6.6 Vurdering af andre risici

De kompetente myndigheder bør vurdere betydningen af andre risici for investeringsselskabets kapital, som ikke er omfattet af søjle 1-kapitalgrundlagskrav, i overensstemmelse med artikel 36 og 40 i direktiv (EU) 2019/2034. Ved vurderingen af disse andre risici bør de kompetente myndigheder tage hensyn til arten og kompleksiteten af investeringsselskabets aktiviteter, som har indvirkning på betydningen af disse risici.

6.6.2 Vurdering af iboende risici

De kompetente myndigheder bør ved vurderingen af de iboende risici, der ikke er omfattet af kapitalgrundlagskrav under søjle 1m fastlægge de vigtigste parametre for investeringsselskabets risici og evaluere disse risicis tilsynsmæssige virkninger for investeringsselskabet. Vurderingen af sådanne risici bør ske i følgende hovedtrin:

• a. foreløbig vurdering
• b. vurdering af arten og omfanget af investeringsaktiviteter, der indebærer en risiko for investeringsselskabet, der ikke er omfattet af kapitalgrundlagskrav under søjle 1
• c. vurdering af systemerne og processerne vedrørende disse aktiviteter.

De kompetente myndigheder bør vurdere risici, der ikke er omfattet af kapitalgrundlagskrav under søjle 1, både aktuelt og fremadrettet.

74

Hvis det er relevant, bør de kompetente myndigheder også foretage en vurdering af andre risici end dem, der er anført i dette kapitel.

Foreløbig vurdering

For at fastlægge omfanget af vurderingen af risici, der ikke er omfattet af kapitalgrundlagskrav under søjle 1, bør de kompetente myndigheder først identificere de kilder til risici, som investeringsselskabet er eller kan blive eksponeret for.

De kompetente myndigheder bør som minimum tage hensyn til følgende:

• a. forretningsmodel og risikovillighed
• b. intern udvikling eller outsourcing af IT-løsninger
• c. støttefunktioner, såsom compliance, juridiske tjenester og skattetjenester (også hvis udliciteret)
• d. omkostninger i forbindelse med retssager
• e. samlede driftstab, herunder omkostningerne ved intern og ekstern svig
• f. omfanget af aktiviteter uden for handelsbeholdningen.

De kompetente myndigheder bør foretage den foreløbige analyse under hensyntagen til ændringen i ovennævnte indikatorer over tid for at få et godt overblik over de vigtige parametre for investeringsselskabets andre risici.

Renterisiko som følge af aktiviteter uden for handelsbeholdningen

De kompetente myndigheder bør vurdere den renterisiko, der opstår som følge af aktiviteter uden for handelsbeholdningen, som investeringsselskabet er eksponeret for.

De kompetente myndigheder bør vurdere, hvordan ændringer i rentesatser kan have en negativ indvirkning på investeringsselskabets aktiver, passiver og ikkebalanceførte eksponeringer. For bedre at kunne fastslå investeringsselskabets kompleksitet og renterisikoprofil bør de kompetente myndigheder også sætte sig ind i de vigtigste aspekter af investeringsselskabets aktiver, passiver og ikkebalanceførte eksponeringer og navnlig:

I forbindelse med den kvantitative vurdering bør de kompetente myndigheder undersøge de resultater, der er opnået med instituttets interne metoder til måling af renterisikoen som følge af aktiviteter uden for handelsbeholdningen. De kompetente myndigheder bør desuden overveje passende chokscenarier i betragtning af arten af eksponeringen for renterisiko som følge af investeringsselskabets aktiviteter uden for handelsbeholdningen.

Operationelle risici, der ikke er omfattet af søjle 1

De kompetente myndigheder bør vurdere operationelle risici, der ikke er omfattet af minimumskrav til kapitalgrundlag i overensstemmelse med forordning (EU) 2019/2033.

75 Disse risici kan føre til direkte driftstab og indirekte tab som følge af klager og retssager. Store operationelle risici kan også føre til mangel på personale i nøglestillinger. Ved vurderingen bør der ikke kun tages hensyn til driftstab, men også til næsten-uheld og operationelle risikobegivenheder, der afsluttes med gevinst.

De kompetente myndigheder bør overveje følgende kilder til iboende risici og, hvor det er relevant, fokusere vurderingen på de aspekter, der anses for at være de vigtigste for investeringsselskabet:

• a. sikkerhed på arbejdspladsen
• b. skade på fysiske aktiver
• c. intern svig
• d. ekstern svig
• e. IKT-risici
• f. adfærdsrisiko
• g. reguleringsmæssige, juridiske og skattemæssige risici
• h. modelrisiko i forbindelse med modeller, der anvendes til forretningsformål
• i. utilstrækkelige (både kvalitativt og kvantitativt) menneskelige og tekniske ressourcer i nøglestillinger
• j. omdømmemæssig risiko.

Som led i alle SREP-vurderinger bør de kompetente myndigheder vurdere graden af IKT-risici og sammenhængen mellem IKT-operationer og forretningsstrategien. De kompetente myndigheder bør i deres vurdering medtage alle relevante aspekter af IKT-risici, såsom sikkerhedsrisici, IT-projektrisici og IKT-styringsrisici, i det omfang dette ikke allerede er omfattet af andre dele af disse retningslinjer, og under hensyntagen til EBA's retningslinjer om IKT- og sikkerhedsrisici¹⁹ og ESMA's retningslinjer for outsourcing til cloududbydere²⁰ .

De kompetente myndigheder bør vurdere graden af adfærdsrisiko i forbindelse med investeringsselskabets investerings- og markedsaktiviteter, i det omfang den ikke er omfattet af søjle 1-kapitalgrundlagskrav. Ved adfærdsrisiko forstås den aktuelle eller potentielle risiko, som kunder, markeder eller selskabet selv løber på grund af selskabets eller dets medarbejderes uhensigtsmæssige adfærd. Denne risiko kan opstå som følge af forsætlige eller uagtsomme forseelser (herunder uhensigtsmæssig levering af finansielle tjenesteydelser), i det omfang de kan have negative finansielle eller omdømmemæssige virkninger. Denne omdømmemæssige risiko kan igen forårsage tab af markedsandele eller vigtige kunder og en stigning i antallet af kundeklager.

19 EBA's retningslinjer for IKT- og sikkerhedsrisikostyring (EBA/GL/2019/04).

20 ESMA's retningslinjer for outsourcing til cloududbydere (ESMA50-164-4285). 76

De kompetente myndigheder bør fokusere på disse kilder til iboende adfærdsrisiko, hvor det er relevant:

• a. lukning eller suspension af en fond
• b. antal tilfælde af forseelser: uhensigtsmæssigt salg eller markedsmanipulation
• c. pålagte sanktioner.

De kompetente myndigheder bør vurdere reguleringsmæssige, juridiske og skattemæssige risici som følge af manglende overholdelse af love eller bestemmelser. Disse risici kan føre til retssager og sanktioner over for investeringsselskabet. Afhjælpende programmer kan også medføre store udgifter til overholdelse af love og forskrifter.

De kompetente myndigheder bør fokusere på disse kilder til iboende reguleringsmæssige, juridiske og skattemæssige risici, hvor det er relevant:

• a. omkostninger i forbindelse med overholdelse af gældende regler
• b. betaling af bøder eller andre sanktioner for manglende overholdelse
• c. efteropkrævning af skat eller betaling af for sent betalte gebyrer, bøder og sanktioner
• d. foregribelse af reguleringsmæssige ændringer, der er relevante for investeringsselskabet.

De kompetente myndigheder bør vurdere risikoen i forbindelse med modeller, der anvendes til forretningsformål, herunder værdiansættelses-/prissætningsmodeller, modeller for algoritmisk handel og andre modeller, som kan have betydelig indvirkning på investeringsselskabets forretningsbeslutninger og -aktiviteter.

Under hensyntagen til investeringsselskabets særlige forhold kan de kompetente myndigheder, når de foretager vurderingen af risici, der ikke er omfattet af kapitalgrundlagskrav under søjle 1, overveje andre kilder til risici, der ikke er omfattet af ovennævnte kategorier.

Systemisk risiko

På grundlag af kvantitative og kvalitative kriterier bør de kompetente myndigheder vurdere investeringsselskabets systemiske risiko. På grundlag af denne vurdering bør de kompetente myndigheder afgøre, om investeringsselskabets sammenbrud kan føre til alvorlige forstyrrelser på de finansielle markeder, som investeringsselskabet opererer i.

Hvis det er relevant, kan vurderingen af den systemiske risiko foretages samlet for en gruppe investeringsselskaber med en lignende forretningsmodel og risikoprofil. Når de kompetente myndigheder foretager en sådan samlet vurdering, bør de tage hensyn til de potentielle virkninger af, at et bestemt antal eller en bestemt andel af disse investeringsselskaber bliver nødlidende samtidig på de finansielle markeder, som de

77 opererer i. Med henblik herpå kan de kompetente myndigheder overveje et eller flere scenarier.

6.6.3 Vurdering af risikostyring og -kontroller

For at opnå en omfattende forståelse af investeringsselskabets risikoprofil med hensyn til risici, der ikke er omfattet af kapitalgrundlagskrav under søjle 1, bør de kompetente myndigheder gennemgå den ledelses- og risikostyringsramme, der reducerer den risiko, der opstår som følge af andre kilder til risici. Med henblik herpå bør de kompetente myndigheder vurdere følgende elementer under hensyntagen til omfanget, arten og kompleksiteten af investeringsselskabets aktiviteter:

• a. investeringsselskabets strategi afspejler på passende vis investeringsselskabets interesse for disse risici og er i overensstemmelse med den overordnede risikovillighed
• b. investeringsselskabet har interne retningslinjer og politikker til at sikre en sund risikokultur
• c. investeringsselskabet har passende rammer for forvaltning, måling, overvågning og kontrol af renterisiko som følge af aktiviteter uden for handelsbeholdningen
• d. investeringsselskabet har passende rammer for styring, måling, overvågning og kontrol af IT-risici med tilstrækkelige (både kvalitativt og kvantitativt) menneskelige og tekniske ressourcer
• e. investeringsselskabet har klart definerede politikker og procedurer for kontrol med operationelle risici.

6.6.4 Opsummering af resultater og scoring

Efter ovenstående vurdering bør de kompetente myndigheder foretage en vurdering af investeringsselskabets andre risici. Denne vurdering bør indgå i en opsummering af resultater og ledsages af en risikoscore, der bygger på betragtningerne i tabel 8. Hvis visse risikounderkategorier er så væsentlige, at de kompetente myndigheder beslutter at vurdere og beregne risikoscoren for dem individuelt, bør anvisningerne i denne tabel så vidt muligt anvendes analogt.

De kompetente myndigheder bør tage hensyn til alle disse faktorer parallelt og ikke isoleret og forstå drivkræfterne bag risici, der ikke er omfattet af kapitalgrundlagskrav under søjle 1.

78 Tabel 8. Tilsynsmæssige betragtninger vedrørende fastsættelse af en score for andre risici

Tilsynsmæssig Betragtninger vedrørende den Betragtninger om tilstrækkelig