| Risiko- Aufsichtliche Score Beurteilung | Erwägungen | in Bezug auf das inhärente Risiko | Erwägungen Angemessenheit Risikomanagements | in Bezug auf die des und der Kontrollen |
| Angesichts der Höhe des inhärenten Risikos sowie 1 angesichts des | • • | Das operationelle Risiko ist auf • wenige Kategorien von Ereignissen mit hoher Eintrittswahrscheinlichkeit und geringer Auswirkung begrenzt. Die Exposition gegenüber | Die auf das bezogene strategie Einklang Strategie Risikoappetits | operationelle Risiko Risikopolitik und - des Instituts stehen in mit der allgemeinen und des allgemeinen des Instituts. |
| Risikomanagem ents und der Kontrollen besteht ein | | operationellen Risiken ist laut • Szenarioanalysen und verglichen mit den Verlusten anderer Institute der Peer- | Der organisatorische für das operationelle solide, legt Aufgabenverteilung Erwägungen | Rahmen Risiko ist eine eindeutige fest und in Bezug auf die |
| Risiko- Aufsichtliche Score Beurteilung | Erwägungen | in Bezug auf das inhärente Risiko | Angemessenheit Risikomanagements | des und der Kontrollen |
| geringes Risiko einer wesentlichen aufsichtlichen Auswirkung auf das Institut. | • • • • • | Gruppe nicht wesentlich/sehr gering. Die Höhe der Bruttoverluste (vor Verwertungen und einschließlich Verlusten des Kreditportfolios aufgrund operationeller Risiken), die das • Institut in den vergangenen Jahren zu verzeichnen hatte, • sind nicht wesentlich/sehr gering oder sind von einem hohen Niveau gesunken. Keine erheblichen IKT-Risiken, • einfache/resiliente/agile IKT-Architektur sowie keine • wesentlichen/sehr geringe IKT-Risiken. Das Konzentrationsrisiko gegenüber Drittdienstleistern ist gering, wobei die • Unterauftragsketten einfach strukturiert sind. Die Bedrohungsintensität, die zu größeren Betriebsstörungen (einschließlich IKT-bezogener Vorfälle) kritischer oder • wichtiger Funktionen führen könnte, ist gering. Das operationelle Risiko des Instituts betrifft hauptsächlich | gewährleistet Trennung Aufgaben den Aufgaben Management-Kontrollfunktionen. Der operationelle umfasst Die Systeme Überwachung operationeller angemessen. Der Kontrollrahmen operationelle Das IKT-Risikomanagement die zugehörigen mit Blick Verordnung Anforderungen Das Rahmenwerk Management Drittparteienrisikos und wirksam angemessene Vereinbarungen Wirksames Geschäftsfortführungsmanage ment, einschließlich Geschäftsfortführungs-, Reaktions- | eine klare zwischen den von Risikoträgern und der und Risikorahmen alle relevanten Risiken. für die Messung, und Meldung Risiken sind für das Risiko ist solide. und Kontrollen sind auf die in der DORA-festgelegten angemessen. für das des ist solide und wird durch vertragliche ergänzt. und solides getesteter und |
| Angesichts der Höhe des inhärenten Risikos sowie angesichts des Risikomanagem | • | Kategorien von Ereignissen mit hoher Eintrittswahrscheinlichkeit und geringer Auswirkung. Die Exposition gegenüber operationellen Risiken ist laut Szenarioanalysen und | Wiederherstellungspläne. | |
| ents und der 2 Kontrollen liegt ein geringes bis mittleres Risiko einer wesentlichen aufsichtlichen Auswirkung auf das Institut vor. | • | verglichen mit den Verlusten anderer Institute der Peer-Gruppe gering bis mittel. Die vom Institut in den letzten Jahren erlittenen Bruttoverluste sind gering bis mittel, bzw. es wird ein Anstieg der Bruttoverluste von einem früheren niedrigeren Niveau oder ein Rückgang der Verluste von einem früheren höheren Niveau erwartet. | Erwägungen | in Bezug auf die |
| Risiko- Aufsichtliche Score Beurteilung | Erwägungen • • • • • | in Bezug auf das inhärente Risiko Geringe IKT-Risiken, mäßig komplexe/teilweise eingeschränkte IKT-Architektur und geringe/mittlere IKT-Risiken. Das Konzentrationsrisiko gegenüber Drittdienstleistern ist mittel, wobei die Unterauftragsketten mäßig strukturiert sind. Die Bedrohungsintensität, die zu größeren Betriebsstörungen (einschließlich IKT-bezogener Vorfälle) kritischer oder wichtiger Funktionen führen könnte, ist mittel. Das operationelle Risiko • erstreckt sich auf einige Kategorien von Ereignissen mit geringer Eintrittswahrscheinlichkeit und schwerwiegender Auswirkung. Die Exposition gegenüber operationellen Risiken bewegt | Angemessenheit Risikomanagements Die Kohärenz das operationelle bezogenen strategie allgemeinen Risikoappetits nicht ausreichend oder sogar | des und der Kontrollen zwischen der auf Risiko Risikopolitik und - des Instituts und der Strategie und des des Instituts ist entwickelt unzureichend. |
| Angesichts der Höhe des inhärenten Risikos sowie angesichts des Risikomanagem ents und der | • | sich laut Szenarioanalysen und • verglichen mit den Verlusten anderer Institute der Peer-Gruppe auf einem mittleren bis • hohen Niveau. Die vom Institut in den letzten Jahren bewegen erlittenen sich auf Verluste einem • | Der organisatorische für das operationelle nicht ausreichend Der operationelle schließt Risiken ein. Die Systeme | Rahmen Risiko ist robust. Risikorahmen nicht alle relevanten für die Messung, |
| 3 Kontrollen liegt ein mittleres bis hohes Risiko einer wesentlichen aufsichtlichen Auswirkung auf das Institut vor. | • • | mittleren bis hohen Niveau, bzw. es wird ein Anstieg der Bruttoverluste von einem früheren niedrigeren Niveau • oder ein Rückgang der Verluste von einem früheren höheren Niveau erwartet. • Hinweise erhebliche auf IKT-Risiken, mögliche eine komplexe/starre/fragmentierte IKT-Architektur sowie mittlere/hohe IKT-Risiken. • Das Konzentrationsrisiko gegenüber Drittdienstleistern ist hoch, wobei die Unterauftragsketten mäßig bis lang/komplex strukturiert sind. | Überwachung operationeller unzureichend. Der Kontrollrahmen operationelle schwach. Das IKT-Risikomanagement die entsprechen zugehörigen DORA-Verordnung Anforderungen. Das Rahmenwerk Management Drittparteienrisikos unvollständig/schwach, vertraglichen sind unangemessen. Erwägungen | und Meldung Risiken sind für das Risiko ist und nicht Kontrollen den in der festgelegten für das des ist und die Vereinbarungen in Bezug auf die |
| Risiko- Aufsichtliche Score Beurteilung | Erwägungen • • • | in Bezug auf das inhärente Risiko Die Bedrohungsintensität, die • zu größeren Betriebsstörungen (einschließlich IKT-bezogener Vorfälle) kritischer oder wichtiger Funktionen führen könnte, ist hoch. Das operationelle Risiko erstreckt sich auf alle wichtigen Kategorien. Die Exposition gegenüber operationellen Risiken ist laut | Angemessenheit Risikomanagements Unangemessenes Geschäftsfortführungsmanage ment, einschließlich unzuverlässiger/unwirksamer/u nvollständiger Geschäftsfortführungs-, Reaktions-Wiederherstellungspläne. | des und der Kontrollen und |
| Angesichts der Höhe des inhärenten | | Szenarioanalysen und verglichen mit den Verlusten anderer Institute der Peer-Gruppe hoch und nimmt zu. | | |
| Risikos sowie angesichts des Risikomanagem ents und der Kontrollen 4 besteht ein hohes Risiko einer wesentlichen aufsichtlichen Auswirkung auf das Institut. | • • • • | Das Institut hat in den letzten Jahren hohe Bruttoverluste erlitten, bzw. das Verlustrisiko hat deutlich zugenommen. Zahlreiche Hinweise auf erhebliche IKT-Risikopositionen, eine hoch komplexe/fragile IKT-Architektur und hohe IKT-Risiken. Das Konzentrationsrisiko gegenüber Drittdienstleistern ist sehr hoch/extrem, wobei die Unterauftragsketten lang/komplex strukturiert sind. Die Bedrohungsintensität, die zu größeren Betriebsstörungen (einschließlich IKT-bezogener Vorfälle) kritischer oder wichtiger Funktionen führen könnte, ist sehr hoch/extrem. | | |