6.4. Hodnocení operačního rizika

Při posuzování rámce pro řízení operačního rizika by příslušné orgány měly mimo jiné vyhodnotit, zda instituce dodržuje právní akty zveřejněné samostatně na internetových stránkách orgánu EBA, jak je uvedeno v odstavci 12.

Příslušné orgány by měly operační riziko hodnotit ve všech liniích podnikání a ve všech operacích instituce s přihlédnutím ke zjištěním, která vyplývají z hodnocení systému vnitřní správy a řízení a kontrol v celé instituci podle hlavy 5. Při provádění tohoto hodnocení by příslušné orgány měly určit, jakým způsobem se může operační riziko projevit, a to i s ohledem na soubor údajů o ztrátách dané instituce a na potenciální dopady dalších souvisejících rizik (např. operační riziko na hranici s úvěrovým a tržním rizikem).

Příslušné orgány by měly posoudit významnost operačního rizika vyplývajícího z využívání poskytovatelů služeb z řad třetích stran, včetně koncentrace (na úrovni subjektu a případně na úrovni skupiny) na jednu nebo více služeb poskytovaných jediným poskytovatelem služeb z řad třetích stran (přímo nebo nepřímo prostřednictvím řetězců subdodavatelů) nebo omezený počet poskytovatelů služeb z řad třetích stran, kteří podporují zásadní nebo důležité funkce instituce, a zda by tyto skutečnosti mohly ovlivnit provozní odolnost, výkonnost a řízení rizik dané instituce. Při provádění tohoto hodnocení by příslušné orgány měly zohlednit, do jaké míry se na stejné poskytovatele služeb z řad třetích stran spoléhají i jiné instituce, mají - li tyto informace k dispozici.

Při hodnocení operačního rizika by příslušné orgány měly posoudit riziko v oblasti informačních a komunikačních technologií dále jen „IKT“) podle nařízení DORA a jeho potenciální dopad na zásadní nebo důležité funkce instituce, včetně případného finančního, reputačního, regulačního a strategického dopadu na instituci.

Příslušné orgány by měly posoudit, zda má instituce odpovídající přístup k provozní odolnosti, který jí umožní vyrovnat se s narušeními, reagovat na ně a obnovit činnost v případě, že k nim dojde, a zda je tento přístup náležitě a důsledně sladěn se stávajícím rámcem pro řízení rizik, plány kontinuity činnosti a řízením vztahů se třetími stranami.

Při hodnocení operačního rizika by příslušné orgány měly v příslušných případech posoudit, zda zásady a postupy instituce náležitě identifikují, vyhodnocují a řídí operační rizika vyplývající z činností souvisejících s kryptoaktivy a z technologie, která je podporuje.

Příslušné orgány by měly společně s operačním rizikem posoudit reputační riziko, neboť je spojeno s událostmi souvisejícími s operačním rizikem. Výsledek posouzení reputačního rizika by se však neměl promítat do skóre operačního rizika, nýbrž by měl být v příslušných případech zohledněn v rámci analýzy modelu podnikání a/nebo hodnocení rizika likvidity, jelikož jeho hlavní dopady mohou oslabit důvěru investorů, vkladatelů nebo účastníků mezibankovního trhu v danou instituci.

Příslušné orgány by měly posoudit dopad ESG rizik na inherentní operační a reputační riziko, jakož i přiměřenost kontrol operačního a reputačního rizika souvisejících s ESG riziky, přičemž by měly upřednostnit fyzická a tranzitivní environmentální rizika. Při posuzování právního a reputačního rizika by příslušné orgány měly zohlednit zejména environmentální rizika a rizika greenwashingu.

6.4.2. Hodnocení inherentního operačního rizika

Příslušné orgány by měly získat důkladnou představu o expozicích instituce vůči inherentnímu operačnímu riziku a posoudit význam obezřetnostního dopadu tohoto rizika na instituci, jakož i jeho dopad na schopnost instituce plnit zásadní či důležité funkce i v případě narušení.

Na podporu tohoto hodnocení by příslušné orgány měly zvážit kapitálový požadavek k operačnímu riziku ve srovnání s celkovým kapitálovým požadavkem a případně vnitřně stanovený kapitál přidělený institucí k operačnímu riziku ve srovnání s celkovým vnitřně s tanoveným kapitálem. Příslušné orgány by mimoto měly využít znalosti získané při hodnocení dalších prvků SREP (zejména hlavy 4 a hlavy 5), při srovnání s podobnými subjekty, při jakýchkoli jiných činnostech dohledu, včetně informací od orgánů dozoru v oblasti boje proti praní peněz a financování terorismu a orgánů dozoru nad trhem a z dalších relevantních zdrojů informací.

Příslušné orgány by měly zohlednit přinejmenším klíčové faktory operačního rizika a potenciální scénáře narušení a v příslušných případech je analyzovat podle linií podnikání, právních subjektů, zeměpisných oblastí a kategorií typů událostí (v závislosti na dostupnosti údajů) a porovnat postavení dané instituce s podobnými subjekty. Tyto faktory by měly zahrnovat přinejmenším hlavní strategii instituce v oblasti operačního rizika a její ochotu podstupovat operační riziko, obchodní prostředí (včetně geografické přítomnosti, provozu IKT a distribučních kanálů), nedávné významné události v rámci instituce (jako jsou fúze, nabytí, odprodeje a restrukturalizace), systémy IKT a další aspekty související s IKT podle oddílu 6.4.2.3, změny procesů, ujednání se třetími stranami, otázky dodržování předpisů, obchodní cíle a systémy pobídek a další klíčové faktory ovlivňující operační riziko.

Povaha a význam expozic vůči operačnímu riziku

Příslušné orgány by měly určit povahu expozic vůči operačnímu riziku analýzou expozic vůči hlavním zdrojům a určujícím faktorům operačního rizika, aby získaly představu o potenciálním operačním riziku. Pro účely této analýzy příslušné orgány:

• a. mohou zohlednit provozní model, linie podnikání, produkty, procesy a zeměpisné oblasti relevantní pro instituci, posouzení závislostí a expozic vůči operačnímu riziku u primárních rizikových faktorů (např. procesů, osob, systémů a externích faktorů) a interakce rizikových faktorů s využitím sebehodnocení instituce v oblasti rizik, analýzy srovnatelných subjektů, údajů a veřejných databází a/nebo databází konsorcia, pokud jsou dostupné a relevantní;
• b. měly by vzít v úvahu jak četnost, tak závažnost událostí, kterým je instituce vystavena, a rozlišovat ty, které způsobují vysoké ztráty, a ty, které se vyskytují často. Na základě tohoto rozlišení by příslušné orgány měly vyhodnotit trendy ztrát souvisejíc ích s operačním rizikem a jejich koncentraci, a
• c. měly by využívat analýzy scénářů a zohledňovat plánované obchodní operace a analýzy potenciálního operačního rizika provedené danou institucí, jsou -li k dispozici, přičemž je třeba vzít v úvahu veškerá nápravná opatření a opatření ke snižování rizika, která již byla zavedena a jsou účinná.

Po určení a analýze hlavních zdrojů a určujících faktorů operačního rizika by se příslušné orgány měly zaměřit na zdroje a faktory s nejvýznamnějším potenciálním dopadem na instituci.

Jedním z hlavních zdrojů informací, který by příslušné orgány měly zohlednit, je soubor údajů instituce o ztrátách a událostech, neboť může poskytnout cenné poznatky o vývoji profilu operačního rizika této instituce. Příslušné orgány by měly pravidelně posuzovat úplnost, přesnost a kvalitu údajů o ztrátách. Dalším zdrojem informací by měly být záznamy instituce

• o všech incidentech souvisejících s IKT a významných kybernetických hrozbách (v souladu s čl. 17 odst. 2 nařízení DORA) a o identifikovaných zdrojích rizik v oblasti IKT (v souladu s čl. 8 odst. 2 nařízení DORA).

Hodnocení podkategorií operačního rizika

Příslušné orgány by se při posuzování podkategorií operačního rizika měly zaměřit na ty, které jsou pro danou instituci považovány za významné. Příslušné orgány by také měly použít svůj odborný úsudek k identifikaci významných podkategorií na základě všech dostupných interních a externích zdrojů informací. Při provádění hodnocení by příslušné orgány měly vždy věnovat pozornost následujícím aspektům operačního rizika³² :

• a. právní riziko;
• b. riziko modelu;
• c. riziko v oblasti IKT.

6.4.2.1. Právní riziko

³² Neúplný seznam podkategorií operačního rizika je uveden v příloze III.

Při hodnocení významu a důležitosti vystavení instituce právnímu riziku by příslušné orgány měly zohlednit tyto skutečnosti:

• a. nevhodný prodej produktů nebo služeb;
• b. střety zájmů při obchodování;
• c. zmanipulování referenčních úrokových sazeb, směnných kurzů nebo jiných finančních nástrojů nebo indexů;
• d. překážky bránící změně finančních produktů během jejich životnosti a/nebo změně poskytovatelů finančních služeb;
• e. automatické obnovování produktů nebo pokuty při vypovězení smlouvy a/nebo
• f. vyřizování stížností klientů;
• g. porušení vnitrostátních a mezinárodních pravidel a předpisů (daňové předpisy, interní podvody nebo interní krádeže, pravidla pro boj proti praní peněz, pravidla boje proti terorismu a hospodářské sankce);
• h. rizika soudních sporů souvisejících s ESG faktory, zejména v souvislosti se životním prostředím a greenwashingem.

Příslušné orgány by měly zvážit, zda by instituci mohly v souvislosti se soudními řízeními vzniknout nějaké výdaje, pokuty, sankce či náhrady škody, a také počet a obsah stížností. Využít by se měly rovněž výsledky hodnocení podle hlavy 4 spolu s důkladným přezkoumáním zásad v oblasti pobídek k získání hlavních poznatků o zdrojích potenciálního porušení povinností. V této souvislosti by příslušné orgány měly rovněž zvážit, zda má instituce zavedeny přiměřené a účinné systémy a procesy k provádění a dodržování omezujících opatření (např. sankcí), včetně posouzení dodržování obecných pokynů orgánu EBA k vnitřním politikám, postupům a kontrolám ze strany instituce³³ .

³³ Obecné pokyny k vnitřním politikám, postupům a kontrolám k zajištění provádění unijních a vnitrostátních omezujících opatření (EBA/GL/2024/14)

Příslušný orgán by však měl postupovat s ohledem na možný budoucí vývoj a zohledňovat rovněž možný dopad vývoje v oblasti regulace a činnosti příslušných orgánů, pokud jde

• o ochranu spotřebitele a nabídku finančních služeb obecně.

6.4.2.2. Riziko modelu

V rámci operačního rizika by příslušné orgány měly vyhodnotit riziko modelu se zvláštním zřetelem k interním modelům jiným než regulatorním (např. modely AI, modely používané pro stanovování cen produktů a stanovování a monitorování limitů rizik, modely vužívané v interních postup ech pro hodnocení kapitálové přiměřenosti / přiměřenosti likvidity nebo pro modelování variant ozdravných postupů).

Při hodnocení rizika modelu by příslušné orgány měly zohlednit:

• a. do jaké míry a za jakými účely instituce používá modely při rozhodování a jaký je obchodní význam těchto rozhodnutí. Příslušné orgány by měly určit linie podnikání nebo činnost, při nichž instituce modely používá významným způsobem, a posoudit potenciální dopad rizika modelu mimo jiné prostřednictvím analýz citlivosti a scénářů nebo zátěžových testů, a
• b. správnost kontrolních mechanismů (z hlediska metod, četnosti, následných opatření atd.), včetně postupu schvalování modelu, prováděných pravidelných přezkumů a míry informovanosti instituce o nedostatcích modelu či o vývoji na trhu a v podnikání.

Jsou- li modely využívány k rozhodování (např. stanovování cen produktů, modely AI, hodnocení finančních nástrojů či profilování klientů), měly by příslušné orgány posoudit, zda existuje řádný proces interní validace a/nebo proces přezkumu modelů, jehož cílem je identifikovat a zmírnit riziko modelu (s výjimkou regulatorních modelů).

Při provádění hodnocení rizika modelu by příslušné orgány měly zvážit hodnocení jiných rizik pro kapitál a rizik pro likviditu a financování, zejména pak s ohledem na přiměřenost metodiky používané k měření rizik, stanovování cen a hodnocení aktiv a/nebo závazků. Výsledky takového hodnocení by měly přinést zjištění o operačním riziku.

6.4.2.3. Riziko v oblasti IKT – Posouzení inherentního rizika v oblasti IKT

Identifikace významných rizik v oblasti IKT

V souladu s nařízením DORA by příslušné orgány měly provést přezkum toho, jak daná instituce identifikuje, klasifikuje a dokumentuje všechny obchodní funkce podporované informačními a komunikačními technologiemi, role a odpovědnosti, informační aktiva³⁴ a aktiva v oblasti IKT³⁵ , která tyto funkce podporují, a jejich úlohy a vzájemné závislosti ve vztahu k riziku v oblasti IKT. Toto hodnocení by mělo příslušným orgánům pomoci získat důkladný přehled

• o expozici instituce vůči inherentnímu riziku v oblasti IKT (profil rizik v oblas ti IKT), identifikovat významné inherentní riziko v oblasti IKT a vytvořit si názor na jeho obezřetnostní dopad. Za tímto účelem by příslušné orgány měly zvážit alespoň následující skutečnosti, jsou - li relevantní a použitelné:
• a. zpráva o přezkumu rámce pro řízení rizika v oblasti IKT (podle čl. 6 odst. 5 nařízení DORA);
• b. zdroje rizika v oblasti IKT, zejména rizika vzájemné expozice s jinými finančními subjekty, identifikované institucí podle čl. 8 odst. 2 nařízení DORA;
• c. oznámené závažné incidenty související s IKT (v souladu s čl. 19 odst. 1 nařízení DORA), včetně trendu souhrnných ročních nákladů a ztrát způsobených závažnými incidenty souvisejícími s IKT (podle čl. 11 odst. 10 nařízení DORA);
• d. výsledky testů stanovených v programu testování digitální provozní odolnosti (podle článku 24 nařízení DORA), včetně souhrnu zjištění z penetračního testování na základě hrozeb a souvisejících plánů nápravných opatření (v souladu s čl. 26 odst. 6 nařízení DORA);
• e. registr informací (ve smyslu čl. 28 odst. 3 nařízení DORA), včetně koncentrace poskytovatelů služeb IKT z řad třetích stran, včetně poskytovatelů těchto služeb v rámci skupiny, podle typu služeb a/nebo systémů IKT;
• f. doporučení a stanoviska hlavních orgánů dohledu (podle čl. 40 odst. 3 a čl. 42 odst. 7 nařízení DORA) a související odpovědi, zprávy a informace od kritických poskytovatelů služeb IKT z řad třetích stran (podle s čl. 35 odst. 1 písm. c), čl. 42 odst. 1 a čl. 48 odst. 2 nařízení DORA);
• g. úroveň složitosti systémů IKT a výsledky posouzení rizika v oblasti IKT u „legacy“ systémů IKT (podle čl. 8 odst. 7 nařízení DORA);
• h. vyhodnocení rizik po velkých změnách (v souladu s čl. 8 odst. 3 nařízení DORA);
• i. míra přijetí a integrace inovativních řešení v oblasti IKT;
• j. místa, konkrétně regiony nebo země, kde se nacházejí datová centra a citlivé určené prostory včetně případů, kdy nasmlouvané služby IKT poskytují poskytovatelé služeb IKT z řad třetích stran, přičemž to se vztahuje také na místo zpracování a uchovávání dat;
• k. jakékoli související závažné nedostatky nebo slabá místa zjištěná podle hlavy 5;
• l. vlastní hodnocení rizik a kontrol v oblasti IKT (je - li součástí interních postupů pro hodnocení kapitálové přiměřenosti);
• m. informace o řízení rizik v oblasti IKT předložené vedoucímu orgánu instituce;
• n. zjištění interních a externích auditů souvisejících s IKT;
• o. prostředí vnějších hrozeb, včetně informací o hrozbách a zranitelných místech. Přezkum systémů IKT a služeb IKT

³⁴ Čl. 3 bod 6 nařízení (EU) 2022/2554.

³⁵ Čl. 3 bod 7 nařízení (EU) 2022/2554.

Příslušné orgány by měly přezkoumat příslušnou dokumentaci, metodiku a procesy instituce a zaujmout stanovisko k tomu, zda instituce náležitě identifikovala systémy IKT a služby IKT, které podporují zásadní nebo důležité funkce. Za tímto účelem by příslušné orgány měly vzít v úvahu:

• a. systémy IKT podporující zásadní nebo důležité funkce, jakož i kritická informační aktiva a aktiva v oblasti IKT identifikovaná danou institucí (v souladu s článkem 8 nařízení DORA);
• b. klíčové procesy závislé na poskytovatelích služeb IKT z řad třetích stran, včetně vzájemných propojení s poskytovateli služeb IKT z řad třetích stran, kteří poskytují služby podporující zásadní nebo důležité funkce (podle čl. 8 odst. 5 nařízení DORA).

Identifikace a mapování vážných rizik v oblasti IKT pro systémy IKT a služby IKT, které podporují zásadní nebo důležité funkce

216.Na základě posouzení závislosti instituce na informačních aktivech a aktivech v oblasti IKT, rizikového profilu v oblasti IKT, systému IKT a služeb IKT by příslušné orgány měly zaujmout stanovisko k vážným rizikům v oblasti IKT, která mohou mít významný obezřetnostní dopad na systémy a služby IKT dané instituce, které podporují zásadní nebo důležité funkce, a významný dopad na její schopnost fungovat i v případě narušení provozu. Za tímto účelem by příslušné orgány měly vzít v úvahu:

• a. finanční ztráty, včetně případného odškodnění zákazníků, nákladů na právní řízení a nápravná opatření, smluvního odškodnění, nákladů a ušlých výnosů;
• b. potenciál narušení činnosti s ohledem na (mimo jiné) význam dotčených služeb, včetně transakcí a operací instituce (včetně závislostí na třetích stranách), počet klientů a/nebo finančních protistran a/nebo potenciálně dotčených poboček a zaměstnanců;
• c. možné ztráty dat;
• d. potenciální dopad na dobrou pověst;
• e. potenciální regulatorní dopad, včetně případného veřejného napomenutí, pokuty nebo dokonce změny povolení;
• f. potenciální strategický dopad na instituci;
• g. potenciální územní rozsah.

Příslušné orgány by pak měly přiřadit zjištěné vážné riziko v oblasti IKT ke kategoriím rizik v oblasti IKT uvedeným v příloze III. Předpokládá se, že instituce namísto kategorizace rizik v oblasti IKT uvedené v příloze používají spíše vlastní kategorizaci.

6.4.3. Hodnocení rámce pro řízení a kontroly operačního rizika

Příslušné orgány by měly posoudit rámec a opatření, jež instituce zavedla za účelem řízení a kontroly operačního rizika, a to s přihlédnutím k výsledkům analýzy celkového rámce pro řízení rizik a vnitřní kontrolu, o nichž pojednává hlava 5, jelikož to bude mít vliv na expozice instituce vůči operačnímu riziku. Pokud jde o riziko praní peněz a financování terorismu, příslušný orgán by měl vzít v úvahu hodnocení poskytnuté orgánem dozoru v oblasti boje proti praní peněz a financování terorismu.

Strategie v oblasti operačního rizika a související ochota podstupovat riziko

Příslušné orgány by měly vyhodnotit, zda má instituce řádnou, jasně formulovanou a zdokumentovanou strategii řízení operačního rizika a úroveň ochoty podstupovat riziko schválenou vedoucím orgánem, která nastiňuje povahu, druhy a úrovně operačního rizika, jež je instituce ochotná podstoupit. Při tomto hodnocení by příslušné orgány měly mimo jiné zohlednit úlohu vedoucího orgánu při stanovování, schvalování, provádění a přezkoumávání strategie v oblasti operačního rizika a ochoty podstupovat operační riziko (včetně ochoty podstupovat riziko v oblasti IKT a strategie digitální provozní odolnosti), jakož i dostatečný rozsah a přiměřenost této strategie s ohledem na povahu a významnost profilu operačního rizika dané instituce.

Organizační rámec a rámec vnitřní kontroly

Příslušné orgány by měly posoudit, zda daná instituce dodržuje článek 323 nařízení (EU) č. 575/2013. Při tomto posouzení by příslušné orgány měly vyhodnotit přiměřenost a účinnost organizačního rámce a systému správy a řízení s cílem umožnit účinné řízení, měření a kontrolu operačního rizika s dostatečnými lidskými a technickými zdroji pro plnění požadovaných úkolů. Příslušné orgány by měly vzít v úvahu, zda jsou zavedeny jasné odpovědnosti za identifikaci, hodnocení, snižování, monitorování a vykazování operačního rizika, jakož i za dodržování modelu „tří linií obrany“.

Příslušné orgány by měly vyhodnotit, zda má instituce silný rámec kontroly a spolehlivá ochranná opatření umožňující snížit operační riziko, včetně vhodných zásad a postupů, které zahrnují i zbytkové riziko, a zda jsou v souladu s ochotou instituce podstupovat operační riziko a se strategií řízení operačního rizika a zda zahrnují všechny klíčové operace a procesy. To zahrnuje mimo jiné posouzení toho, zda jsou tyto zásady a postupy jasně formulovány, oznámeny a důsledně uplatňovány v celé instituci.

Příslušné orgány by měly rovněž vyhodnotit funkčnost útvaru interního auditu z hlediska přiměřenosti, rozsahu a četnosti interních auditů týkajících se rámce pro řízení operačního rizika.

Kontinuita činnosti, reakce a obnova

Příslušné orgány by měly posoudit, zda instituce dodržuje i) obecné pokyny orgánu EBA k vnitřnímu systému správy a řízení s ohledem na celkové řízení kontinuity činnosti a ii) nařízení DORA v souvislosti s politikou zachování provozu IKT a plány reakce a obnovy v oblasti IKT. V této souvislosti by příslušné orgány měly určit, zda politika zachování provozu IKT a plány reakce a obnovy v oblasti IKT tvoří nedílnou součást celkové politiky zachování provozu dané instituce a jejího plánu reakce a obnovy.

Příslušné orgány by měly vyhodnotit, zda instituce zavedla účinné řízení zachování provozu s ověřenými plány zachování provozu, reakce a obnovy, které zahrnují alespoň její zásadní nebo důležité funkce, včetně funkcí sjednaných s poskytovateli z řad třetích stran, a zda tyto plány zohledňují řadu závažných, avšak věrohodných scénářů, vůči nimž může být instituce zranitelná. Příslušné orgány by měly rovněž posoudit, zda politika zachování provozu instituce umožňuje vhodná opatření pro reakci a obnovu v případě jakéhokoli druhu incidentu.

Příslušné orgány by měly určit, zda řízení zachování provozu instituce zahrnuje:

• a. analýzu dopadu na činnost;
• b. odpovídající strategie obnovy zahrnující interní a externí závislosti a jasně definované priority v oblasti obnovy a úrovně odolnosti;
• c. komplexní a flexibilní plány pro řešení pravděpodobných scénářů narušení, které jsou vypracovány na základě analýzy dopadu na činnost a v koordinaci s interními i externími zúčastněnými stranami;
• d. plány, které stanoví strategie pro nepředvídané události a postupy reakce a obnovy;
• e. účinné testování koncepce a provozní účinnosti plánů;
• f. programy zvyšování povědomí o řízení zachování provozu a odborné přípravě v této oblasti;
• g. komunikační plány pro informování vedení a všech příslušných zúčastněných stran, jakož i dokumentaci týkající se krizového řízení, opatření a případně funkce řízení krizí (podle čl. 11 odst. 7 nařízení DORA).

Příslušné orgány by měly posoudit, zda plány instituce v oblasti zachování provozu, reakce a obnovy:

• a. stanoví role a povinnosti, včetně jasných pokynů ohledně případného nástupnictví, a vymezují interní rozhodovací proces spolu s definicí spouštěcích faktorů pro aktivaci;
• b. jsou přezkoumávány, aby se zajistilo, že strategie pro nepředvídané události zůstanou v souladu s aktuálními operacemi, riziky a hrozbami, úrovněmi odolnosti a cíli a prioritami v oblasti obnovy;
• c. stanoví priority opatření k zachování provozu s využitím přístupu založeného na posouzení rizik;
• d. jsou pravidelně testovány, aby bylo zajištěno splnění cílů obnovy a příslušných časových rámců, a
• e. v příslušných případech zahrnují testování služeb poskytovaných poskytovateli služeb z řad třetích stran.

Příslušné orgány by měly rovněž vyhodnotit, zda jsou výsledky testů zdokumentovány a oznámeny vedoucímu orgánu. Hodnocení rámce pro řízení rizika v oblasti IKT

Příslušné orgány by měly posoudit, zda instituce dodržuje nařízení DORA a obecné pokyny orgánu EBA k vnitřnímu systému správy a řízení v souvislosti s vnitřní správou a řízením a organizací řízení rizika v oblasti IKT. Příslušné orgány by měly získat představu o tom, zda vedoucí orgán instituce nese celkovou odpovědnost za řízení rizika v oblasti IKT a náležitě definuje a schvaluje veškerá opatření související s IKT a dohlíží na jejich provádění. Příslušné orgány by měly posoudit, zda členové vedoucího orgánu mají dostatečné znalosti a dovednosti k tomu, aby dokázali pochopit a posoudit riziko v oblasti IKT a jeho dopad na operace instituce.

Příslušné orgány by měly posoudit, jak jsou úlohy a povinnosti všech funkcí souvisejících s IKT a zavedené systémy správy a řízení začleněny do rámce vnitřní kontroly a správy a řízení instituce za účelem řízení rizika v oblasti IKT. Za tímto účelem by příslušné orgány měly zvážit, zda instituce skutečně svěřila odpovědnost za řízení rizika v oblasti IKT a dohled nad ním nezávislé kontrolní funkci, která má přímý přístup k vedoucímu orgánu v dozorčí funkci a může mu přímo podávat zprávy, a posoudit, zda instituce má:

• a. jasnou komunikaci, vymezení a začlenění rolí a povinností v rámci všech funkcí souvisejících s IKT, včetně obchodních funkcí a procesů podporovaných těmito technologiemi;
• b. dostatečný a přiměřený rozpočet na zajištění digitální provozní odolnosti, pokud jde
• o všechny druhy zdrojů, včetně příslušných programů zvyšování povědomí, školení a dovedností v oblasti IKT vztahujících se na všechny zaměstnance (v souladu s čl. 5 odst. 2 písm. g) nařízení DORA);
• c. přiměřená následná opatření a reakce vedoucího orgánu na závažné nálezy auditu IKT a na zjištění oznámená podle čl. 13 odst. 5 nařízení DORA.

Příslušné orgány by měly získat důkladný přehled o rámci instituce pro řízení rizika v oblasti IKT a posoudit, zda instituce zavedla dostatečné a vhodné strategie, zásady, postupy, protokoly a nástroje v IKT, včetně úrovní tolerance, aby mohla účinně, efektivně a komplexně řešit vážná rizika v oblasti IKT v souladu s nařízením DORA. Za tímto účelem by příslušné orgány měly v příslušných případech zvážit:

• a. vhodnost a účinnost politik³⁶ , procesů a postupů instituce, pokud jde o řízení rizika v oblasti IKT, které zahrnují mimo jiné řízení třetích stran v oblasti IKT, detekci incidentů souvisejících s IKT a reakci na ně, řízení hodnocení IKT, šifrování a kryptografii, bezpečnost provozu IKT, bezpečnost sítě, řízení přístupu a to, zda byly tyto politiky, procesy a postupy schváleny vedoucím orgánem a sděleny všem příslušným zúčastněným stranám (podle článku 14 nařízení DORA);
• b. vhodnost přípustné odchylky rizika v oblasti IKT a tolerance dopadů narušení v oblasti IKT (podle čl. 6 odst. 8 písm. b) nařízení DORA);
• c. vhodnost a provádění strategie instituce v oblasti digitální provozní odolnosti, včetně jejího souladu se strategií podnikání;
• d. soulad strategie řízení rizika v oblasti IKT spojeného s třetími stranami, včetně strategie pro více dodavatelů v oblasti IKT (je -li k dispozici), s celkovou strategií podnikání a rámcem pro řízení rizika v oblasti IKT;
• e. zbytkové riziko vyplývající ze zjištěných rizik instituce v souvislosti se smluvními ujednáními
• o využívání služeb IKT podporujících zásadní nebo důležité funkce;
• f. zbytkové riziko vyplývající ze zjištěných rizik instituce u projektů v oblasti IKT, které mají dopad na zásadní nebo důležité funkce, hlášených vedoucímu orgánu, a také u pořizování, vývoje a údržby systémů IKT a změn v oblasti IKT;
• g. spolehlivost a komplexnost programu testování digitální provozní odolnosti;
• h. vývoj a rozsah závažných incidentů souvisejících s IKT a zjištění nahlášených vedoucímu orgánu v souladu s čl. 17 odst. 3 písm. e) a čl. 13 odst. 5 nařízení DORA;
• i. kontroly rizika v oblasti IKT, které se vztahují ke konkrétnímu zjištěnému riziku v oblasti IKT;
• j. včasné podávání zpráv o aspektech řízení rizika v oblasti IKT vedoucímu orgánu a vrcholnému vedení instituce;
• k. rozsah a nálezy interních auditů.

³⁶ V souladu s nařízením DORA by měly zahrnovat alespoň politiku zabezpečení informací, politiku zálohování, politiku správy aktiv v oblasti IKT, politiku šifrování a kryptografických kontrol, politiku správy šifrovacích klíčů, politiku řízení projektů v oblasti IKT, politiku pořizování, vývoje a údržby systémů IKT, politiku v oblasti lidských zdrojů, politiku fyzické a environmentální bezpečnosti, politiku řízení incidentů souvisejících s IKT, politiku využívání služeb IKT, které podporují zásadní nebo důležité funkce poskytované poskytovateli služeb IKT z řad třetích stran.

Při posuzování řízení rizika v oblasti IKT by příslušné orgány měly věnovat zvláštní pozornost řízení rizika v oblasti IKT spojeného s třetími stranami, včetně míry koncentrace poskytovatelů služeb IKT z řad třetích stran u dané instituce. Za tímto účelem by příslušné orgány měly zajistit úzkou spolupráci s hlavními orgány dohledu nad kritickými poskytovateli služeb IKT z řad třetích stran v souladu se společnými obecnými pokyny evropských orgánů dohledu³⁷ v případě, že posuzovaná instituce obdrží služby IKT od kritického poskytovatele služeb z řad třetích stran. Příslušné orgány by měly posoudit rovněž účinnost specializované funkce zřízené danou institucí nebo pověřeného člena vrcholného vedení pro monitorování ujednání s třetími stranami v oblasti IKT.

³⁷ Společné obecné pokyny pro spolupráci v oblasti dohledu a výměnu informací mezi evropskými orgány dohledu a příslušnými orgány podle nařízení (EU) 2022/2554 (JC/2024/36).

Příslušné orgány by měly posoudit, zda je funkce interního auditu účinná a zda disponuje dostatečnými znalostmi, dovednostmi a odborností k provádění auditu rámce pro řízení rizika v oblasti IKT, a to tím, že prověří, zda:

• a. je rámec pro řízení rizika v oblasti IKT podrobován auditu požadované kvality, zaměření a četnosti a zda odpovídá profilu rizik instituce v oblasti IKT;
• b. plán auditu zahrnuje audity týkající se vážných rizik v oblasti IKT, která instituce identifikovala, včetně nezávislých přezkumů plánů reakce a obnovy v oblasti IKT;
• c. jsou závažné nálezy auditu IKT včas ověřeny a napraveny, včetně podání zprávy vedoucímu orgánu;
• d. zda se vrcholné vedení a/nebo výbor pro audit nálezy auditu IKT, včetně odsouhlasených opatření, následně formálně řídí a zda pravidelně přezkoumává zprávy o pokroku.

6.4.4. Hodnocení reputačního rizika

Příslušné orgány by měly posoudit reputační riziko, kterému je instituce vystavena, s využitím poznatků získaných na základě hlav 4 až oddílu 6.2. Takové hodnocení by se mělo zaměřit také na celkový rámec reputačního rizika a zajistit schopnost instituce účinně řídit případné události související s dobrou pověstí. V rámci tohoto hodnocení by příslušné orgány měly zamezit dvojímu započtení aspektů, které již byly zohledněny v hodnocení právního rizika (oddíl 6.4.2.1).

Při posuzování významnosti reputačního rizika by příslušné orgány měly zohlednit velikost instituce, jakož i povahu, rozsah a složitost jejích služeb, činností a operací (například kótované akcie či dluhové nástroje nebo účast na mezibankovních trzích).

Příslušné orgány by měly zohlednit interní i externí faktory nebo události, které mohou vyvolat obavy ohledně dobré pověsti dané instituce, vyjma událostí vedoucích k soudnímu řízení. U institucí kategorie 1 a kategorie 2 by příslušné orgány měly při svém posuzování zohlednit všechny tyto ukazatele:

• a. negativní medializace nebo ohlasy na sociálních sítích a iniciativy sdružení spotřebitelů, které by mohly zhoršit vnímání instituce veřejností a její dobrou pověst;
• b. počet stížností zákazníků a změny v nich nebo náhlé ztráty zákazníků či investorů;
• c. negativní události týkající se subjektů srovnatelných s danou institucí, které by veřejnost mohla spojovat s celým finančním sektorem nebo skupinou institucí;
• d. pověst fyzických osob podílejících se na řízení instituce nebo majících kvalifikovanou účast;
• e. působení nebo činnost v odvětvích či jurisdikcích, které jsou ve vysoké míře vystaveny riziku praní peněz a financování terorismu, nebo spolupráce s osobami, u nichž z hlediska praní peněz a financování terorismu existuje vysoké riziko;
• f. působení nebo činnost v odvětvích či jurisdikcích a/nebo spolupráce s protistranami, které jsou ve vysoké míře vystaveny závažným problémům či veřejným sporům souvisejícím s ESG faktory, mimo jiné včetně environmentálních faktorů;
• g. dopad incidentů souvisejících s IKT na dobrou pověst zaznamenaný institucí v souladu s nařízením Komise v přenesené pravomoci (EU) 2024/1772³⁸ ;
• h. další dostupné „tržní“ ukazatele (např. snížení ratingu nebo změny ceny akcií v průběhu roku).

³⁸ Nařízení Komise v přenesené pravomoci (EU) 2024/1772 ze dne 13. března 2024, kterým se doplňuje nařízení Evropského parlamentu a Rady (EU) 2022/2554, pokud jde o regulační technické normy, v nichž jsou upřesněna kritéria klasifikace incidentů souvisejících s IKT a kybernetických hrozeb, stanoveny prahové hodnoty významnosti a upřesněny údaje v hlášeních závažných incidentů (Úř. věst. L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

Příslušné orgány by měly vyhodnotit důležitost vystavení instituce reputačnímu riziku a jeho propojenosti s jinými riziky, a to s využitím příslušných hodnocení rizik (včetně hodnocení provedených jinými orgány dohledu) k určení případných sekundárních dopadů v obou směrech.

V souvislosti s analýzou operačního rizika by příslušné orgány měly zohlednit význam a důležitost vystavení instituce riziku praní peněz a financování terorismu z obezřetnostního hlediska v rámci operačního rizika. V tomto ohledu by příslušné orgány měly využít relevantní informace obdržené od orgánů dozoru v oblasti boje proti praní peněz a financování terorismu, aby doplnily svá zjištění z průběžného dohledu a vyhodnotily, zda nevyvolávají obezřetnostní obavy související s rizikem praní peněz a financování terorismu.

Příslušné orgány by měly mít na paměti, že jakákoli instituce může být vystavena riziku praní peněz a financování terorismu bez ohledu na její velikost nebo finanční zdraví. Dostatečná pozornost by proto měla být věnována také institucím, které jsou vnímány jako finančně zdravé a mohou mít dobrou pověst, jelikož tyto instituce mohou být konkrétním cílem pro účely praní peněz a financování terorismu. Pozornost by měla být věnována také institucím, které jsou velmi úspěšné při získávání nových zákazníků / rozšiřování tržního podílu – zejména prostřednictvím netradičních distribučních kanálů – , jelikož by to mohlo souviset s nedostatečnými hloubkovými kontrolami zákazníků ve fázi jejich získávání.

Příslušné orgány by měly sdílet relevantní informace o zjištěných problémech týkajících se operačního rizika, které mohou vyvolat rizika praní peněz a financování terorismu, rizika neuplatňování cílených finančních sankcí a vyhýbání se těmto sankcím a obav y, jako jsou nedostatky v systému IKT institucí nebo v rámci vnitřní kontroly, s orgány dozoru v oblasti praní peněz a financování terorismu.

Příslušné orgány by měly vyhodnotit, zda instituce zavedla přiměřená opatření, strategie, procesy a mechanismy řízení reputačního rizika. Příslušné orgány by měly zejména zohlednit, zda:

• a. instituce má formálně schválené zásady a procesy umožňující identifikaci, řízení a monitorování tohoto rizika, včetně uceleného kodexu chování, a zda tyto zásady a procesy jsou přiměřené velikosti a významu v daném systému;
• b. instituce k tomuto riziku přistupuje preventivně, mimo jiné zavedením vhodných ukazatelů a monitorovacích nástrojů, zahrnutím potenciálních problémů souvisejících s dobrou pověstí do pohotovostních plánů, pořádáním příslušných školení a akcí k zvýšení informovanosti a využíváním získaných poznatků;
• c. instituce provádí zátěžové testování nebo analýzu scénářů s cílem vyhodnotit sekundární dopady reputačního rizika (např. v souvislosti s likviditou a náklady financování, sekuritizačními transakcemi, přístupem ke službám korespondenčního bankovnictví);
• d. instituce usiluje o ochranu své značky prostřednictvím nástrojů k monitorování sdělovacích prostředků / sociálních sítí, protokolů k boji proti dezinformacím a nepříznivé reklamě, jakož i rychlých komunikačních kampaní;
• e. instituce posuzuje potenciální dopad vlastní strategie a plánů podnikání a obecně svého chování na svoji dobrou pověst.

6.4.5. Provozní odolnost

Příslušné orgány by měly získat ucelený přehled o schopnosti instituce plnit zásadní či důležité funkce i v případě narušení (úroveň provozní odolnosti), což je výsledek, k němuž přispívá účinné řízení operačního rizika, a to s přihlédnutím k velikosti instituce, jejímu modelu podnikání a celkovému rizikovému profilu. Za tímto účelem by příslušné orgány měly vycházet ze svých stávajících hodnocení týkajících se řízení operačního rizika, kontinuity činnosti, schopností v oblasti řízení změn, služeb třetích stran a IKT, na něž se instituce spoléhá, aby komplexně posoudily, zda tyto prvky společně podporují provozní odolnost instituce. Příslušné orgány by měly rovněž zvážit, zda instituce důsledně a koordinovaně provádí svůj rámec pro řízení rizik, plány kontinuity činnosti, řízení třetích stran (již posouzeno v souvislosti s nařízením DORA a obecnými pokyny orgánu EBA vydanými podle čl. 74 odst. 3 směrnice 2013/36/EU

• o systémech, postupech a mechanismech vnitřní správy a řízení) a rámce pro ozdravné postupy a řešení krize. Příslušné orgány by mimoto měly posoudit, zda daná instituce dostatečně zmapovala vnitřní a vnější propojení a vzájemné závislosti, které jsou nezbytné pro plnění jejích zásadních či důležitých funkcí.

Příslušné orgány by měly zohlednit, jakou pozornost věnuje vedoucí orgán a vrcholné vedení schopnosti instituce reagovat na narušení a obnovit provoz v případě, že dojde k selhání. Za tímto účelem by příslušné orgány měly posoudit, zda:

• a. vedoucí orgán se aktivně podílí na zajištění širokého povědomí o přístupu k provozní odolnosti v celé instituci a na sledování účinnosti přístupu instituce k provozní odolnosti;
• b. na podporu dohledu vedoucího orgánu jsou poskytovány včasné zprávy o průběžné provozní odolnosti instituce, zejména v případech, kdy by hlavní zjištěné nedostatky mohly ovlivnit plnění zásadních nebo důležitých funkcí instituce.

6.4.6. Shrnutí zjištění, přidělení skóre a dohledová opatření

Po provedení výše uvedeného hodnocení by příslušné orgány měly získat představu

• o operačním riziku instituce. Tato představa by se měla odrazit v souhrnu zjištění doplněném
• o rizikové skóre, které vychází z posouzení faktorů uvedených v tabulce 10. V případě, že se na základě jejich významnosti příslušný orgán rozhodne vyhodnotit určité podkategorie rizik zvlášť a přidělit jim zvlášť i skóre, pak by se pokyny uvedené v této tabulce měly obdobně uplatnit v maximální možné míře.

Tabulka 10. Faktory, které orgány dohledu zohlední při určování skóre u operačního rizika Skóre Názor orgánů Posuzované faktory v souvislosti Posuzované faktory v souvislosti rizika dohledu s inherentním rizikem s přiměřeným řízením a kontrolami

a kontrolám riziko. Skóre Názor orgánů Posuzované faktory v souvislosti Posuzované faktory v souvislosti rizika dohledu s inherentním rizikem s přiměřeným řízením a kontrolami

Níže uvedená tabulka obsahuje neúplný seznam dohledových opatření, která mohou příslušné orgány přijmout v případě zjištění nedostatků v rámci instituce pro řízení operačního rizika a v její provozní odolnosti (s ohledem na úzkou provázanost provozní odolnosti a řízení operačního rizika). Příslušné orgány by měly rozhodnout o druhu opatření na základě jeho účinnosti při nápravě konkrétního zjištěného nedostatku. Příslušné orgány mohou uplatnit dodatečná dohledová opatření (včetně kvantitativních opatření v souladu s čl. 104 odst. 1 písm. a) směrnice 2013/36/EU) nebo jejich kombinaci s opatřeními uvedenými v následující tabulce, pokud se tato opatření jeví jako vhodnější k nápravě zjištěných nedostatků. V případě porušení nařízení DORA by příslušné orgány měly zvážit použitelná opravná a nápravná opatření stanovená v článku 50 nařízení DORA.

Tabulka 11. N eúplný seznam možných opatření dohled u vyplývajících z hodnocení operačního rizika a provozní odolnosti Možná dohledová opatření, která mohou příslušné orgány přijmout v souladu s čl. 104 odst. 1 písm. b), d), e), f), j), l), m) a n) směrnice 2013/36/EU a článkem 50 nařízení (EU) 2022/2554 – Příslušné orgány mohou od instituce požadovat, aby: A. aktivněji zapojila vedoucí orgán nebo jeho výbory do rozhodování o řízení operačního rizika; B. zlepšila systémy řízení operačního rizika; C. posílila kontroly provozních procesů, včetně identifikace, monitorování, reakce a obnovy; D. zlepšila rámec pro provozní správu a řízení; E. zlepšila podávání zpráv o operačním riziku vedoucímu orgánu a vrcholnému vedení; F. vypracovala a realizovala plány nápravných opatření k odstranění nedostatků; G. omezila některá ujednání s třetími stranami, zejména pokud jde o zásadní nebo důležité funkce; H. posílila zátěžové testování a analýzu scénářů v oblasti operačního rizika; I. zavedla přísnější provozní opatření; Možná dohledová opatření, která mohou příslušné orgány přijmout v souladu s čl. 104 odst. 1 písm. b), d), e), f), j), l), m) a n) směrnice 2013/36/EU a článkem 50 nařízení (EU) 2022/2554 – Příslušné orgány mohou od instituce požadovat, aby: J. posílila plány zachování provozu, reakce a obnovy; K. zlepšila řízení operačních rizik souvisejících s ESG riziky, zejména s environmentálními riziky, případně na základě jednoho nebo několika výše uvedených opatření.