни копия на данните, политиката за управление на ИКТ активите, политиката за криптиране и криптографски контролни мерки, политиката за управление на криптографските ключове, политиката за управление на ИКТ проекти, политиката за придобиване, разработване и поддръжка на ИКТ системи, политиката за човешките ресурси, политиката за физическа и екологична сигурност, политиката за управление на инциденти, свързани с ИКТ, както и политиката за използването на ИКТ услуги, поддържащи критични или важни функции, предоставяни от трети страни доставчици на услуги в областта на ИКТ.

При оценката на управлението на рисковете в областта на ИКТ компетентните органи следва да обърнат особено внимание на управлението на риска в областта на ИКТ, пораждан от трети страни, включително нивото на концентрация на институцията по отношение на тези трети страни доставчици на услуги в областта на ИКТ. За тази цел компетентните органи следва да осигурят тясно сътрудничество с водещите надзорници на трети страни критични доставчици на услуги в областта на ИКТ, в съответствие със съвместните насоки на ЕНО³⁷ , в случай че оценяваната институция ползва ИКТ услуги от критични доставчици на услуги в областта на ИКТ. Компетентните органи следва също така да преразгледат ефективността на специалната длъжност, създадена от институцията, или на определения член на висшето ръководство, по отношение на наблюдението на споразуменията с трети страни в областта на ИКТ.

³⁷ Съвместни насоки на ЕНО относно надзорното сътрудничество и обмена на информация между европейските надзорни органи и компетентните органи съгласно Регламент (ЕС) 2022/2554 (JC/2024/36).

Компетентните органи следва да преценят дали функцията за вътрешен одит е ефективна и разполага с достатъчни знания, умения и експертен опит за извършване на одит на рамката за управление на риска в областта на ИКТ на институцията, като проверят дали:

• а. рамката за управление на риска в областта на ИКТ се одитира с необходимото качество, обхват и честота и дали съответства на профила на риска в областта на ИКТ на институцията;
• б. планът за одит включва одити на съществените рискове в областта на ИКТ, идентифицирани от институцията, включително независими прегледи на плановете за реакция и възстановяване в областта на ИКТ;
• в. критичните констатации от одита на ИКТ се проверяват своевременно и се предприемат корективни мерки, включително докладване на ръководния орган;
• г. констатациите от одита на ИКТ, включително договорените действия, се проследяват официално и докладите за напредъка се преразглеждат периодично от висшето ръководство и/или одитния комитет.

6.4.4. Оценка на репутационния риск

Компетентните органи следва да оценят риска за репутацията, на който е изложена институцията, като се възползват от познанията, придобити при разглеждането на дялове 4— 6.2. Такава оценка следва също да бъде насочена към общата рамка на репутационния риск, като се гарантира способността на институцията да управлява ефективно всякакви събития, свързани с репутационния риск. При тази оценка компетентните органи следва да избягват двойното отчитане на аспекти, които вече са взети предвид при оценката на правния риск (раздел 6.4.2.1).

При оценката на значимостта на репутационния риск компетентните органи следва да вземат предвид размера на институцията, както и естеството, мащаба и сложността на нейните услуги, дейности и операции (например акции и дългове, търгувани на борсата, или участие на междубанковите пазари).

Компетентните органи следва да вземат предвид вътрешните и външните фактори или събития, които може да предизвикат притеснения по отношение репутацията, с изключение на събитията, които водят до съдебни производства. По отношение на институциите от категория 1 и категория 2 компетентните органи следва да вземат предвид всички посочени по - долу показатели при своята оценка:

• а. негативното отразяване в медиите/социалните мрежи, както и инициативите на потребителски сдружения, които биха могли да влошат общественото възприятие и репутацията на институцията;
• б. броя на жалбите на клиенти и промените в тях или внезапната загуба на клиенти или инвеститори;
• в. негативните събития, свързани със сходни институции, които обществеността би могла да свърже с целия финансов сектор или с група от институции;
• г. репутацията на лицата, участващи в ръководството на институцията или притежаващи значителни дялови участия;
• д. участието или дейността в сектори или юрисдикции, които са силно изложени на ИП/ФТ, или взаимоотношенията с лица, свързани с висок риск от гледна точка на ИП/ФТ;
• е. участието или дейността в сектори или юрисдикции и/или взаимоотношенията с контрагенти, които са силно изложени на съществени проблеми или публични противоречия, свързани с ЕСУ фактори, включително, но не непременно само, екологичните фактори;
• ж. въздействието върху репутацията на инцидентите, свързани с ИКТ, регистрирани от институцията в съответствие с Делегиран регламент (ЕС) 2024/1772 на Комисията³⁸ ;
• з. други „пазарни“ показатели, ако има такива (напр. понижаване на рейтинги или промени в цената на акциите през годината).

³⁸ Делегиран регламент (ЕС) 2024/1772 на Комисията от 13 март 2024 г. за допълнение на Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета по отношение на регулаторните технически стандарти, с които се определят подробно критериите за класифициране на инциденти с ИКТ и киберзаплахи, праговете на същественост и информацията в докладите за съществени инциденти, C/2024/1519 (ОВ L, 2024/1772, 25.6.2024 г., ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

Компетентните органи следва да оценят значимостта на експозицията към репутационен риск на институцията и взаимосвързаността ѝ с другите рискове, като се възползват от съответните оценки на риска (включително от други надзорни органи), за да установят възможните вторични ефекти в която и да е посока.

В контекста на анализа на операционния риск компетентните органи следва да вземат предвид относимостта и значимостта на експозициите на институцията към риск от ИП/ФТ от пруденциална гледна точка в обхвата на операционния риск. Във връзка с това, компетентните органи следва да използват съответната информация, получена от надзорни органи в областта на борбата с изпирането на пари и финансирането на тероризма, за да допълнят констатациите си от текущия надзор и да преценят дали те пораждат опасения от пруденциален характер, свързани с риска от ИП/ФТ.

Компетентните органи следва да имат предвид, че всяка институция може да бъде изложена на риск от ИП/ФТ, независимо от нейния размер или финансова стабилност. Поради това следва да се обръща достатъчно внимание и на институции, които се възприемат като финансово стабилни и може да имат добра репутация, като се има предвид, че тези институции могат да бъдат специално обект за целите на ИП/ФТ. Следва да се обърне внимание и на институции, които много успешно привличат нови клиенти/разширяват пазарния си дял — особено посредством използване на нетрадиционни канали за дистрибуция — тъй като това може да бъде свързано със слаб контрол на комплексната проверка на клиента на етапа, когато той става клиент на институцията за първи път.

Компетентните органи следва да обменят с надзорните органи в областта на ИП/ФТ съответната информация относно констатирани проблеми, свързани с операционния риск, които могат да породят рискове от ИП/ФТ, рискове от неприлагане и заобикаляне на целевите финансови санкции, както и опасения, свързани например с недостатъци в ИКТ системата или рамката за вътрешен контрол на институциите.

Компетентните органи следва да оценят дали институцията е въвела подходящи мерки, стратегии, процеси и механизми за управление на репутационния риск. По - специално компетентните органи следва да вземат предвид дали:

• а. институцията има формулирани политики и процеси за идентифициране, управление и наблюдение на този риск, включително надежден кодекс за поведение, и дали тези политики и процеси са пропорционални на нейния размер и нейното значение за системата;
• б. институцията се справя с този риск чрез предпазни мерки, включително въвеждането на подходящи показатели и инструменти за наблюдение, включване на потенциални проблеми с репутацията в плановете за действие при непредвидени ситуации, провеждане на съответните обучения и сесии за повишаване на осведомеността и използване на извлечените поуки;
• в. институцията провежда стрес тестове или сценариен анализ, за да оцени всички вторични ефекти на репутационния риск (например разходи за ликвидност и финансиране, секюритизационни трансакции, достъп до кореспондентска банкова услуга);
• г. институцията предприема мерки за защита на своята марка чрез инструменти за наблюдение на медиите/социалните мрежи, протоколи за справяне с дезинформацията и негативната публичност, както и чрез своевременни комуникационни кампании;
• д. институцията взема предвид евентуалното въздействие на нейната стратегия и бизнес планове и по - общо нейното поведение върху репутацията ѝ.

6.4.5. Оперативна устойчивост

Компетентните органи следва да си съставят цялостна представа за способността на институцията да изпълнява критични или важни функции в условия на смущения (ниво на оперативна устойчивост) — резултат, който се дължи на ефективното управление на операционния риск, като се вземат предвид размерът, бизнес моделът и общият рисков профил на институцията. За тази цел компетентните органи следва да се опират на наличните си оценки относно управлението на операционния риск, непрекъсваемостта на дейността, способността за управление на промените, услугите, предоставяни от трети страни, и ИКТ системите, на които институцията разчита, за да преценят цялостно дали тези елементи в съвкупност подкрепят оперативната устойчивост на институцията. Компетентните органи следва също така да преценят дали институцията прилага своята рамка за управление на риска, плановете за непрекъсваемост на дейността, управлението на трети страни (което вече е оценено в контекста на DORA и насоките на ЕБО, издадени съгласно член 74, параграф 3 от Директива 2013/36/ЕС относно вътрешните механизми, процеси и структури за управление) и рамките за възстановяване и преструктуриране по последователен и координиран начин. Освен това компетентните органи следва да преценят дали институцията е документирала в достатъчна степен вътрешните и външните взаимовръзки и взаимозависимости, които са необходими за изпълнение на нейните критични или важни функции.

Компетентните органи следва да вземат предвид вниманието, което ръководният орган и висшето ръководство отделят на способността на институцията да реагира на смущения и да се възстанови от тях, като изхождат от допускането, че ще възникнат сривове. За тази цел компетентните органи следва да отчетат дали:

• а. ръководният орган играе активна роля в установяването на широко разбиране на подхода за оперативна устойчивост в цялата институция и в наблюдението на ефективността на подхода за оперативна устойчивост на институцията;
• б. се предоставя своевременно отчитане за текущата оперативна устойчивост на институцията в подкрепа на контролната функция на ръководния орган, особено когато са установени сериозни недостатъци, които биха могли да повлияят на изпълнението на критичните или важните функции на институцията.

6.4.6. Обобщение на констатациите, оценките и надзорните мерки

След като извършат посочената по - горе оценка, компетентните органи следва да

следва да бъде отразено в обобщение на констатациите, придружено от оценка на риска въз основа на съображенията, посочени в таблица 10. Когато въз основа на съществеността на определени подкатегории риск компетентният орган реши да ги оцени и да им постави оценка индивидуално, указанията в тази таблица следва да се прилагат по аналогия, доколкото е възможно.

Таблица 10. Надзорни съображения за определяне на оценка на операционния риск

В таблицата по - долу е представен неизчерпателен списък с надзорни мерки, които компетентните органи могат да предприемат в случай на установени недостатъци в рамката за управление на операционния риск и оперативната устойчивост (като се вземе предвид тясната взаимовръзка между оперативната устойчивост и управлението на операционния риск) на институцията. Компетентните органи следва да вземат решение относно вида на мярката въз основа на нейната ефективност по отношение на конкретния идентифициран недостатък. Компетентните органи могат да прилагат допълнителни надзорни мерки (включително количествени мерки в съответствие с член 104, параграф 1, буква а) от Директива 2013/36/ЕС) или комбинация от тях с мерките, посочени в таблицата по - долу, ако те се считат за по - подходящи за отстраняване на констатираните недостатъци. При нарушения на DORA компетентните органи следва да разгледат приложимите корективни и коригиращи мерки, предвидени в член 50 от DORA.

Таблица 11. Потенциален и неизчерпателен списък на надзорните мерки, произтичащи от оценката на операционния риск и оперативната устойчивост Възможни надзорни мерки, които компетентните органи могат да предприемат в съответствие с член 104, параграф 1, букви б), г), д), е), й), л), м) и н) от Директива 2013/36/ЕС и член 50 от Регламент (ЕС) 2022/2554 — Компетентните органи могат да изискват от институцията: А) да включи ръководния орган или неговите комитети по - активно в решенията, свързани с управление на операционния риск; Б) да подобри системите за измерване на операционния риск; В) да засили контрола върху оперативните процеси, включително идентифициране, наблюдение, реагиране и възстановяване; Г) да подобри рамката за оперативно управление; Д) да подобри докладването на операционния риск на ръководния орган и висшето ръководство; Е) да разработи и да приложи планове за корективни мерки за отстраняване на недостатъците; Ж) да ограничи определени споразумения с трети страни, по - специално по отношение на критични или важни функции; З) да подобри провеждането на стрес тестове и сценарийния анализ, свързани с операционния риск; И) да приложи по - силни оперативни мерки; Й) да подобри плановете за непрекъсваемост на дейността, реакция и възстановяване; К) да подобри управлението на операционния риск, свързан с ЕСУ рисковете, по - специално екологичните рискове, потенциално въз основа на едно или няколко от посочените по - горе действия.