6.6 Bewertung sonstiger Risiken

Die zuständigen Behörden sollten in Einklang mit den Artikeln 36 und 40 der Richtlinie (EU) 2019/2034 die Bedeutung anderer Risiken für das Kapital der Wertpapierfirma bewerten, die nicht von den Eigenmittelanforderungen der Säule 1 abgedeckt sind. Bei der Bewertung dieser sonstigen Risiken sollten die zuständigen Behörden die Art und Komplexität der Tätigkeiten der Wertpapierfirma berücksichtigen, die sich auf die Bedeutung dieser Risiken auswirken.

6.6.2 Bewertung inhärenter Risiken

Mittels der Bewertung inhärenter Risiken, die nicht von den Eigenmittelanforderungen der Säule 1 abgedeckt werden, sollten die zuständigen Behörden die wichtigsten Risikofaktoren für die Wertpapierfirma ermitteln und deren prudentielle Auswirkungen auf die Wertpapierfirma beurteilen. Die Bewertung dieser Risiken sollte im Wesentlichen die folgenden Schritte umfassen:

• a. erste Beurteilung;
• b. Bewertung der Art und des Umfangs der Anlagetätigkeiten, die ein Risiko für die Wertpapierfirma darstellen, das nicht von den Eigenmittelanforderungen der Säule 1 abgedeckt wird;
• c. Bewertung der Systeme und Prozesse in Bezug auf diese Tätigkeiten.

Die zuständigen Behörden sollten Risiken, die nicht von den Eigenmittelanforderungen der Säule 1 abgedeckt sind, sowohl für die gegenwärtige Situation als auch für zukünftige Szenarien bewerten.

Gegebenenfalls sollten die zuständigen Behörden auch eine Bewertung anderer als der in diesem Kapitel aufgeführten Risiken vornehmen.

Erste Beurteilung

Um festzustellen, in welchem Umfang nicht von den Eigenmittelanforderungen der Säule 1 abgedeckte Risiken bewertet werden müssen, sollten die zuständigen Behörden zunächst die Risikoquellen ermitteln, denen die Wertpapierfirma ausgesetzt ist oder ausgesetzt sein kann.

Mindestens die folgenden Elemente sollten untersucht werden:

• a. das Geschäftsmodell und die Risikobereitschaft;
• b. intern entwickelte oder ausgelagerte IT-Lösungen;
• c. unterstützende Funktionen, die z. B. für Compliance, Rechtsfragen oder Steuern zuständig sind (auch wenn diese Aufgaben ausgelagert wurden);

80

• d. Prozesskosten und Kosten von Rechtsstreitigkeiten;
• e. operative Verluste insgesamt, einschließlich der Kosten für internen und externen Betrug;
• f. Umfang der Geschäfte des Anlagebuchs.

Im Rahmen der vorläufigen Analyse sollten die zuständigen Behörden die Veränderung der vorstehenden Elemente im zeitlichen Verlauf untersuchen, damit die Beurteilung der Hauptfaktoren für sonstige Risiken der Wertpapierfirma auf soliden Informationen beruht.

Zinsänderungsrisiko bei Geschäften des Anlagebuchs

Die zuständigen Behörden sollten das aus Geschäften im Anlagebuch rührende Zinsänderungsrisiko bewerten, dem die Wertpapierfirma ausgesetzt ist.

Die zuständigen Behörden sollten bewerten, inwieweit Änderungen der Zinssätze die Aktiva, Passiva und außerbilanziellen Risikopositionen der Wertpapierfirma nachteilig beeinflussen können. Um die Komplexität und das Zinsänderungsrisikoprofil der Wertpapierfirma besser bestimmen zu können, sollten die zuständigen Behörden auch die Hauptmerkmale der Zinsänderungsrisiken ausgesetzten Aktiva, Passiva und außerbilanziellen Positionen der Wertpapierfirma verstehen.

Im Rahmen ihrer quantitativen Bewertung sollten die zuständigen Behörden die Ergebnisse der internen Methoden der Wertpapierfirma zur Messung des Zinsänderungsrisikos, das sich aus Geschäften des Anlagebuchs ergibt, berücksichtigen. Darüber hinaus sollten die zuständigen Behörden entsprechend der Art des Zinsänderungsrisikos, das sich aus den Geschäften der Wertpapierfirma im Anlagebuch ergibt, geeignete Schockszenarien in Betracht ziehen.

Operationelle Risiken, die nicht von der Säule 1 abgedeckt sind

Die zuständigen Behörden sollten gemäß der Verordnung (EU) 2019/2033 operationelle Risiken bewerten, die nicht durch Mindesteigenmittelanforderungen abgedeckt sind. Diese Risiken könnten zu direkten operativen Verlusten und zu indirekten Verlusten aufgrund von Beschwerden und Rechtsstreitigkeiten führen. Große operationelle Risiken können auch einen Personalmangel in Schlüsselpositionen hervorrufen. Bei der Bewertung sollten nicht nur operative Verluste, sondern auch Beinahe-Ereignisse und mit einem Gewinn abgeschlossene operationelle Risikoereignisse berücksichtigt werden.

Die zuständigen Behörden sollten die folgenden Quellen inhärenter Risiken berücksichtigen und sich bei der Bewertung gegebenenfalls auf die Aspekte konzentrieren, die für die Wertpapierfirma als die wichtigsten betrachtet werden:

• a. Sicherheit am Arbeitsplatz,
• b. Sachschäden,
• c. interner Betrug,

81

• d. externer Betrug,
• e. IKT-Risiken,
• f. Verhaltensrisiko,
• g. regulatorische, rechtliche und steuerliche Risiken,
• h. Modellrisiko in Bezug auf für Geschäftszwecke verwendete Modelle,
• i. (sowohl in qualitativer als auch in quantitativer Hinsicht) unzureichende personelle und technische Ressourcen in Schlüsselpositionen,
• j. Reputationsrisiko.

Im Rahmen aller SREP-Bewertungen sollten die zuständigen Behörden beurteilen, wie hoch das IKT-Risiko ist und inwieweit der IKT-Betrieb mit der Geschäftsstrategie in Einklang steht. Die zuständigen Behörden sollten in ihre Bewertung alle relevanten Aspekte von IKT-Risiken einbeziehen, wie Sicherheitsrisiken, Risiken von IT-Projekten und Risiken des IKT-Managements, soweit dies nicht bereits durch andere Teile dieser Leitlinien abgedeckt ist, und dabei die EBA-Leitlinien zu IKT- und Sicherheitsrisiken¹⁹ und die Leitlinien der ESMA zur Auslagerung an Cloud-Dienstleister²⁰ berücksichtigen;

Die zuständigen Behörden sollten das mit den Anlage- und Markttätigkeiten der Wertpapierfirma verbundene Verhaltensrisiko beurteilen, soweit es nicht von den Eigenmittelanforderungen der Säule 1 erfasst wird. Unter „Verhaltensrisiko“ ist das aktuelle oder künftige Risiko zu verstehen, das Kunden, Märkten oder der Firma selbst durch ein unangemessenes Verhalten der Firma oder ihrer Mitarbeiter entsteht. Dieses Risiko kann sich aus vorsätzlichem oder fahrlässigem Fehlverhalten (einschließlich unangemessener Erbringung von Finanzdienstleistungen) ergeben, soweit dies negative finanzielle Auswirkungen haben oder die Reputation schädigen könnte. Das Reputationsrisiko kann wiederum zu einem Verlust von Marktanteilen oder wichtigen Kunden und zu vermehrten Kundenbeschwerden führen.

Sofern relevant, sollten die zuständigen Behörden folgende Quellen inhärenter Verhaltensrisiken beurteilen:

• a. Schließung oder Aussetzung eines Fonds,
• b. Anzahl der Fälle von Fehlverhalten: missbräuchlicher Verkauf, Marktmanipulation,
• c. verhängte behördliche Sanktionen.

Die zuständigen Behörden sollten die regulatorischen, rechtlichen und steuerlichen Risiken beurteilen, die sich aus der Nichteinhaltung von Gesetzen oder sonstigen Vorschriften ergeben. Diese Risiken könnten zu Rechtsstreitigkeiten und Sanktionen für die

19 EBA-Leitlinien für das Management von IKT- und Sicherheitsrisiken (EBA/GL/2019/04).

20 Leitlinien der ESMA zur Auslagerung an Cloud-Anbieter (ESMA50-164-4285). 82 Wertpapierfirma führen. Auch Abhilfemaßnahmen können mit hohen Kosten verbunden sein, um die Einhaltung von Gesetzen und Vorschriften zu gewährleisten.

Sofern relevant, sollten die zuständigen Behörden folgende Quellen inhärenter regulatorischer, rechtlicher und steuerlicher Risiken beurteilen:

• a. Kosten für die Einhaltung der geltenden Vorschriften,
• b. Zahlung von Geldbußen oder anderen Sanktionen bei Nichteinhaltung,
• c. Steuernacherhebung oder verspätete Zahlung von Gebühren, Geldbußen und Strafen,
• d. Antizipation regulatorischer Änderungen, die für die Wertpapierfirma relevant sind.

Die zuständigen Behörden sollten das Risiko bewerten, das mit für Geschäftszwecke verwendeten Modellen zusammenhängt, z. B. mit Bewertungs-/Preismodellen, Modellen für den algorithmischen Handel und anderen Modellen, die erhebliche Auswirkungen auf die Geschäftsentscheidungen und Tätigkeiten der Wertpapierfirma haben können.

Je nach den Besonderheiten der Wertpapierfirma können die zuständigen Behörden bei der Bewertung von Risiken, die nicht von den Eigenmittelanforderungen der Säule 1 abgedeckt sind, andere Risikoquellen berücksichtigen, die nicht unter die oben genannten Kategorien fallen.

Systemrisiko

Auf der Grundlage quantitativer und qualitativer Kriterien sollten die zuständigen Behörden das Systemrisiko beurteilen, das von der Wertpapierfirma ausgeht. Auf der Grundlage dieser Bewertung sollten die zuständigen Behörden feststellen, ob der Ausfall der Wertpapierfirma zu größeren Störungen auf den Finanzmärkten führen könnte, auf denen sie tätig ist.

Gegebenenfalls kann die Bewertung des Systemrisikos für eine Gruppe von Wertpapierfirmen mit ähnlichem Geschäftsmodell und ähnlichem Risikoprofil in aggregierter Form durchgeführt werden. Bei einer solchen aggregierten Bewertung sollten die zuständigen Behörden prüfen, wie sich der gleichzeitige Ausfall einer bestimmten Anzahl/eines bestimmten Anteils dieser Wertpapierfirmen auf die Finanzmärkte, auf denen sie tätig sind, auswirken würde. Zu diesem Zweck können die zuständigen Behörden ein oder mehrere Szenarien betrachten.

6.6.3 Bewertung des Risikomanagements und der Kontrollen

Um ein umfassendes Bild des Risikoprofils der Wertpapierfirma in Bezug auf Risiken zu gewinnen, die nicht von den Eigenmittelanforderungen der Säule 1 abgedeckt sind, sollten die zuständigen Behörden die Rahmenwerke für die Governance und das Risikomanagement überprüfen, mit denen die Risiken, die sich aus anderen Risikoquellen ergeben, verringert werden. Zu diesem Zweck sollten die zuständigen Behörden unter

83 Berücksichtigung von Umfang, Art und Komplexität der Tätigkeiten der Wertpapierfirma die nachstehenden Elemente bewerten:

• a. Die Strategie der Wertpapierfirma spiegelt die Risikobereitschaft der Wertpapierfirma in Bezug auf diese Risiken korrekt wider und steht mit der allgemeinen Risikobereitschaft in Einklang;
• b. die Wertpapierfirma verfügt über interne Richtlinien und Strategien, die eine solide Risikokultur gewährleisten;
• c. die Wertpapierfirma verfügt über einen angemessenen Rahmen für die Steuerung, Messung, Überwachung und Kontrolle des Zinsänderungsrisikos aus Geschäften des Anlagebuchs;
• d. die Wertpapierfirma verfügt über einen angemessenen Rahmen für die Steuerung, Messung, Überwachung und Kontrolle von IT-Risiken und hält zu diesem Zweck (qualitativ und quantitativ) ausreichende personelle und technische Ressourcen vor;
• e. die Wertpapierfirma verfügt über klar definierte Richtlinien und Verfahren für die Kontrolle des operationellen Risikos.

6.6.4 Zusammenfassung der Ergebnisse und Einstufung

Auf der Grundlage der vorstehenden Bewertungen sollten die zuständigen Behörden die sonstigen Risiken beurteilen, denen die Wertpapierfirma ausgesetzt ist. Diese Beurteilung sollte in einer Zusammenfassung der Ergebnisse wiedergegeben werden, die durch einen Risiko-Score auf der Grundlage der in Tabelle 8 angeführten Erwägungen ergänzt wird. Wenn sich die zuständigen Behörden aufgrund der Wesentlichkeit bestimmter Risikofaktoren dafür entscheiden, diese Faktoren individuell zu bewerten und einzustufen, sollten die Vorgaben in dieser Tabelle, soweit möglich, analog angewandt werden.

Die zuständigen Behörden sollten all diese Faktoren parallel und nicht isoliert

Tabelle 8. Aufsichtliche Erwägungen für die Vergabe eines Scores für sonstige Risiken

Erwägungen in Bezug auf die Risiko- Aufsichtliche Erwägungen in Bezug auf das Angemessenheit des Score Beurteilung inhärente Risiko Risikomanagements und der Kontrollen

• • Die Art der Tätigkeiten beinhaltet • Das Risikomanagement Angesichts der Höhe kein wesentliches Risiko/ein sehr und die Kontrollen der des inhärenten geringes Verhaltensrisiko. Wertpapierfirma stehen in Risikos sowie • Das Zinsänderungsrisiko aus Einklang mit ihrer angesichts des Geschäften des Anlagebuchs ist allgemeinen Strategie und Risikomanagements nicht wesentlich/sehr gering. Risikobereitschaft. 1 und der Kontrollen • Andere operationelle Risiken, • Der organisatorische liegt ein geringes die nicht von den Rahmen ist solide und Risiko einer Eigenmittelanforderungen der sieht eine eindeutige wesentlichen Säule 1 abgedeckt sind, Aufgabenverteilung und prudentiellen insbesondere IKT-Risiken sowie spezifische Management-Auswirkung auf die regulatorische, rechtliche und und Kontrollfunktionen Wertpapierfirma vor. steuerliche Risiken, sind nicht vor. wesentlich/sehr gering. • Die Systeme für die Messung, Überwachung Angesichts der Höhe • Die Art der Tätigkeiten beinhaltet und Meldung sind des inhärenten ein geringes bis mittleres angemessen. Risikos sowie Verhaltensrisiko. angesichts des • Es besteht ein geringes bis Risikomanagements mittleres Zinsänderungsrisiko 2 und der Kontrollen aus Geschäften des Anlagebuchs. liegt ein mittleres bis • Es bestehen geringe bis mittlere geringes Risiko einer sonstige operationelle Risiken, wesentlichen die nicht von den prudentiellen Eigenmittelanforderungen der Auswirkung auf die Säule 1 abgedeckt sind. Wertpapierfirma vor.

Angesichts der Höhe • Die Art der Tätigkeiten beinhaltet • Das Risikomanagement des inhärenten ein mittleres bis hohes und die Kontrollen der

angesichts des • Es besteht ein mittleres bis hohes ihrer allgemeinen Risikomanagements Zinsänderungsrisiko aus Strategie und 3 und der Kontrollen Geschäften des Anlagebuchs. Risikobereitschaft liegt ein mittleres bis • Es bestehen mittlere bis mittlere gegebenenfalls nicht hohes Risiko einer sonstige operationelle Risiken, gerecht. wesentlichen die nicht von den • Der organisatorische prudentiellen Eigenmittelanforderungen der Rahmen sieht keine Auswirkung auf die Säule 1 abgedeckt sind. eindeutige Wertpapierfirma vor. Aufgabenverteilung und

Angesichts der Höhe • Die Art der Tätigkeiten beinhaltet keine spezifischen des inhärenten ein hohes Verhaltensrisiko. Management- und Risikos sowie • Es besteht ein hohes Kontrollfunktionen vor. angesichts des Zinsänderungsrisiko aus • Die Systeme für die 4 Risikomanagements Geschäften des Anlagebuchs. Messung, Überwachung und der Kontrollen • Es bestehen hohe sonstige und Meldung sind nicht liegt ein hohes Risiko operationelle Risiken, die nicht ausreichend oder nicht einer wesentlichen von den hinreichend kohärent, prudentiellen Eigenmittelanforderungen der einige Risiken werden Auswirkung auf die Säule 1 abgedeckt sind. nicht ordnungsgemäß Wertpapierfirma vor. überwacht oder gemeldet.