6.4. Vurdering af operationel risiko

Ved vurderingen af rammerne for styring af operationelle risici bør de kompetente myndigheder bl.a. vurdere, om instituttet overholder de retsakter, der er offentliggjort separat på EBA's websted, jf. punkt 12.

De kompetente myndigheder bør vurdere den operationelle risiko for alle instituttets forretningsområder og aktiviteter under hensyntagen til resultaterne af vurderingen af de interne ledelsesordninger og kontrollen på institutniveau, jf. afsnit 5. De kompe tente myndigheder bør i forbindelse med denne vurdering afgøre, hvordan den operationelle risiko kan materialisere sig, idet de også tager hensyn til instituttets tabsdatasæt og potentielle virkninger fra andre relaterede risici (f.eks. grænserelaterede kreditrisici og markedsrelaterede operationelle risici).

De kompetente myndigheder bør vurdere, om den operationelle risiko, der stammer fra tredjepartsudbydere, er væsentlig, herunder koncentrationen (på enhedsniveau og, hvor det er relevant, på koncernniveau) omkring en eller flere tjenester, der leveres af en enkelt tredjepartsudbyder (direkte eller indirekte via underleverandørkæder) eller et begrænset antal tredjepartsudbydere, der understøtter instituttets kritiske eller vigtige funktioner, og om dette kan påvirke instituttets operationelle modstandsdygtighed, resultater og risikostyring. Ved gennemførelsen af denne vurdering bør de kompetente myndigheder tage hensyn til, i hvilket omfang andre institutter benytter sig af de samme tredjepartsudbydere, i det omfang de har adgang til sådanne oplysninger.

Ved vurderingen af operationel risiko bør de kompetente myndigheder vurdere IKT -risikoen og dens potentielle indvirkning på instituttets kritiske eller vigtige funktioner, herunder eventuelle finansielle, omdømmemæssige, reguleringsmæssige og strategiske k onsekvenser for instituttet i henhold til forordningen om digital operationel modstandsdygtighed.

De kompetente myndigheder bør vurdere, om instituttet har en tilstrækkelig strategi for operationel modstandsdygtighed til at kunne modstå, tilpasse sig og genoprette driften efter forstyrrelser, når disse opstår, og om denne strategi er blevet tilpasset på passende og konsekvent vis til de eksisterende rammer for risikostyring, driftsstabilitetsplaner og styring af tredjeparter.

Ved vurderingen af operationelle risici bør de kompetente myndigheder, hvor det er relevant, vurdere, om instituttets politikker og procedurer på passende vis identificerer, vurderer og styrer de operationelle risici, der følger af aktiviteter vedrørende kryptoaktiver og den underliggende teknologi.

De kompetente myndigheder bør vurdere omdømmerisikoen sammen med den operationelle risiko, da den er uløseligt forbundet med hændelser, der udgør en operationel risiko. Resultatet af vurderingen af omdømmerisikoen bør dog ikke afspejles i scoringen af den operationelle risiko, men anses for at være en del af forretningsmodelanalysen og/eller likviditetsrisikovurderingen, hvor det er relevant, da de væsentligste virkninger heraf kan svække tilliden blandt investorer, indskydere eller aktører på interbankmarkedet til instituttet.

De kompetente myndigheder bør vurdere, hvordan miljømæssige, sociale og ledelsesmæssige risici påvirker de iboende operationelle risici og omdømmerisici, samt om de kontroller, der er indført for at imødegå operationelle risici og omdømmerisici i forbindelse med miljømæssige, sociale og ledelsesmæssige risici, er tilstrækkelige, idet fysiske miljømæssige risici og overgangsrisici skal prioriteres. De kompetente myndigheder bør især tage højde for miljømæssige risici og risikoen for "greenwashing", når de fo retager en vurdering af juridiske risici og omdømmerisici.

6.4.2. Vurdering af iboende operationel risiko

De kompetente myndigheder bør tilegne sig en indgående forståelse af instituttets iboende operationelle risikoeksponeringer og vurdere betydningen af denne risikos tilsynsmæssige indvirkning på instituttet samt indvirkningen på dets evne til at varetage kritiske eller vigtige funktioner i tilfælde af driftsforstyrrelser.

Til underbygning af denne vurdering bør de kompetente myndigheder tage højde for kapitalgrundlagskravet vedrørende operationel risiko i forhold til det samlede kapitalgrundlagskrav og, hvor det er relevant, den interne kapital, som instituttet har afsat til operationel risiko, i forhold til den samlede interne kapital. Desuden bør de kompetente myndigheder udnytte den viden, der er opnået gennem vurderingen af an dre SREP-elementer (især af afsnit 4 og afsnit 5), gennem peersammenligningen, gennem eventuelle andre tilsynsaktiviteter – herunder input fra AML/CFT - tilsynsmyndighederne og markedsovervågningsmyndighederne – og fra andre relevante informationskilder.

De kompetente myndigheder bør som minimum tage højde for de væsentligste operationelle risikofaktorer og potentielle forstyrrende scenarier og, hvor det er relevant, analysere disse opdelt efter forretningsområde, juridisk enhed, geografisk område og begivenhedskategori (afhængigt af datatilgængeligheden) samt sammenligne instituttets situation med tilsvarende institutters situation. Disse faktorer bør som minimum omfatte instituttets overordnede strategi for operationel risiko og risikovillighed på dette område, forretningsmiljøet (herunder geografisk tilstedeværelse, IKT - drift og distributionskanaler), nylige væsentlige begivenheder i virksomheden (såsom fusioner, opkøb, afhændelser og omstruktureringer), IKT -systemer og andre IKT-relaterede aspekter jf. a fsnit 6.4.2.3, procesændringer, aftaler med tredjeparter, spørgsmål vedrørende overholdelse af lovgivningen, forretningsmæssige ambitioner og incitamentsordninger samt andre centrale drivkræfter for operationel risiko.

Arten og betydningen af eksponeringer for operationel risiko

De kompetente myndigheder bør fastlægge arten af eksponeringer for operationel risiko ved at analysere eksponeringer for de vigtigste drivkræfter bag operationel risiko for at danne sig et fremadrettet billede af potentielle operationelle risici. I forbindelse med denne analyse bør de kompetente myndigheder:

• a. overveje at foretage en gennemgang af instituttets driftsmodel, forretningsområder, produkter, processer og geografiske områder, en vurdering af afhængigheder og eksponeringer for operationelle risici i forhold til de primære risikofaktorer (f.eks. process er, medarbejdere, systemer og eksterne faktorer) samt samspillet mellem disse risikofaktorer, idet der tages udgangspunkt i instituttets egen risikovurdering, peeranalyser, data samt offentlige og/eller konsortiedatabaser, hvis sådanne er tilgængelige og r elevante
• b. undersøge, både hvor hyppige og hvor alvorlige hændelser instituttet udsættes for, og skelne mellem dem, der forårsager meget alvorlige tab, og dem, der forekommer med høj hyppighed. På grundlag af denne sondring bør de kompetente myndigheder vurdere tende nserne for operationelle tab og deres koncentration
• c. anvende scenarieanalyser og tage højde for instituttets planlagte forretningsdrift og fremadrettede analyser af operationelle risici, hvor sådanne foreligger, idet der tages hensyn til eventuelle korrigerende foranstaltninger og risikoreducerende tiltag, d er allerede er iværksat og trådt i kraft.

Efter at de væsentligste kilder til og drivkræfter bag operationel risiko er blevet identificeret og analyseret, bør de kompetente myndigheder fokusere på dem, der har den største potentielle indvirkning på instituttet.

En af de vigtigste informationskilder, som de kompetente myndigheder bør tage i betragtning, er instituttets datasæt over tab og hændelser, da det kan give værdifuld indsigt i udviklingen i instituttets operationelle risikoprofil. De kompetente myndigheder bør regelmæssigt vurdere, om tabsdataene er omfattende, nøjagtige og af høj kvalitet. En anden informationskilde bør være instituttets registre over alle IKT - relaterede hændelser og væsentlige cybertrusler (jf. artikel 17, stk. 2, i forordningen om digital operationel modstandsdygtighed) og de identificerede kilder til IKT - risiko (jf. artikel 8, stk. 2, i forordningen om digital operationel modstandsdygtighed).

Vurdering af underkategorier af operationelle risici

De kompetente myndigheder bør i deres vurdering af underkategorierne af operationel risiko fokusere på de underkategorier, der anses for at være væsentlige for instituttet. De kompetente myndigheder bør også anvende deres ekspertvurderinger til at identifi cere væsentlige underkategorier på grundlag af alle tilgængelige interne og eksterne informationskilder. Ved vurderingen bør de kompetente myndigheder altid være opmærksomme på følgende aspekter af den operationelle risiko³² :

• a. juridisk risiko
• b. modelrisiko
• c. IKT-risiko.

6.4.2.1. Juridisk risiko

³² Se bilag III for en ikke- udtømmende oversigt over underkategorierne af operationel risiko.

De kompetente myndigheder bør tage følgende i betragtning, når de vurderer relevansen og betydningen af instituttets eksponeringer for juridisk risiko:

• a. fejlagtig salg af produkter eller tjenesteydelser
• b. forretningsmæssige interessekonflikter
• c. manipulering af toneangivende renter, valutakurser eller andre finansielle instrumenter eller indekser
• d. hindringer for at skifte mellem finansielle produkter i løbet af deres levetid og/eller skifte udbyder af finansielle tjenesteydelser
• e. automatisk fornyelse af produkter eller udtrædelsesgebyrer
• f. behandling af kundeklager
• g. overtrædelse af nationale og internationale regler og bestemmelser (skatteregler, internt bedrageri eller internt tyveri, regler om bekæmpelse af hvidvask af penge, regler om bekæmpelse af terrorisme og økonomiske sanktioner)
• h. Risici for retssager i forbindelse med miljømæssige, sociale og ledelsesmæssige forhold, især miljørelaterede sager og sager vedrørende "greenwashing".

De kompetente myndigheder bør overveje, om instituttet kan pådrage sig udgifter, bøder, sanktioner eller skadeserstatning som følge af en retssag, samt antallet og indholdet af klager. Resultaterne af vurderingen omhandlet i afsnit 4 bør ligeledes udnyttes, samtidig med at der foretages en grundig gennemgang af incitamentspolitikkerne, for at opnå indsigt på højt niveau i årsagerne til potentiel uregelmæssig adfærd. I denne sammenhæng bør de kompetente myndigheder også vurdere, om instituttet har indført passende og effektive systemer og processer til at gennemføre og overholde restriktive foranstaltninger (f.eks. sanktioner), herunder en vurdering af instituttets overholdelse af EBA's retningslinjer vedrørende interne politikker, procedurer og kontroller³³ .

³³ EBA's retningslinjer vedrørende interne politikker, procedurer og kontroller til sikring af gennemførelsen af restriktive foranstaltninger.

Den kompetente myndighed bør imidlertid anvende en fremadskuende tilgang, hvor der også tages hensyn til eventuelle konsekvenser af den reguleringsmæssige udvikling og relevante myndigheders arbejde i forbindelse med forbrugerbeskyttelse og levering af fin ansielle tjenesteydelser i almindelighed.

6.4.2.2. Modelrisiko

Inden for rammerne af den operationelle risiko bør de kompetente myndigheder vurdere modelrisikoen med særlig vægt på interne, ikkelovpligtige modeller (f.eks. AI - modeller, produktprisfastsættelse, fastsættelse og overvågning af risikogrænser, ICAAP/ILAAP -modeller og genopretningsmuligheder).

Ved vurderingen af modelrisikoen bør de kompetente myndigheder tage hensyn til:

• a. i hvilket omfang og til hvilke formål instituttet anvender modeller, når det træffer beslutninger, og hvilken forretningsmæssig betydning disse beslutninger har. De kompetente myndigheder bør fastlægge, hvilke forretningsområder eller aktiviteter instituttet i væsentlig grad anvender modeller til, og vurdere den potentielle indvirkning af modelrisikoen ved bl.a. følsomheds - og scenarieanalyser eller stresstest
• b. kontrolmekanismernes forsvarlighed (med hensyn til metoder, hyppighed, opfølgning osv.), herunder en procedure for godkendelse af modeller, regelmæssige gennemgange og instituttets kendskab til modelmangler eller markeds - og forretningsudvikling.

Når modeller anvendes til beslutningstagning (f.eks. prisfastsættelse af produkter, AI - modeller, vurdering af finansielle instrumenter og kundeprofilering), bør de kompetente myndigheder vurdere, om der findes en velfungerende intern valideringsproces og/e ller modelgennemgangsproces til at identificere og mindske modelrisikoen (bortset fra lovpligtige modeller).

Når de kompetente myndigheder vurderer modelrisikoen, bør de tage hensyn til vurderingen af andre kapitalrisici og likviditets- og finansieringsrisici, navnlig med hensyn til tilstrækkeligheden af de metoder, der benyttes til måling af risiko, prissætning og vurdering af aktiver og/eller passiver. Resultaterne af en sådan vurdering bør danne grundlag for konklusionerne om operationel risiko.

6.4.2.3. IKT-risiko – Vurdering af den iboende IKT -risiko

Identificering af væsentlige IKT -risici

I overensstemmelse med forordningen om digital operationel modstandsdygtighed bør de kompetente myndigheder gennemgå instituttets identifikation, klassificering og dokumentation af alle IKT - understøttede forretningsfunktioner, roller og ansvarsområder, de informationsaktiver³⁴ og IKT- aktiver³⁵ , der understøtter disse funktioner, samt deres roller og afhængigheder i forhold til IKT - risiko. Denne gennemgang giver de kompetente myndigheder mulighed for at opnå en grundig forståelse af instituttets iboende IKT -risikoeksponeringer (IKT-risikoprofil), identificere dets væsentlige iboende IKT - risici og få et indtryk af deres tilsynsmæssige indvirkning. I den forbindelse bør de kompetente myndigheder, hvor det er relevant og finder anvendelse, som minimum tage hensyn til følgende:

• a. rapport om gennemgangen af IKT- risikostyringsrammen (jf. artikel 6, stk. 5, i forordningen om digital operationel modstandsdygtighed)
• b. kilder til IKT - risiko, navnlig risikoeksponeringen for og fra andre finansielle enheder, som instituttet har identificeret i henhold til artikel 8, stk. 2, i forordningen om digital operationel modstandsdygtighed
• c. større indberettede IKT - relaterede hændelser (jf. artikel 19, stk. 1, i forordningen om digital operationel modstandsdygtighed), herunder udviklingen med hensyn til de samlede årlige omkostninger og tab forårsaget af større IKT - relaterede hændelser (jf. sa mme forordnings artikel 11, stk. 10)
• d. resultater af de test, der er planlagt i programmet for test af digital operationel modstandsdygtighed (jf. artikel 24 i forordningen om digital operationel modstandsdygtighed), herunder resumé af resultaterne af de trusselsbaserede penetrationstest (TLPT) og relaterede udbedringsplaner (jf. samme forordnings artikel 26, stk. 6)
• e. register over oplysninger (jf. artikel 28, stk. 3, i forordningen om digital operationel modstandsdygtighed), herunder graden af afhængighed af tredjepartsudbydere af IKT - tjenester, herunder koncerninterne IKT - udbydere, opdelt efter type IKT -tjenester og/eller IKT-systemer
• f. henstillinger og udtalelser fra de ledende tilsynsførende (jf. artikel 40, stk. 3, og artikel 42, stk. 7, i forordningen om digital operationel modstandsdygtighed) og relaterede svar, rapporter og oplysninger fra kritiske tredjepartsudbydere af IKT -tjenester (jf. samme forordnings artikel 35, stk. 1, litra c), artikel 42, stk. 1, og artikel 48, stk. 2)
• g. graden af kompleksitet af IKT-systemer og resultaterne af IKT-risikovurderingen af legacy-IKT- systemer (jf. artikel 8, stk. 7, i forordningen om digital operationel modstandsdygtighed)
• h. risikovurdering af større ændringer (jf. artikel 8, stk. 3, i forordningen om digital operationel modstandsdygtighed)
• i. grad af indførelse og integration af innovative IKT - løsninger
• j. placeringer, dvs. regioner eller lande, hvor datacentre og udpegede følsomme områder befinder sig, herunder hvor kontraktmæssige IKT -tjenester leveres af tredjepartsudbydere af IKT- tjenester, hvilket også omfatter placeringen af databehandling og -opbevaring
• k. eventuelle væsentlige mangler eller svagheder i forbindelse hermed, som er identificeret i afsnit 5
• l. egenvurderinger af IKT- risiko og kontrol (hvis dette fremgår af ICAAP -oplysningerne)
• m. IKT- risikorelaterede ledelsesoplysninger indsendt til instituttets ledelsesorgan
• n. interne og eksterne IKT-relaterede revisionsresultater
• o. det eksterne trusselsbillede, herunder trussels - og sårbarhedsefterretninger.

Gennemgang af IKT-systemer og IKT-tjenester

³⁴ Artikel 3, stk. 6, i forordning (EU) 2022/2554.

³⁵ Artikel 3, stk. 7, i forordning (EU) 2022/2554.

De kompetente myndigheder bør gennemgå instituttets relevante dokumentation, metode og processer og danne sig en mening om, hvorvidt instituttet på passende vis har identificeret de IKT-systemer og IKT- tjenester, der understøtter kritiske eller vigtige funktioner. I den forbindelse bør de kompetente myndigheder overveje følgende:

• a. IKT- systemer, der understøtter kritiske eller vigtige funktioner, samt de kritiske informationsaktiver og IKT - aktiver, som instituttet har identificeret (jf. artikel 8 i forordningen om digital operationel modstandsdygtighed)
• b. nøgleprocesser, der er afhængige af tredjepartsudbydere af IKT - tjenester, herunder sammenkoblinger med tredjepartsudbydere af IKT- tjenester, der understøtter kritiske eller vigtige funktioner, som instituttet har identificeret (jf. artikel 8, stk. 5, i for ordningen om digital operationel modstandsdygtighed).

Identifikation og kortlægning af væsentlige IKT -risici for IKT-systemer og IKT- tjenester, der understøtter kritiske eller vigtige funktioner

De kompetente myndigheder bør derefter indplacere den identificerede væsentlige IKT -risiko i de IKT- risikokategorier, der er angivet i bilag III. Institutterne ventes at fastholde deres egne kategorisering i stedet for kategoriseringen i bilaget.

6.4.3. Vurdering af rammen for styring og kontrol af operationelle risici

De kompetente myndigheder bør vurdere de rammer og ordninger, som instituttet har indført til styring og kontrol af operationel risiko, under hensyntagen til resultatet af analysen af den overordnede ramme for risikostyring og intern kontrol, der er omhandlet i afsnit 5, da dette vil påvirke instituttets eksponeringer for operationel risiko. Med hensyn til ML/TF - risikoen bør den kompetente myndighed tage hensyn til den vurdering, der er foretaget af AML/CFT - tilsynsmyndigheden.

Strategi for styring af operationel risiko og risikovillighed vedrørende operationel risiko

De kompetente myndigheder bør vurdere, om instituttet har en sund, klart formuleret og dokumenteret strategi for operationelle risici samt et risikovillighedsniveau, der er godkendt af ledelsesorganet, og som beskriver arten, typerne og omfanget af de operationelle risici, som instituttet er villigt til at påtage sig. I forbindelse med denne vurdering bør de kompetente myndigheder bl.a. tage hensyn til ledelsesorganets rolle i forbindelse med fastlæggelse, godkendelse, gennemførelse og revision af strategien for og risikovilligheden vedrørende operationelle risici (herunder risikovilligheden vedrørende IKT -risici og strategien for digital operationel modstandsdygtighed) samt til, om strategien dækker i tilstrækkelig grad og er passende i forhold til arten og væsentligheden af instituttets operationelle risikoprofil.

Organisatoriske rammer og ramme for intern kontrol

De kompetente myndigheder bør vurdere instituttets overholdelse af artikel 323 i forordning (EU) nr. 575/2013. I denne vurdering bør de kompetente myndigheder vurdere, om instituttet har passende organisatoriske rammer og ledelsesordninger, der sikrer en effektiv styring, måling og kontrol af operationelle risici, og om der er tilstrækkelige menneskelige og tekniske ressourcer til at udføre de krævede opgaver. De kompetente myndigheder bør tage højde for, om der findes klare ansvarsfordelinger med hensyn til identifikation, vurdering, begrænsning, overvågning og rapportering af operationel risiko samt overholdelse af modellen med de tre forsvarslinjer.

De kompetente myndigheder bør vurdere, om instituttet har en solid kontrolramme og velfungerende sikkerhedsforanstaltninger til at mindske dets operationelle risiko, herunder passende politikker og procedurer, der også omfatter restrisiko, og om disse er i overensstemmelse med instituttets risikovillighed og strategi for styring af operationel risiko samt dækker alle centrale aktiviteter og processer. Dette omfatter bl.a. en vurdering af, om disse politikker og procedurer er klart fastlagt og formidlet og anvendes konsekvent i hele instituttet.

De kompetente myndigheder bør ligeledes vurdere den interne revisionsfunktion med hensyn til, om de interne revisioner af rammerne for styring af operationelle risici er tilstrækkelige, har det nødvendige omfang og gennemføres med passende hyppighed.

Driftsstabilitet, indsats og genopretning

De kompetente myndigheder bør vurdere, om instituttet overholder i) EBA's retningslinjer om intern ledelse med hensyn til den overordnede driftsstabilitetsstyring og ii) forordningen om digital operationel modstandsdygtighed med hensyn til politik for IKT - driftsstabilitet og planer for IKT-indsats og - genopretning. I den forbindelse bør de kompetente myndigheder vurdere, om instituttets politik for IKT - driftsstabilitet og planer for IKT -indsats og - genopretning udgør en integrerende del af instituttets samlede politik for driftsstabilitet og indsats - og genopretningsplan.

De kompetente myndigheder bør vurdere, om instituttet har indført en effektiv driftsstabilitetsstyring med afprøvede driftsstabilitets - , indsats - og genopretningsplaner, der som minimum dækker dets kritiske eller vigtige funktioner, herunder dem, der er ud liciteret til tredjepartsudbydere, og om disse planer tager højde for en række alvorlige, men sandsynlige scenarier, som instituttet kan være sårbart over for. De kompetente myndigheder bør ligeledes vurdere, om instituttets politik for driftsstabilitet muliggør passende indsats - og genopretningsforanstaltninger i forbindelse med enhver form for hændelse.

De kompetente myndigheder bør undersøge, om instituttets styring af driftsstabilitet omfatter:

• a. Forretningskonsekvensanalyse (BIA)
• b. passende genopretningsstrategier baseret på interne og eksterne faktorer samt veldefinerede genopretningsprioriteter og modstandsdygtighed
• c. omfattende og fleksible planer for håndtering af sandsynlige forstyrrende scenarier, som er udarbejdet på grundlag af vurderingen af forretningskonsekvensanalysen og i koordinering med interne og eksterne interessenter
• d. planer, der fastlægger beredskabsstrategier samt indsats - og genopretningsprocedurer
• e. effektiv afprøvning af planernes udformning og operationelle effektivitet
• f. oplysning om og uddannelse i BCM-metoder
• g. kommunikationsplaner til orientering af ledelsen og alle relevante interessenter samt dokumentation vedrørende krisestyring, foranstaltninger og en krisestyringsfunktion, hvor det er relevant (jf. artikel 11, stk. 7, i forordningen om digital operationel m odstandsdygtighed).

De kompetente myndigheder bør vurdere, om instituttets driftsstabilitets - , indsats - og genopretningsplaner:

• a. fastlægger roller og ansvarsområder, herunder klare retningslinjer for eventuel efterfølgelse, beskriver den interne beslutningsproces og definerer udløsende faktorer for aktivering
• b. gennemgås for at sikre, at beredskabsstrategierne fortsat er i overensstemmelse med de nuværende operationer, risici og trusler, niveauerne for modstandsdygtighed og genopretningsmål og -prioriteter
• c. prioriterer foranstaltninger til sikring af driftsstabilitet ved hjælp af en risikobaseret tilgang
• d. testes regelmæssigt for at sikre, at genopretningsmålene og tidsrammerne kan overholdes
• e. omfatter, hvor det er relevant, test af tjenester, der leveres af tredjepartsudbydere.

De kompetente myndigheder bør også vurdere, om testresultaterne dokumenteres og indberettes til ledelsesorganet.

Vurdering af IKT -risikostyringsrammen

De kompetente myndigheder bør vurdere, i hvilket omfang instituttet overholder forordningen om digital operationel modstandsdygtighed og EBA's retningslinjer om intern ledelse med hensyn til den interne ledelse og organisering af IKT -risikostyringen. De kompetente myndigheder bør tage stilling til, om instituttets ledelsesorgan bærer det overordnede ansvar for IKT- risikostyringen og på passende vis fastlægger, godkender og fører tilsyn med gennemførelsen af alle IKT -relaterede foranstaltninger. De kompetent e myndigheder bør vurdere, om medlemmerne af ledelsesorganet besidder tilstrækkelig viden og kompetencer til at forstå og vurdere IKT - risici og deres indvirkning på instituttets drift.

De kompetente myndigheder bør vurdere, hvordan roller og ansvarsområder for alle IKT - relaterede funktioner samt de fastlagte ledelsesordninger er forankret og integreret i instituttets rammer for intern kontrol og ledelse med henblik på at håndtere IKT -risici. Med henblik herpå bør de kompetente myndigheder vurdere, om instituttet reelt har overdraget ansvaret for styring og overvågning af IKT - risici til en uafhængig kontrolfunktion, der har direkte adgang til og kan rapportere direkte til ledelsesorganet i dets tilsynsfunktion, samt vurdere, om instituttet kan påvise, at det sikrer:

• a. klar kommunikation, fordeling og integration af roller og ansvarsområder inden for alle IKT - relaterede funktioner, herunder IKT - understøttede forretningsfunktioner og processer
• b. et tilstrækkeligt og passende budget til at sikre den digitale operationelle modstandsdygtighed med hensyn til alle ressourcetyper, herunder relevante bevidstgørelsesprogrammer, kurser og IKT - færdigheder for alle medarbejdere (jf. artikel 5, stk. 2, litra g), i forordningen om digital operationel modstandsdygtighed)
• c. passende opfølgning og reaktion fra ledelsesorganet på kritiske IKT -revisionsresultater indberettet i henhold til artikel 13, stk. 5, i forordningen om digital operationel modstandsdygtighed.

De kompetente myndigheder bør tilegne sig en indgående forståelse af instituttets IKT - risikostyringsramme og vurdere, om instituttet har indført tilstrækkelige og passende strategier, politikker, procedurer, IKT - protokoller og værktøjer – herunder toleranc eniveauer

• – til effektivt, produktivt og omfattende at håndtere væsentlige IKT -risici i overensstemmelse med forordningen om digital operationel modstandsdygtighed. Til dette formål bør de kompetente myndigheder, hvor det er relevant, overveje:
• a. hensigtsmæssigheden og effektiviteten af instituttets politikker³⁶ , processer og procedurer for IKT- risikostyring, herunder bl.a. styring af tredjeparter inden for IKT, påvisning af og reaktion på IKT - relaterede hændelser, styring af IKT - aktiver, kryptering og kryptografi, IKT - driftssikkerhed, netsikkerhed og adgangskontrol, samt om disse er blevet godkendt af ledelsesorganet og formidlet til alle relevante interessenter (jf. artikel 14 i forordningen om digital operationel modstandsdygtighed)
• b. hvorvidt instituttets risikotoleranceniveau for IKT - risici og modstandsdygtigheden over for forstyrrelser i IKT- systemerne er passende (jf. artikel 6, stk. 8, litra b), i forordningen om digital operationel modstandsdygtighed)
• c. hensigtsmæssigheden og gennemførelsen af instituttets strategi for digital operationel modstandsdygtighed, herunder dens tilpasning til forretningsstrategien
• d. sammenhængen mellem IKT -tredjepartsrisici – herunder en eventuel strategi med flere IKT-udbydere – og den overordnede forretningsstrategi samt IKT-risikostyringsrammen
• e. restrisiko fra instituttets identificerede risici i forbindelse med kontraktlige ordninger om brug af IKT- tjenester, der understøtter kritiske eller vigtige funktioner
• f. restrisiko fra instituttets identificerede risici i forbindelse med IKT - projekter, der har indvirkning på kritiske eller vigtige funktioner, som er indberettet til ledelsesorganet, samt i forbindelse med anskaffelse, udvikling og vedligeholdelse af IKT -systemer og ændringer af IKT-systemer
• g. om programmet for test af digital operationel modstandsdygtighed er solidt og omfattende
• h. tendenser og omfanget af væsentlige IKT- relaterede hændelser og resultater, der er indberettet til ledelsesorganet jf. artikel 17, stk. 3, litra e), og artikel 13, stk. 5, i forordningen om digital operationel modstandsdygtighed
• i. IKT- risikokontrol, som er specifik for den identificerede væsentlige IKT -risiko
• j. rettidig indberetning af forhold vedrørende IKT - risikostyring til instituttets ledelsesorgan og øverste ledelse
• k. omfanget af den interne revision og resultaterne heraf.

³⁶ I overensstemmelse med forordningen om digital operationel modstandsdygtighed bør disse som minimum omfatte informationssikkerhedspolitikken, politikker for sikkerhedskopiering, politikken for forvaltning af IKT - aktiver, politikken for kryptering og krypt ografiske kontrolforanstaltninger, politikken for forvaltning af kryptografiske nøgler, politikken for IKT- projektledelse, politikken for anskaffelse, udvikling og vedligeholdelse af IKT - systemer, personalepolitikken, politikken for fysisk og miljømæssig sikkerhed, politikken for håndtering af IKT - relaterede hændelser samt politikken for anvendelse af IKT- tjenester, der understøtter kritiske eller vigtige funktioner, og som leveres af tredjepartsudbydere af IKT-tjenester.

Ved vurderingen af IKT - risikostyring bør de kompetente myndigheder være særligt opmærksomme på IKT - tredjepartsrisikostyringen, herunder instituttets koncentrationsniveau i forhold til disse tredjepartsudbydere af IKT - tjenester. Med henblik herpå bør de kom petente myndigheder sikre et tæt samarbejde med de ledende tilsynsførende for tredjepartsudbydere af kritiske IKT -tjenester i overensstemmelse med ESA'ernes fælles retningslinjer³⁷ , hvis det institut, der vurderes, modtager IKT -tjenester fra en tredjepartsudbyder. De kompetente myndigheder bør ligeledes vurdere effektiviteten af den særlige rolle, som instituttet har oprettet, eller det udpegede medlem af den øverste ledelse, med henblik på overvågning af aftaler med tredjeparter vedrørende IKT.

³⁷ ESA'ernes fælles retningslinjer vedrørende samarbejdet omkring tilsyn og udvekslingen af oplysninger mellem ESA'erne og de kompetente myndigheder i henhold til forordning (EU) 2022/2554 (JC/2024/36).

De kompetente myndigheder bør overveje, om den interne revisionsfunktion er effektiv og besidder tilstrækkelig viden, faglig kompetence og ekspertise til at revidere instituttets IKT - risikostyringsramme, ved at kontrollere, om:

• a. IKT- risikostyringsrammen revideres med den krævede kvalitet, dybde og hyppighed og står i forhold til instituttets IKT - risikoprofil
• b. revisionsplanen omfatter revisioner af de væsentlige IKT - risici, der er identificeret af instituttet, herunder uafhængige gennemgange af IKT -indsats- og genopretningsplaner
• c. kritiske IKT - revisionsresultater kontrolleres og afhjælpes rettidigt, herunder rapportering til ledelsesorganet
• d. IKT- revisionsresultater, herunder aftalte foranstaltninger, følges formelt op, og statusrapporter løbende gennemgås af den øverste ledelse og/eller revisionsudvalget.

6.4.4. Vurdering af omdømmerisiko

De kompetente myndigheder bør vurdere den omdømmerisiko, som instituttet er eksponeret for, ved at udnytte den forståelse, der er opnået i afsnit 4 - 6.2. En sådan vurdering bør også fokusere på de overordnede rammer for omdømmerisiko, idet det sikres, at instituttet effektivt kan håndtere eventuelle hændelser, der kan skade dets omdømme. I forbindelse med denne vurdering bør de kompetente myndigheder undgå at medregne aspekter, der allerede er taget i betragtning i forbindelse med vurderingen af den juridisk e risiko (afsnit 6.4.2.1).

Ved vurderingen af relevansen af omdømmerisikoen bør de kompetente myndigheder tage hensyn til instituttets størrelse samt arten, omfanget og kompleksiteten af dets tjenester, aktiviteter og forretninger (f.eks. børsnoterede aktier eller gældsinstrumenter eller deltagelse i interbankmarkederne).

De kompetente myndigheder bør tage hensyn til såvel interne som eksterne faktorer eller hændelser, der kan skabe usikkerhed om instituttets omdømme, dog med undtagelse af hændelser, der fører til retssager. For kategori 1 - og kategori 2- institutter bør de kompetente myndigheder tage alle følgende indikatorer i betragtning ved deres vurdering:

• a. negativ omtale i medierne og på de sociale medier samt initiativer fra forbrugerorganisationer, der kan forringe offentlighedens opfattelse af instituttet og instituttets omdømme
• b. antallet af og ændringer i antallet af kundeklager eller pludselige tab af kunder eller investorer
• c. negative begivenheder relateret til instituttets peers, som offentligheden kan associere med hele den finansielle sektor eller en gruppe af institutter
• d. omdømmet for personer, der er involveret i ledelsen af instituttet, eller som har kvalificerede kapitalandele
• e. aktiviteter eller drift i sektorer eller jurisdiktioner, der er særligt eksponeret for ML/TF, eller med personer, der udgør en høj risiko set ud fra et ML/TF - perspektiv
• f. engagement eller aktiviteter i sektorer eller jurisdiktioner og/eller med modparter, der er stærkt eksponeret for væsentlige problemstillinger eller offentlige kontroverser i forbindelse med miljømæssige, sociale og ledelsesmæssige faktorer, herunder bl.a. miljømæssige faktorer
• g. de omdømmemæssige konsekvenser af IKT - relaterede hændelser, som instituttet har registreret i overensstemmelse med Kommissionens delegerede forordning (EU) 2024/1772³⁸
• h. eventuelle andre "markedsindikatorer" (f.eks. nedjusteringer af kreditvurderinger eller ændringer i aktiekurser i løbet af året).

³⁸ Kommissionens delegerede forordning (EU) 2024/1772 af 13. marts 2024 om supplerende regler til Europa - Parlamentets og Rådets forordning (EU) 2022/2554 for så vidt angår reguleringsmæssige tekniske standarder, der præciserer kriterierne for klassificering af IKT- relaterede hændelser og cybertrusler, fastsætter væsentlighedstærskler og præciserer de nærmere oplysninger om indberetninger af større hændelser (EUT L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj ).

De kompetente myndigheder bør vurdere, hvor omfattende instituttets eksponering for omdømmerisici er, og hvordan den er forbundet med de øvrige risici, på grundlag af de andre risikovurderinger (herunder fra andre tilsynsmyndigheder) for at identificere ev entuelle sekundære virkninger i begge retninger.

I forbindelse med analysen af operationel risiko bør de kompetente myndigheder tage hensyn til relevansen og betydningen af instituttets eksponeringer for ML/TF -risiko ud fra et tilsynsmæssigt perspektiv inden for rammerne af den operationelle risiko. I de n forbindelse bør de kompetente myndigheder anvende de relevante input fra AML/CFT - tilsynsmyndighederne til at supplere deres resultater fra det løbende tilsyn og evaluere, om de giver anledning til tilsynsmæssige betænkeligheder i forbindelse med ML/TF -risiko.

De kompetente myndigheder bør være opmærksomme på, at ethvert institut kan blive eksponeret for ML/TF- risiko, uanset instituttets størrelse eller finansielle soliditet. Der bør derfor også lægges tilstrækkelig vægt på institutter, der opfattes som økonomis k sunde og måske har et godt omdømme, da disse institutter kan være et specifikt mål for hvidvask af penge og finansiering af terrorisme. Der bør også lægges vægt på institutter, der har stor succes med at tiltrække nye kunder/øge markedsandele – navnlig ved at anvende utraditionelle distributionskanaler – da dette kan hænge sammen med svage kundelegitimationskontroller i forbindelse med onboardingfasen.

De kompetente myndigheder bør udveksle relevante oplysninger om identificerede spørgsmål omkring operationel risiko, der kan give anledning til ML/TF - risici, risici for manglende gennemførelse og omgåelse af målrettede finansielle sanktioner samt bekymringer, f.eks. mangler i institutternes IKT - systemer eller rammer for intern kontrol, med AML/CFT - tilsynsmyndighederne.

De kompetente myndigheder bør vurdere, om instituttet har iværksat passende ordninger, strategier, processer og mekanismer til styring af omdømmerisiko. De kompetente myndigheder bør navnlig tage hensyn til:

• a. om instituttet har fastlagt formaliserede politikker og processer til identificering, styring og overvågning af denne risiko, herunder en solid adfærdskodeks, og om disse politikker og processer står i rimeligt forhold til dens omfang og dens relevans i sy stemet
• b. om instituttet udviser forsigtighed i dets håndtering af denne risiko, bl.a. ved at indføre passende måleparametre og overvågningsværktøjer, indarbejde potentielle omdømmeproblemer i beredskabsplaner, afholde relevante kurser og oplysningsmøder samt udnytte de erfaringer, der er gjort
• c. om instituttet foretager stresstest eller scenarieanalyser for at vurdere sekundære virkninger af omdømmerisiko (f.eks. for likviditets - og finansieringsomkostninger, securitiseringstransaktioner, adgang til korrespondentbanktjenester osv.)
• d. om instituttet sørger for at beskytte sit brand ved hjælp af værktøjer til at overvåge medier/sociale medier, protokoller til håndtering af misinformation og negativ reklame samt hurtige oplysningskampagner
• e. om instituttet tager højde for, hvilke konsekvenser dets strategi - og forretningsplaner og dets generelle adfærd kan få for dets omdømme.

6.4.5. Operationel modstandsdygtighed

De kompetente myndigheder bør danne sig et helhedsbillede af instituttets evne til at varetage kritiske eller vigtige funktioner under forstyrrelser (graden af operationel modstandsdygtighed), hvilket er et resultat, der afhænger af en effektiv styring af den operationelle risiko, under hensyntagen til instituttets størrelse, forretningsmodel og overordnede risikoprofil. Med henblik herpå bør de kompetente myndigheder udnytte deres eksisterende vurderinger af den operationelle risikostyring, driftsstabiliteten, forandringsstyringskapacitet, tredjepartstjenester samt den IKT, som instituttet er afhængig af, for på en helhedsorienteret måde at vurdere, om disse elementer tilsammen understøtter instituttets operationelle modstandsdygtighed. De kompetente myndigheder bør ligeledes vurdere, om instituttet gennemfører dets risikostyringsramme, driftsstabilitetsplaner, styring af tredjeparter (som allerede er vurderet i forbindelse med forordningen om digital operationel modstandsdygtighed og EBA's retningslinjer udstedt i henhold til artikel 74, stk. 3, i direktiv 2013/36/EU om interne ledelsesordninger, -processer og -mekanismer) samt rammerne for genopretning og afvikling på en konsekvent og koordineret måde. Desuden bør de kompetente myndigheder overveje, om instituttet i tilstrækkelig grad har kortlagt de interne og eksterne sammenkoblinger og indbyrdes afhængighedsforhold, der er nødvendige for at varetage dets kritiske eller vigtige funktioner.

De kompetente myndigheder bør tage hensyn til den opmærksomhed, som ledelsesorganet og den øverste ledelse tillægger instituttets evne til at reagere på og overvinde sammenbrud ud fra den antagelse, at der vil opstå sammenbrud. I denne forbindelse bør de k ompetente myndigheder overveje, om:

• a. ledelsesorganet spiller en aktiv rolle med hensyn til at skabe en bred forståelse af strategien for operationel modstandsdygtighed i hele instituttet og med hensyn til at overvåge effektiviteten af instituttets strategi for operationel modstandsdygtighed
• b. der aflægges rettidige rapporter om instituttets løbende operationelle modstandsdygtighed til støtte for ledelsesorganets tilsyn, især når der er konstateret væsentlige mangler, der kan påvirke udførelsen af instituttets kritiske eller vigtige funktioner.

6.4.6. Opsummering af resultater, scoring og tilsynsforanstaltninger

Efter ovennævnte vurdering bør de kompetente myndigheder foretage en vurdering af instituttets operationelle risiko. Denne vurdering bør indgå i en opsummering af resultater og ledsages af en risikoscore, der bygger på betragtningerne i tabel 10. Hvis viss e risikounderkategorier er så væsentlige, at den kompetente myndighed beslutter at vurdere og beregne risikoscoren for dem individuelt, bør anvisningerne i denne tabel så vidt muligt anvendes analogt.

Tabel 10. Tilsynsmæssige betragtninger vedrørende fastsættelse af en score for operationel risiko Risikos Tilsynsmæssig Betragtninger vedrørende den Betragtninger vedrørende core vurdering iboende risiko tilstrækkelig styring og kontrol

Tabellen nedenfor indeholder en ikke - udtømmende liste over tilsynsforanstaltninger, som de kompetente myndigheder kan træffe i tilfælde af identificerede mangler i instituttets ramme for styring af operationelle risici og dets operationelle modstandsdygtighed (under hensyntagen til den tætte sammenhæng mellem operationel modstandsdygtighed og styring af operationelle risici). De kompetente myndigheder bør træffe afgørelse om, hvilken type foranstaltning der skal iværksættes, ud fra dens effektivitet i forhold til den konkrete konstaterede mangel. De kompetente myndigheder kan iværksætte yderligere tilsynsforanstaltninger (herunder kvantitative foranstaltninger i overensstemmelse med artikel 104, stk. 1, litra a), i direktiv 2013/36/EU) eller en kombination heraf og de foranstaltninger, der er anført i tabellen nedenfor, hvis disse anses for at være mere egnede til at udbedre de konstaterede mangler. Ved overtrædelser af forordningen om digital operationel modstandsdygtighed bør de kompetente myndigheder overveje de relevante korrigerende og afhjælpende foranstaltninger, der er fastsat i forordningens artikel 50.

Tabel 11. Mulig og ikkeudtømmende liste over tilsynsforanstaltninger, der følger af vurderingen af operationel risiko og operationel modstandsdygtighed Mulige tilsynsforanstaltninger, som de kompetente myndigheder kan træffe i henhold til artikel 104, stk. 1, litra b), d), e), f), j), l), m) og n), i direktiv 2013/36/EU og artikel 50 i forordning (EU) 2022/2554 – De kompetente myndigheder kan pålægge instituttet at: A. inddrage ledelsesorganet eller dets udvalg mere aktivt i beslutninger vedrørende styring af den operationelle risiko B. forbedre systemerne til måling af den operationelle risiko C. styrke kontrollen med de operationelle processer, herunder identifikation, overvågning, indsats og genopretning D. forbedre rammen for operationel ledelse E. forbedre rapporteringen af operationelle risici til ledelsesorganet og den øverste ledelse F. udarbejde og gennemføre handlingsplaner med henblik på at afhjælpe mangler G. begrænse visse ordninger med tredjeparter, navnlig vedrørende kritiske eller vigtige funktioner H. forbedre stresstest og scenarieanalyse af operationel risiko I. gennemføre skrappere operationelle foranstaltninger J. forbedre driftskontinuitets- , indsats - og genopretningsplaner Mulige tilsynsforanstaltninger, som de kompetente myndigheder kan træffe i henhold til artikel 104, stk. 1, litra b), d), e), f), j), l), m) og n), i direktiv 2013/36/EU og artikel 50 i forordning (EU) 2022/2554 – De kompetente myndigheder kan pålægge instituttet at: K. forbedre styringen af operationelle risici i forbindelse med miljømæssige, sociale og ledelsesmæssige risici, især miljømæssige risici, eventuelt på baggrund af en eller flere af de ovenfor nævnte foranstaltninger.