16 Rammerne for risikostyring

Som en del af den overordnede interne kontrolramme bør investeringsselskaberne have en holistisk ramme for risikostyring for hele investeringsselskabet, der går på tværs af alle deres forretningsområder og interne enheder, herunder interne kontrolfunktioner, som fuldt ud anerkender det økonomiske indhold af alle deres risikoeksponeringer, herunder risiciene som investeringsselskabet udgør for sig selv, dets kunder og markeder samt likviditetsrisici, især dem, der kan have en væsentlig indvirkning på eller udhule den disponible egenkapital. Rammen for risikostyring bør sætte investeringsselskabet i stand til at træffe fuldt informerede beslutninger om risikotagning. Rammen for risikostyring bør omfatte alle risici samt faktiske risici og fremtidige risici, som investeringsselskabet kan være eksponeret for. Risici bør vurderes efter "bottom up"- og "top down"-princippet, inden for og på tværs af forretningsområder, under anvendelse af konsekvent terminologi og kompatible metodologier i hele investeringsselskabet og på konsolideret niveau. Alle relevante risici bør være omfattet af rammen for risikostyring med passende hensyntagen til både finansielle og ikkefinansielle risici, herunder markeds-, likviditets- og koncentrationsrisici, operationelle risici, IT-risici, omdømmemæssige, juridiske og adfærdsmæssige risici, risici vedrørende AML/CTF-compliance og anden økonomisk kriminalitet, ESG-risici og strategiske risici.

Et investeringsselskabs ramme for risikostyring bør omfatte politikker, procedurer, risikogrænser og risikokontrolforanstaltninger, der sikrer passende, rettidig og vedvarende identifikation, måling eller vurdering, overvågning, styring, afhjælpning og rapportering af risiciene i forretningsområderne, på investeringsselskabsniveau og konsolideret niveau.

Et investeringsselskabs ramme for risikostyring bør være en specifik vejledning i gennemførelsen af dets strategier. Denne vejledning bør i det relevante omfang fastlægge og opretholde interne grænser, der er i overensstemmelse med investeringsselskabets risikoappetit og står i forhold til dets forsvarlige drift, finansielle styrke, kapitalgrundlag og strategiske mål. Et investeringsselskabs risikoprofil bør holdes inden for disse fastsatte grænser. Rammen for risikostyring bør sikre, at der, når der opstår overtrædelser af risikogrænser, er en fastsat proces til at videreformidle og håndtere dem med en passende opfølgningsprocedure.

Rammen for risikostyring bør være omfattet af en uafhængig intern kontrol, f.eks. udført af den interne revisionsfunktion, og bør revurderes løbende i forhold til investeringsselskabets risikoappetit, under hensyntagen til oplysninger fra risikostyringsfunktionen og fra risikoudvalget, hvis et sådant er nedsat. Faktorer, der bør tages hensyn til, omfatter interne eller eksterne udviklingstendenser, herunder ændringer i indtægter, en eventuel stigning i kompleksiteten af investeringsselskabets virksomhed, risikoprofil eller driftsstruktur, geografisk ekspansion, fusioner og overtagelser samt indførelse af nye produkter eller forretningsområder.

Når et investeringsselskab identificerer og måler eller vurderer risici, bør det udvikle passende metodologier, herunder både fremad- og bagudrettede værktøjer. Værktøjerne bør omfatte en vurdering af den faktiske risikoprofil i forhold til investeringsselskabets risikoappetit samt afdækning og vurdering af potentielle og stressede risikoeksponeringer under en række forskellige formodede negative omstændigheder i forhold til investeringsselskabets risikokapacitet. Værktøjerne bør give oplysninger om enhver justering af risikoprofilen, som måtte være nødvendig. Investeringsselskaberne bør foretage passende konservative skøn, når de opstiller stressscenarier.

Investeringsselskaberne bør tage i betragtning, at resultaterne af kvantitative vurderingsmetodologier, herunder stresstestning, er stærkt afhængige af modellernes begrænsninger og antagelser (herunder alvoren og varigheden af chokket og de underliggende risici). Hvis f.eks. modeller viser meget høje afkast af økonomisk kapital, kan det skyldes en svaghed i modellerne, f.eks. at visse relevante risici ikke er medtaget, snarere end det forhold, at investeringsselskabet har en overlegen strategi eller har gennemført en strategi på fremragende vis. Bestemmelsen af graden af den risiko, der tages, bør derfor ikke alene være baseret på kvantitative oplysninger eller modeloutput, men bør også omfatte en kvalitativ metode (herunder ekspertvurdering og kritisk analyse). Relevante makroøkonomiske tendenser og data bør eksplicit være rettet mod at identificere deres mulige virkning på eksponeringer og porteføljer.

Det endelige ansvar for risikovurdering ligger udelukkende hos investeringsselskabet, som i overensstemmelse hermed bør evaluere sine risici kritisk og ikke udelukkende forlade sig på eksterne vurderinger.

Investeringsselskaberne bør være fuldt ud opmærksomme på modellernes og parametrenes begrænsninger og ikke kun anvende kvantitative, men også kvalitative risikovurderingsværktøjer (herunder ekspertvurdering og kritisk analyse).

Ud over investeringsselskabernes egne vurderinger kan de anvende eksterne risikovurderinger (herunder eksterne kreditvurderinger eller eksternt indkøbte risikomodeller). Investeringsselskaberne bør være helt klar over det præcise anvendelsesområde for sådanne vurderinger og deres begrænsninger.

Der bør etableres regelmæssige og gennemsigtige indberetningsmekanismer, således at ledelsesorganet, dets risikoudvalg, hvis et sådant er nedsat, og alle relevante enheder i et investeringsselskab rettidigt får adgang til rapporter på en forståelig og hensigtsmæssig måde og kan dele relevante oplysninger om identifikation, måling eller vurdering samt overvågning og styring af risici. Rapporteringsrammen bør være veldefineret og dokumenteret.

En effektiv kommunikation og bevidsthed om risici og risikostrategien er afgørende for hele risikostyringsprocessen, herunder evaluerings- og beslutningsprocesserne, og er med til at forhindre, at der bliver taget beslutninger, der uforvarende kan forøge risikoen. En effektiv risikorapportering indebærer passende interne overvejelser og kommunikation af risikostrategi og relevante risikodata, f.eks. eksponeringer og indikatorer for nøglerisici, både horisontalt gennem investeringsselskabet og vertikalt i ledelseskæden.