6.4. Bewertung des operationellen Risikos

Bei der Bewertung des Rahmenwerks für das Management operationeller Risiken sollten die zuständigen Behörden unter anderem evaluieren, inwieweit das Institut die Rechtsakte einhält, die, wie in Absatz 12 erwähnt, gesondert auf der Website der EBA veröffentlicht sind.

Die zuständigen Behörden sollten das operationelle Risiko für alle Geschäftsfelder und Geschäftstätigkeiten des Instituts bewerten, wobei wichtige Erkenntnisse aus der in Titel 5 beschriebenen Bewertung der Regelungen zur internen Governance und der institutsweiten Kontrollen einbezogen werden sollten. Im Rahmen dieser Bewertung sollten die zuständigen Behörden untersuchen, wie sich das operationelle Risiko manifestieren kann, wobei auch die Verlustdaten des Instituts sowie mögliche Auswirkungen anderer damit zusammenhängender Risiken (z. B. kreditbezogene und marktbezogene operationelle Risiken („Grenzfälle“)) zu berücksichtigen sind.

Die zuständigen Behörden sollten die Wesentlichkeit der mit Drittdienstleistern verbundenen operationellen Risiken bewerten, einschließlich der Konzentration (auf Ebene des Unternehmens und gegebenenfalls auf Gruppenebene) auf eine oder mehrere Dienstleistungen, die von einem einzelnen Drittdienstleister (direkt oder indirekt über Unterauftragsketten) erbracht werden, oder auf eine begrenzte Anzahl von Drittdienstleistern, die kritische oder wichtige Funktionen des Instituts unterstützen, und prüfen, ob diese die operationale Resilienz, die Leistungsfähigkeit und das Risikomanagement des Instituts beeinträchtigen könnten. Bei der Durchführung dieser Bewertung sollten die zuständigen Behörden berücksichtigen, inwieweit andere Institute dieselben Drittdienstleister in Anspruch nehmen, sofern ihnen entsprechende Informationen vorliegen.

Bei der Bewertung des operationellen Risikos sollten die zuständigen Behörden das IKT-Risiko gemäß der DORA-Verordnung und seine potenziellen Auswirkungen auf die kritischen oder wichtigen Funktionen des Instituts beurteilen, einschließlich potenzieller finanzieller, regulatorischer und strategischer Auswirkungen sowie Auswirkungen auf die Reputation des Instituts.

Die zuständigen Behörden sollten bewerten, ob das Institut über einen angemessenen Ansatz für die operationale Resilienz verfügt, um in der Lage zu sein, Störungen standzuhalten, sich an sie anzupassen und sich von ihnen zu erholen, wenn sie sich ereignen, und ob dieser angemessen und einheitlich auf den bestehenden Risikomanagementrahmen, die Geschäftsfortführungspläne und das Drittparteienmanagement abgestimmt wurde.

Bei der Bewertung des operationellen Risikos sollten die zuständigen Behörden gegebenenfalls beurteilen, ob die operationellen Risiken, die sich aus den Tätigkeiten im Zusammenhang mit Kryptowerten und deren Unterstützungstechnologien ergeben, durch die Richtlinien und Verfahren des Instituts ermittelt, evaluiert und angemessen gesteuert werden.

Die zuständigen Behörden sollten das Reputationsrisiko zusammen mit dem operationellen Risiko bewerten, da es untrennbar mit operationellen Risikoereignissen zusammenhängt. Jedoch sollte das Ergebnis der Bewertung des Reputationsrisikos sich nicht im Scorewert für das operationelle Risiko widerspiegeln, sondern, sofern relevant, im Rahmen der Geschäftsmodellanalyse und/oder der Bewertung des Liquiditätsrisikos berücksichtigt werden, da seine Hauptauswirkungen das Vertrauen der Anleger, Einleger oder Teilnehmer am Interbankenmarkt in das Institut untergraben können.

Die zuständigen Behörden sollten die Auswirkungen von ESG-Risiken auf das inhärente operationelle Risiko und das Reputationsrisiko sowie die Angemessenheit der Kontrollen für das operationelle Risiko und das Reputationsrisiko im Zusammenhang mit ESG-Risiken bewerten und dabei umweltbezogenen physischen und Transitionsrisiken Vorrang einräumen. Insbesondere sollten die zuständigen Behörden bei der Bewertung des Rechtsrisikos und des Reputationsrisikos Umweltrisiken und Greenwashing-Risiken berücksichtigen.

6.4.2. Bewertung des inhärenten operationellen Risikos

Die zuständigen Behörden sollten ein tiefgreifendes Verständnis der inhärenten operationellen Risiken des Instituts erlangen und die Bedeutung der aufsichtlichen Auswirkungen dieses Risikos auf das Institut sowie die Auswirkungen auf dessen Fähigkeit bewerten, kritische oder wichtige Funktionen bei Störungen zu erfüllen.

Zur Untermauerung dieser Bewertung sollten die zuständigen Behörden die Eigenmittelanforderungen für das operationelle Risiko im Verhältnis zu den Gesamteigenmittelanforderungen und, sofern relevant, das vom Institut für das operationelle Risiko bereitgestellte interne Kapital im Verhältnis zum gesamten internen Kapital untersuchen. Darüber hinaus sollten die zuständigen Behörden die Kenntnisse nutzen, die sie aus der Bewertung anderer SREP-Elemente (insbesondere aus Titel 4 und Titel 5), aus dem Vergleich mit anderen Instituten der Peer-Gruppe, aus anderen Aufsichtstätigkeiten – einschließlich der Beiträge der GW-/TF-Aufsichtsbehörden und der Marktüberwachungsbehörden – sowie aus anderen einschlägigen Informationsquellen gewonnen haben.

Die zuständigen Behörden sollten mindestens die wichtigsten operationellen Risikofaktoren sowie potenzielle disruptive Szenarien berücksichtigen und diese, sofern relevant, nach Geschäftsfeld, rechtlicher Einheit, geografischer Region und Ereigniskategorie (falls Daten verfügbar sind) analysieren und die Stellung des Instituts anhand anderer Institute der Peer-Gruppe vergleichen. Diese Faktoren sollten mindestens die Hauptstrategie des Instituts hinsichtlich des operationellen Risikos und dem operationellen Risikobereitschaft, das Geschäftsumfeld (einschließlich geografischer Präsenz, IKT-Tätigkeiten und Vertriebskanäle), jüngste bedeutende Unternehmensereignisse (wie Fusionen, Übernahmen, Veräußerungen und Umstrukturierungen), IKT-Systeme und andere IKT-bezogene Aspekte gemäß Abschnitt 6.4.2.3, Prozessänderungen, Vereinbarungen mit Dritten, regulatorische Compliance-Fragen, Unternehmensziele und Anreizsysteme sowie andere wichtige operationelle Risikotreiber abdecken.

Art und Bedeutung der operationellen Risiken

Die zuständigen Behörden sollten die Art der operationellen Risiken durch eine Analyse der Exposition gegenüber den wesentlichen Quellen und Treiber des operationellen Risikos bestimmen, um eine zukunftsgerichtete Beurteilung der potenziellen operationellen Risiken vorzunehmen. Für diese Analyse

• a. können die zuständigen Behörden das Geschäftsmodell, die Geschäftsfelder, Produkte, Prozesse und geografischen Regionen, die für das Institut relevant sind, die Bewertung von Abhängigkeiten und die primären Risikotreiber (z. B. Prozesse, Menschen, Systeme und externe Faktoren) für das operationelle Risiko sowie die Wechselwirkungen von Risikotreibern berücksichtigen und dabei die Risikoselbstbewertung des Instituts, Peer-Analysen, Daten sowie öffentliche Datenbanken und/oder Konsortialdatenbanken nutzen, sofern diese verfügbar und relevant sind;
• b. sollten die zuständigen Behörden sowohl die Häufigkeit als auch die Schwere der Ereignisse berücksichtigen, denen das Institut ausgesetzt ist, und dabei zwischen solchen, die schwere Verluste verursachen, und häufig auftretenden Ereignissen unterscheiden. Auf der Grundlage dieser Unterscheidung sollten die zuständigen Behörden die Trends bei den Verlusten aufgrund von operationellen Risiken und ihre Konzentration bewerten;
• c. sollten die zuständigen Behörden Szenarioanalysen nutzen und der geplanten Geschäftstätigkeit und den vom Institut durchgeführten zukunftsgerichteten operationellen Risikoanalysen, sofern verfügbar, Rechnung tragen und dabei etwaige bereits umgesetzte und wirksame Korrektur- und Risikominderungsmaßnahmen berücksichtigen.

Nach der Ermittlung und Analyse der wichtigsten Quellen und Treiber des operationellen Risikos sollten die zuständigen Behörden jene näher untersuchen, die die wesentlichste potenzielle Auswirkung auf das Institut haben.

Eine primäre Informationsquelle, die die zuständigen Behörden berücksichtigen sollten, ist der Datensatz über Verluste und Ereignisse des Instituts, da er wertvolle Erkenntnisse über die Entwicklung des operationellen Risikoprofils des Instituts liefern kann. Die zuständigen Behörden sollten regelmäßig die Vollständigkeit, Genauigkeit und Qualität der Verlustdaten bewerten. Eine weitere Informationsquelle sollten die Aufzeichnungen des Instituts über alle IKT-bezogenen Vorfälle und erheblichen Cyberbedrohungen (gemäß Artikel 17 Absatz 2 der DORA-Verordnung) sowie die ermittelten Quellen für IKT-Risiken (gemäß Artikel 8 Absatz 2 der DORA-Verordnung) sein.

Bewertung der Unterkategorien operationeller Risiken

Die zuständigen Behörden sollten den Schwerpunkt der Bewertung der Unterkategorien des operationellen Risikos auf die Unterkategorien legen, die für das Institut als wesentlich erachtet werden. Zudem sollten die zuständigen Behörden ihr Expertenurteil nutzen, um die wesentlichen Unterkategorien auf der Grundlage aller verfügbaren internen und externen Informationsquellen zu ermitteln. Bei der Durchführung der Bewertung sollten die zuständigen Behörden stets auf die folgenden Aspekte des operationellen Risikos achten: 31F³²

• a. Rechtsrisiko;
• b. Modellrisiko;
• c. IKT-Risiko.

6.4.2.1. Rechtsrisiko

³² Eine nicht erschöpfende Aufschlüsselung der Unterkategorien des operationellen Risikos ist Anhang III zu entnehmen.

Bei der Bewertung der Relevanz und Bedeutung des Rechtsrisikos des Instituts sollten die zuständigen Behörden Folgendes berücksichtigen:

• a. missbräuchliche Verkäufe von Produkten oder Dienstleistungen;
• b. Interessenkonflikte bei der Tätigung von Geschäften;
• c. Manipulation von Referenzzinssätzen, Wechselkursen oder anderen Finanzinstrumenten oder Indizes;
• d. Hemmnisse, die einem Wechsel von Finanzprodukten während ihrer Laufzeit und/oder einem Wechsel des Finanzdienstleisters entgegenstehen;
• e. automatische Verlängerung von Produkten oder Zahlung von Ausstiegsgebühren und/oder
• f. Bearbeitung von Kundenbeschwerden;
• g. Verstöße gegen nationale und internationale Vorschriften und Regelungen (Steuervorschriften, innerbetrieblicher Betrug oder Diebstahl, Regelungen zur Bekämpfung der Geldwäsche und Terrorismusfinanzierung sowie Wirtschaftssanktionen);
• h. Risikopositionen im Zusammenhang mit Rechtsstreitigkeiten im ESG-Bereich, insbesondere in Bezug auf Umweltfragen und Greenwashing.

Die zuständigen Behörden sollten prüfen, ob dem Institut durch Gerichtsverfahren Aufwendungen, Geldbußen, Strafen oder Entschädigungen mit Strafcharakter auferlegt werden könnten, sowie die Anzahl und den Inhalt der Beschwerden berücksichtigen. Die Ergebnisse der Bewertung nach Titel 4 sollten zusammen mit der Prüfung der Anreizpolitik ebenfalls genutzt werden, um einen umfassenden Überblick in die Quellen potenziellen Fehlverhaltens zu erlangen. In diesem Zusammenhang sollten die zuständigen Behörden auch prüfen, ob das Institut über angemessene und wirksame Systeme und Prozesse zur Umsetzung und Einhaltung restriktiver Maßnahmen (z. B. Sanktionen) verfügt, einschließlich der Bewertung der Einhaltung der EBA-Leitlinien zu internen Strategien, Verfahren und Kontrollen 32F³³ durch das Institut.

³³ Leitlinien zu internen Strategien, Verfahren und Kontrollen, die die Umsetzung restriktiver Maßnahmen der Union und der Mitgliedstaaten sicherstellen (EBA/GL/2024/14).

Die zuständigen Behörden sollten jedoch einen zukunftsgerichteten Ansatz verwenden, bei dem ebenfalls die mögliche Wirkung regulatorischer Entwicklungen sowie die Tätigkeit der betreffenden Behörden in den Bereichen Verbraucherschutz und Angebot von Finanzdienstleistungen allgemein betrachtet werden.

6.4.2.2. Modellrisiko

Im Rahmen des operationellen Risikos sollten die zuständigen Behörden das Modellrisiko unter besonderer Berücksichtigung von internen nicht aufsichtsrechtlichen Modellen (z. B. KI-Modellen, Produktpreisgestaltung, Festlegung und Überwachung von Risikolimits, ICAAP-/ILAAP-Modelle, Sanierungsoptionen) bewerten.

Bei der Bewertung des Modellrisikos sollten die zuständigen Behörden die folgenden Aspekte berücksichtigen:

• a. in welchem Maß und zu welchen Zwecken das Institut Modelle für Entscheidungsprozesse verwendet, sowie die geschäftliche Bedeutung dieser Entscheidungsprozesse. Die zuständigen Behörden sollten die Geschäftstätigkeiten ermitteln, für die das Institut Modelle in erheblichem Umfang nutzt, und die potenziellen Auswirkungen des Modellrisikos beurteilen, unter anderem durch Sensitivitätsanalysen und Szenarioanalysen oder Stresstests.
• b. die Solidität der Kontrollmechanismen (hinsichtlich Methoden, Häufigkeit, Nachverfolgung usw.), einschließlich eines Prozesses zur Modellabnahme, der durchgeführten regelmäßigen Überprüfungen und des Grades der Sensibilisierung des Instituts für Modellschwächen oder Markt- und Geschäftsentwicklungen.

Werden Modelle für Entscheidungszwecke verwendet (z. B. bei der Produktpreisgestaltung, bei KI-Modellen, bei der Bewertung von Finanzinstrumenten oder bei der Erstellung von Kundenprofilen), sollten die zuständigen Behörden überprüfen, ob solide interne Prozesse zur Validierung und/oder Überprüfung der Modelle vorhanden sind, mit denen sich das Modellrisiko (mit Ausnahme aufsichtsrechtlicher Modelle) identifizieren und mindern lässt.

Im Rahmen der Bewertung des Modellrisikos sollten die zuständigen Behörden die Bewertung von anderen Kapitalrisiken und Liquiditäts- und Refinanzierungsrisiken berücksichtigen, vor allem, um zu beurteilen, ob die zur Risikomessung, Preisgestaltung und Bewertung der Aktiva und/oder Passiva verwendeten Methoden angemessen sind. Die Ergebnisse dieser Bewertung sollten die Informationsgrundlage für die Feststellungen zum operationellen Risiko bilden.

6.4.2.3. IKT-Risiko – Bewertung des inhärenten IKT-Risikos

Ermittlung wesentlicher IKT-Risiken

In Einklang mit der DORA-Verordnung sollten die zuständigen Behörden die Ermittlung, Klassifizierung und Dokumentation des Instituts in Bezug auf alle IKT-gestützten Unternehmensfunktionen, Rollen und Verantwortlichkeiten, die Informations- 33F³⁴ und IKT-Assets 34F³⁵ , die diese Funktionen unterstützen, sowie deren Rollen und Abhängigkeiten in Bezug auf IKT-Risiken überprüfen. Diese Überprüfung sollte den zuständigen Behörden dabei helfen, ein tiefgreifendes Verständnis der inhärenten IKT-Risiken (IKT-Risikoprofil) des Instituts zu erlangen, die wesentlichen inhärenten IKT-Risiken zu ermitteln und sich ein Urteil über deren aufsichtliche Auswirkungen zu bilden. Zu diesem Zweck sollten die zuständigen Behörden, sofern relevant und anwendbar, mindestens Folgendes berücksichtigen:

• a. Bericht über die Überprüfung des IKT-Risikomanagementrahmens (gemäß Artikel 6 Absatz 5 der DORA-Verordnung);
• b. Quellen für IKT-Risiken, insbesondere das Risiko gegenüber und von anderen Finanzunternehmen, die das Institut gemäß Artikel 8 Absatz 2 der DORA-Verordnung ermittelt hat;
• c. gemeldete schwerwiegende IKT-bezogene Vorfälle (gemäß Artikel 19 Absatz 1 der DORA-Verordnung), einschließlich der Entwicklung der aggregierten jährlichen Kosten und Verluste, die durch schwerwiegende IKT-bezogene Vorfälle verursacht wurden (gemäß Artikel 11 Absatz 10 der DORA-Verordnung);
• d. Ergebnisse der im Programm für Tests der digitalen operationalen Resilienz (gemäß Artikel 24 DORA-Verordnung) vorgesehenen Tests, einschließlich einer Zusammenfassung der Feststellungen in Bezug auf bedrohungsorientierte Penetrationstests (TLPT – Threat-Led Penetration Testing) und der entsprechenden Pläne mit Abhilfemaßnahmen (gemäß Artikel 26 Absatz 6 der DORA-Verordnung);
• e. Informationsregister (gemäß Artikel 28 Absatz 3 der DORA-Verordnung), einschließlich der Konzentration von IKT-Drittdienstleistern, darunter gruppeninterne IKT-Dienstleister, nach Art der IKT-Dienstleistungen und/oder IKT-Systeme;
• f. Empfehlungen und Stellungnahmen der federführenden Überwachungsbehörden (gemäß Artikel 40 Absatz 3 bzw. Artikel 42 Absatz 7 der DORA-Verordnung) sowie entsprechende Reaktionen, Berichte und Informationen von kritischen IKT-Drittdienstleistern (gemäß Artikel 35 Absatz 1 Buchstabe c, Artikel 42 Absatz 1 und Artikel 48 Absatz 2 der DORA-Verordnung);
• g. Komplexität von IKT-Systemen und Ergebnisse der Bewertung des IKT-Risikos für IKT-Altsysteme (gemäß Artikel 8 Absatz 7 der DORA-Verordnung);
• h. Risikobewertung bei wesentlichen Änderungen (gemäß Artikel 8 Absatz 3 der DORA-Verordnung);
• i. Grad der Einführung und Integration innovativer IKT-Lösungen;
• j. Standorte, d. h. Regionen oder Länder, in denen sich Rechenzentren und ausgewiesene sensible Bereiche befinden, einschließlich der Orte, an denen vertraglich vereinbarte IKT-Dienstleistungen von IKT-Drittdienstleistern erbracht werden, wobei auch der Ort der Datenverarbeitung und Speicherort erfasst wird;
• k. alle diesbezüglichen, im Rahmen von Titel 5 festgestellten wesentlichen Mängel oder Schwachstellen;
• l. Selbstbewertungen von IKT-Risiko und Kontrollen (falls in den ICAAP-Informationen enthalten);
• m. mit dem IKT-Risiko verbundene Managementinformationen (MI), die dem Leitungsorgan des Instituts vorgelegt werden;
• n. IKT-bezogene interne und externe Prüfungsfeststellungen;
• o. externes Bedrohungsumfeld, einschließlich Informationen über Bedrohungen und Schwachstellen.

Überprüfung von IKT-Systemen und IKT-Dienstleistungen

³⁴ Artikel 3 Nummer 6 der Verordnung (EU) 2022/2554.

³⁵ Artikel 3 Nummer 7 der Verordnung (EU) 2022/2554.

Die zuständigen Behörden sollten die relevanten Unterlagen, Methoden und Prozesse des Instituts überprüfen und sich ein Urteil darüber bilden, ob das Institut die IKT-Systeme und IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, angemessen ermittelt hat. Zu diesem Zweck sollten die zuständigen Behörden Folgendes berücksichtigen:

• a. IKT-Systeme, die kritische oder wichtige Funktionen unterstützen, sowie die vom Institut ermittelten kritischen Informations- und IKT-Assets (gemäß Artikel 8 der DORA-Verordnung);
• b. Schlüsselprozesse, die von IKT-Drittdienstleistern abhängen, einschließlich Vernetzungen mit IKT-Drittdienstleistern, die vom Institut ermittelte kritische oder wichtige Funktionen unterstützen (gemäß Artikel 8 Absatz 5 der DORA-Verordnung).

Ermittlung und Zuordnung wesentlicher IKT-Risiken zu IKT-Systemen und - Dienstleistungen, die kritische oder wichtige Funktionen unterstützen

216.Nach der Überprüfung der Abhängigkeit des Instituts von Informations- und IKT-Assets, seines IKT-Risikoprofils sowie seiner IKT-Systeme und -Dienstleistungen sollten sich die zuständigen Behörden ein Urteil zu den wesentlichen IKT-Risiken bilden, die erhebliche aufsichtliche Auswirkungen auf die IKT-Systeme und -Dienstleistungen des Instituts haben können, welche kritische oder wichtige Funktionen unterstützen, sowie erhebliche Auswirkungen auf die Betriebsfähigkeit des Instituts im Falle einer Störung. Zu diesem Zweck sollten die zuständigen Behörden Folgendes berücksichtigen:

• a. finanzielle Auswirkungen, einschließlich potenzieller Kundenentschädigungen, Gerichts- und Behebungskosten, vertraglichen Schadenersatz, Einnahmeausfälle;
• b. das Potenzial für Betriebsstörungen, unter Berücksichtigung (unter anderem) der Kritikalität der betroffenen Dienstleistungen, einschließlich der Transaktionen und Vorgänge des Instituts (darunter Abhängigkeiten gegenüber Dritten), die Anzahl der potenziell betroffenen Kunden und/oder Gegenparteien im Finanzbereich und/oder Zweigstellen und Mitarbeiter;
• c. potenzielle Datenverluste;
• d. potenzielle Auswirkungen auf die Reputation;
• e. potenzielle regulatorische Auswirkungen, einschließlich potenzieller öffentlicher Kritik, Geldstrafen oder sogar eine Änderung von Erlaubnissen;
• f. potenzielle strategische Auswirkungen auf das Institut;
• g. potenzielle geografische Ausbreitung.

Anschließend sollten die zuständigen Behörden das ermittelte wesentliche IKT-Risiko den in Anhang III aufgeführten IKT-Risikokategorien zuordnen. Es wird erwartet, dass die Institute ihre eigene Kategorisierung beibehalten, statt die im Anhang aufgeführte Kategorisierung zu verwenden.

6.4.3. Bewertung des Rahmenwerks für das Management operationeller Risiken und die Risikokontrolle

Die zuständigen Behörden sollten das Rahmenwerk und die Regelungen bewerten, die ein Institut zur Steuerung und Überwachung des operationellen Risikos eingerichtet hat. Hierbei sollten die Ergebnisse der in Titel 5 beschriebenen Analysen des allgemeinen Risikomanagements und des internen Kontrollrahmens berücksichtigt werden, da diese Elemente Einfluss auf das operationelle Risiko des Instituts haben. Hinsichtlich des Risikos bezüglich Geldwäsche und Terrorismusfinanzierung sollte die zuständige Behörde die von der GW-/TF-Aufsichtsbehörde bereitgestellte Bewertung berücksichtigen.

Strategie und Risikoappetit für operationelle Risiken

Die zuständigen Behörden sollten bewerten, ob das Institut über eine solide, klar formulierte und dokumentierte Strategie für das operationelle Risikomanagement und ein entsprechender Risikoappetit verfügt, die vom Leitungsorgan genehmigt wurden und in der die Art, die Klassen und das Ausmaß der operationellen Risiken beschrieben sind, die das Institut einzugehen bereit ist. Bei dieser Bewertung sollten die zuständigen Behörden unter anderem die Rolle des Leitungsorgans bei der Festlegung, Genehmigung, Umsetzung und Überprüfung der Strategie und des Risikoappetits für operationelle Risiken (einschließlich des IKT-Risikoappetit und der Strategie für die digitale operationale Resilienz) sowie die ausreichende Abdeckung und Angemessenheit der Strategie im Hinblick auf die Art und die Wesentlichkeit des Risikoprofils des Instituts in Bezug auf operationelle Risiken berücksichtigen. Organisatorischer Rahmen und interner Kontrollrahmen

Die zuständigen Behörden sollten bewerten, ob das Institut die Anforderungen von Artikel 323 der Verordnung (EU) Nr. 575/2013 erfüllt. Im Rahmen dieser Bewertung sollten die zuständigen Behörden die Solidität und die Wirksamkeit des organisatorischen Rahmens und der Regelungen zur internen Governance evaluieren, um eine wirksame Steuerung, Messung und Kontrolle der operationellen Risiken mit ausreichenden personellen und technischen Ressourcen zur Ausführung der notwendigen Aufgaben zu ermöglichen. Die zuständigen Behörden sollten berücksichtigen, ob klare Verantwortungsbereiche für die Ermittlung, Evaluierung, Minderung, Überwachung und Meldung operationeller Risiken vorhanden sind und ob das Modell der drei Verteidigungslinien umgesetzt wird.

Die zuständigen Behörden sollten bewerten, ob das Institut über einen stabilen Kontrollrahmen und solide Sicherheitsvorkehrungen verfügt, um sein operationelles Risiko zu mindern, einschließlich angemessener Richtlinien und Verfahren, die auch das Restrisiko abdecken, und ob diese mit der Strategie und des Risikoappetit des Instituts für das Management operationeller Risiken in Einklang stehen und alle wichtigen Vorgänge und Prozesse erfassen. Dazu zählt unter anderem die Bewertung, ob diese Richtlinien und Verfahren in eindeutiger Weise formell festgelegt sind sowie mitgeteilt und institutsweit einheitlich angewandt werden.

Die zuständigen Behörden sollten außerdem die Funktionsfähigkeit der Internen Revision in Bezug auf Angemessenheit, Umfang und Häufigkeit der internen Prüfungen des Rahmenwerks für das Management operationeller Risiken bewerten.

Geschäftsfortführung (Business Continuity), Reaktion und Wiederherstellung

Die zuständigen Behörden sollten bewerten, ob das Institut i) die EBA-Leitlinien zur internen Governance im Hinblick auf das allgemeine Geschäftsfortführungsmanagement sowie ii) die DORA-Verordnung im Hinblick auf die IKT-Geschäftsfortführungsleitlinie und die IKT-Reaktions- und Wiederherstellungspläne einhält. In dieser Hinsicht sollten die zuständigen Behörden feststellen, ob die IKT-Geschäftsfortführungsleitlinie sowie die IKT-Reaktions- und Wiederherstellungspläne integraler Bestandteil der allgemeinen Geschäftsfortführungsleitlinie des Instituts und seines Reaktions- und Wiederherstellungsplans sind.

Die zuständigen Behörden sollten bewerten, ob das Institut ein wirksames Geschäftsfortführungsmanagement mit getesteten Geschäftsfortführungs- sowie Reaktions- und Wiederherstellungsplänen eingerichtet hat, die zumindest seine kritischen oder wichtigen Funktionen abdecken – einschließlich derjenigen, die an Drittdienstleister ausgelagert sind –, und ob diese Pläne eine Reihe ernster, aber plausibler Szenarien berücksichtigen, für die das Institut anfällig sein könnte. Des Weiteren sollten die zuständigen Behörden bewerten, ob die Geschäftsfortführungsleitlinie des Instituts angemessene Gegen- und Wiederherstellungsmaßnahmen für jede Art von Vorfall ermöglicht.

Die zuständigen Behörden sollten ermitteln, ob das Geschäftsfortführungsmanagement des Instituts folgende Elemente umfasst:

• a. Business-Impact-Analyse;
• b. angemessene Wiederherstellungsstrategien, die wesentliche interne und externe Abhängigkeiten sowie klar definierte Wiederherstellungsprioritäten und Resilienzniveaus einbeziehen;
• c. umfassende und flexible Pläne zur Beherrschung plausibler disruptiver Szenarien, die auf der Grundlage der Business-Impact-Analyse und in Abstimmung mit internen und externen Interessenträgern festgelegt werden;
• d. Pläne zur Festlegung von Notfallstrategien sowie Reaktions- und Wiederherstellungsverfahren;
• e. wirksame Erprobung der Konzeption und operationelle Wirksamkeit der Pläne;
• f. Sensibilisierung für das Geschäftsfortführungsmanagement und entsprechende Schulungsprogramme;
• g. Kommunikationspläne zur Information der Geschäftsleitung und aller relevanten Interessenträger sowie Dokumentation zum Krisenmanagement, Maßnahmen und gegebenenfalls eine Krisenmanagementfunktion (gemäß Artikel 11 Absatz 7 der DORA-Verordnung).

Die zuständigen Behörden sollten bewerten, ob der Geschäftsfortführungsplan sowie der Reaktions- und Wiederherstellungsplan des Instituts

• a. Rollen und Verantwortlichkeiten festlegen, einschließlich klarer Vorgaben für eine mögliche Nachfolge, und den internen Entscheidungsprozess zusammen mit der Definition von Aktivierungsauslösern darlegen;
• b. überprüft werden, um sicherzustellen, dass die Notfallstrategien weiterhin mit den aktuellen Geschäften, Risiken und Bedrohungen, dem Grad der Resilienz sowie den Wiederherstellungszielen und -prioritäten in Einklang stehen;
• c. Maßnahmen zur Gewährleistung der Geschäftsfortführung unter Anwendung eines risikobasierten Ansatzes Vorrang einräumen;
• d. regelmäßig getestet werden, um sicherzustellen, dass die Wiederherstellungsziele und - fristen eingehalten werden können, und
• e. gegebenenfalls auch den Test der von Drittdienstleistern erbrachten Dienstleistungen umfassen.

Die zuständigen Behörden sollten außerdem bewerten, ob die Testergebnisse dokumentiert und dem Leitungsorgan gemeldet werden.

Bewertung des IKT-Risikomanagementrahmens

Die zuständigen Behörden sollten bewerten, ob das Institut die DORA-Verordnung und die EBA-Leitlinien zur internen Governance im Hinblick auf die interne Governance und Organisation des Managements von IKT-Risiken einhält. Die zuständigen Behörden sollten sich ein Urteil darüber bilden, ob das Leitungsorgan des Instituts insgesamt für das Management der IKT-Risiken Rechenschaft abzulegen hat und alle IKT-bezogenen Vereinbarungen angemessen festlegt, genehmigt und deren Umsetzung überwacht. Die zuständigen Behörden sollten prüfen, ob die Mitglieder des Leitungsorgans über ausreichende Kenntnisse und Fähigkeiten verfügen, um IKT-Risiken und deren Auswirkungen auf die Geschäftstätigkeit des Instituts zu begreifen und zu bewerten.

Die zuständigen Behörden sollten bewerten, inwieweit die Rollen und Verantwortlichkeiten für alle IKT-bezogenen Funktionen sowie die festgelegten Governance-Regelungen in den internen Kontrollrahmen und den Rahmen für die interne Governance des Instituts für das Management von IKT-Risiken eingebettet und integriert sind. Zu diesem Zweck sollten die zuständigen Behörden prüfen, ob das Institut die Zuständigkeit für das Management und die Überwachung des IKT-Risikos wirksam an eine unabhängige Kontrollfunktion übertragen hat, die direkten Zugang zum Leitungsorgan in seiner Aufsichtsfunktion hat und diesem unmittelbar unterstellt ist, und bewerten, ob das Institut Folgendes nachweist:

• a. eine klare Kommunikation, Zuweisung und Integration von Rollen und Verantwortlichkeiten in alle IKT-bezogene Funktionen, einschließlich IKT-gestützter Unternehmensfunktionen und Prozesse;
• b. ausreichende und angemessene Budgetmittel zur Gewährleistung der digitalen operationalen Resilienz in Bezug auf alle Arten von Ressourcen, einschließlich einschlägiger Programme zur Sensibilisierung, Schulungen und IKT-Kompetenzen für alle Mitarbeiter (gemäß Artikel 5 Absatz 2 Buchstabe g der DORA-Verordnung);
• c. angemessene Weiterverfolgung und Reaktion des Leitungsorgans auf kritische Feststellungen aus IKT-Prüfungen und auf Feststellungen, über die gemäß Artikel 13 Absatz 5 der DORA-Verordnung Bericht erstattet wurde.

Die zuständigen Behörden sollten ein tiefgreifendes Verständnis des IKT-Risikomanagementrahmens des Instituts erlangen und bewerten, ob das Institut über ausreichende und angemessene Strategien, Leit- und Richtlinien, Verfahren, IKT-Protokolle und -Tools – einschließlich Toleranzschwellen – verfügt, um in Einklang mit der DORA-Verordnung den wesentlichen IKT-Risiken wirksam, effizient und umfassend zu begegnen. Zu diesem Zweck sollten die zuständigen Behörden gegebenenfalls Folgendes berücksichtigen:

• a. Angemessenheit und Wirksamkeit der Richtlinien, Prozesse und Verfahren des Instituts für das IKT-Risikomanagement 35F³⁶ , die unter anderem das IKT-Drittparteienmanagement, die Erkennung IKT-bezogener Vorfälle und die Reaktion darauf, das Management von IKT-Assets, die Verschlüsselung und Kryptografie, die IKT-Betriebssicherheit, die Netzwerksicherheit und die Zugangskontrolle umfassen, sowie die Frage, ob diese vom Leitungsorgan genehmigt und allen relevanten Interessenträgern mitgeteilt wurden (gemäß Artikel 14 der DORA-Verordnung);
• b. Angemessenheit der vom Institut festgelegten Risikotoleranzschwelle für IKT-Risiken und der Auswirkungstoleranz mit Blick auf IKT-Störungen (gemäß Artikel 6 Absatz 8 Buchstabe b der DORA-Verordnung);
• c. Angemessenheit und Umsetzung der Strategie des Instituts für die digitale operationale Resilienz, einschließlich ihrer Abstimmung auf die Geschäftsstrategie;
• d. Übereinstimmung der Strategie für das IKT-Drittparteienrisiko, einschließlich der Strategie zur Nutzung mehrerer IKT-Anbieter, sofern verfügbar, mit der allgemeinen Geschäftsstrategie und dem IKT-Risikomanagementrahmen;
• e. Restrisiko aus den ermittelten Risiken des Instituts in Bezug auf vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen;
• f. Restrisiko aus den vom Institut ermittelten Risiken bei IKT-Projekten, die sich auf kritische oder wichtige Funktionen auswirken und dem Leitungsorgan gemeldet wurden, sowie bei der Beschaffung, der Entwicklung und der Wartung von IKT-Systemen und bei IKT-Änderungen;
• g. Solidität und Vollständigkeit des Programms für Tests der digitalen operationalen Resilienz;
• h. Trend und Ausmaß schwerwiegender IKT-bezogener Vorfälle und Feststellungen, über die dem Leitungsorgan gemäß Artikel 17 Absatz 3 Buchstabe e und Artikel 13 Absatz 5 der DORA-Verordnung Bericht erstattet wird;
• i. IKT-Risikokontrollen, die für das ermittelte wesentliche IKT-Risiko spezifisch sind;
• j. zeitnahe Berichterstattung über Aspekte des IKT-Risikomanagements an das Leitungsorgan und die Geschäftsleitung;
• k. interner Prüfungsumfang und -feststellungen.

³⁶ Gemäß der DORA-Verordnung sollten diese mindestens die Informationssicherheitsleitlinie, die Datensicherungsrichtlinie, die Richtlinie für das Management von IKT-Assets, die Richtlinie für Verschlüsselung und kryptografische Kontrollen, die Richtlinie für das Management kryptografischer Schlüssel, die Richtlinie für das IKT-Projektmanagement, die Richtlinie für die Beschaffung, die Entwicklung und die Wartung von IKT-Systemen, die Richtlinie für Personalpolitik, die Richtlinie für die physische Sicherheit und Sicherheit vor Umweltereignissen sowie die Richtlinien für die Behandlung IKT-bezogener Vorfälle und die Leitlinie für die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die von IKT-Drittdienstleistern bereitgestellt werden.

Bei der Bewertung des IKT-Risikomanagements sollten die zuständigen Behörden besonderes Augenmerk auf das Management des IKT-Drittparteienrisikos legen, einschließlich des Konzentrationsgrads des Instituts bei IKT-Drittdienstleistern. Zu diesem Zweck sollten die zuständigen Behörden eine enge Zusammenarbeit mit den für kritische IKT-Drittdienstleister (critical ICT third-party providers – CTPP) zuständigen federführenden Überwachungsbehörden gemäß den Gemeinsamen Leitlinien der Europäischen Aufsichtsbehörden (ESA) 36F³⁷ sicherstellen, falls das bewertete Institut IKT-Dienstleistungen von einem CTPP in Anspruch nimmt. Die zuständigen Behörden sollten zudem die Wirksamkeit der vom Institut eingerichteten speziellen Rolle bzw. des benannten Mitglieds der Geschäftsleitung mit Blick auf die Überwachung von Vereinbarungen mit IKT-Drittdienstleistern überprüfen.

³⁷ Gemeinsame Leitlinien der ESA über die Zusammenarbeit bei der Überwachung und den Informationsaustausch zwischen den Europäischen Aufsichtsbehörden (ESA) und den zuständigen Behörden gemäß der Verordnung (EU) 2022/2554 (JC/GL/2024/36).

Die zuständigen Behörden sollten beurteilen, ob die Interne Revision wirksam ist und über ausreichende Kenntnisse, Fähigkeiten und Expertise verfügt, um den anwendbaren IKT-Risikomanagementrahmen des Instituts zu prüfen, indem überprüft wird, ob:

• a. der IKT-Risikokontrollrahmen mit der geforderten Qualität, Aufmerksamkeit und Häufigkeit geprüft und er dem IKT-Risikoprofil des Instituts entspricht;
• b. der Prüfungsplan die Prüfung der vom Institut ermittelten kritischen IKT-Risiken berücksichtigt, einschließlich unabhängiger Überprüfungen der IKT-Reaktions- und Wiederherstellungspläne;
• c. die kritischen Feststellungen von IKT-Prüfungen zeitnah überprüft und behoben sowie dem Leitungsorgan mitgeteilt werden;
• d. Feststellungen aus IKT-Prüfungen, einschließlich vereinbarter Maßnahmen, förmlich nachverfolgt und Fortschrittsberichte von der Geschäftsleitung und/oder dem Prüfungsausschuss regelmäßig überprüft werden.

6.4.4. Bewertung des Reputationsrisikos

Die zuständigen Behörden sollten das Reputationsrisiko, bewerten, dem das Institut ausgesetzt ist; hierbei sollten die zuständigen Behörden die im Rahmen von Titel 4 bis Titel 6.2 gewonnenen Erkenntnisse heranziehen. Der Schwerpunkt dieser Bewertung sollte zudem auf dem Gesamtrahmen des Reputationsrisikos liegen, wobei die Fähigkeit des Instituts zur wirksamen Steuerung der die Reputation betreffenden Ereignisse gewährleistet werden muss. Bei dieser Bewertung sollten die zuständigen Behörden Doppelzählungen von Aspekten vermeiden, die bereits im Rahmen der Bewertung des Rechtsrisikos berücksichtigt wurden (Abschnitt 6.4.2.1).

Bei der Bewertung der Relevanz des Reputationsrisikos sollten die zuständigen Behörden die Größe des Instituts sowie die Art, den Umfang und die Komplexität seiner Dienstleistungen, Tätigkeiten und Geschäfte (z. B. börsennotierte Aktien oder börsennotierte Schuldtitel oder Teilnahme an Interbankenmärkten) berücksichtigen.

Die zuständigen Behörden sollten sowohl interne als auch externe Faktoren oder Ereignisse berücksichtigen, die die Reputation beeinträchtigen können, wobei Ereignisse ausgenommen sind, die zu Gerichtsverfahren führen. Für Institute der Kategorie 1 und der Kategorie 2 sollten die zuständigen Behörden alle folgenden Indikatoren in ihrer Bewertung untersuchen:

• a. negative Berichterstattung in den Medien/sozialen Medien und Initiativen von Verbraucherverbänden, die die Reputation des Instituts und seine öffentliche Wahrnehmung beeinträchtigen könnten;
• b. Zahl und Änderungen bei Kundenbeschwerden oder plötzlicher Rückgang von Kunden oder Investoren;
• c. negative Ereignisse, die andere Institute der Peer-Gruppe betreffen und von der Öffentlichkeit mit dem gesamten Finanzsektor oder einer Bankengruppe in Verbindung gebracht werden könnten;
• d. die Reputation der am Management des Instituts beteiligten Einzelpersonen oder die Reputation von Einzelpersonen mit qualifizierter Beteiligung;
• e. Geschäfte oder Tätigkeit in Sektoren oder Gebieten, die einem hohen GW-/TF-Risiko ausgesetzt sind oder mit Einzelpersonen, die unter GW-/TF-Gesichtspunkten ein hohes Risiko bergen;
• f. Geschäfte oder Tätigkeit in Sektoren oder Gebieten und/oder mit Gegenparteien, die in hohem Maße wesentlichen Problemen oder öffentlichen Kontroversen im Zusammenhang mit ESG-Faktoren ausgesetzt sind, einschließlich, aber nicht unbedingt beschränkt auf Umweltfaktoren;
• g. Reputationswirkung IKT-bezogener Vorfälle, die vom Institut nach Maßgabe der Delegierten Verordnung (EU) 2024/1772 der Kommission 37F³⁸ aufgezeichnet werden;
• h. sonstige „Markt“-Indikatoren, sofern verfügbar (z. B. Herabstufung der Bonität oder Veränderung des Aktienkurses im Verlauf des Jahres).

³⁸ Delegierte Verordnung (EU) 2024/1772 der Kommission vom 13. März 2024 zur Ergänzung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der Kriterien für die Klassifizierung von IKT-bezogenen Vorfällen und Cyberbedrohungen, der Wesentlichkeitsschwellen und der Einzelheiten von Meldungen schwerwiegender Vorfälle (ABl. L, 2024/1772 vom 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

Die zuständigen Behörden sollten bewerten, wie bedeutend das Reputationsrisiko des Instituts ist und wie dieses Risiko mit anderen Risiken verflochten ist; dazu sollten die jeweiligen Risikobewertungen (auch von anderen Aufsichtsbehörden) herangezogen werden, um mögliche sekundäre Wirkungen in beide Richtungen zu ermitteln.

Bei der Analyse des operationellen Risikos sollten die zuständigen Behörden die Relevanz und Bedeutung der Exposition des Instituts gegenüber Risiken bezüglich Geldwäsche und Terrorismusfinanzierung unter aufsichtsrechtlichen Aspekten im Rahmen des operationellen Risikos untersuchen. In diesem Zusammenhang sollten die zuständigen Behörden die von den GW-/TF-Aufsichtsbehörden erhaltenen einschlägigen Informationen heranziehen, um ihre Feststellungen aus der laufenden Aufsicht zu ergänzen und zu bewerten, ob sie Anlass zu aufsichtlichen Bedenken bezüglich des Risikos im Zusammenhang mit Geldwäsche und Terrorismusfinanzierung geben.

Die zuständigen Behörden sollten dabei beachten, dass unabhängig von der Größe oder finanziellen Solidität jedes Institut Risiken im Zusammenhang mit Geldwäsche und Terrorismusfinanzierung ausgesetzt sein kann. Deshalb ist Instituten, die als finanziell solide wahrgenommen werden und eine gute Reputation haben, ausreichende Aufmerksamkeit zu widmen, da für die Zwecke der Geldwäsche und Terrorismusfinanzierung möglicherweise auf diese Institute besonders abgezielt wird. Besonderes Augenmerk ist auch auf Institute zu legen, die bei der Kundengewinnung /dem Ausbau ihres Marktanteils besonders erfolgreich sind – insbesondere durch die Nutzung nicht-traditioneller Vertriebskanäle – da dies mit schwachen Kundenkontrollen ohne die gebotene Sorgfalt bei der Kundenakquise in Zusammenhang stehen könnte.

Die zuständigen Behörden sollten einschlägige Informationen über festgestellte operative Risikofragen, die Anlass zu GW-/TF-Risiken, Risiken der Nichtumsetzung und Umgehung gezielter finanzieller Sanktionen und Bedenken geben können, wie Schwachstellen des IKT-Systems oder des internen Kontrollrahmens der Institute, an die GW-/TF-Aufsichtsbehörden weiterleiten.

Die zuständigen Behörden sollten bewerten, ob ein Institut angemessene Regelungen, Strategien, Prozesse und Mechanismen zur Steuerung des Reputationsrisikos vorgesehen hat. Insbesondere sollte untersucht werden, ob

• a. das Institut formelle Richtlinien und Prozesse zur Ermittlung, Steuerung und Überwachung des Reputationsrisikos eingerichtet hat, einschließlich eines robusten Verhaltenskodex, und ob diese Richtlinien und Prozesse hinsichtlich des Umfangs und der Bedeutung dieses Risikos im System im Verhältnis angemessen sind;
• b. das Institut eine umsichtige Vorgehensweise in Bezug auf dieses Risiko pflegt, unter anderem durch die Einführung geeigneter Kennzahlen und Überwachungsinstrumente, die Berücksichtigung potenzieller Reputationsprobleme in Notfallplänen, die Durchführung einschlägiger Schulungen und Sensibilisierungsmaßnahmen sowie die Nutzung gewonnener Erkenntnisse;
• c. das Institut Stresstests oder Szenarioanalysen durchführt, um die sekundäre Wirkung des Reputationsrisikos (z. B. Liquidität und Refinanzierungskosten, Verbriefungstransaktionen, Zugang zu Korrespondenzbankdienstleistungen) zu bewerten;
• d. das Institut Maßnahmen zum Schutz seiner Marke durch Instrumente zur Beobachtung der Medien/sozialen Medien, Protokolle zum Umgang mit Falschinformationen und negativer Berichterstattung sowie zeitnah eingeleitete Kommunikationskampagnen ergreift;
• e. vom Institut die potenzielle Auswirkung seiner Strategie und seiner Geschäftspläne sowie allgemeiner seines Verhaltens auf seine Reputation berücksichtigt wird.

6.4.5. Operationale Resilienz

Die zuständigen Behörden sollten sich ein ganzheitliches Bild von der Fähigkeit des Instituts verschaffen, kritische oder wichtige Funktionen bei Störungen wahrzunehmen (Grad der operationalen Resilienz) – ein Ergebnis, das durch ein wirksames Management des operationellen Risikos gefördert wird, wobei die Größe, das Geschäftsmodell und das Gesamtrisikoprofil des Instituts zu berücksichtigen sind. Zu diesem Zweck sollten die zuständigen Behörden auf ihre bestehenden Bewertungen des Managements operationeller Risiken, der Geschäftsfortführung, der Fähigkeiten im Bereich des Veränderungsmanagements, der Dienstleistungen Dritter sowie der IKT, auf die sich das Institut stützt, zurückgreifen, um ganzheitlich zu evaluieren, ob diese Elemente in ihrer Gesamtheit die operationale Resilienz des Instituts befördern. Die zuständigen Behörden sollten ferner prüfen, ob das Institut seinen Risikomanagementrahmen, seine Geschäftsfortführungpläne, das Drittparteienmanagement (das bereits im Rahmen der DORA-Verordnung und der gemäß Artikel 74 Absatz 3 der Richtlinie 2013/36/EU herausgegebenen EBA-Leitlinien über Regelungen, Verfahren und Mechanismen für interne Governance bewertet wurden) sowie seine Sanierungs- und Abwicklungsrahmen kohärent und koordiniert umsetzt. Darüber hinaus sollten die zuständigen Behörden prüfen, ob das Institut die internen und externen Verflechtungen und Abhängigkeiten, die für die Wahrnehmung seiner kritischen oder wichtigen Funktionen erforderlich sind, hinreichend erfasst hat.

Die zuständigen Behörden sollten prüfen, inwieweit das Leitungsorgan und die Geschäftsleitung der Fähigkeit des Instituts Beachtung schenken, auf Störungen zu reagieren und sich davon zu erholen, und zwar unter der Annahme, dass es zu Ausfällen kommen wird. Zu diesem Zweck sollten die zuständigen Behörden Folgendes berücksichtigen:

• a. das Leitungsorgan spielt eine aktive Rolle bei der Schaffung eines umfassenden Verständnisses des Ansatzes für die operationale Resilienz im gesamten Institut und bei der Überwachung der Wirksamkeit des Ansatzes für die operationale Resilienz des Instituts;
• b. zur Unterstützung der Überwachung durch das Leitungsorgan erfolgt eine zeitnahe Berichterstattung über die aktuelle operationale Resilienz des Instituts, insbesondere wenn festgestellte wesentliche Mängel die Wahrnehmung der kritischen oder wichtigen Funktionen des Instituts beeinträchtigen könnten.

6.4.6. Zusammenfassung der Feststellungen, des Scorings und der Aufsichtsmaßnahmen

Auf der Grundlage der vorstehenden Bewertungen sollten die zuständigen Behörden das

entscheidet, diese Unterkategorien individuell zu bewerten und einzustufen, sollten die Vorgaben in dieser Tabelle, soweit wie möglich, analog angewandt werden.

TABELLE 10: Aufsichtliche Erwägungen für die Vergabe eines Scorewerts für das operationelle Risiko

Die nachstehende Tabelle enthält eine nicht erschöpfende Liste von Aufsichtsmaßnahmen, welche die zuständigen Behörden ergreifen können, wenn Mängel im Rahmenwerk für das Management operationeller Risiken und in der operationalen Resilienz des Instituts ermittelt werden (unter Berücksichtigung der engen Verbindung zwischen operationaler Resilienz und dem Management operationeller Risiken). Die zuständigen Behörden sollten über die Art der Maßnahme auf der Grundlage ihrer Wirksamkeit in Bezug auf den spezifischen ermittelten Mangel entscheiden. Die zuständigen Behörden können zusätzliche Aufsichtsmaßnahmen (einschließlich quantitativer Maßnahmen gemäß Artikel 104 Absatz 1 Buchstabe a der Richtlinie 2013/36/EU) oder eine Kombination dieser Maßnahmen mit den in der nachstehenden Tabelle aufgeführten Maßnahmen ergreifen, wenn diese zur Behebung der ermittelten Mängel als angemessener erachtet werden. Bei Verstößen gegen die DORA-Verordnung sollten die zuständigen Behörden die in Artikel 50 der DORA-Verordnung vorgesehenen Korrektur- und Abhilfemaßnahmen in Betracht ziehen.

Tabelle 11: Nicht erschöpfende Liste potenzieller Aufsichtsmaßnahmen, die sich aus der Bewertung des operationellen Risikos und der operationalen Resilienz ergeben Potenzielle Aufsichtsmaßnahmen der zuständigen Behörden gemäß Artikel 104 Absatz 1 Buchstaben b, d, e, f, j, l, m und n der Richtlinie 2013/36/EU sowie Artikel 50 der Verordnung (EU) 2022/2554 – Die zuständigen Behörden können vom Institut Folgendes verlangen: A. aktivere Einbeziehung des Leitungsorgans oder seiner Ausschüsse in Entscheidungen im Zusammenhang mit dem Management des operationellen Risikos; B. Verbesserung der Systeme zur Messung operationeller Risiken; C. Verstärkung der Kontrollen der operativen Prozesse, einschließlich Identifizierung, Überwachung, Reaktion und Wiederherstellung; D. Verbesserung des operativen internen Governance-Rahmens; E. Verbesserung der Meldung operationeller Risiken an das Leitungsorgan und die Geschäftsleitung; F. Erstellung und Umsetzung von Maßnahmenplänen zur Behebung von Mängeln; G. Einschränkung bestimmter Vereinbarungen mit Dritten, insbesondere bei kritischen oder wichtigen Funktionen; H. Verbesserung der Stresstests und Szenarioanalysen in Bezug auf das operationelle Risiko; I. Umsetzung strengerer operativer Maßnahmen; J. Verbesserung der Geschäftsfortführungs-, Reaktions- und Wiederherstellungspläne; K. Verbesserung des Managements des operationellen Risikos in Bezug auf ESG-Risiken, insbesondere Umweltrisiken, möglicherweise auf der Grundlage einer oder mehrerer der vorstehend aufgeführten Maßnahmen.