5.6. Ramme for risikostyring

Ved vurderingen af instituttets risikostyringsrammer bør de kompetente myndigheder vurdere, om instituttet overholder EBA's retningslinjer om intern ledelse, forordningen om digital operationel modstandsdygtighed og andre EBA - retningslinjer, der er udstedt i henhold til artikel 74, stk. 3, i direktiv 2013/36/EU om ordninger, processer og mekanismer for intern ledelse. I denne sammenhæng bør de kompetente myndigheder bl.a. overveje, om:

• a. instituttet har etableret en passende ramme for risikostyring og risikostyringsprocesser, der omfatter en passende og implementeret risikostrategi, risikovillighed, herunder en politik for styring af tredjepartsrisici, rammerne for ICAAP og ILAAP samt kapa citeter og resultater vedrørende stresstest
• b. koncernens risikostyringsramme, hvor det er relevant, dækker alle væsentlige risici, uanset om de hidrører fra enheder, der ikke er omfattet af konsolidering, og giver et samlet overblik over alle de risici, som instituttet er eller kan blive eksponeret fo r
• c. ledelsesorganet har det endelige ansvar for risikostrategien, risikovilligheden og rammerne for risikostyring og fastlægger passende retningslinjer og fører passende tilsyn
• d. instituttet og, hvor det er relevant, det konsoliderende institut har dokumenteret og implementeret en passende risikostrategi og risikovillighed, som omfatter alle instituttets væsentlige risici, indeholder risikogrænser og -tolerancer og afspejler instituttets finansielle ressourcer
• e. risikostyringspolitikken fastlægger passende procedurer for risikoidentifikation, - måling, - reduktion og - overvågning, i hvilket omfang den er integreret i instituttets overordnede strategi, og hvordan den påvirker denne
• f. beslutningsprocesserne er klare, gennemsigtige og tilstrækkeligt dokumenterede og tager højde for de relevante risikovurderinger, samt om retningslinjer og ændringer heraf formidles på en korrekt og rettidig måde
• g. der er passende og sammenhængende forbindelser mellem forretningsstrategien, risikostrategien, strategien for digital operationel modstandsdygtighed, risikovillighed og rammerne for risikostyring samt rammerne for kapital- og likviditetsstyring og instituttets plan for håndtering af miljømæssige, sociale og ledelsesmæssige risici i overensstemmelse med artikel 76, stk. 2, i direktiv 2013/36/EU.

De kompetente myndigheder bør vurdere, om instituttet har en veldokumenteret politik for godkendelse af nye produkter, der er godkendt af ledelsesorganet, og som omfatter udvikling af nye markeder, produkter og tjenester, og væsentlige ændringer af eksisterende, herunder ekstraordinære transaktioner. De kompetente myndigheder bør ligeledes overveje, om risikostyrings- og compliancefunktionerne inddrages i tilstrækkelig grad i vurderingen og godkendelsen af nye produkter eller væsentlige ændringer af eksiste rende produkter, idet godkendelserne skal være betinget af, at de respektive kontrolforanstaltninger er tilstrækkelige.

ICAAP- og ILAAP-rammer

Ved vurderingen af instituttets ICAAP - og ILAAP- rammer bør de kompetente myndigheder vurdere, om instituttet overholder EBA's retningslinjer for ICAAP - og ILAAP-oplysninger²² . Vurderingen af instituttets ICAAP - og ILAAP- rammer bør omfatte en periodisk gennemgang af ICAAP og ILAAP med henblik på at fastslå, om de er solide, effektive og dækkende. I den forbindelse bør de kompetente myndigheder:

• a. vurdere, hvordan ICAAP og ILAAP integreres i instituttets overordnede risikostyring og strategiske ledelsespraksis, herunder kapital - og likviditetsplanlægning, samt omfanget af deres fremadrettede karakter
• b. vurdere, om ICAAP og ILAAP er egnede til at vurdere og opretholde et tilstrækkeligt niveau af intern kapital og likviditet til at dække instituttets risici og til at træffe fornuftige forretningsmæssige beslutninger (f.eks. i forbindelse med fordeling af k apital i henhold til forretningsplanen), herunder i stresssituationer
• c. vurdere, om ICAAP og ILAAP er integreret i beslutningstagnings - og styringsprocesserne på alle niveauer i instituttet (f.eks. opstilling af grænser og resultatmåling)
• d. kontrollere, om ICAAP - og ILAAP-rammerne er genstand for regelmæssigt tilsyn fra ledelsesorganet, herunder godkendelse af disse rammer og deres resultater
• e. vurdere, om ICAAP og ILAAP gennemføres konsekvent og i passende omfang i alle instituttets forretningsområder og juridiske enheder og omfatter alle væsentlige risici, som instituttet er eller kan blive eksponeret for
• f. vurdere overholdelsen af relaterede lovgivningsmæssige og reguleringsmæssige krav og også overveje, om instituttets ICAAP identificerer nye risici og/eller risici med lav sandsynlighed og stor indvirkning, herunder IKT - risici, miljørisici og geopolitiske usikkerheder
• g. vurdere, om eventuelle afvigelser fra instituttets standard -ICAAP eller -ILAAP for en eller flere af dets juridiske enheder eller forretningsområder er begrundede.

²² EBA's retningslinjer for ICAAP og ILAAP- oplysninger, der indhentes til SREP - formål (EBA/GL/2016/10).

Disse vurderinger bør indgå i fastsættelsen af P2R og vurderingen af kapitalgrundlaget (se afsnit 7) og i vurderingen af likviditets- og finansieringsgrundlaget (se afsnit 9).

Vurdering af instituttets stresstest

Ved vurderingen af instituttets stresstest bør de kompetente myndigheder vurdere, om instituttet overholder EBA's retningslinjer for stresstest²³ og EBA's retningslinjer for analyse af miljøscenarier med henblik på integration af miljørisici. Denne vurdering omfatter en gennemgang af instituttets stresstestprogram, idet der tages hensyn til instituttets størrelse og interne organisation samt arten, omfanget og kompleksiteten af dets aktiviteter.

²³ EBA's retningslinjer for stresstest (EBA/GL/2018/04).

De kompetente myndigheder bør foretage en kvalitativ vurdering af instituttets stresstestprogram samt en kvantitativ vurdering af resultaterne af stresstest. De kompetente myndigheder bør sammenholde resultaterne af kvalitative og kvantitative vurderinger med resultaterne af tilsynsstresstest (se afsnit 11) med det formål at vurdere, om kapital - og likviditetsgrundlaget er tilstrækkeligt, og fastlægge en passende tilsynsmæssig reaktion på de identificerede mangler. Hvis gennemgangen af stresstestene afslører mangler i instituttets ledelse og kontrollerne på institutniveau, bør de kompetente myndigheder tage højde for disse ved vurderingen af disse områder. Desuden kan resultaterne af et instituts stresstest anvendes til at vurdere instituttets kapitalplanlægning og til at kvantificere likviditetskravene med henblik på vurderingen af likviditetsgrundlaget.

De kompetente myndigheder bør vurdere, i hvilket omfang stresstest er integreret i instituttets risikostyringsrammer, herunder hvordan stresstest indgår i processerne for fastlæggelse af instituttets risikovillighed og risikogrænser. Desuden bør de kompetente myndigheder vurdere, i hvilket omfang instituttets øverste ledelse og ledelsesorgan er inddraget i stresstestprogrammet, herunder den tilhørende interne rapportering, samt i hvilken grad stresstestene og resultaterne heraf er integreret i beslutningspr ocesserne.

Ved vurderingen af stresstestprogrammet, resultaterne af stresstest og de foreslåede styringstiltag bør de kompetente myndigheder tage hensyn til både idiosynkratiske og systemdækkende perspektiver. De kompetente myndigheder bør vurdere, om ledelsesmæssige tiltag er gennemførlige i krisesituationer, herunder om tidsfristerne for gennemførelsen af tiltagene er realistiske, og tage højde for instituttets særlige forhold. I forbindelse med gennemgangen af grænseoverskridende koncerners stresstestprogrammer bør de kompetente myndigheder tage hensyn til potentielle hindringer for overførsel af kapital og likviditet inden for koncerner og for, hvordan eventuelle koncerninterne finansielle støtteordninger, der måtte opstå i stresssituationer, fungerer.

De kompetente myndigheder bør vurdere resultaterne af stresstestene²⁴ og vurdere, om instituttet til enhver tid kan opretholde det gældende TSCR i et negativt scenarie, og om det har identificeret et sæt styringstiltag for at imødegå en eventuel overtrædelse af TSCR. De kompetente myndigheder bør også tage hensyn til, hvordan stresstest påvirker instituttets gearingsgrad og de nedskrivningsrelevante passiver, som instituttet besidder for at opfylde minimumskravene til nedskrivningsrelevante passiver (MREL), jf. direktiv 2014/59/EU.

²⁴ Med henblik på dette punkt omfatter stresstest ikke omvendte stresstest.

Ved vurderingen af stresstestresultaterne bør de kompetente myndigheder ligeledes tage hensyn til alle kendte fremtidige reguleringsmæssige ændringer, der påvirker instituttet inden for stresstestens anvendelsesområde og tidshorisont.