11. Ramme for risikostyring

Som led i den overordnede ramme for intern kontrol bør udstedere af ART'er have en holistisk ramme for risikostyring på udstederniveau, der omfatter alle deres forretningsområder og interne enheder, herunder interne kontrolfunktioner, og som i fuldt omfang indregner den økonomiske substans af alle deres risikoeksponeringer, herunder de risici, som udstederen af ART'er udgør for sig selv, indehaverne af aktiver, operationelle risici og risici i tilknytning til reserven af aktiver.

Rammen for risikostyring bør sætte udstederen af ART'er i stand til at træffe fuldt informerede beslutninger om alle risici, som vedkommende er eller kan blive eksponeret for, herunder IKT-risici, i henhold til forordning (EU) 2022/2554 (DORA) og¹² afsnit 12. Risikostyringsrammen bør omfatte alle risici, herunder aktuelle risici og fremtidige risici, som udstederen af ART'er kan blive udsat for. Risici bør vurderes efter "bottom up"- og "top down"-princippet, inden for og på tværs af forretningsområder eller interne enheder, under anvendelse af konsekvent terminologi og kompatible metoder på udstederniveau og, hvor det er relevant, konsolideret niveau. Alle relevante risici bør være omfattet af rammen for risikostyring med passende hensyntagen til både finansielle og ikke-finansielle risici, herunder koncentrations-, operationelle, IKT-, omdømmemæssige, retlige, adfærds- og ESG-risici. Der bør også tages hensyn til kreditrisiko, markedsrisiko, koncentrationsrisiko og likviditetsrisiko i tilknytning til reserven af aktiver.

¹² Europa-Parlamentets og Rådets forordning (EU) 2022/2554 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor: Publikationskontoret (europa.eu).

En udsteder af ART'ers ramme for risikostyring bør omfatte politikker, procedurer, risikogrænser og risikokontrolforanstaltninger, der sikrer relevant, rettidig og vedvarende identifikation, måling eller vurdering, overvågning, styring, begrænsning og rapportering af risiciene i forretningsområderne og de interne enheder, på udstederniveau og, hvor det er relevant, konsolideret niveau.

En udsteder af ART'ers ramme for risikostyring bør give specifik vejledning i gennemførelsen af risikostrategier. Vejledningen bør i det omfang, det er relevant fastlægge og opretholde interne grænser, der er i overensstemmelse med udstederens risikotolerance og risikoappetit og stå i rimeligt forhold til udstederens forsvarlige drift, operationelle modstandsdygtighed, finansielle styrke, likviditetsbehov og strategiske mål. En udsteder af ART'ers risikoprofil bør holdes inden for de fastsatte grænser. Rammen for risikostyring bør sikre, at der i tilfælde af overtrædelse af risikogrænser findes en proces til eskalering og håndtering af overtrædelsen med en passende opfølgningsprocedure.

Rammen for risikostyring bør være omfattet af en uafhængig intern kontrol, f.eks. udført af den interne revisionsfunktion, og bør revurderes løbende i forhold til udstederen af ART'ers risikotolerance og risikoappetit.

Der bør etableres regelmæssige og gennemsigtige indberetningsmekanismer, således at udstederen af ART'ers ledelsesorgan og alle relevante enheder rettidigt får adgang til rapporter på en rettidig, præcis, kortfattet, forståelig og hensigtsmæssig måde og kan dele relevante oplysninger om identifikation, måling, vurdering, overvågning og styring af risici. Indberetningsrammen bør være veldefineret og dokumenteret.

Effektiv kommunikation og bevidsthed om risici og risikostrategien er afgørende for hele risikostyringsprocessen, herunder kontrol- og beslutningsprocesserne, og er med til at forhindre, at der bliver taget beslutninger, der utilsigtet kan øge risikoniveauerne. Effektiv risikorapportering indebærer en grundig intern vurdering og kommunikation af risikostrategien og relevante risikodata, både horisontalt på udstederniveau og vertikalt i ledelseskæden.