17 Rammerne for risikostyring

De interne kontrolfunktioner bør regelmæssigt fremsende skriftlige rapporter om større identificerede mangler til ledelsesorganet. Disse rapporter bør for hver ny identificeret alvorlig mangel indeholde oplysninger om de pågældende relevante risici, en konsekvensanalyse, henstillinger og nødvendige korrigerende tiltag. Ledelsesorganet bør følge rettidigt og effektivt op på resultaterne af de interne kontrolfunktioner og kræve passende, afhjælpende tiltag gennemført. Der bør indføres en formel opfølgningsprocedure for resultater og korrigerende tiltag.

Som en del af den overordnede ramme for intern kontrol bør institutterne have en holistisk ramme for risikostyring for hele instituttet, der rækker på tværs af alle dets forretningsområder og interne enheder, herunder interne kontrolfunktioner, under fuld anerkendelse af den økonomiske substans af alle dets risikoeksponeringer. Rammen for risikostyring bør sætte instituttet i stand til at træffe fuldt informerede beslutninger om risikotagning. Rammen for risikostyring bør omfatte risici i og uden for balancen samt faktiske risici og fremtidige risici, som instituttet kan være eksponeret for. Risici bør vurderes efter "bottom up"- og "top down"-princippet, inden for og på tværs af forretningsområder, under anvendelse af konsekvent terminologi og kompatible metoder i hele instituttet og på konsolideret eller delkonsolideret niveau. Alle relevante risici bør være omfattet af rammen for risikostyring med passende hensyntagen til både finansielle og ikke-finansielle risici, herunder kredit-, markeds-, likviditets- og koncentrationsrisici, operationelle risici, IT-risici, omdømmemæssige, juridiske og adfærdsmæssige risici, risici i forhold til overholdelse af AML/CTF, risici forbundet med anden økonomisk kriminalitet, ESG-risici og strategiske risici.

Et instituts ramme for risikostyring bør omfatte politikker, procedurer, risikogrænser og risikokontrolforanstaltninger, der sikrer passende, rettidig og vedvarende identifikation, måling eller vurdering, overvågning, styring, afhjælpning og rapportering af risiciene i forretningsområderne, på institutniveau og konsolideret eller delkonsolideret niveau.

Et instituts ramme for risikostyring bør opstille specifikke retningslinjer for implementeringen af dets strategier. Disse retningslinjer bør i det relevante omfang fastlægge og opretholde interne grænser, der er i overensstemmelse med instituttets risikoappetit og står i forhold til dets forsvarlige funktion, finansielle styrke, kapitalgrundlag og strategiske mål. Et instituts risikoprofil bør holdes inden for disse fastsatte grænser. Rammen for risikostyring bør sikre, at der, når der opstår overtrædelser af risikogrænser, er en fastsat proces til at videreformidle og håndtere dem med en passende opfølgningsprocedure.

Rammen for risikostyring bør være omfattet af en uafhængig intern kontrol, f.eks. udført af den interne revisionsfunktion, og bør revurderes løbende i forhold til instituttets risikoappetit, under hensyntagen til oplysninger fra risikostyringsfunktionen og fra risikoudvalget, hvis et sådant er nedsat. Faktorer, der bør tages hensyn til, omfatter interne eller eksterne udviklinger, herunder ændringer i balance og indtægter, en eventuel stigning i kompleksiteten af instituttets virksomhed, risikoprofil eller driftsstruktur, geografisk ekspansion, fusioner og overtagelser samt indførelse af nye produkter eller forretningsområder.

Når et institut identificerer og måler eller vurderer risici, bør det udvikle passende metoder, herunder både fremad- og bagudrettede værktøjer. Disse metoder bør gøre det muligt at aggregere risikoeksponeringer på tværs af forretningsområder og støtte identifikationen af risikokoncentrationer. Værktøjerne bør omfatte en vurdering af den faktiske risikoprofil i forhold til instituttets risikoappetit samt afdækning og vurdering af potentielle og stressede risikoeksponeringer under en række forskellige formodede negative omstændigheder i forhold til instituttets risikokapacitet. Værktøjerne bør give oplysninger om enhver justering af risikoprofilen, som måtte være nødvendig. Institutterne bør foretage passende konservative skøn, når de opstiller stressscenarier.

Institutterne bør tage i betragtning, at resultaterne af kvantitative vurderingsmetoder, herunder stresstest, er stærkt afhængige af modellernes begrænsninger og antagelser (herunder alvoren og varigheden af chokket og de underliggende risici). Hvis f.eks. modeller viser meget høje afkast af økonomisk kapital, kan det skyldes en svaghed i modellerne (f.eks. at visse relevante risici ikke er medtaget) snarere end det forhold, at instituttet har en overlegen strategi eller har gennemført en strategi på fremragende vis. Bestemmelsen af graden af den risiko, der tages, bør derfor ikke alene være baseret på kvantitative oplysninger eller modeloutput, men bør også omfatte en kvalitativ metode (herunder ekspertvurdering og kritisk analyse). Relevante makroøkonomiske tendenser og data bør eksplicit være rettet mod at identificere deres mulige virkning på eksponeringer og porteføljer.

Det endelige ansvar for risikovurdering ligger udelukkende hos instituttet, som i overensstemmelse hermed bør evaluere sine risici kritisk og ikke udelukkende forlade sig på eksterne vurderinger. F.eks. bør et institut validere en indkøbt risikomodel og tilpasse den til sine egne omstændigheder for at sikre, at modellen måler og analyserer risikoen præcist og omfattende.

Institutterne bør være fuldt ud opmærksomme på modellernes og parametrenes begrænsninger og ikke kun anvende kvantitative, men også kvalitative risikovurderingsværktøjer (herunder ekspertvurdering og kritisk analyse).

Ud over institutternes egne vurderinger kan de anvende eksterne risikovurderinger (herunder eksterne kreditvurderinger eller eksternt indkøbte risikomodeller). Institutterne bør være helt klar over det præcise anvendelsesområde for sådanne vurderinger og deres begrænsninger.

Der bør etableres regelmæssige og gennemsigtige mekanismer, således at ledelsesorganet, dets risikoudvalg, hvis et sådant er nedsat, og alle relevante enheder i et institut rettidigt får adgang til rapporter på en forståelig og hensigtsmæssig måde, og at de kan dele relevante oplysninger om identifikation, måling eller vurdering samt overvågning og styring af risici. Rapporteringsrammen bør være veldefineret og dokumenteret.