6.6 Evaluación de otros riesgos

Las autoridades competentes evaluarán la importancia de otros riesgos para el capital de la empresa de servicios de inversión, que no están contemplados en los requisitos de fondos propios de Pilar 1, de conformidad con los artículos 36 y 40 de la Directiva (UE) 2019/2034. Para evaluar estos otros riesgos, las autoridades competentes tendrán en cuenta la naturaleza y la complejidad de las actividades de la empresa de servicios de inversión que influyen en la relevancia de estos riesgos.

6.6.2 Evaluación de los riesgos inherentes

Mediante la evaluación de los riesgos inherentes que no están contemplados en los requisitos de fondos propios de Pilar 1, las autoridades competentes determinarán los principales factores de riesgo de la empresa de servicios de inversión y evaluarán la importancia del impacto de estos riesgos para la empresa de servicios de inversión. La evaluación de dichos riesgos debe estructurarse con arreglo a las siguientes etapas principales:

• a. evaluación preliminar;
• b. evaluación de la naturaleza y la escala de las actividades de la empresa de servicios de inversión que supongan un riesgo para la empresa de servicios de inversión que no esté contemplado en los requisitos de fondos propios de Pilar 1;
• c. evaluación de los sistemas y procesos relativos a estas actividades.

Las autoridades competentes evaluarán los riesgos que no están contemplados en los requisitos de fondos propios de Pilar 1, tanto actuales como futuros. 78

Cuando proceda, las autoridades competentes también realizarán una evaluación de otros riesgos, además de los enumerados en este capítulo.

Evaluación preliminar

Para determinar el alcance de la evaluación de los riesgos que no están contemplados en los requisitos de fondos propios de Pilar 1, las autoridades competentes identificarán en primer lugar las fuentes de riesgo a las que está o puede estar expuesta la empresa de servicios de inversión.

Como mínimo, las autoridades competentes considerarán lo siguiente:

• a. el modelo de negocio y el apetito de riesgo;
• b. desarrollo interno o externalización de soluciones tecnológicas;
• c. las funciones de apoyo, como las de cumplimiento, servicios jurídicos y fiscales (también en caso de que se externalicen);
• d. coste de demandas y litigios;
• e. pérdidas operativas totales, incluidos los costes de los fraudes internos y externos;
• f. alcance de las actividades ajenas a la cartera de negociación.

Las autoridades competentes realizarán el análisis preliminar teniendo en cuenta la variación de los aspectos anteriores a lo largo del tiempo para formarse una opinión informada de los factores principales de otros riesgos de la empresa de servicios de inversión.

Riesgo de tipo de interés derivado de actividades ajenas a la cartera de negociación (IRRBB)

Las autoridades competentes evaluarán el riesgo de tipo de interés derivado de las actividades ajenas a la cartera de negociación a las que está expuesta la empresa de servicios de inversión.

Las autoridades competentes evaluarán el impacto negativo que pueden tener las variaciones de los tipos de interés en los activos, los pasivos y las exposiciones fuera de balance de la empresa de servicios de inversión. Para determinar mejor la complejidad y el perfil de riesgo de tipo de interés de la empresa de servicios de inversión, las autoridades competentes entenderán también las características principales de los activos, pasivos y exposiciones fuera de balance de la empresa de servicios de inversión.

En su evaluación cuantitativa, las autoridades competentes considerarán también los resultados de las metodologías internas de la empresa de servicios de inversión para medir el riesgo de tipo de interés derivado de las actividades ajenas a la cartera de negociación. Además, las autoridades competentes considerarán escenarios de perturbación apropiados, teniendo en cuenta la naturaleza de la exposición al riesgo de tipo de interés derivado de las actividades ajenas a la cartera de negociación de la empresa de servicios de inversión.

79 Riesgos operacionales no contemplados en el Pilar 1

Las autoridades competentes evaluarán los riesgos operacionales que no están contemplados en los requisitos mínimos de fondos propios de conformidad con el Reglamento (UE) 2019/2033. Estos riesgos podrían ocasionar pérdidas operativas directas y pérdidas indirectas derivadas de reclamaciones y litigios. Asimismo, la existencia de grandes riesgos operacionales puede provocar una escasez de personal en puestos clave. La evaluación deberá tener en cuenta tanto las pérdidas operativas como las cuasi pérdidas y los eventos de riesgo operacional que terminen con una ganancia.

Las autoridades competentes tendrán en cuenta las siguientes fuentes de riesgo inherente y, en su caso, centrarán la evaluación en aquellos aspectos que se consideren más significativos para la empresa de servicios de inversión:

• a. seguridad laboral;
• b. daños a los activos físicos;
• c. fraude interno;
• d. fraude externo;
• e. riesgos de TIC;
• f. riesgo de conducta;
• g. riesgos regulatorios, jurídicos y fiscales;
• h. riesgo de modelo, en relación con los modelos utilizados para las actividades de negocio;
• i. insuficiencia —tanto cualitativa como cuantitativa— de recursos humanos y técnicos en puestos clave;
• j. riesgo de reputación.

Como parte de todas las evaluaciones del PRES, las autoridades competentes se formarán una opinión sobre el grado de riesgo de las TIC, así como sobre la coherencia de las operaciones de TIC con la estrategia de negocio. Las autoridades competentes incluirán en su evaluación todos los aspectos pertinentes del riesgo de TIC, como el riesgo de seguridad, el riesgo de proyectos tecnológicos y el riesgo de gestión de TIC, en la medida en que no esté ya contemplado en otras partes de las presentes Directrices, y teniendo en cuenta las Directrices de la ABE sobre riesgos de TIC y de seguridad¹⁹ y las Directrices de la AEVM sobre la externalización a proveedores de servicios en la nube²⁰ ;

Las autoridades competentes se formarán una opinión sobre el grado de riesgo de conducta relacionado con las actividades de inversión y de mercado de la empresa de servicios de inversión, en la medida en que no esté contemplado en los requisitos de fondos

19 Directrices de la ABE sobre gestión de riesgos de TIC y de seguridad (EBA/GL/2019/04).

20 Directrices de la AEVM sobre la externalización a proveedores de servicios en la nube (ESMA50-164-4285). 80 propios de Pilar 1. El riesgo de conducta deberá entenderse como el riesgo actual o futuro en el que incurren los clientes, los mercados o la propia empresa debido a un comportamiento inadecuado de la empresa o de su personal. Este riesgo puede surgir de casos de mala conducta intencionada o negligente (incluida la prestación inadecuada de servicios financieros), en la medida en que puedan provocar impactos financieros o reputacionales negativos. Este riesgo de reputación puede conllevar, a su vez, una pérdida de cuotas de mercado o de clientes clave y un aumento de las quejas y reclamaciones de los clientes.

Las autoridades competentes se centrarán en las siguientes fuentes de riesgo inherente de conducta cuando sea pertinente:

• a. cierre o suspensión de un fondo;
• b. número de incidentes de mala conducta: venta indebida, manipulación del mercado;
• c. sanciones regulatorias impuestas.

Las autoridades competentes se formarán una opinión sobre los riesgos regulatorios, jurídicos y fiscales derivados del incumplimiento de las leyes o disposiciones legales. Estos riesgos podrían derivar en litigios y sanciones para la empresa de servicios de inversión. Los programas de medidas correctoras también pueden suponer grandes gastos para cumplir con la ley y las disposiciones legales.

Las autoridades competentes se centrarán en estas fuentes de riesgos inherentes regulatorios, jurídicos y fiscales cuando sea pertinente:

• a. los costes para cumplir las disposiciones legales aplicables;
• b. el pago de multas u otras sanciones por incumplimiento;
• c. actas de inspección levantadas o el pago de recargos, multas y sanciones por demora;
• d. anticipación de los cambios regulatorios que sean pertinentes para la empresa de servicios de inversión.

Las autoridades competentes evaluarán el riesgo relativo a los modelos utilizados para las actividades de negocio, incluidos los modelos de valoración/tasación, los modelos de trading algorítmico y otros modelos que puedan tener un impacto significativo en las decisiones y actividades de negocio de la empresa de servicios de inversión.

Teniendo en cuenta las especificidades de la empresa de servicios de inversión, al realizar la evaluación de los riesgos que no están contemplados en los requisitos de fondos propios de Pilar 1, las autoridades competentes podrán considerar otras fuentes de riesgo que no están incluidas en las categorías mencionadas.

81 Riesgo sistémico

Basándose en criterios cuantitativos y cualitativos, las autoridades competentes se formarán una opinión sobre el riesgo sistémico de la empresa de servicios de inversión. Basándose en esta evaluación, las autoridades competentes determinarán si la inviabilidad de la empresa de servicios de inversión podría provocar perturbaciones importantes en los mercados financieros en los que opera.

Cuando proceda, la evaluación del riesgo sistémico podrá realizarse de forma agregada para un grupo de empresas de servicios de inversión con un modelo de negocio y un perfil de riesgo similares. Al realizar esta evaluación agregada, las autoridades competentes tendrán en cuenta las posibles repercusiones de la inviabilidad simultánea de un número concreto o proporción determinada de estas empresas de servicios de inversión en los mercados financieros en los que operan. Para ello, las autoridades competentes podrán tener en cuenta uno o varios escenarios.

6.6.3 Evaluación de la gestión de riesgos y controles

Para tener un conocimiento más amplio del perfil de riesgo de la empresa de servicios de inversión en relación con los riesgos que no están contemplados en los requisitos de fondos propios de Pilar 1, las autoridades competentes revisarán el marco de gobernanza y de gestión de riesgos que reduzca el riesgo derivado de otras fuentes de riesgo. Para ello, las autoridades competentes evaluarán los siguientes elementos, teniendo en cuenta también el volumen, la naturaleza y la complejidad de las actividades de la empresa de servicios de inversión:

• a. si la estrategia de la empresa de servicios de inversión refleja correctamente su apetito por esos riesgos y es coherente con el apetito general de riesgo;
• b. si la empresa de servicios de inversión cuenta con directrices y políticas internas para asegurar una cultura de riesgos sólida;
• c. si la empresa de servicios de inversión dispone de un marco adecuado para la gestión, la medición, el seguimiento y el control del riesgo de tipo de interés derivado de las actividades ajenas a la cartera de negociación;
• d. si la empresa de servicios de inversión dispone de un marco adecuado para la gestión, la medición, el seguimiento y el control de los riesgos tecnológicos y si cuenta con recursos humanos y técnicos suficientes (tanto cualitativos como cuantitativos);
• e. si la empresa de servicios de inversión tiene políticas y procedimientos claramente definidos para el control del riesgo operacional.

82 6.6.4 Resumen de los resultados y puntuación

Basándose en la evaluación anterior, las autoridades competentes se formarán una opinión sobre otros riesgos de la empresa de servicios de inversión. Esta opinión se reflejará en un resumen de resultados, acompañado de una puntuación del riesgo según las consideraciones especificadas en el cuadro 8. Si, en función de la materialidad de determinados factores de riesgo, las autoridades competentes deciden evaluarlos y puntuarlos de forma individual, las instrucciones facilitadas en este cuadro deberán aplicarse por analogía, en la medida de lo posible.

Las autoridades competentes tendrán en cuenta todos estos factores de manera paralela y no aislada y conocerán los factores que determinan los riesgos no cubiertos por los requisitos de fondos propios de Pilar 1.

Cuadro 8. Consideraciones supervisoras para asignar una puntuación a otros riesgos