6.4. Operatsiooniriski hindamine

Operatsiooniriski juhtimise raamistiku hindamisel peaksid pädevad asutused muu hulgas hindama seda, kas finantsinstitutsioon järgib lõikes 12 osutatud õigusakte, mis on eraldi avaldatud EBA veebisaidil.

Pädevad asutused peaksid hindama operatsiooniriski finantsinstitutsiooni kõigi ärivaldkondade ja tegevuste korral, arvestades sisejuhtimiskorda ja kogu finantsinstitutsiooni hõlmavate kontrollide hindamise tulemusi, nagu on sätestatud jaotises 5. Hindamist läbi viies peaksid pädevad asutused määrama, kuidas operatsioonirisk võib realiseeruda, arvestades ka finantsinstitutsiooni kahjuandmete kogumit ja muude seotud riskide võimalikku mõju (nt krediidi- ja turuga seotud operatsiooniriski limiidid).

Pädevad asutused peaksid hindama kolmandate osapoolte teenusepakkujatest tuleneva operatsiooniriski olulisust, sealhulgas kontsentratsiooni (üksuse ja vajaduse korral kontserni tasandil) ühe või mitme teenuse osas, mida osutab üks kolmas osapool (otseselt või kaudselt alltöövõtjate ahela kaudu), või piiratud arvu kolmandate osapoolte teenuseosutajate puhul, kes toetavad finantsinstitutsiooni kriitilisi või olulisi funktsioone, ning seda, kas need võivad mõjutada finantsinstitutsiooni tegevuskerksust, tulemuslikkust ja riskijuhtimist. Hindamisel peaksid pädevad asutused võtma arvesse, mil määral teised finantsinstitutsioonid kasutavad samu kolmandast isikust teenuseosutajaid, kui selline teave on neile kättesaadav.

Operatsiooniriski hindamisel peaksid pädevad asutused vastavalt digitaalse tegevuskerksuse määrusele hindama IKT-riski ja selle võimalikku mõju finantsinstitutsiooni kriitilistele või olulistele funktsioonidele, sealhulgas võimalikku finantsilist, mainealast, regulatiivset ja strateegilist mõju finantsinstitutsioonile.

Pädevad asutused peaksid hindama, kas finantsinstitutsioonil on piisav tegevuskerksuse lähenemisviis, et suuta häireid taluda, nendega kohaneda ja neist taastuda, kui need tekivad, ning kas see on piisavalt ja järjepidevalt kooskõlas olemasoleva riskijuhtimise raamistikuga, talitluspidevuse kavadega ja kolmandate osapoolte haldamisega.

Operatsiooniriski hindamisel peaksid pädevad asutused vajaduse korral hindama, kas finantsinstitutsiooni poliitika ja menetlused võimaldavad asjakohaselt kindlaks teha, hinnata ja juhtida krüptovara tegevusest ning selle aluseks olevast tehnoloogiast tulenevaid operatsiooniriske.

Pädevad asutused peaksid hindama maineriski koos operatsiooniriskiga, kuna see on olemuslikult seotud operatsiooniriski juhtumitega. Maineriski hindamise tulemus ei tohiks siiski kajastuda operatsiooniriski skooris, vaid seda tuleks vajaduse korral käsitleda ärimudeli analüüsi ja/või likviidsusriski hindamise osana, sest selle peamine mõju võib kahjustada investorite, hoiustajate või pankadevaheliste turuosaliste usaldust finantsinstitutsiooni vastu.

Pädevad asutused peaksid hindama keskkonna-, sotsiaalsete ja juhtimisriskide mõju tegevus- ja maineriskidele ning keskkonna-, sotsiaalsete ja juhtimisriskidega seotud operatsiooni- ja maineriskide kontrollimeetmete piisavust, pöörates erilist tähelepanu füüsilistele keskkonna- ja üleminekuriskidele. Eelkõige peaksid pädevad asutused õiguslike ja maineriskide hindamisel arvesse võtma keskkonnariske ja rohepesu riske.

6.4.2. Olemusliku operatsiooniriski hindamine

Pädevad asutused peaksid omandama põhjaliku arusaama finantsinstitutsiooni olemuslikest operatsiooniriskidest ning hindama selle riski olulisust finantsinstitutsiooni usaldusväärsuse seisukohalt, samuti selle mõju finantsinstitutsiooni võimele täita kriitilisi või olulisi ülesandeid häireolukorras.

Selle hindamise toetamiseks peaksid pädevad asutused võtma arvesse operatsiooniriski omavahendite nõuet võrreldes omavahendite kogunõudega ja vajaduse korral finantsinstitutsiooni poolt operatsiooniriskile eraldatud sisekapitali võrreldes kogu sisekapitaliga. Lisaks peaksid pädevad asutused kasutama teadmisi, mis on saadud järelevalvealase läbivaatamise ja hindamise protsessi muude elementide (eelkõige 4. ja 5. jaotise) hindamisest, võrdlusest konkurentidega, mis tahes muust järelevalvetegevusest, sealhulgas rahapesu ja terrorismi rahastamise tõkestamise järelevalveasutustelt ja turujärelevalveasutustelt saadud teabest ning muudest asjakohastest teabeallikatest.

Pädevad asutused peaksid arvestama vähemalt peamiste operatsiooniriski teguritega ja võimalike häirivate stsenaariumidega ning vajaduse korral analüüsima neid ärivaldkonna, juriidilise isiku, geograafilise piirkonna ja sündmuste tüübi kategooria kaupa (sõltuvalt andmete kättesaadavusest) ning võrdlema finantsinstitutsiooni olukorda teiste sarnaste asutustega. Need tegurid peaksid hõlmama vähemalt finantsinstitutsiooni peamist operatsiooniriski strateegiat ja operatsiooniriski riskivalmidust, ärikeskkonda (sealhulgas geograafilist kohalolekut, IKT-tegevust ja turustuskanaleid), hiljutisi olulisi ettevõtte sündmusi (nagu ühinemised, omandamised, võõrandamised ja ümberkorraldused), IKT-süsteeme ja muid IKT-ga seotud aspekte vastavalt punktile 6.4.2.3, protsessimuutusi, kolmandate osapooltega sõlmitud kokkuleppeid, regulatiivse vastavuse küsimusi, ärieesmärke ja motivatsioonisüsteeme ning muid olulisi operatsiooniriski mõjutajaid.

Operatsiooniriski positsioonide olemus ja olulisus

Pädevad asutused peaksid määrama kindlaks operatsiooniriski positsioonide olemuse, analüüsides operatsiooniriski peamiste allikate ja teguritega seotud riskipositsioone, et kujundada tulevikku vaatav seisukoht tulevasest operatsiooniriskist. Käesoleva analüüsi puhul peavad pädevad asutused tegema järgmist:

• a. võivad arvesse võtta asutuse jaoks olulist tegevusmudelit, ärivaldkondi, tooteid, protsesse ja geograafilisi piirkondi, sõltuvuste hindamist ning peamiste riskitegurite (nt protsessid, inimesed, süsteemid ja välised tegurid) põhjustatud operatsioonilise riski avatust ning riskitegurite vastastikmõju, kasutades selleks asutuse enda riskihindamist, võrdlusanalüüsi, andmeid ning avalikke ja/või konsortsiumi andmebaase, kui need on kättesaadavad ja asjakohased;
• b. võtma arvesse finantsinstitutsioonile avalduvate sündmuste sagedust ja tõsidust, ja eristama neid, mis põhjustavad tõsiseid kahjusid, ja neid, mis esinevad suure sagedusega. Selle eristuse alusel peaksid pädevad asutused hindama operatsiooniriski kahjude suundumusi ja nende kontsentratsiooni; ning
• c. peaksid võimendama stsenaariumianalüüse ning kaaluma finantsinstitutsiooni kavandatavaid äritegevusi ja tulevasi operatsiooniriski analüüse, kui need on kättesaadavad, võttes arvesse juba võetud ja tõhusaid parandusmeetmeid ning maandamismeetmeid.

Pärast operatsiooniriski peamiste allikate ja mõjutegurite kindlakstegemist ja analüüsimist peaksid pädevad asutused keskenduma nendele, millel on finantsinstitutsioonile kõige olulisem potentsiaalne mõju.

Peamine teabeallikas, mida pädevad asutused peaksid arvesse võtma, on finantsinstitutsiooni kahju- ja sündmuste andmekogum, kuna see võib anda väärtuslikku teavet finantsinstitutsiooni operatsiooniriskiprofiili muutumise kohta. Pädevad asutused peaksid perioodiliselt hindama kahjuandmete terviklikkust, täpsust ja kvaliteeti. Teine teabeallikas peaks olema finantsinstitutsiooni andmed kõigi IKT-intsidentide ja oluliste küberohtude kohta (vastavalt digitaalse tegevuskerksuse määruse artikli 17 lõikele 2) ning tuvastatud IKT-riski allikate kohta (vastavalt digitaalse tegevuskerksuse määruse artikli 8 lõikele 2).

Operatsiooniriski alamkategooriate hindamine

Pädevad asutused peaksid keskenduma operatsiooniriski alamkategooriate hindamisel nendele, mida peetakse finantsinstitutsiooni jaoks oluliseks. Pädevad asutused peaksid kohaldama oma eksperdihinnangut ka selleks, et tuvastada olulised alamkategooriad, tuginedes kõigile kättesaadavatele sise- ja välisteabeallikatele. Hindamist tehes peaksid pädevad asutused pöörama alati tähelepanu operatsiooniriski järgmistele aspektidele³² :

• a. õiguslik risk;
• b. mudelirisk;
• c. IKT-risk.

6.4.2.1. Õiguslik risk

³² Operatsiooniriski alamkategooriate mittetäielik jaotus on esitatud III lisas.

Pädevad asutused peaksid finantsinstitutsiooni õiguslikust riskist tulenevate riskipositsioonide asjakohasuse ja olulisuse hindamisel arvestama järgmist:

• a. ebasobivate toodete või teenuste müük;
• b. äritegevusega seotud huvide konfliktid;
• c. intressibaasmääradega, valuutavahetuskurssidega või muude finantsinstrumentidega või indeksitega manipuleerimine;
• d. finantsinstrumentide eluaja jooksul nende vahetamise ja/või finantsteenuste osutajate vahetamise piirangud;
• e. toodete automaatne uuendamine või väljumistrahvid ning/või
• f. kliendikaebuste menetlemine;
• g. riiklike ja rahvusvaheliste eeskirjade ja määruste rikkumine (maksueeskirjad, sisene pettus või sisene vargus, rahapesuvastased eeskirjad, terrorismivastased eeskirjad ja majanduslikud sanktsioonid);
• h. keskkonnaalased, sotsiaalsed ja juhtimisega seotud riskipositsioonid, eelkõige keskkonna ja rohepesuga seotud kohtuvaidluse riskipositsioonid.

Pädevad asutused peaksid kaaluma, kas finantsinstitutsioonile võivad kohtumenetluste tulemusel tekkida kulud, trahvid, karistused või karistuslikud kahjuhüvitised, ning võtma arvesse kaebuste arvu ja sisu. Lisaks stimuleerimispoliitika kontrollimisele tuleks kasutada ka jaotise 4 hindamise tulemusi, et saada põhjalikku teavet võimaliku väärkäitumise allikate kohta. Selles kontekstis peaksid pädevad asutused kaaluma ka seda, kas finantsinstitutsioonil on olemas piisavad ja tõhusad süsteemid ning protsessid piiravate meetmete (nt sanktsioonide) rakendamiseks ja järgimiseks, sealhulgas hindama asutuse vastavust EBA suunistele sise-eeskirjadele, menetluste ja kontrollide kohta³³ .

³³ EBA suunised sise-eeskirjade, menetluste ja kontrollide kohta, millega tagatakse liidu ja riiklike piiravate meetmete rakendamine (EBA/GL/2024/14)

Pädevad asutused peaksid siiski kohaldama tulevikku suunatud meetodit, arvestades ka regulatiivnõuete muutuste ja asjaomaste ametiasutuste tegevuse võimalikku mõju seoses tarbijakaitsega ning finantsteenuste üldise osutamisega.

6.4.2.2. Mudelirisk

Operatsiooniriski korral peaksid pädevad asutused hindama mudeliriski, pöörates erilist tähelepanu asutusesisestele mitteregulatiivsetele mudelitele (nt tehisintellektimudelid, toote hinnakujundus, riski piirmäärade kehtestamine ja seire, sisemise kapitali adekvaatsuse hindamise protsessi ja sisemise likviidsuse adekvaatsuse hindamise protsessi mudelid, finantsseisundi taastamise võimalused).

Mudeliriski hindamisel peaksid pädevad asutused arvestama järgmist:

• a. mis ulatuses ja mis eesmärgil kasutab finantsinstitutsioon otsuste tegemisel mudeleid ja selliste otsuste äriline olulisus. Pädevad asutused peaksid kindlaks määrama äritegevuse/tegevuse, mille jaoks finantsinstitutsioon kasutab mudeleid olulisel määral, ning hindama mudeliriski võimalikku mõju muu hulgas tundlikkuse ja stsenaariumi analüüside või stressitestimise kaudu; ning
• b. kontrollimehhanismide usaldusväärsus (meetodite, sageduse, järelkontrolli jms seisukohalt), sealhulgas mudeli heakskiitmise protsess, läbiviidavad regulaarsed läbivaatamised ning asutuse teadlikkus mudeli puudustest või turu- ja ärisuundumustest.

Kui mudeleid kasutatakse otsuste tegemiseks (nt toote hinnakujundus, tehisintellektimudelid, finantsinstrumentide hindamine, kliendiprofiili koostamine), peaksid pädevad asutused hindama, kas mudeliriski tuvastamiseks ja maandamiseks on olemas usaldusväärne sisemine valideerimisprotsess ja/või mudeli läbivaatamise protsess (v.a regulatiivsed mudelid).

Pädevad asutused peaksid mudeli riskihindamist tehes arvestama kapitalile ning likviidsusele ja rahastamisele avalduvate muude riskide hinnanguid, eelkõige seoses riski mõõtmiseks, hinnakujunduseks ning varade ja/või kohustuste hindamiseks kasutatavate metoodikate adekvaatsusega. Sellise hindamise tulemused peaksid andma teavet operatsiooniriski tulemuste kohta.

6.4.2.3. IKT-risk – olemusliku IKT-riski hindamine

Oluliste IKT-riskide tuvastamine

Kooskõlas digitaalse tegevuskerksuse määrusega peaksid pädevad asutused läbi vaatama finantsinstitutsiooni kõigi IKT-toega ärifunktsioonide, rollide ja kohustuste, neid funktsioone toetavate infovarade³⁴ ja IKT-varade³⁵ ning nende IKT-riskiga seotud rollide ja sõltuvuste tuvastamise, liigitamise ja dokumenteerimise. Käesolev läbivaatamine peaks aitama pädevatel asutustel saada põhjalik ülevaade finantsinstitutsiooni olemuslikust IKT-riskipositsioonist (IKT-riskiprofiil), tuvastada selle olulised sisemised IKT-riskid ning kujundada arvamus nende mõju kohta usaldatavusnõuete täitmisele. Selleks peaksid pädevad asutused kaaluma vähemalt järgmist, kui see on asjakohane ja kohaldatav:

• a. IKT-riskide juhtimise raamistiku läbivaatamise aruanne (digitaalse tegevuskerksuse määruse artikli 6 lõike 5 kohaselt);
• b. digitaalse tegevuskerksuse määruse artikli 8 lõike 2 alusel finantsinstitutsiooni tuvastatud IKT-riski allikad, eelkõige riskipositsioon teiste finantsüksuste suhtes ja nende riskipositsioonid;
• c. teatatud suured IKT-intsidendid (vastavalt digitaalse tegevuskerksuse määruse artikli 19 lõikele 1), sealhulgas suurte IKT-intsidentide tekitatud aasta kogukulu ja -kahju suundumus (vastavalt digitaalse tegevuskerksuse määruse artikli 11 lõikele 10);
• d. digitaalse tegevuskerksuse testimise programmis kavandatud testide tulemused (vastavalt digitaalse tegevuskerksuse määruse artiklile 24), sealhulgas ohuteabel põhineva läbistustestimise tulemuste ja seotud paranduskavade kokkuvõte (vastavalt digitaalse tegevuskerksuse määruse artikli 26 lõikele 6);
• e. teaberegister (digitaalse tegevuskerksuse määruse artikli 28 lõike 3 kohaselt), sealhulgas IKT kolmandatest isikutest teenuseosutajatega, sealhulgas IKT grupisiseste teenuseosutajatega seotud kontsentreerituse määr IKT teenuste ja/või IKT-süsteemide liikide kaupa;
• f. juhtivate järelevaatamisasutuste soovitused ja arvamused (vastavalt digitaalse tegevuskerksuse määruse artikli 40 lõikele 3 ja artikli 42 lõikele 7) ning nendega seotud vastused, aruanded ja teave kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajatelt (vastavalt digitaalse tegevuskerksuse määruse artikli 35 lõike 1 punktile c, artikli 42 lõikele 1 ja artikli 48 lõikele 2);
• g. IKT-süsteemide keerukuse tase ja vanade IKT-süsteemide IKT-riskide hindamise tulemused (digitaalse tegevuskerksuse määruse artikli 8 lõike 7 kohaselt);
• h. oluliste muudatuste riskihindamine (digitaalse tegevuskerksuse määruse artikli 8 lõike 3 kohaselt);
• i. uuenduslike IKT-lahenduste kasutuselevõtu ja integreerimise tase;
• j. andmekeskuste ja tundlike määratud valdkondade asukohad (nimelt piirkonnad või riigid), sealhulgas juhul, kui IKT kolmandast isikust teenuseosutajad osutavad lepingulisi IKT-teenuseid, hõlmates ka andmete töötlemise ja salvestamise asukohta;
• k. jaotise 5 alusel kindlaks tehtud mis tahes seotud olulised puudused või nõrkused;
• l. IKT-riskide ja -kontrollimeetmete enesehinnangud (kui need on sisemise kapitali adekvaatsuse hindamise protsessi teabes esitatud);
• m. asutuse juhtorganile esitatud IKT-riskidega seotud juhtimisteave;
• n. IKTga seotud sise- ja välisauditite tulemused;
• o. väline ohukeskkond, sealhulgas teave ohtude ja haavatavuste kohta.

IKT-süsteemide ja IKT-teenuste ülevaade

³⁴ Määruse (EL) 2022/2554 artikli 3 lõige 6

³⁵ Määruse (EL) 2022/2554 artikli 3 lõige 7

Pädevad asutused peaksid vaatama läbi finantsinstitutsiooni asjakohase dokumentatsiooni, metoodika ja protsessid ning kujundama arvamuse selle kohta, kas finantsinstitutsioon on nõuetekohaselt tuvastanud IKT-süsteemid ja -teenused, mis toetavad kriitilisi või olulisi funktsioone. Selleks peaksid pädevad asutused arvestama järgmist:

• a. kriitilisi või olulisi funktsioone toetavad IKT-süsteemid ning finantsinstitutsiooni tuvastatud kriitilise tähtsusega infovarad ja IKT-varad (digitaalse tegevuskerksuse määruse artikli 8 kohaselt);
• b. peamised protsessid, mis sõltuvad IKT kolmandast isikust teenuseosutajatest, sealhulgas seosed IKT kolmandast isikust teenuseosutajatega, kes toetavad finantsinstitutsiooni tuvastatud kriitilisi või olulisi funktsioone (digitaalse tegevuskerksuse määruse artikli 8 lõike 5 kohaselt).

Kriitilisi või olulisi funktsioone toetavate IKT-süsteemide ja IKT-teenustega seotud oluliste IKT-riskide kindlaksmääramine ja kaardistamine

Pädevad asutused peaksid seejärel liigitama tuvastatud olulised IKT-riskid III lisas sätestatud IKT-riskikategooriatesse. Finantsinstitutsioonilt eeldatakse pigem oma riskiklassifikatsiooni kui lisas esitatud IKT-riskide klassifikatsiooni kasutamist.

6.4.3. Operatsiooniriski juhtimise ja kontrolliraamistiku hindamine

Pädevad asutused peaksid hindama finantsinstitutsiooni operatsiooniriski juhtimiseks ja kontrollimiseks kehtestatud raamistikku ning meetmeid, võttes arvesse jaotises 5 käsitletud üldise riskijuhtimise ja sisekontrolliraamistiku analüüsi tulemusi, kuna see mõjutab finantsinstitutsiooni operatsiooniriski positsioone. Rahapesu ja terrorismi rahastamise riski osas peaks pädev asutus võtma arvesse rahapesu ja terrorismi rahastamise tõkestamise järelevalveasutuse esitatud hinnanguid.

Operatsiooniriski strateegia ja -valmidus

Pädevad asutused peaksid hindama, kas finantsinstitutsioonil on juhtorgani poolt heaks kiidetud usaldusväärne, selgelt sõnastatud ja dokumenteeritud operatsiooniriski strateegia ning riskitaluvuse tase, milles on kirjeldatud operatsiooniriski olemust, liike ja tasemeid, mida finantsinstitutsioon on valmis võtma. Selle hindamise puhul peaksid pädevad asutused muu hulgas võtma arvesse juhtorgani rolli operatsiooniriski strateegia ja valmiduse (sealhulgas IKT-riskivalmiduse ja digitaalse tegevuskerksuse strateegia) kehtestamisel, heakskiitmisel, rakendamisel ja läbivaatamisel, strateegia piisavat katvust ja asjakohasust seoses finantsinstitutsiooni operatsiooniriski profiili laadi ja olulisusega. Organisatsiooniline ja sisekontrolliraamistik

Pädevad asutused peaksid hindama, kas finantsinstitutsioon järgib määruse (EL) nr 575/2013 artiklit 323. Selle hindamise käigus peaksid pädevad asutused hindama organisatsioonilise raamistiku ja juhtimiskorra usaldusväärsust ja tõhusust, et võimaldada tõhusat operatsiooniriski juhtimist, mõõtmist ja kontrolli, millel on nõutavate ülesannete täitmiseks piisavad inim- ja tehnilised ressursid. Pädevad asutused peaksid arvesse võtma, kas operatsiooniriski tuvastamiseks, hindamiseks, leevendamiseks, jälgimiseks ja sellest teatamiseks on kehtestatud selged vastutusalad ning kas järgitakse kolme kaitseliini mudelit.

Pädevad asutused peaksid hindama, kas finantsinstitutsioonil on tugev kontrolliraamistik ja usaldusväärsed kaitsemeetmed operatsiooniriski leevendamiseks, sealhulgas asjakohased põhimõtted ja menetlused, mis hõlmavad ka jääkriski, ning kas need on kooskõlas finantsinstitutsiooni operatsiooniriski juhtimise riskivalmiduse ja strateegiaga ning hõlmavad kõiki olulisi tegevusi ja protsesse. See hõlmab muu hulgas hindamist, kas need põhimõtted ja menetlused on selgelt vormistatud, neist on teavitatud ning neid rakendatakse kogu finantsinstitutsioonis järjepidevalt.

Pädevad asutused peaksid hindama ka siseauditi funktsiooni toimimist, pöörates tähelepanu operatsiooniriski juhtimise raamistiku siseauditite piisavusele, ulatusele ja sagedusele.

Talitluspidevus, reageerimine ja taastamine

Pädevad asutused peaksid hindama finantsinstitutsiooni vastavust i) EBA sisejuhtimise suunistele seoses talitluspidevuse üldise juhtimisega ja ii) digitaalse tegevuskerksuse määrusele seoses IKT talitluspidevuse poliitika ning IKT reageerimis- ja taastekavadega. Sellega seoses peaksid pädevad asutused määrama, kas IKT talitluspidevuse poliitika ning IKT reageerimis- ja taastekavad on finantsinstitutsiooni üldise talitluspidevuse poliitika ning reageerimis- ja taastekava lahutamatu osa.

Pädevad asutused peaksid hindama, kas finantsinstitutsioon on kehtestanud tõhusa talitluspidevuse juhtimise koos testitud talitluspidevuse, reageerimis- ja taastekavadega, mis hõlmavad vähemalt tema kriitilisi või olulisi funktsioone, sealhulgas neid, mille jaoks on sõlmitud leping kolmandast isikust teenuseosutajatega, ning kas neis võetakse arvesse mitmesuguseid tõsiseid, kuid realistlikke stsenaariume, mille suhtes finantsinstitutsioon võib olla haavatav. Pädevad asutused peaksid samuti hindama, kas asutuse tegevuse järjepidevuse poliitika võimaldab võtta asjakohaseid reageerimis- ja taastamismeetmeid mis tahes tüüpi intsidendi korral.

Pädevad asutused peaksid kindlaks tegema, kas finantsinstitutsiooni talitluspidevuse juhtimine hõlmab järgmist:

• a. talitlusmõju analüüs;
• b. asjakohased finantsseisundi taastamise strateegiad, mis hõlmavad peamisi sise- ja välissõltuvusi ning finantsseisundi taastamise selgelt määratletud prioriteete ja vastupanuvõime taset;
• c. põhjalikud ja paindlikud plaanid usutavate häireolukordade lahendamiseks, mis koostatakse talitlusmõju analüüsi alusel ning kooskõlas sise- ja väliste sidusrühmadega;
• d. kavad, millega kehtestatakse erandolukorra strateegiad ning reageerimis- ja taastamismenetlused;;
• e. kavade koostamise ja toimimise tõhususe tõhus testimine;
• f. talitluspidevuse juhtimise teadvustamis- ja koolitusprogrammid;
• g. teabevahetuskavad juhtkonna ja kõigi asjaomaste sidusrühmade teavitamiseks ning kriisiohje dokumendid, meetmed ja vajaduse korral kriisiohjefunktsioon (vastavalt digitaalse tegevuskerksuse määruse artikli 11 lõikele 7).

Pädevad asutused peaksid hindama, kas finantsinstitutsiooni talitluspidevuse, reageerimis- ja taastamiskavad:

• a. määratlevad rollid ja vastutusalad, sealhulgas annavad selged suunised võimaliku järeltulija määramise kohta, ning sätestavad sisemise otsustusprotsessi koos selle käivitamise tingimuste määratlemisega;
• b. vaadatakse läbi, et tagada erandolukorra strateegiate jätkuv kooskõla praeguste tegevuste, riskide ja ohtude, vastupanuvõime tasemete ning taaste eesmärkide ja prioriteetidega;
• c. prioriseerivad talitluspidevuse meetmeid, kasutades riskipõhist lähenemisviisi;
• d. läbivad korrapärase testimise, et tagada finantsseisundi taastamise eesmärkide ja tähtaegade täitmine, ning
• e. hõlmavad vajaduse korral kolmandatest isikutest teenuseosutajate osutatavate teenuste testimist;

Pädevad asutused peaksid samuti hindama, kas katsetulemused on dokumenteeritud ja neist on teatatud juhtorganile.

IKT-riski juhtimise raamistiku hindamine

Pädevad asutused peaksid hindama finantsinstitutsiooni vastavust digitaalse tegevuskerksuse määrusele ja EBA suunistele sisejuhtimise kohta seoses IKT-riski juhtimise sisejuhtimise ja korraldusega. Pädevad asutused peaksid kindlaks tegema, kas finantsinstitutsiooni juhtorgan vastutab üldiselt IKT-riski juhtimise eest ning kas juhtorgan määratleb asjakohaselt kõik IKT-ga seotud korraldused, kiidab need heaks ja teeb nende rakendamise järelevalvet. Pädevad asutused peaksid kaaluma, kas juhtorgani liikmetel on piisavad teadmised ja oskused, et mõista ja hinnata IKT-riske ning nende mõju finantsinstitutsiooni tegevusele.

Pädevad asutused peaksid hindama, kuidas on kõikide IKT-ga seotud ülesannete rollid ja vastutus ning kehtestatud juhtimiskorraldus integreeritud finantsinstitutsiooni sisekontrolli- ja juhtimisraamistikku IKT-riskide haldamiseks. Selleks peaksid pädevad asutused kaaluma, kas finantsinstitutsioon on IKT-riskide juhtimise ja järelevalve vastutuse tõhusalt delegeerinud sõltumatule kontrollifunktsioonile, millel on otsene juurdepääs ja kes saab anda aru otse järelevalvefunktsiooni täitvale juhtorganile, ning hindama, kas finantsinstitutsioon suudab tõendada järgmist:

• a. selge suhtlus, rollide ja vastutusalade jaotamine ning integreerimine kõigis IKT-ga seotud funktsioonides, sealhulgas IKT-toega ärifunktsioonides ja protsessides;
• b. piisav ja asjakohane eelarve digitaalse tegevuskerksuse täitmiseks igat liiki ressursside, sealhulgas kõigi töötajate asjakohaste teadlikkuse suurendamise programmide, koolituste ja IKT-oskuste kaudu (vastavalt digitaalse tegevuskerksuse määruse artikli 5 lõike 2 punktile g);
• c. juhtorgani piisavad järelmeetmed ja reageerimine digitaalse tegevuskerksuse määruse artikli 13 lõike 5 kohaselt teatatud kriitilise tähtsusega IKT-auditi järeldustele ja tähelepanekutele.

Pädevad asutused peaksid kujundama põhjaliku arusaama finantsinstitutsiooni IKT-riski juhtimise raamistikust ning hindama, kas finantsinstitutsioonil on olemas piisavad ja asjakohased strateegiad, põhimõtted, menetlused, IKT-protokollid ja -vahendid, sealhulgas taluvuspiirid, et tõhusalt, tulemuslikult ja põhjalikult käsitleda olulist IKT-riski kooskõlas digitaalse tegevuskerksuse määrusega. Selleks peaksid pädevad asutused vajaduse korral arvestama järgmist:

• a. asutuse IKT-riskijuhtimise põhimõtete³⁶ , protsesside ja menetluste asjakohasus ja tõhusus, mis hõlmavad muu hulgas IKT-alast kolmandate osapoolte haldamist, IKT-ga seotud intsidentide avastamist ja nendele reageerimist, IKT-varade haldamist, krüpteerimist ja krüptograafiat, IKT-operatsioonide turvalisust, võrguturvalisust, juurdepääsukontrolli ning seda, kas need on juhtorgani poolt heaks kiidetud ja kõigile asjaomastele sidusrühmadele teatavaks tehtud (vastavalt digitaalse tegevuskerksuse määruse artiklile 14);
• b. finantsinstitutsiooni IKT-riski riskitaluvuse taseme ja IKT-häirete mõju taluvuse asjakohasus (digitaalse tegevuskerksuse määruse artikli 6 lõike 8 punkti b kohaselt);
• c. finantsinstitutsiooni digitaalse tegevuskerksuse strateegia asjakohasus ja rakendamine, sealhulgas selle kooskõla äristrateegiaga;
• d. IKT-alaste kolmandate osapooltega seotud riskide strateegia, sealhulgas IKT-alase mitme tarnija strateegia (kui see on olemas), kooskõla üldise äristrateegia ja IKT-riskijuhtimise raamistikuga;
• e. kriitilisi või olulisi funktsioone toetavate IKT-teenuste kasutamist käsitlevate lepinguliste kokkulepete puhul finantsinstitutsiooni kindlaksmääratud riskidest tulenev jääkrisk;
• f. jääkrisk, mis tuleneb finantsinstitutsiooni tuvastatud riskidest, mis on seotud juhtorganile teatatud kriitilise tähtsusega või olulisi funktsioone mõjutavate IKT-projektidega, samuti IKT-süsteemide soetamise, arendamise ja hoolduse ning IKT-muudatustega;
• g. digitaalse tegevuskerksuse testimise programmi usaldusväärsus ja terviklikkus;
• h. digitaalse tegevuskerksuse määruse artikli 17 lõike 3 punkti e ja artikli 13 lõike 5 kohaselt juhtorganile teatatud oluliste IKTga seotud intsidentide ja leidude suundumus ning ulatus;
• i. kohaldatavad IKT-riskide kontrollimeetmed, mis on seotud tuvastatud oluliste IKT-riskidega;
• j. IKT-riski juhtimise aspektide õigeaegne aruandlus juhtorganile ja kõrgemale juhtkonnale;
• k. siseauditi hõlmavus ja järeldused.

³⁶ Digitaalse tegevuskerksuse määruse kohaselt peaksid need hõlmama vähemalt infoturbe poliitikat, varundamispõhimõtteid, IKT-varade haldamise poliitikat, krüpteerimise ja krüptograafiliste kontrollide poliitikat, krüptovõtmete haldamise poliitikat, IKT-projektide juhtimise poliitikat, IKT-süsteemide poliitika omandamist, arendamist ja haldamist, personalipoliitikat, füüsilise ja keskkonna turvalisuse poliitikat, IKT-intsidentide haldamise poliitikat, IKT-kolmandatest isikutest teenuseosutajate pakutavate kriitilise tähtsusega või olulisi funktsioone toetavate IKT-teenuste kasutamise poliitikat.

IKT-riskide juhtimise hindamisel peaksid pädevad asutused pöörama erilist tähelepanu IKT-valdkonna kolmandate osapooltega seotud riskide juhtimisele, sealhulgas finantsinstitutsiooni sõltuvuse tasemele IKT-valdkonna kolmandatest teenuseosutajatest. Selleks peaksid pädevad asutused tagama tiheda koostöö kriitilise tähtsusega kolmandast isikust IKT-teenuste osutajate juhtivate järelevaatamisasutustega kooskõlas Euroopa järelevalveasutuste ühiste suunistega³⁷ , kui hinnatav finantsinstitutsioon saab kolmandast isikust IKT-teenuste osutajalt IKT-teenuseid. Pädevad asutused peaksid samuti hindama, kui tõhusalt täidab finantsinstitutsiooni poolt loodud spetsiaalne ametikoht või määratud juhtkonna liige IKT-alaste kolmandate osapooltega sõlmitud kokkulepete järelevalve ülesandeid.

³⁷ Euroopa järelevalveasutuste ühised suunised määruse (EL) 2022/2554 kohase Euroopa järelevalveasutuste ja pädevate asutuste vahelise järelevalvekoostöö ja teabevahetuse kohta (JC/2024/36).

Pädevad asutused peaksid hindama, kas siseauditi funktsioon on tõhus ning kas sellel on piisavad teadmised, oskused ja asjatundlikkus finantsinstitutsiooni IKT-riskijuhtimise raamistiku auditeerimiseks, kontrollides järgmisi asjaolusid:

• a. IKT-riski juhtimise raamistikku auditeeritakse vajaliku kvaliteedi, fookuse ja sagedusega ning see vastab finantsinstitutsiooni IKT-riski profiilile;
• b. auditikava sisaldab finantsinstitutsiooni tuvastatud oluliste IKT-riskide auditeid, sealhulgas IKT reageerimis- ja taastekavade sõltumatuid läbivaatamisi;
• c. IKT-auditite olulised tulemused kontrollitakse ja kõrvaldatakse õigel ajal, sealhulgas esitatakse aruanded juhtorganile;
• d. IKT-auditi järelduste, sealhulgas kokkulepitud tegevuste osas rakendatakse ametlikult järelmeetmeid ning kõrgem juhtkond ja/või auditikomitee vaatab eduaruandeid regulaarselt läbi.

6.4.4. Maineriski hindamine

Pädevad asutused peaksid hindama finantsinstitutsiooni maineriski positsiooni, lähtudes jaotistest 4–6.2 saadud arusaamast. Selline hindamine peaks keskenduma ka maineriski üldraamistikule, tagades finantsinstitutsiooni võime tõhusalt hallata mis tahes mainet mõjutavaid sündmusi. Selle hindamise puhul peaksid pädevad asutused vältima nende aspektide topeltarvestamist, mida on juba õigusliku riski hindamise raames arvesse võetud (punkt 6.4.2.1).

Maineohu olulisuse hindamisel peaksid pädevad asutused arvesse võtma finantsinstitutsiooni suurust ning samuti selle teenuste, tegevuste ja operatsioonide laadi, ulatust ja keerukust (näiteks börsil noteeritud aktsiad või võlakirjad või osalemine pankadevahelistel turgudel).

Pädevad asutused peaksid arvesse võtma nii sisemisi kui ka väliseid tegureid või sündmusi, mis võivad tekitada maineprobleeme, välja arvatud sündmused, mille tulemuseks on kohtumenetlus. 1. ja 2. kategooria finantsinstitutsioonide korral peaksid pädevad asutused hindamisel arvestama kõiki järgmisi näitajaid:

• a. negatiivne meediakajastus / sotsiaalmeedia ja tarbijate ühenduste algatused, mis võivad halvendada üldsuse arusaama finantsinstitutsioonist ning kahjustada selle mainet;
• b. klientide kaebuste arv ja muutused selles või klientide või investorite ootamatu kaotus;
• c. finantsinstitutsiooni sarnaste asutustega seotud negatiivsed sündmused, mida avalikkus võiks seostada kogu finantssektori või teatava finantsinstitutsiooni rühmaga;
• d. finantsinstitutsiooni juhtimises osalevate või olulist osalust omavate isikute maine;
• e. osalemine või tegevus sektorites või jurisdiktsioonides, kus rahapesu ja terrorismi rahastamise risk on suur, või seoses isikutega, keda seostatakse rahapesu ja terrorismi rahastamise seisukohast suure riskiga;
• f. osalemine või tegevus sektorites või jurisdiktsioonides ja/või vastaspooltega, kes on väga avatud keskkonna-, sotsiaalsete ja juhtimisteguritega seotud olulistele probleemidele või avalikele vastuoludele, sealhulgas, kuid mitte tingimata ainult keskkonnateguritele;
• g. IKT-ga seotud intsidentide mõju finantsinstitutsiooni mainele, nagu finantsinstitutsioon on need registreerinud vastavalt komisjoni delegeeritud määrusele (EL) 2024/1772³⁸ ;
• h. muud turunäitajad, kui need on olemas (nt reitingu langetamised või aktsiahinna muutused aasta jooksul).

³⁸ Komisjoni 13. märtsi 2024. aasta delegeeritud määrus (EL) 2024/1772, millega täiendatakse Euroopa Parlamendi ja nõukogu määrust (EL) 2022/2554 regulatiivsete tehniliste standarditega, millega määratakse kindlaks IKT intsidentide ja küberohtude liigitamise kriteeriumid, kehtestatakse olulisuse läved ja täpsustatakse tõsiste intsidentide kohta esitatavate raportite üksikasju, C/2024/1519 (ELT L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

Pädevad asutused peaksid hindama finantsinstitutsiooni maineriski positsiooni olulisust ja seda, kuidas see on seotud teiste riskidega, kasutades asjakohaseid riskihindamisi (sh teistelt järelevalveasutustelt), et teha kindlaks võimalikud teisesed mõjud kummaski suunas.

Seoses operatsiooniriski analüüsiga peaksid pädevad asutused võtma arvesse finantsinstitutsiooni rahapesu ja terrorismi rahastamise riskiga seotud riskipositsioonide asjakohasust ja olulisust usaldatavusnõuete usaldatavuse seisukohast operatsiooniriski raames. Sellega seoses peaksid pädevad asutused kasutama rahapesu ja terrorismi rahastamise tõkestamise järelevalveasutustelt saadud asjakohast teavet, et täiendada oma käimasoleva järelevalve tulemusi ja hinnata, kas need tekitavad seoses rahapesu ja terrorismi rahastamise riskiga usaldatavusnõuete täitmise probleeme.

Pädevad asutused peaksid meeles pidama, et mis tahes finantsinstitutsioon võib olla avatud rahapesu ja terrorismi rahastamise riskile, olenemata finantsinstitutsiooni suurusest või rahalisest usaldusväärsusest. Seetõttu tuleks piisavalt tähelepanu pöörata ka finantsinstitutsioonidele, mida peetakse rahaliselt usaldusväärseks ja millel võib olla hea maine, arvestades, et just neid finantsinstitutsioone võidakse ära kasutada rahapesu ja terrorismi rahastamise eesmärgil. Tähelepanu tuleks pöörata ka finantsinstitutsioonidele, mis on väga edukad uute klientide ligimeelitamisel või turuosa suurendamisel – eelkõige mittetraditsioonilisi turustuskanaleid kasutades –, kuna see võib olla seotud kliendi suhtes rakendatavate nõrkade hoolsusmeetmetega kliendisuhte loomise etapis.

Pädevad asutused peaksid jagama rahapesu ja terrorismi rahastamise tõkestamise järelevalveasutustega asjakohast teavet tuvastatud operatsiooniriski probleemide kohta, mis võivad põhjustada rahapesu ja terrorismi rahastamise riske, sihipäraste finantssanktsioonide rakendamata jätmise ja neist kõrvalehoidmise riske ning selliseid probleeme nagu puudused finantsinstitutsioonide IKT-süsteemis või sisekontrolliraamistikus.

Pädevad asutused peaksid hindama, kas finantsinstitutsioon on rakendanud adekvaatsed korrad, strateegiad, protsessid ja mehhanismid maineriski juhtimiseks. Pädevad asutused peaksid eelkõige arvestama järgmist:

• a. kas finantsinstitutsioon on sõnastanud selle riski tuvastamise, juhtimise ja järelevalve poliitikad ja protsessid, sh kindel käitumisjuhend, ning kas need poliitikad ja protsessid on proportsionaalsed tema suuruse ja asjakohasusega süsteemis;
• b. finantsinstitutsioon käsitleb seda riski ettevaatlikult, sealhulgas kehtestades asjakohased mõõdikud ja järelevalvevahendid, hõlmates võimalikke maineprobleeme hädaolukorrakavades, korraldades asjakohaseid koolitusi ja teadlikkuse tõstmise üritusi ning kasutades ära saadud kogemusi;
• c. kas finantsinstitutsioon hindab maineriski mis tahes teiseseid mõjusid (nt likviidsus- ja rahastamiskulud, väärtpaberistamise tehing, juurdepääs korrespondentpanga teenusele) stressitestide või stsenaariumianalüüsiga;
• d. kas finantsinstitutsioon kaitseb oma tootemarki meedia-/sotsiaalmeedia seire vahendite, väärteabe ja kahjuliku reklaami käsitlemise protokollide ning kiirete teabekampaaniate kaudu;
• e. kas finantsinstitutsioon arvestab oma strateegia ja äriplaanide ning üldisemalt oma käitumise võimalikku mõju oma mainele.

6.4.5. Tegevuskerksus

Pädevad asutused peaksid kujundama tervikliku ülevaate finantsinstitutsiooni suutlikkusest täita kriitilise tähtsusega või olulisi funktsioone häirete kaudu (tegevuskerksuse tase), mis on operatsiooniriski tõhusa juhtimise tulemus, võttes arvesse finantsinstitutsiooni suurust, ärimudelit ja üldist riskiprofiili. Selleks peaksid pädevad asutused tuginema olemasolevatele hinnangutele operatsiooniriski juhtimise, talitluspidevuse, muutuste juhtimise suutlikkuse, kolmandate isikute teenuste ja IKT kohta, millele finantsinstitutsioon tugineb, et terviklikult hinnata, kas need elemendid toetavad ühiselt finantsinstitutsiooni tegevuskerksust. Pädevad asutused peaksid kaaluma ka seda, kas finantsinstitutsioon rakendab oma riskijuhtimisraamistikku, talitluspidevuse kavasid, kolmanda isiku poolset juhtimist (mida on juba hinnatud direktiivi 2013/36/EL artikli 74 lõike 3 kohaselt välja antud digitaalse tegevuskerksuse määruse ja EBA suuniste (sisejuhtimise korra, protsesside ja mehhanismide kohta) kontekstis) ning finantsseisundi taastamise ja kriisilahenduse raamistikke järjepidevalt ja koordineeritult. Lisaks peaksid pädevad asutused kaaluma, kas finantsinstitutsioon on piisavalt kaardistanud sisemised ja välised seosed ning vastastikused sõltuvused, mis on vajalikud selle kriitiliste või oluliste funktsioonide täitmiseks.

Pädevad asutused peaksid võtma arvesse seda, kui palju tähelepanu pööravad juhtorgan ja kõrgem juhtkond finantsinstitutsiooni võimele reageerida häiretele ja neist taastuda, lähtudes eeldusest, et häired toimuvad. Pädevad asutused peaksid hindamisel arvestama järgmist:

• a. juhtorgan võtab aktiivse rolli, et luua ulatuslik arusaam tegevuskerksuse lähenemisviisist kogu finantsinstitutsioonis ning jälgida finantsinstitutsiooni tegevuskerksuse lähenemisviisi tõhusust;
• b. juhtorgani järelevalve toetamiseks esitatakse õigeaegne aruandlus finantsinstitutsiooni jätkuva tegevuskerksuse kohta, eelkõige juhul, kui suured tuvastatud puudused võivad mõjutada finantsinstitutsiooni kriitiliste või oluliste funktsioonide täitmist.

6.4.6. Tulemuste kokkuvõte, skoori määramine ja järelevalvemeetmed

Pärast eespool nimetatud hindamist peaksid pädevad asutused kujundama seisukoha finantsinstitutsiooni operatsiooniriskist. See seisukoht peaks kajastuma tulemuste kokkuvõttes, mis esitatakse koos tabelis 10 kirjeldatud kaalutluste alusel määratud riskiskooriga. Kui pädev asutus otsustab teatud riski alamkategooriate olulisuse tõttu neid

alusel nii suures ulatuses kui võimalik.

Tabel 10. Operatsiooniriski skoori määramise järelevalvekaalutlused Riskisk Järelevalveline Olemusliku riskiga seotud Adekvaatse juhtimise ja oor arvamus kaalutlused kontrollidega seotud kaalutlused

Järgmises tabelis on esitatud mittetäielik loetelu järelevalvemeetmetest, mida pädevad asutused võivad võtta finantsinstitutsiooni operatsiooniriski juhtimise raamistikus ja tegevuskerksuses tuvastatud puuduste korral (võttes arvesse tegevuskerksuse ja operatsiooniriski juhtimise tihedat seotust). Pädevad asutused peaksid otsustama, mis liiki meedet kasutada, lähtudes selle tõhususest konkreetse tuvastatud puuduse kõrvaldamisel. Pädevad asutused võivad kohaldada täiendavaid järelevalvemeetmeid (sh kvantitatiivseid meetmeid vastavalt direktiivi 2013/36/EL artikli 104 lõike 1 punktile a) või nende kombinatsiooni allpool esitatud tabelis, kui neid peetakse tuvastatud puuduste kõrvaldamiseks asjakohasemaks. Digitaalse tegevuskerksuse määruse rikkumiste korral peaksid pädevad asutused kaaluma digitaalse tegevuskerksuse määruse artiklis 50 sätestatud kohaldatavaid parandusmeetmeid.

Tabel 11. Operatsiooniriski ja tegevuskerksuse hindamisest tulenevate järelevalvemeetmete võimalik ja mittetäielik loetelu Pädevate asutuste võimalikud järelevalvemeetmed kooskõlas direktiivi 2013/36/EL artikli 104 lõike 1 punktidele b, d, e, f, g, j, l, m ja n ning määruse (EL) 2022/2554 artiklile 50 – pädevad asutused võivad nõuda, et finantsinstitutsioon teeb järgmist: A. kaasab juhtorgani või selle komiteed aktiivsemalt operatsiooniriski juhtimisotsustesse; B. täiustab operatsiooniriski mõõtmissüsteeme; C. tugevdab tööprotsesside kontrolli, sealhulgas ohu tuvastamist, jälgimist, reageerimist ja taastamist; D. täiustab operatiivjuhtimise raamistikku; E. tõhustab operatsiooniriski aruandlust juhtorganile ja kõrgemale juhtkonnale; F. töötab välja ja rakendab puuduste kõrvaldamiseks parandusmeetmete kavad; G. piirab teatavaid kolmandate isikutega sõlmitud kokkuleppeid, eelkõige kriitiliste või oluliste funktsioonide puhul; H. tõhustab operatsiooniriski stressitestide ja stsenaariumianalüüsi läbiviimist; I. rakendab rangemaid operatiivmeetmeid; J. tõhustab talitluspidevust, reageerimis- ja taastamiskavasid; K. tõhustab keskkonna-, sotsiaalsete ja juhtimisriskidega, eelkõige keskkonnariskidega seotud operatsiooniriski juhtimist, tuginedes potentsiaalselt ühele või mitmele eespool loetletud meetmele.