12. Operationel risikostyring og operationel modstandsdygtighed

En udsteder af ART'er bør have en passende ramme for styring af operationelle risici og en ramme for operationel modstandsdygtighed. Dette omfatter effektive politikker og processer til at:

• a. identificere, vurdere, evaluere, overvåge, indberette og begrænse operationelle risici rettidigt
• b. identificere og beskytte sig selv mod trusler og potentielle driftsforstyrrelser, reagere på og tilpasse sig samt blive genoprettet efter og lære af forstyrrende hændelser for at minimere disses indvirkning på varetagelsen af kritiske eller vigtige funktioner¹³ .

¹³ BCBS Principles for Operational Resilience, marts 2021, https://www.bis.org/bcbs/publ/d516.pdf

En udsteder af ART'ers ledelsesorgan bør som led i rammen for risikostyring godkende strategier, politikker og processer for styring af operationel risiko og operationel modstandsdygtighed, herunder risikoappetit med hensyn til rammen for operationel risiko og risikotolerance med hensyn til forstyrrelse af kritiske eller vigtige funktioner¹⁴ . Disse strategier, politikker og processer bør regelmæssigt gennemgås og opdateres efter behov.

¹⁴ Tolerance for forstyrrelse er det niveau af forstyrrelse fra enhver type operationel risiko, som en udsteder er villig til at acceptere givet en række alvorlige, men plausible scenarier.

Ledelsesorganet sikrer, at disse politikker og processer gennemføres, integreres fuldt ud i udstederen af ART'ers overordnede ramme for risikostyring, herunder risikoen i forbindelse med brug af tredjepartsenheder, og kommunikeres til relevante medarbejdere.

En udsteder af ART'er bør foretage en klar fordeling af ansvaret for vurderings- og styringssystemet for operationel risiko og operationel modstandsdygtighed.

En udsteder af ART'er bør identificere sin eksponering for operationel risiko, spore relevante data om operationel risiko, herunder data om væsentlige tab, og udføre scenarieanalyser.

Udstederen af ART'er bør identificere sine kritiske operationer, i overensstemmelse med sin tilgang til operationel modstandsdygtighed, og kortlægge de personer, teknologier, processer, data, faciliteter, tredjeparter, herunder koncerninterne enheder, og de forbindelser og indbyrdes afhængighedsforhold mellem dem, der er nødvendige for varetagelsen af kritiske eller vigtige funktioner i en business-as-usual-situation og under forstyrrelser.

Rammen for styring af operationel risiko og operationel modstandsdygtighed bør være genstand for regelmæssige kontroller udført af interne eller eksterne revisorer med den nødvendige viden til at foretage sådanne kontroller. Rammen for styring af operationel risiko og rammen for operationel modstandsdygtighed bør struktureres med tilstrækkelige og relevante menneskelige og tekniske ressourcer. Udstederen af ART'ers system til vurdering af operationel risiko og operationel modstandsdygtighed bør være fuldt integreret i udstederens ramme for risikostyring.

Der bør indføres et system for indberetning til ledelsesorganet, som omfatter relevante rapporter om operationel risiko og operationel modstandsdygtighed fra relevante funktioner hos udstederen af ART'er. Udstederen af ART'er bør råde over procedurer til straks at træffe relevante foranstaltninger, hvor det er relevant.

Udstederen af ART'er bør identificere og vurdere den operationelle risiko, der er forbundet med udstederen af ART'ers aktiviteter, processer og systemer, for at sikre, at der er fuldt kendskab til de iboende risici.

Med hensyn til del I om anvendelse af proportionalitetsprincippet bør udstedere af ART'er identificere, analysere og måle en række scenarier, herunder hændelser med lav sandsynlighed og høj alvorsgrad, hvoraf nogle kan medføre store operationelle tab. Input til scenarieanalysen omfatter relevante data om interne og eksterne tab, oplysninger fra selvevalueringer, ekspertudtalelser, rammen for intern kontrol, fremadskuende parametre, kerneårsagsanalyser og procesrammen, alt efter hvad der er relevant. Scenarieanalyseprocessen bør anvendes til at udvikle en række konsekvenser af potentielle hændelser, herunder konsekvensvurderinger til risikostyringsformål, som supplement til andre værktøjer baseret på historiske data eller aktuelle risikovurderinger.

Henset til del I kan udstedere af ART'er anvende kvalitative risikovurderingsmetoder, mens udstedere af signifikante ART'er bør have en mere sofistikeret tilgang, herunder, hvor det er relevant, brug af data om interne og eksterne tab som grundlag for scenarieanalysen.