12. Steuerung operationeller Risiken und operationale Resilienz

Ein Emittent von ART sollte über einen angemessenen Rahmen für das Steuerung operationeller Risiken und die operationale Resilienz verfügen. Dazu gehören wirksame Strategien und Verfahren, um

• a. operationelle Risiken rechtzeitig zu erkennen, zu beurteilen, zu bewerten, zu überwachen, zu melden und abzumildern; und
• b. Bedrohungen und potenzielles Fehlverhalten zu erkennen und sich vor davor zu schützen, auf störende Ereignisse zu reagieren und sich an sie anzupassen sowie sich von ihnen zu erholen und aus ihnen zu lernen, um ihre Auswirkungen auf die Erbringung kritischer oder wichtiger Funktionen zu minimieren¹³ .

¹³ BCBS Principles for Operational Resilience (Grundsätze für die operationale Resilienz), März 2021, https://www.bis.org/bcbs/publ/d516.pdf.

Das Leitungsorgan eines Emittenten von ART sollte als Teil des Risikomanagementrahmens Strategien, Grundsätze und Verfahren für das Management des operationellen Risikos und der operationalen Resilienz genehmigen, einschließlich des Risikoappetits für den Rahmen für das operationelle Risiko und der Risikotoleranz für die Störung kritischer oder wichtiger Funktionen¹⁴ . Diese Strategien, Grundsätze und Verfahren sollten regelmäßig überprüft und gegebenenfalls aktualisiert werden.

¹⁴ Die Toleranz für Störungen ist das Ausmaß der Störungen durch jede Art von operationellem Risiko, das ein Emittent bereit ist, angesichts einer Reihe von schwerwiegenden, aber plausiblen Szenarien zu akzeptieren.

Das Leitungsorgan stellt sicher, dass diese Strategien und Verfahren wirksam umgesetzt werden, vollständig in den allgemeinen Rahmen für das Risikomanagement des Emittenten von ART integriert sind, einschließlich des Risikos im Zusammenhang mit der Inanspruchnahme von Drittunternehmen, und den zuständigen Mitarbeitern wirksam vermittelt werden.

Ein Emittent von ART sollte die Verantwortlichkeiten für das Bewertungs- und Managementsystem für das operationelle Risiko und die operationale Resilienz klar zuweisen.

Ein Emittent von ART sollte seine Exponierung gegenüber operationellen Risiken ermitteln, relevante Daten zu operationellen Risiken, einschließlich Daten über wesentliche Verluste, verfolgen und Szenarioanalysen durchführen.

Der Emittent von ART sollte seine kritischen Geschäftsabläufe im Einklang mit seinem Konzept der operationalen Resilienz ermitteln und die Menschen, Technologien, Prozesse, Daten, Einrichtungen, Dritte, einschließlich gruppeninterner Einheiten, sowie die Verbindungen und Abhängigkeiten zwischen ihnen darstellen, die für die Erfüllung kritischer oder bedeutender Funktionen in einer Situation wie unter normalen Bedingungen und bei Störungen erforderlich sind.

Der Rahmen für das Management des operationellen Risikos und der operationalen Resilienz sollte regelmäßig von internen oder externen Prüfern überprüft werden, die über die für die Durchführung solcher Prüfungen erforderlichen Kenntnisse verfügen. Der Rahmen für das Management des operationellen Risikos und der Rahmen für die operationale Resilienz sollten mit ausreichenden und angemessenen personellen und technischen Ressourcen ausgestattet sein. Das System zur Bewertung des operationellen Risikos und der Rahmen für die operationale Resilienz des Emittenten von ART sollte vollständig in den Rahmen für das Risikomanagement des Emittenten integriert sein.

Es sollte ein System der Berichterstattung an das Leitungsorgan eingeführt werden, das angemessene Berichte über das operationelle Risiko und die operationale Resilienz von den relevanten Funktionen innerhalb des Emittenten von ART vorsieht. Der Emittent von ART sollte über Verfahren verfügen, um gegebenenfalls unverzüglich geeignete Maßnahmen zu ergreifen.

Der Emittent von ART sollte das mit seinen Tätigkeiten, Prozessen und Systemen verbundene operationelle Risiko ermitteln und bewerten, um sicherzustellen, dass die inhärenten Risiken gut verstanden werden.

Unter Berücksichtigung von Titel I über die Anwendung des Grundsatzes der Verhältnismäßigkeit sollten die Emittenten von ART eine Reihe von Szenarien ermitteln, analysieren und messen, einschließlich Ereignissen mit geringer Wahrscheinlichkeit und hohem Schweregrad, von denen einige zu schwerwiegenden Verlusten aufgrund von operationellen Risiken führen könnten. Zu den Inputs für die Szenarioanalyse gehören relevante interne und externe Verlustdaten, Informationen aus Selbstbewertungen, Expertenmeinungen, der interne Kontrollrahmen, zukunftsgerichteten Kennzahlen, Ursachenanalysen und gegebenenfalls der Prozessrahmen. Der Prozess der Szenarioanalyse sollte genutzt werden, um eine Reihe von Folgen potenzieller Ereignisse zu entwickeln, einschließlich Folgenabschätzungen für Risikomanagementzwecke, als Ergänzung zu anderen Instrumenten, die auf historischen Daten oder aktuellen Risikobewertungen basieren.

Hinsichtlich Titel I können Emittenten von ART qualitative Ansätze für die Risikobewertung heranziehen, während Emittenten von signifikanten ART einen komplexeren Ansatz wählen sollten, sofern verfügbar, einschließlich der Verwendung interner und externer Verlustdaten als Grundlage für die Szenarioanalyse.