11. Risikomanagementrahmen

Als Teil des gesamten internen Kontrollrahmens sollten Emittenten von ART über einen ganzheitlichen emittentenweiten Risikomanagementrahmen verfügen, der sich auf alle ihre Geschäftsbereiche und internen Einheiten, einschließlich der internen Kontrollfunktionen erstreckt, wobei dem wirtschaftlichen Gehalt aller Risikopositionen voll und ganz Rechnung zu tragen ist, einschließlich der Risiken, die der Emittent von ART für sich selbst, die Inhaber von Vermögenswerten, die operationellen Risiken und die Risiken, die sich aus dem Reservevermögen ergeben, darstellt.

Der Rahmen für das Risikomanagement sollte den Emittenten von ART in die Lage versetzen, in voller Kenntnis der Sachlage Entscheidungen über alle Risiken zu treffen, denen er ausgesetzt ist oder ausgesetzt sein könnte, einschließlich der IKT-Risiken gemäß der Verordnung (EU) 2022/2554 (DORA)¹² und Abschnitt 12. Der Rahmen für das Risikomanagement sollte alle Risiken umfassen, einschließlich der aktuellen und künftigen Risiken, denen der Emittent von ART ausgesetzt sein könnte. Die Risiken sollten nach dem Bottom-up-Ansatz und dem Top-down-Ansatz, innerhalb der Geschäftsbereiche oder interner Einheiten und geschäftsbereichsübergreifend beurteilt werden, wobei in dem gesamten Emittenten von ART sowie gegebenenfalls auf konsolidierter Ebene eine kohärente Terminologie und kompatible Methoden zugrunde gelegt werden sollten. Alle relevanten Risiken sollten im Rahmen für das Risikomanagement berücksichtigt werden, wobei sowohl finanziellen als auch nicht-finanziellen Risiken ordnungsgemäß Rechnung getragen wird, einschließlich Konzentrationsrisiken, operationellen Risiken, ICT-Risiken, Reputationsrisiken, rechtlichen Risiken, Verhaltens- und ESG-Risiken. Auch das Kreditrisiko, das Marktrisiko, das Konzentrationsrisiko und das Liquiditätsrisiko, welche sich aus dem Reservevermögen ergeben, sollten berücksichtigt werden.

¹² Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor: Amt für Veröffentlichungen (europa.eu)

Der Risikomanagementrahmen eines Emittenten von ART sollte Richtlinien, Verfahren, Risikolimite und Risikokontrollen enthalten, um so eine angemessene, zeitnahe und laufende Ermittlung, Messung oder Bewertung, Überwachung, Steuerung, Minderung und Berichterstattung über die Risiken auf Ebene der Geschäftsbereiche, der internen Einheiten, des Emittenten sowie gegebenenfalls auf Gruppenebene sicherzustellen.

Der Risikomanagementrahmen eines Emittenten von ART sollte konkrete Orientierungshilfen für die Umsetzung der Risikostrategien vorsehen. Mit diesen Orientierungshilfen sollten, soweit erforderlich, interne Limite festgelegt und aufrechterhalten werden, die mit der Risikotoleranz, dem Risikoappetit des Emittenten von ART konsistent sind und mit dem ordnungsgemäßen Geschäftsbetrieb, der operationalen Resilienz, der Ertragskraft, dem Liquiditätsbedarf und den strategischen Zielen in Einklang stehen. Das Risikoprofil eines Emittenten von ART sollte sich innerhalb der festgelegten Limite bewegen. Der Risikomanagementrahmen sollte sicherstellen, dass im Fall der Verletzung der Risikolimite ein definierter Eskalationsprozess zur Adressierung dieser Verletzung im Rahmen eines angemessenen Mängelbeseitigungsverfahrens besteht.

Der Risikomanagementrahmen sollte einer unabhängigen internen Überprüfung unterzogen werden, beispielsweise durch die interne Revision, und regelmäßig im Hinblick auf die Risikotoleranz und den Risikoappetit des Emittenten von ART überprüft werden.

Es sollten fortlaufende und transparente Prozesse für die Berichterstattung eingerichtet werden, damit dem Leitungsorgan und allen relevanten Einheiten eines Emittenten von ART zeitnahe, genaue, präzise, verständliche und aussagekräftige Berichte vorgelegt werden, die wesentliche Informationen über die Ermittlung, Messung oder Beurteilung sowie Überwachung und Steuerung von Risiken erhalten. Der Rahmen für die Berichterstattung sollte klar definiert und dokumentiert sein.

Eine effektive Kommunikation und Sensibilisierung hinsichtlich der Risiken und der Risikostrategie ist für den gesamten Risikomanagementprozess, einschließlich der Überprüfungs- und Entscheidungsprozesse, von entscheidender Bedeutung und hilft, Entscheidungen zu vermeiden, durch die unwissentlich das Risikoniveau erhöht werden könnte. Effektive Risikoberichterstattung setzt eine umfassende interne Würdigung und die Kommunikation der Risikostrategie sowie wichtiger Risikodaten voraus, sowohl horizontal in den gesamten Emittenten von ART als auch nach oben und unten entlang der gesamten Kette der internen Governance.