AT 4.2 Tz 2
Die Geschäftsleitung muss eine mit der Geschäftsstrategie und den daraus resultierenden Risiken konsistente Risikostrategie festlegen. Die Risikostrategie muss – ggf. unterteilt in Teilstrategien für die wesentlichen Risiken - die Ziele der Risikosteuerung der wesentlichen Geschäftsaktivitäten sowie die Maßnahmen zur Erreichung dieser Ziele umfassen. Insbesondere ist für alle wesentlichen Risiken der Risikoappetit des Instituts festzulegen; Risikokonzentrationen sind hierbei, auch mit Blick auf die Ertragssituation des Instituts, zu berücksichtigen.
Die Geschäftsleitung muss eine mit der Geschäftsstrategie konsistente und nachhaltige IKT-Strategie festlegen. Ist ein Institut verpflichtet, eine DOR-Strategie (Strategie für die digitale operationale Resilienz) zu verfassen, können abhängig von Größe und Gesamtrisikoprofil des Instituts die IKT-Strategie und die DOR-Strategie auch in einem gemeinsamen Dokument verfasst sein. Gleiches gilt für die IKT-Strategie und die Geschäftsstrategie.
Erläuterung
Risikoappetit
Mit der Festlegung des Risikoappetits trifft die Geschäftsleitung eine bewusste Entscheidung darüber, in welchem Umfang sie bereit ist, Risiken einzugehen. Der Risikoappetit kann in vielfacher Weise zum Ausdruck gebracht werden. Neben rein quantitativen Vorgaben (z. B. Strenge der Risikomessung, Globallimite, Festlegung von Puffern für bestimmte Stressszenarien) kann der Risikoappetit auch in der Festlegung von qualitativen Vorgaben zur Geltung kommen (z. B. Anforderung an die Besicherung von Krediten, Vermeidung bestimmter Geschäfte).
1. Übersicht
1.1 Referenzen
1.2 Identifizierte Anforderungen
1.3 Related Standards
2. Identifizierte Anforderungen
Anforderungen
| Source |
Anforderung |
3. Related Standards
Standards
| Source |
Anforderung |
|