6.4. Operatiivisen riskin arviointi

Arvioidessaan operatiivisen riskin hallintakehystä toimivaltaisten viranomaisten tulisi arvioida muun muassa, noudattaako laitos 12 kohdassa mainittuja, EPV:n verkkosivustolla erikseen julkaistuja säädöksiä.

Toimivaltaisten viranomaisten tulisi arvioida operatiivista riskiä laitoksen kaikilla liiketoiminta-alueilla ja toiminnoissa ja ottaa tässä yhteydessä huomioon havainnot, jotka on tehty arvioitaessa sisäisen hallinnon järjestelyjä ja laitoksen laajuisia valvontajärjestelyjä osastossa 5 esitetyllä tavalla. Tätä arviointia tehdessään toimivaltaisten viranomaisten tulisi selvittää, miten operatiivinen riski voi toteutua, ja ottaa siinä huomioon myös luottolaitoksen tappiotiedot sekä muiden asiaan liittyvien riskien (kuten luottorajan ylittymiseen liittyvän ja markkinaperusteisen operatiivisen riskin) mahdolliset vaikutukset.

Toimivaltaisten viranomaisten tulisi arvioida palveluntarjoajina olevista kolmansista osapuolista johtuvan operatiivisen riskin olennaisuutta, muun muassa keskittymistä (yhteisön ja tarvittaessa konsernin tasolla) yhteen tai useampaan palveluun, joita tarjoaa yksittäinen palveluntarjoajana oleva kolmas osapuoli (suoraan tai välillisesti alihankintaketjujen kautta), tai rajoitettu määrä palveluntarjoajana olevia kolmansia osapuolia ja jotka tukevat laitoksen kriittisiä tai tärkeitä toimintoja, sekä sitä, voisivatko nämä vaikuttaa laitoksen operatiiviseen häiriönsietokykyyn, suorituskykyyn ja riskienhallintaan. Tätä arviointia tehdessään toimivaltaisten viranomaisten tulisi ottaa huomioon, missä määrin muut laitokset tukeutuvat samoihin palveluntarjoajana oleviin kolmansiin osapuoliin, jos tällaisia tietoja on niiden saatavissa.

Operatiivista riskiä arvioidessaan toimivaltaisten viranomaisten tulisi arvioida DORA-asetuksen mukaisesti tieto- ja viestintätekniikkaan liittyvää riskiä ja sen mahdollisia vaikutuksia laitoksen kriittisiin tai tärkeisiin toimintoihin, mukaan lukien mahdolliset taloudelliset, maineeseen liittyvät, sääntelyyn liittyvät ja strategiset vaikutukset laitokseen.

Toimivaltaisten viranomaisten tulisi arvioida, onko laitoksella riittävä operatiivisen häiriönsietokyvyn malli, jonka avulla se pystyy selviytymään häiriöistä, sopeutumaan niihin ja toipumaan niistä, kun niitä ilmenee, ja onko tämä malli sovitettu asianmukaisesti ja johdonmukaisesti yhteen olemassa olevan riskienhallintajärjestelmän, liiketoiminnan jatkuvuussuunnitelmien ja kolmansien osapuolten hallinnan kanssa.

Operatiivista riskiä arvioidessaan toimivaltaisten viranomaisten tulisi tarvittaessa arvioida, tunnistetaanko laitoksen toimintaperiaatteissa ja menettelyissä kryptovaroihin liittyvistä toiminnoista ja niitä tukevasta teknologiasta johtuvat operatiiviset riskit, arvioidaanko ja hallitaanko niitä asianmukaisesti.

Toimivaltaisten viranomaisten tulisi arvioida maineriskiä yhdessä operatiivisen riskin kanssa, koska se liittyy luontaisesti operatiivisen riskin aiheuttaviin tapahtumiin. Maineriskin arvioinnin tuloksen ei kuitenkaan pitäisi näkyä operatiivisen riskin pistemäärässä, vaan sitä olisi tarvittaessa tarkasteltava osana liiketoimintamallianalyysia ja/tai likviditeettiriskin arviointia, koska sen tärkeimmät vaikutukset voivat heikentää sijoittajien, tallettajien tai pankkienvälisten markkinoiden toimijoiden luottamusta laitokseen.

Toimivaltaisten viranomaisten tulisi arvioida ESG-riskien vaikutusta luontaiseen operatiiviseen riskiin ja maineriskiin sekä ESG-riskeihin liittyvien operatiivisen riskin ja maineriskin valvontajärjestelyjen riittävyyttä ja antaa siinä etusija ympäristöriskeille. Toimivaltaisten viranomaisten tulisi oikeudellisen riskin ja maineriskin arvioinnissa ottaa erityisesti huomioon ympäristöön ja viherpesuun liittyvät riskit.

6.4.2. Luontaisen operatiivisen riskin arviointi

Toimivaltaisten viranomaisten tulisi hankkia perusteellinen käsitys laitoksen luontaisen operatiivisen riskin altistuksista ja arvioida tämän riskin merkitystä laitoksen vakavaraisuudelle sekä sen vaikutusta laitoksen kykyyn hoitaa kriittisiä tai tärkeitä toimintoja häiriötilanteissa.

Tämän arvioinnin tueksi toimivaltaisten viranomaisten tulisi tarkastella operatiivista riskiä koskevaa omien varojen vaatimusta suhteessa omien varojen kokonaisvaatimukseen sekä tarvittaessa laitoksen operatiiviseen riskiin kohdistamaa sisäistä pääomaa suhteessa sisäisen pääoman kokonaismäärään. Lisäksi toimivaltaisten viranomaisten tulisi hyödyntää tietoa, joka on saatu muiden SREP-osatekijöiden arvioinnista (erityisesti osastoista 4 ja 5), vertailusta vastaaviin toimijoihin, muista valvontatoimista – kuten rahanpesun ja terrorismin rahoituksen torjunnasta vastaavien valvojien sekä markkinavalvontaviranomaisten antamista tiedoista – sekä muista asiaankuuluvista tietolähteistä.

Toimivaltaisten viranomaisten tulisi tarkastella vähintään keskeisiä operatiivisen riskin tekijöitä ja mahdollisia häiriöitä aiheuttavia skenaarioita ja tarvittaessa analysoida niitä liiketoiminta-alueen, oikeushenkilön, maantieteellisen sijainnin ja tapahtumatyyppien luokan mukaan (jos tietoja on saatavissa) sekä verrata laitoksen asemaa samanlaisiin laitoksiin. Näiden tekijöiden tulisi kattaa ainakin laitoksen operatiivista riskiä koskeva päästrategia ja operatiivista riskiä koskeva riskinottohalu, liiketoimintaympäristö (muun muassa toiminta sijainnin mukaan, TVT-toiminnot ja jakelukanavat), viimeaikaiset merkittävät yritystapahtumat (kuten fuusiot, yritysostot, myynnit ja uudelleenjärjestelyt), TVT-järjestelmät ja muut 6.4.2.3 jaksossa mainitut TVT:hen liittyvät näkökohdat, prosessimuutokset, kolmansien osapuolten kanssa tehdyt järjestelyt, sääntelyn noudattamiseen liittyvät kysymykset, liiketoimintatavoitteet ja kannustinjärjestelmät sekä muut keskeiset operatiivisen riskin vaikuttavat tekijät.

Operatiivisille riskeille altistumisten luonne ja merkitys

Toimivaltaisten viranomaisten tulisi määrittää operatiivisten riskien luonne analysoimalla altistumista operatiivisen riskin päälähteille ja -tekijöille, jotta saataisiin ennakoiva käsitys mahdollisesta operatiivisesta riskistä. Tässä analyysissa

• a. toimivaltaiset viranomaiset voivat ottaa huomioon laitoksen kannalta merkityksellisen toimintamallin, liiketoiminta-alueet, tuotteet, prosessit ja maantieteelliset sijaintipaikat, ensisijaisia riskitekijöitä (esim. prosesseja, ihmisiä, järjestelmiä ja ulkoisia tekijöitä) koskevien riippuvuuksien ja operatiivisille riskeille altistumisen sekä riskitekijöiden vuorovaikutuksen arvioinnin hyödyntäen laitoksen omaa riskinarviointia, vertaisanalyysia, tietoja ja julkisia ja/tai konsortion tietokantoja, jos niitä on saatavissa ja ne ovat merkityksellisiä
• b. toimivaltaisten viranomaisten tulisi tarkastella laitokseen kohdistuvien tapahtumien tiheyttä ja vakavuutta ja erottaa ne, jotka aiheuttavat erittäin vakavia tappioita, ja ne, joita ilmenee usein. Tämän erottelun perusteella toimivaltaisten viranomaisten tulisi arvioida operatiivista riskiä koskevien tappioiden suuntauksia ja niiden keskittymistä ja
• c. toimivaltaisten viranomaisten tulisi hyödyntää skenaarioanalyyseja ja ottaa huomioon laitoksen suunnittelemat liiketoiminnot sekä sen tekemät tulevaisuuteen suuntautuvat operatiivisten riskien analyysit, mikäli niitä on saatavissa, ja ottaa siinä huomioon jo toteutetut ja voimaan tulleet korjaavat toimenpiteet ja riskienvähentämistoimenpiteet.

Kun operatiivisen riskin tärkeimmät lähteet ja tekijät on tunnistettu ja analysoitu, toimivaltaisten viranomaisten tulisi keskittyä niihin, jotka voivat vaikuttaa kyseiseen laitokseen eniten.

Yksi tärkeimmistä tietolähteistä, joka toimivaltaisten viranomaisten tulisi ottaa huomioon, on laitoksen tappio- ja tapahtumatietokanta, sillä siitä voi saada arvokasta tietoa laitoksen operatiivisen riskiprofiilin kehityksestä. Toimivaltaisten viranomaisten tulisi arvioida säännöllisesti tappiotietojen kattavuutta, paikkansapitävyyttä ja laatua. Toisena tietolähteenä tulisi olla laitoksen rekisterit kaikista tieto- ja viestintätekniikkaan liittyvistä poikkeamista ja merkittävistä kyberuhkista (DORA-asetuksen 17 artiklan 2 kohdan mukaisesti) ja tunnistetuista tieto- ja viestintätekniikkaan liittyvien riskien lähteistä (DORA-asetuksen 8 artiklan 2 kohdan mukaisesti).

Operatiivisen riskin alaluokkien arviointi

Toimivaltaisten viranomaisten tulisi keskittyä arvioimaan niitä operatiivisen riskin alaluokkia, joita pidetään kyseisen laitoksen kannalta merkittävinä. Toimivaltaisten viranomaisten tulisi käyttää asiantuntija-arviotaan merkittävien alaluokkien määrittämiseksi kaikkien käytettävissä olevien sisäisten ja ulkoisten tietolähteiden perusteella. Arviointia tehdessään toimivaltaisten viranomaisten tulisi aina kiinnittää huomiota seuraaviin operatiivisen riskin osa-alueisiin³² :

• a. oikeudellinen riski
• b. malliriski
• c. tieto- ja viestintätekniikkaan liittyvä riski. 6.4.2.1. Oikeudellinen riski

³² Operatiivisen riskien alaluokkien erittely on esitetty liitteessä III. Se ei ole tyhjentävä.

Arvioidessaan, onko laitoksen altistuminen oikeudelliselle riskille merkityksellistä ja huomattavaa, toimivaltaisten viranomaisten tulisi tarkastella seuraavia:

• a. tuotteiden tai palvelujen myynti väärin perustein
• b. eturistiriidat liiketoiminnassa
• c. vertailukorkotasojen, valuuttakurssien tai muiden rahoitusvälineiden tai indeksien manipulointi
• d. esteet rahoitustuotteiden vaihtamiselle niiden elinkaaren aikana ja/tai rahoituspalvelujen tarjoajien vaihtamiselle
• e. tuotteiden automaattinen uusiminen tai irtisanomisen seuraamukset ja/tai
• f. asiakkaiden tekemien valitusten käsittely
• g. kansallisten ja kansainvälisten sääntöjen ja määräysten (verosäännöt, sisäinen petos tai sisäinen varkaus, rahanpesun torjuntaa koskevat säännöt, terrorismin torjuntaa koskevat säännöt ja talouspakotteet) rikkominen
• h. ympäristöön, yhteiskuntaan ja hyvään hallintotapaan, erityisesti ympäristöön ja viherpesuun liittyvien oikeudenkäyntien riskit.

Toimivaltaisten viranomaisten tulisi arvioida sitä, voiko laitokselle aiheutua oikeudenkäynneistä kuluja, sakkoja, seuraamuksia tai rangaistusluonteisia vahingonkorvauksia, sekä valitusten lukumäärää ja sisältöä. Myös osaston 4 mukaisen arvioinnin tuloksia tulisi hyödyntää kannustinjärjestelmien tarkastelun ohella, jotta saadaan laadukasta tietoa mahdollisten väärinkäytösten syistä. Tässä yhteydessä toimivaltaisten viranomaisten tulisi myös pohtia, onko laitoksella käytössä asianmukaiset ja tehokkaat järjestelmät ja menettelyt rajoittavien toimenpiteiden (esim. pakotteiden) täytäntöönpanemiseksi ja noudattamiseksi, sekä arvioida, noudattaako laitos EPV:n sisäisiä toimintaperiaatteita, menettelytapoja ja valvontatoimenpiteitä koskevia ohjeita³³ .

³³ EPV:n ohjeet sisäisille toimintaperiaatteille, menettelytavoille ja valvontatoimenpiteille unionin ja kansallisten rajoittavien toimenpiteiden täytäntöönpanon varmistamiseksi

Toimivaltaisen viranomaisen tulisi kuitenkin soveltaa ennakoivaa lähestymistapaa ja tarkastella myös sääntelykehityksen mahdollista vaikutusta ja asianomaisten viranomaisten toimintaa kuluttajansuojan ja yleisesti rahoituspalvelujen tarjoamisen osalta.

6.4.2.2. Malliriski

Operatiivisten riskien yhteydessä toimivaltaisten viranomaisten tulisi arvioida malliriskiä ja kiinnittää siinä erityistä huomiota sisäisiin, sääntelyn ulkopuolisiin malleihin (esim. tekoälymallit, tuotteiden hinnoittelu, riskilimiittien asettaminen ja seuranta, ICAAP-/ILAAP-mallit, palautusvaihtoehdot).

Malliriskin arvioimisessa toimivaltaisten viranomaisten tulisi tarkastella

• a. sitä, miten laajasti ja mihin tarkoituksiin laitos käyttää malleja päätöksenteossa, ja tällaisten päätösten merkittävyyttä liiketoiminnan kannalta. Toimivaltaisten viranomaisten tulisi määrittää liiketoiminta/toiminta, jossa laitos käyttää malleja huomattavasti, ja arvioida malliriskin mahdollista vaikutusta muun muassa herkkyys- ja skenaarioanalyysien tai stressitestien avulla, ja
• b. valvontamekanismien luotettavuutta (menetelmien, suoritustiheyden, seurannan jne. osalta), muun muassa mallin hyväksymisprosessia, säännöllisiä tarkastuksia ja sitä, missä määrin laitos on tietoinen mallin puutteista tai markkinoiden ja liiketoiminnan kehityksestä.

Kun malleja käytetään päätöksenteossa (esim. tuotteiden hinnoittelu, tekoälymallit, rahoitusinstrumenttien arviointi, asiakasprofiilien laatiminen), toimivaltaisten viranomaisten tulisi arvioida, onko käytössä asianmukainen sisäinen validointiprosessi ja/tai mallien tarkastusprosessi malliriskien tunnistamiseksi ja vähentämiseksi (lukuun ottamatta sääntelyn piiriin kuuluvia malleja).

Malliriskiä arvioidessaan toimivaltaisten viranomaisten tulisi ottaa huomioon muiden pääomaan kohdistuvien riskien sekä likviditeettiin ja rahoitukseen kohdistuvien riskien arviointi erityisesti riskin mittaamiseen käytettyjen menetelmien riittävyyden, hinnoittelun ja varojen ja/tai vastuiden arvioinnin osalta. Tällaisen arvioinnin tuloksista pitäisi saada tietoa operatiivista riskiä koskevia havaintoja varten.

6.4.2.3. Tieto- ja viestintätekniikkaan liittyvä riski – Tieto- ja viestintätekniikkaan liittyvän luontaisen riskin arviointi

Olennaisten tieto- ja viestintätekniikkaan liittyvien riskien tunnistaminen

DORA-asetuksen mukaisesti toimivaltaisten viranomaisten tulisi tarkistaa, miten laitos on tunnistanut, luokitellut ja dokumentoinut kaikki tieto- ja viestintätekniikan (TVT) tukemat liiketoiminnan toiminnot, roolit ja vastuut, näitä toimintoja tukevan tieto-omaisuuden³⁴ ja TVT-omaisuuden³⁵ sekä niiden roolit ja riippuvuussuhteet TVT-riskien kannalta. Arvioinnin tarkoituksena on auttaa toimivaltaisia viranomaisia saamaan kattava käsitys laitoksen TVT-riskien tasosta (TVT-riskiprofiili), tunnistamaan sen olennainen luontainen TVT-riski ja muodostamaan käsitys niiden vaikutuksista vakavaraisuuteen. Tätä varten toimivaltaisten viranomaisten tulisi ottaa huomioon ainakin seuraavat seikat, sikäli kuin ne ovat merkityksellisiä ja sovellettavissa:

• a. raportti TVT-riskinhallintajärjestelmän tarkastelusta (DORA-asetuksen 6 artiklan 5 kohdan mukaisesti)
• b. TVT-riskien lähteet, erityisesti laitoksen DORA-asetuksen 8 artiklan 2 kohdan mukaisesti yksilöimät muihin finanssiyhteisöihin kohdistuvat ja niistä aiheutuvat riskit
• c. ilmoitetut merkittävät TVT:hen liittyvät poikkeamat (DORA-asetuksen 19 artiklan 1 kohdan mukaisesti), muun muassa laajavaikutteisten TVT:hen liittyvien poikkeamien aiheuttamien vuotuisten kokonaiskustannusten ja -tappioiden kehityssuuntaus (DORA-asetuksen 11 artiklan 10 kohdan mukaisesti)
• d. digitaalisen häiriönsietokyvyn testausohjelmassa (DORA-asetuksen 24 artiklan mukaisesti) suunniteltujen testien tulokset, muun muassa yhteenveto uhkaperusteisen tunkeutumistestauksen tuloksista ja niihin liittyvistä korjaussuunnitelmista (DORA-asetuksen 26 artiklan 6 kohdan mukaisesti)
• e. tietorekisteri (DORA-asetuksen 28 artiklan 3 kohdan mukaisesti), muun muassa TVT-palveluntarjoajana olevien kolmansien osapuolten, myös konsernin sisäisten TVT-palveluntarjoajien keskittymisaste TVT-palvelujen ja/tai -järjestelmien tyypin mukaan jaoteltuna
• f. päävalvojien suositukset ja lausunnot (DORA-asetuksen 40 artiklan 3 kohdan ja 42 artiklan 7 kohdan mukaisesti) ja niihin liittyvät vastaukset, raportit ja tiedot kriittisiltä TVT-palveluntarjoajana olevilta kolmansilta osapuolilta (DORA-asetuksen 35 artiklan 1 kohdan c alakohdan, 42 artiklan 1 kohdan ja 48 artiklan 2 kohdan mukaisesti)
• g. TVT-järjestelmien monimutkaisuuden taso ja aiemman sukupolven TVT-järjestelmien TVT-riskien arvioinnin tulokset (DORA-asetuksen 8 artiklan 7 kohdan mukaisesti)
• h. merkittävien muutosten riskinarviointi (DORA-asetuksen 8 artiklan 3 kohdan mukaisesti)
• i. innovatiivisten TVT-ratkaisujen käyttöönoton ja integroinnin taso
• j. tietokeskusten ja nimettyjen herkkien alueiden sijaintipaikat eli alueet tai maat, myös silloin, kun TVT-palveluntarjoajana olevat kolmannet osapuolet tarjoavat sopimusperusteisia TVT-palveluja, mukaan lukien tietojen käsittely- ja tallennuspaikat
• k. kaikki asiaan liittyvät osastossa 5 havaitut olennaiset puutteet tai heikkoudet
• l. TVT-riskin ja sen valvontajärjestelyjen itsearvioinnit (jos tällainen tieto sisältyy ICAAP-tietoihin)
• m. TVT-riskeihin liittyvät hallintatiedot, jotka toimitetaan laitoksen ylimmälle hallintoelimelle
• n. TVT:hen liittyvät sisäisen ja ulkoisen tarkastuksen havainnot
• o. ulkoinen uhkaympäristö, myös uhkia ja haavoittuvuutta koskevat tiedustelutiedot.

Tieto- ja viestintätekniikan järjestelmien ja palveluiden arviointi

³⁴ Asetuksen 2022/2554 3 artiklan 6 kohta.

³⁵ Asetuksen 2022/2554 3 artiklan 7 kohta.

Toimivaltaisten viranomaisten tulisi tarkastella laitoksen asiaankuuluvia asiakirjoja, menetelmiä ja prosesseja ja muodostaa kanta siihen, onko laitos tunnistanut asianmukaisesti ne TVT-järjestelmät ja -palvelut, jotka tukevat kriittisiä tai tärkeitä toimintoja. Tätä varten toimivaltaisten viranomaisten tulisi arvioida

• a. kriittisiä tai tärkeitä toimintoja tukevia TVT-järjestelmiä sekä laitoksen määrittämää kriittistä tieto-omaisuutta ja TVT-omaisuutta (DORA-asetuksen 8 artiklan mukaisesti)
• b. keskeisiä prosesseja, jotka ovat riippuvaisia TVT-palveluntarjoajana olevista kolmansista osapuolista, muun muassa yhteydet TVT-palveluntarjoajana oleviin kolmansiin osapuoliin, jotka tukevat laitoksen määrittelemiä kriittisiä tai tärkeitä toimintoja (DORA-asetuksen 8 artiklan 5 kohdan mukaisesti). Kriittisiä tai tärkeitä toimintoja tukeviin tieto- ja viestintätekniikan järjestelmiin ja palveluihin kohdistuvien merkittävien TVT-riskien tunnistaminen ja kartoittaminen

Toimivaltaisten viranomaisten tulisi tämän jälkeen luokitella tunnistetut olennaiset TVT-riskit liitteessä III määriteltyihin TVT-riskien luokkiin. Laitosten odotetaan käyttävän omaa luokitustaan liitteessä esitetyn luokituksen sijaan.

6.4.3. Operatiivisen riskin hallinta- ja valvontakehyksen arviointi

Toimivaltaisten viranomaisten tulisi arvioida luottolaitoksen operatiivisen riskin hallintaa ja valvontaa varten käytössä olevia kehystä ja järjestelyjä ja ottaa siinä huomioon osastossa 5 käsitellyn yleisen riskienhallinnan ja sisäisen valvonnan kehyksen analyysin tulokset, sillä ne vaikuttavat laitoksen altistumiseen operatiiviselle riskille. Rahanpesun ja terrorismin rahoituksen riskin osalta toimivaltaisen viranomaisen tulisi ottaa huomioon rahanpesun ja terrorismin rahoituksen torjuntaa valvovan viranomaisen tekemä arviointi.

Operatiivista riskiä koskeva strategia ja riskinottohalu

Toimivaltaisten viranomaisten tulisi arvioida, onko laitoksella luotettava, selkeästi muotoiltu ja dokumentoitu operatiivista riskiä koskeva strategia ja riskinottohalun taso, jotka sen ylin hallintoelin on hyväksynyt ja joissa esitetään sen operatiivisen riskin luonne, tyypit ja tasot, jonka laitos on valmis ottamaan. Tässä arvioinnissa toimivaltaisten viranomaisten tulisi ottaa huomioon muun muassa ylimmän hallintoelimen rooli operatiivista riskiä koskevan strategian ja riskinottohalun (myös TVT-riskejä koskevan riskinottohalun ja digitaalisen häiriönsietokyvyn strategian) asettamisessa, hyväksymisessä, täytäntöönpanossa ja arvioinnissa sekä strategian riittävä kattavuus ja asianmukaisuus laitoksen operatiivisen riskiprofiilin luonteeseen ja merkittävyyteen nähden.

Organisaation laajuisen ja sisäisen valvonnan järjestelmä

Toimivaltaisten viranomaisten tulisi arvioida, noudattaako laitos asetuksen (EU) N:o 575/2013 323 artiklaa. Tässä arvioinnissa toimivaltaisten viranomaisten tulisi arvioida, ovatko laitoksen organisaatiokehys ja hallintojärjestelyt luotettavia ja tehokkaita, jotta operatiivista riskiä voidaan hallita, mitata ja valvoa tehokkaasti, ja onko sillä riittävät henkilöresurssit ja tekniset resurssit vaadittujen tehtävien hoitamiseksi. Toimivaltaisten viranomaisten tulisi ottaa huomioon, onko operatiivisen riskin tunnistamiselle, arvioinnille, vähentämiselle, seurannalle ja raportoinnille määritelty selkeät vastuualueet ja noudatetaanko kolmen puolustuslinjan mallia.

Toimivaltaisten viranomaisten tulisi arvioida, onko laitoksella vahva valvontakehys ja vankat suojatoimenpiteet operatiivisen riskin vähentämiseksi, muun muassa asianmukaiset toimintaperiaatteet ja menettelytavat, jotka kattavat myös jäännösriskin, sekä sitä, ovatko ne yhdenmukaisia laitoksen operatiivisen riskinhallinnan riskinottohalun ja strategian kanssa ja kattavatko ne kaikki keskeiset toiminnot ja prosessit. Tässä arvioidaan myös muun muassa, onko nämä toimintaperiaatteet ja menettelytavat laadittu selkeästi, onko niistä tiedotettu ja sovelletaanko niitä johdonmukaisesti koko laitoksessa.

Toimivaltaisten viranomaisten tulisi myös arvioida sisäisen tarkastuksen toiminnon toimivuutta operatiivisten riskien hallintakehystä koskevien sisäisten tarkastusten riittävyyden, soveltamisalan ja tiheyden kannalta.

Toiminnan jatkuvuus, reagointi ja palautuminen

Toimivaltaisten viranomaisten tulisi arvioida, noudattaako laitos i) hallinnosta ja ohjauksesta annettuja EPV:n ohjeita liiketoiminnan jatkuvuuden kokonaisvaltaisen hallinnan osalta sekä ii) DORA-asetusta TVT-liiketoiminnan jatkuvuutta koskevien toimintaperiaatteiden sekä TVT-reagointi- ja palautumissuunnitelmien osalta. Tässä yhteydessä toimivaltaisten viranomaisten tulisi selvittää, ovatko TVT-liiketoiminnan jatkuvuutta koskevat toimintaperiaatteet sekä TVT-reagointi- ja palautumissuunnitelmat olennainen osa laitoksen yleistä liiketoiminnan jatkuvuutta koskevia toimintaperiaatteita sekä reagointi- ja palautumissuunnitelmaa.

Toimivaltaisten viranomaisten tulisi arvioida, onko laitos ottanut käyttöön tehokkaan liiketoiminnan jatkuvuuden hallinnan, johon sisältyvät testatut liiketoiminnan jatkuvuus-, reagointi- ja palautumissuunnitelmat, jotka kattavat ainakin sen kriittiset tai tärkeät toiminnot, myös kolmansille osapuolille ulkoistetut, sekä sitä, otetaanko näissä suunnitelmissa huomioon erilaisia vakavia mutta todennäköisiä skenaarioita, joille laitos saattaa olla altis. Toimivaltaisten viranomaisten tulisi myös arvioida, mahdollistavatko laitoksen liiketoiminnan jatkuvuussuunnitelmat asianmukaiset reagointi- ja palautumistoimenpiteet kaikenlaisissa häiriötilanteissa.

Toimivaltaisten viranomaisten tulisi määrittää, sisältyykö laitoksen liiketoiminnan jatkuvuuden hallintaan

• a. liiketoimintamallianalyysi
• b. asianmukaiset palautumisstrategiat, joihin sisältyvät keskeiset sisäiset ja ulkoiset riippuvuudet ja joissa palautumisen ja häiriönsietokyvyn painopisteet on määritelty selkeästi
• c. mahdollisten häiriöskenaarioiden käsittelemistä koskevat kattavat ja joustavat suunnitelmat, jotka laaditaan liiketoimintamallianalyysin perusteella ja koordinoidusti sisäisten ja ulkoisten sidosryhmien kanssa
• d. suunnitelmat, joissa määritetään varautumisstrategiat sekä reagointi- ja palautumismenettelyt
• e. suunnittelun ja suunnitelmien operatiivisen tehokkuuden tehokas testaus
• f. liiketoiminnan jatkuvuuden hallintaan liittyvät tiedotus- ja koulutusohjelmat
• g. viestintäsuunnitelmat johdon ja kaikkien asianomaisten sidosryhmien tiedottamiseksi sekä kriisinhallintaa koskevat asiakirjat, toimenpiteet ja tarvittaessa kriisinhallintatoiminto (DORA-asetuksen 11 artiklan 7 kohdan mukaisesti).

Toimivaltaisten viranomaisten tulisi arvioida laitoksen liiketoiminnan jatkuvuus-, reagointi- ja palautumissuunnitelmista,

• a. määritetäänkö niissä tehtävät ja vastuut, myös selkeät ohjeet mahdollisista seuraajista, ja esitetäänkö niissä sisäinen päätöksentekoprosessi sekä määritelläänkö aktivoinnin käynnistävät tekijät
• b. tarkistetaanko niitä sen varmistamiseksi, että varautumisstrategiat ovat yhdenmukaisia nykyisten toimintojen, riskien ja uhkien, häiriönsietokyvyn tasojen sekä palautumistavoitteiden ja -prioriteettien kanssa
• c. priorisoidaanko niissä liiketoiminnan jatkuvuutta koskevat toimet riskiperusteisen toimintamallin mukaisesti
• d. testataanko niitä säännöllisesti sen varmistamiseksi, että palautumistavoitteet ja aikataulut pystytään saavuttamaan, ja
• e. sisältävätkö ne tarvittaessa kolmansien osapuolten tarjoamien palvelujen testaamisen.

Toimivaltaisten viranomaisten tulisi myös arvioida, dokumentoidaanko testitulokset ja ilmoitetaanko niistä ylimmälle hallintoelimelle.

TVT-riskien hallintajärjestelmän arviointi

Toimivaltaisten viranomaisten tulisi arvioida, noudattaako laitos DORA-asetusta ja EPV:n hallintoa ja ohjausta koskevia ohjeita TVT-riskien hallinnan sisäisen hallinnon ja organisoinnin osalta. Toimivaltaisten viranomaisten tulisi muodostaa näkemys siitä, pidetäänkö laitoksen ylintä hallintoelintä yleisesti vastuullisena TVT-riskien hallinnasta ja määritteleekö ja hyväksyykö se asianmukaisesti kaikkien TVT:hen liittyvien järjestelyjen täytäntöönpanon ja valvooko se sitä. Toimivaltaisten viranomaisten tulisi arvioida, onko ylimmän hallintoelimen jäsenillä riittävät tiedot ja taidot ymmärtää ja arvioida TVT-riskejä ja niiden vaikutuksia laitoksen toimintaan.

Toimivaltaisten viranomaisten tulisi arvioida, miten kaikkien TVT:hen liittyvien toimintojen tehtävät ja vastuut sekä käytössä olevat hallinto- ja ohjausjärjestelmät on nivottu ja integroitu laitoksen sisäiseen valvonta- ja hallintojärjestelmään TVT-riskin hallintaa varten. Tätä varten toimivaltaisten viranomaisten tulisi arvioida, onko laitos osoittanut TVT-riskin hallintaa ja valvontaa koskevan vastuun tosiasiallisesti riippumattomalle valvontatoiminnolle, jolla on suora yhteys valvontatehtäväänsä hoitavaan ylimpään hallintoelimeen ja joka voi raportoida sille suoraan. Niiden tulisi myös arvioida,

• a. viestiikö laitos selkeästi kaikista TVT:hen liittyvien toimintojen tehtävistä ja vastuista ja osoittaako ja yhdistääkö se ne selkeästi, mukaan lukien TVT:n tukemat liiketoiminnan toiminnot ja prosessit
• b. onko laitoksella riittävät ja asianmukaiset määrärahat digitaalisen häiriönsietokyvyn toteuttamiseen kaikkien resurssityyppien osalta, mukaan lukien asianmukaiset valistusohjelmat, koulutus ja koko henkilöstön TVT-osaaminen (DORA-asetuksen 5 artiklan 2 kohdan g alakohdan mukaisesti)
• c. onko ylimmällä hallintoelimellä riittävät jatkotoimet ja reagoinnit kriittisiin TVT-tarkastushavaintoihin sekä DORA-asetuksen 13 artiklan 5 kohdan nojalla ilmoitettuihin havaintoihin.

Toimivaltaisten viranomaisten tulisi hankkia perusteellinen käsitys laitoksen TVT-riskienhallintajärjestelmästä ja arvioida, onko laitoksella käytössä riittävät ja asianmukaiset strategiat, toimintaperiaatteet, menettelytavat, TVT-protokollat ja -työkalut, myös riskinsietorajat, jotta se voi puuttua olennaisiin TVT-riskeihin tehokkaasti, tuloksellisesti ja kattavasti DORA-asetuksen mukaisesti. Tätä varten toimivaltaisten viranomaisten tulisi tarvittaessa arvioida

• a. laitoksen TVT-riskienhallinnan periaatteiden³⁶ , prosessien ja menettelytapojen asianmukaisuutta ja tehokkuutta, muun muassa kolmansien osapuolten TVT-palveluiden hallintaa, TVT:hen liittyvien poikkeamien havaitsemista ja niihin reagoimista, TVT-arviointien hallintaa, salausta ja kryptografiaa, TVT-toiminnan turvallisuutta, verkkoturvallisuutta sekä pääsynvalvontaa, sekä sitä, onko ylin hallintoelin hyväksynyt nämä ja onko niistä tiedotettu kaikille asiaankuuluville sidosryhmille (DORA-asetuksen 14 artiklan mukaisesti);
• b. laitoksen TVT-riskin riskitason ja TVT-keskeytymisten vaikutusten sietokyvyn asianmukaisuutta (DORA-asetuksen 6 artiklan 8 kohdan b alakohdan mukaisesti)
• c. laitoksen digitaalisen häiriönsietokyvyn strategian asianmukaisuutta ja täytäntöönpanoa, myös sen mukauttamista liiketoimintastrategiaan
• d. kolmannen osapuolen TVT-riskejä koskevan strategian, myös usean toimittajan tarjoamien TVT-toimitusten strategian, jos sellainen on olemassa, yhdenmukaisuutta yleisen liiketoimintastrategian ja TVT-riskienhallintakehyksen kanssa
• e. jäännösriskiä, joka liittyy laitoksen tunnistamiin riskeihin ja koskee kriittisiä tai tärkeitä toimintoja tukevien TVT-palvelujen käyttöä koskevia sopimusjärjestelyjä
• f. jäännösriskiä, joka johtuu laitoksen tunnistamista, ylimmälle hallintoelimelle raportoiduista, kriittisiin tai tärkeisiin toimintoihin vaikuttavista TVT-hankkeista sekä TVT-järjestelmien hankinnoista, kehittämisestä ja ylläpidosta sekä TVT-muutoksista
• g. digitaalisen häiriönsietokyvyn testausohjelman luotettavuutta ja kattavuutta
• h. ylimmälle hallintoelimelle DORA-asetuksen 17 artiklan 3 kohdan e alakohdan ja 13 artiklan 5 kohdan mukaisesti ilmoitettujen laajavaikutteisten TVT:hen liittyvien poikkeamien ja havaintojen suuntausta ja kokoa
• i. tunnistettua olennaista TVT-riskiä koskevia TVT-riskin erityisiä valvontajärjestelyjä
• j. TVT-riskien hallintaa koskevien näkökohtien oikea-aikaista raportointia ylimmälle hallintoelimelle ja toimivalle johdolle
• k. sisäisen tarkastuksen kattavuutta ja havaintoja.

³⁶ DORA-asetuksen mukaisesti näihin tulisi kuulua vähintään tietoturvakäytäntö, varmuuskopiointikäytännöt, TVT-omaisuuden hallintakäytäntö, salaus- ja kryptografisten suojausmenetelmien käytäntö, salausavainten hallintakäytäntö, TVT-projektinhallintakäytäntö, TVT-järjestelmien hankinta-, kehitys- ja ylläpitokäytäntö, henkilöstökäytäntö, fyysisen ja ympäristöturvallisuuden käytäntö ja TVT:hen liittyvien poikkeamien hallintakäytäntö sekä käytäntö, joka koskee kolmansien osapuolten tarjoamien, kriittisiä tai tärkeitä toimintoja tukevien TVT-palveluiden käyttöä.

Arvioidessaan TVT-riskienhallintaa toimivaltaisten viranomaisten tulisi kiinnittää erityistä huomiota kolmansien osapuolten TVT-riskienhallintaan, muun muassa laitoksen riippuvuuteen TVT-palveluntarjoajana olevista kolmansista osapuolista. Tätä varten toimivaltaisten viranomaisten tulisi huolehtia tiiviistä yhteistyöstä kriittisten TVT-palveluntarjoajana olevien kolmansien osapuolten päävalvojien kanssa EPV:n yhteisten ohjeiden³⁷ mukaisesti, jos arvioinnin kohteena oleva laitos saa TVT-palveluja kriittiseltä TVT-palveluntarjoajana olevalta kolmannelta osapuolelta. Toimivaltaisten viranomaisten tulisi myös arvioida laitoksen TVT-palveluntarjoajana olevia kolmansia osapuolia koskevien järjestelyjen valvonnalle perustaman erityisen tehtävän tai sitä varten nimetyn ylimmän johdon jäsenen tehokkuutta.

³⁷ Euroopan valvontaviranomaisten ohjeet valvontayhteistyöstä ja tietojenvaihdosta Euroopan valvontaviranomaisten ja toimivaltaisten viranomaisten välillä asetuksen (EU) 2022/2554 mukaisesti (JC/2024/36).

Toimivaltaisten viranomaisten tulisi tarkastella sitä, onko sisäisen tarkastuksen toiminto tehokas ja onko sillä riittävät tiedot, taidot ja asiantuntemus laitoksen TVT-riskien hallintajärjestelmän tarkastamiseksi, arvioimalla,

• a. ovatko TVT-riskienhallintakehyksen tarkastukset riittävän laadukkaita ja keskittyneitä, tehdäänkö niitä riittävän usein ja ovatko ne oikeassa suhteessa laitoksen TVT-riskiprofiiliin nähden
• b. sisältyykö tarkastussuunnitelmaan tarkastuksia, jotka koskevat laitoksen tunnistamia olennaisia TVT-riskejä, muun muassa TVT-reagointi- ja palautumissuunnitelmien riippumattomia arviointeja
• c. tarkistetaanko ja korjataanko kriittiset TVT-tarkastushavainnot viipymättä, mukaan lukien raportointi johtokunnalle
• d. seurataanko sovittuja toimia ja muita TVT-tarkastushavaintoja ja arvioiko toimiva johto ja/tai tarkastuskomitea säännöllisesti väliraportit.

6.4.4. Maineriskin arviointi

Toimivaltaisten viranomaisten tulisi arvioida maineriskiä, jolle laitos altistuu, hyödyntämällä osastoista 4–6.2 saatua ymmärrystä. Tällaisessa arvioinnissa tulisi keskittyä myös yleiseen maineriskiä koskevaan kehykseen ja varmistaa, että laitos kykenee hallitsemaan kaikkia maineeseen liittyviä tapahtumia. Arvioinnissa toimivaltaisten viranomaisten tulisi välttää sellaisten seikkojen kaksinkertaista huomioimista, jotka on jo otettu huomioon oikeudellisen riskin arvioinnissa (6.4.2.1 jakso).

Arvioidessaan maineriskin merkitystä toimivaltaisten viranomaisten tulisi ottaa huomioon laitoksen koko sekä sen palvelujen, toiminnan ja toimintojen luonne, laajuus ja monimutkaisuus (esimerkiksi pörssinoteeratut osakkeet tai velkakirjat tai osallistuminen pankkien välisiin markkinoihin).

Toimivaltaisten viranomaisten tulisi tarkastella sekä sisäisiä että ulkoisia tekijöitä tai tapahtumia, jotka saattavat herättää laitoksen maineeseen liittyviä huolenaiheita, lukuun ottamatta oikeudenkäynteihin johtavia tapahtumia. Luokan 1 ja 2 laitosten osalta toimivaltaisten viranomaisten tulisi arvioinnissaan ottaa huomioon kaikki seuraavat indikaattorit:

• a. kielteinen näkyvyys tiedotusvälineissä / sosiaalisessa mediassa sekä kuluttajajärjestöjen aloitteet, jotka voivat heikentää yleistä käsitystä laitoksesta ja sen mainetta
• b. asiakkaiden tekemien valitusten määrä ja muutokset tai asiakkaiden tai sijoittajien äkillinen menettäminen
• c. laitoksen vertaislaitoksiin liittyvät kielteiset tapahtumat, jotka yleisö saattaisi yhdistää koko rahoitusalaan tai tiettyyn laitosten ryhmään
• d. niiden henkilöiden maine, jotka osallistuvat laitoksen johtamiseen tai joilla on määräosuuksia
• e. toiminta aloilla tai lainkäyttöalueilla, jotka ovat erityisen alttiita rahanpesulle ja terrorismin rahoitukselle, tai sellaisten henkilöiden kanssa, joihin liittyy suuri riski rahanpesun ja terrorismin rahoituksen kannalta
• f. toiminta aloilla tai lainkäyttöalueilla ja/tai sellaisten vastapuolten kanssa, jotka ovat erittäin alttiita ESG-tekijöihin liittyville olennaisille ongelmille tai julkisille ristiriidoille, muun muassa ympäristötekijöille
• g. TVT:hen liittyvien poikkeamien vaikutus maineeseen, sellaisena kuin laitos on ne kirjannut komission delegoidun asetuksen (EU) 2024/1772³⁸ mukaisesti
• h. muut ”markkinaindikaattorit”, jos saatavilla (esim. luottoluokituksen aleneminen tai muutokset osakehinnassa vuoden aikana).

³⁸ Komission delegoitu asetus (EU) 2024/1772, annettu 13 päivänä maaliskuuta 2024, Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2554 täydentämisestä teknisillä sääntelystandardeilla, joissa täsmennetään TVT:hen liittyvien poikkeamien ja kyberuhkien luokittelukriteerit, vahvistetaan olennaisuusrajat ja täsmennetään laajavaikutteisia poikkeamia koskevien raporttien yksityiskohdat, C/2024/1519 (EUVL L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

Toimivaltaisten viranomaisten tulisi arvioida laitoksen maineriskin merkittävyyttä ja sen yhteyksiä muihin riskeihin hyödyntämällä asiaankuuluvia riskiarviointeja (muun muassa muilta valvontaviranomaisilta saatavia), jotta voidaan tunnistaa mahdolliset toissijaiset vaikutukset kumpaankin suuntaan.

Operatiivista riskiä koskevan analyysin yhteydessä toimivaltaisten viranomaisten tulisi ottaa huomioon, miten asiaankuuluvaa ja merkittävää on laitoksen altistuminen rahanpesun ja terrorismin rahoituksen riskille operatiivisen riskin soveltamisalaan kuuluvan vakavaraisuuden näkökulmasta. Toimivaltaisten viranomaisten tulisi tässä yhteydessä käyttää rahanpesun ja terrorismin rahoituksen torjuntaa valvovilta viranomaisilta saatuja asiaankuuluvia tietoja, joiden avulla voidaan täydentää käynnissä olevasta valvonnasta saatuja niiden omia havaintoja ja arvioida, aiheuttavatko rahanpesun ja terrorismin rahoituksen riskiin liittyviä vakavaraisuutta koskevia huolia.

Toimivaltaisten viranomaisten tulisi pitää mielessä, että mikä tahansa laitos voi altistua rahanpesun ja terrorismin rahoituksen riskille riippumatta laitoksen koosta tai talouden vakaudesta. Siksi olisi kiinnitettävä riittävästi huomiota myös laitoksiin, joiden talouden katsotaan olevan vakaata ja joilla voi olla hyvä maine, koska nämä laitokset voivat nimenomaisesti olla rahanpesun ja terrorismin rahoituksen kohteena. Lisäksi olisi kiinnitettävä huomiota laitoksiin, jotka onnistuvat houkuttelemaan uusia asiakkaita / lisäämään markkinaosuuttaan – erityisesti käyttämällä muita kuin perinteisiä jakelukanavia – , koska tämä voi liittyä heikkoihin asiakkaan tuntemisvelvollisuutta koskeviin tarkastuksiin selvitysvaiheessa.

Toimivaltaisten viranomaisten tulisi jakaa rahanpesun ja terrorismin rahoituksen torjuntaa valvoville viranomaisille asiaankuuluvaa tietoa tunnistetuista operatiivista riskiä koskevista ongelmista, jotka voivat aiheuttaa rahanpesun ja terrorismin rahoituksen riskejä, riskejä kohdennettujen talouspakotteiden täytäntöönpanon laiminlyönnistä ja kiertämisestä sekä huolia, muun muassa puutteista laitosten TVT-järjestelmässä tai sisäisen valvonnan järjestelmässä.

Toimivaltaisten viranomaisten tulisi arvioida, onko laitos ottanut käyttöön asianmukaiset järjestelyt, strategiat, prosessit ja mekanismit maineriskin hallintaa varten. Niiden tulisi erityisesti ottaa huomioon se,

• a. onko laitos laatinut toimintaperiaatteet ja prosessit maineriskin tunnistamista, hallintaa ja seurantaa varten, myös vankat käytännesäännöt, ja ovatko nämä toimintaperiaatteet ja prosessit oikeassa suhteessa sen kokoon ja merkittävyyteen järjestelmässä
• b. käsitteleekö laitos tätä riskiä varovaisuusperiaatteen mukaisesti muun muassa ottamalla käyttöön asianmukaiset mittarit ja seurantavälineet, käsittelemällä mahdollisia maineeseen liittyviä ongelmia varautumissuunnitelmissa, järjestämällä asiaankuuluvia koulutus- ja tiedotustilaisuuksia ja hyödyntämällä saatuja kokemuksia
• c. tekeekö laitos stressitestausta tai skenaarioanalyysia arvioidessaan maineriskin toissijaisia vaikutuksia (esim. likviditeetti- ja rahoituskustannukset, arvopaperistamista koskevat liiketoimet, asiaankuuluvan pankkipalvelun saatavuus)
• d. suojeleeko laitos tuotemerkkiään välineillä, joilla seurataan tiedotusvälineitä / sosiaalista mediaa, käytännöillä, joilla puututaan vääriin tietoihin ja haitalliseen mainontaan, ja ripeillä tiedotuskampanjoilla
• e. tarkasteleeko laitos strategiansa ja liiketoimintasuunnitelmiensa ja yleisemmin käyttäytymisensä mahdollista vaikutusta sen maineeseen.

6.4.5. Operatiivinen häiriönsietokyky

Toimivaltaisten viranomaisten tulisi muodostaa kokonaisvaltainen käsitys siitä, miten hyvin laitos pystyy hoitamaan kriittisiä tai tärkeitä toimintojaan häiriötilanteissa (operatiivisen häiriönsietokyvyn taso). Tämä tulos saavutetaan operatiivisen riskin tehokkaalla hallinnalla, jossa otetaan huomioon laitoksen koko, liiketoimintamalli ja yleinen riskiprofiili. Tätä varten toimivaltaisten viranomaisten tulisi hyödyntää olemassa olevia arvioitaan operatiivisen riskienhallinnan järjestelyistä, liiketoiminnan jatkuvuudesta, muutoksenhallintakyvyistä, kolmansien osapuolten palveluista sekä tieto- ja viestintätekniikasta, jotta laitos voi kokonaisvaltaisesti arvioida, tukevatko nämä tekijät yhdessä laitoksen operatiivista häiriönsietokykyä. Toimivaltaisten viranomaisten tulisi myös tarkastella, paneeko laitos riskienhallintajärjestelmäänsä, liiketoiminnan jatkuvuussuunnitelmiaan, kolmansien osapuolten hallintaa (jota on jo arvioitu DORA-asetuksen sekä direktiivin 2013/36/EU 74 artiklan 3 kohdan nojalla sisäisistä hallintojärjestelyistä, prosesseista ja mekanismeista annettujen EPV:n ohjeiden yhteydessä) sekä palautumis- ja kriisinratkaisujärjestelmiään täytäntöön johdonmukaisesti ja koordinoidusti. Lisäksi toimivaltaisten viranomaisten tulisi tarkastella, onko laitos kartoittanut riittävästi sisäisiä ja ulkoisia keskinäisiä yhteyksiä ja keskinäisiä riippuvuuksia, joita tarvitaan sen kriittisten tai tärkeiden toimintojen toteuttamiseen.

Toimivaltaisten viranomaisten tulisi tarkastella sitä, miten paljon ylin hallintoelin ja toimiva johto kiinnittävät huomiota laitoksen kykyyn reagoida häiriöihin ja toipua niistä, olettaen, että häiriöitä tulee tapahtumaan. Tätä varten toimivaltaisten viranomaisten tulisi arvioida,

• a. onko ylimmällä hallintoelimellä aktiivinen rooli operatiivisen häiriönsietokyvyn menetelmää koskevan laajan ymmärryksen luomisessa koko laitoksessa ja laitoksen operatiivisen häiriönsietokyvyn menetelmän tehokkuuden seuraamisessa
• b. raportoidaanko laitoksen jatkuvasta operatiivisesta häiriönsietokyvystä ajoissa ylimmän hallintoelimen valvonnan tueksi erityisesti silloin, kun vakavat havaitut puutteet voivat vaikuttaa laitoksen kriittisten tai tärkeiden toimintojen toteuttamiseen.

6.4.6. Yhteenveto havainnoista, pisteytyksestä ja valvontatoimenpiteistä

Edellä kuvatun arvioinnin jälkeen toimivaltaisten viranomaisten tulisi muodostaa käsitys laitoksen operatiivisesta riskistä. Tämän käsityksen tulisi käydä ilmi havainnoista tehtävästä yhteenvedosta, johon liitetään taulukossa 10 esitettyjen näkökohtien perusteella annettava riskipistemäärä. Jos toimivaltainen viranomainen päättää tiettyjen riskien alaryhmien merkittävyyden perusteella arvioida ja pisteyttää ne erikseen, olisi tässä taulukossa esitettyjä ohjeita sovellettava analogisesti mahdollisuuksien mukaan.

Taulukko 10. Valvontaan perustuvia näkökohtia operatiivisen riskin pisteyttämistä varten Riittäviä hallinta- ja Riskin Valvontaan Luontaista riskiä koskevia valvontajärjestelyjä koskevia

Seuraavassa taulukossa esitetään ei-tyhjentävä luettelo valvontatoimenpiteistä, joita toimivaltaiset viranomaiset voivat toteuttaa, jos laitoksen operatiivisen riskin hallintakehyksessä ja operatiivisessa häiriönsietokyvyssä havaitaan puutteita (kun otetaan huomioon operatiivisen häiriönsietokyvyn ja operatiivisen riskin hallinnan läheinen yhteys). Toimivaltaisten viranomaisten tulisi päättää toimenpiteen tyypistä sen perusteella, millä tavalla se vaikuttaa tiettyyn havaittuun puutteeseen. Toimivaltaiset viranomaiset voivat soveltaa muita valvontatoimenpiteitä (myös direktiivin 2013/36/EU 104 artiklan 1 kohdan a alakohdan mukaisia määrällisiä toimenpiteitä) tai niiden yhdistelmää seuraavassa taulukossa lueteltujen kanssa, jos ne katsotaan asianmukaisemmiksi havaittujen puutteiden korjaamiseksi. DORA-asetuksen rikkomista koskevissa tapauksissa toimivaltaisten viranomaisten tulisi harkita DORA-asetuksen 50 artiklassa säädettyjä sovellettavia oikaisevia ja korjaavia toimenpiteitä.

Taulukko 11. Luettelo valvontatoimenpiteistä, jotka perustuvat operatiivisen riskin ja operatiivisen häiriönsietokyvyn valvontamenettelyjen arviointiin (luettelo on suuntaa-antava eikä se ole tyhjentävä) Direktiivin 2013/36/EU 104 artiklan 1 kohdan b, d, e, f, j, l, m ja n alakohdan ja asetuksen (EU) 2022/2554 50 artiklan mukaiset toimivaltaisten viranomaisten mahdolliset valvontatoimenpiteet – Toimivaltaiset viranomaiset voivat vaatia laitosta A. ottamaan ylin hallintoelin tai sen komiteat aktiivisemmin mukaan operatiivisen riskin hallintaa koskeviin päätöksiin B. parantamaan operatiivisen riskin mittaamisjärjestelmiä C. vahvistamaan operatiivisten prosessien valvontaa, muun muassa tunnistamista, seurantaa, reagointia ja palautumista D. parantamaan operatiivista hallintokehystä E. tehostamaan operatiivisten riskien raportointia ylimmälle hallintoelimelle ja toimivalle johdolle Direktiivin 2013/36/EU 104 artiklan 1 kohdan b, d, e, f, j, l, m ja n alakohdan ja asetuksen (EU) 2022/2554 50 artiklan mukaiset toimivaltaisten viranomaisten mahdolliset valvontatoimenpiteet – Toimivaltaiset viranomaiset voivat vaatia laitosta F. laatimaan ja toteuttamaan korjaavia toimintasuunnitelmia puutteiden korjaamiseksi G. rajoittamaan tiettyjä kolmansien osapuolten kanssa tehtyjä järjestelyjä, erityisesti kriittisten tai tärkeiden toimintojen osalta H. parantamaan operatiivisen riskin stressitestausta ja skenaarioanalyysia I. toteuttamaan tehokkaampia operatiivisia toimenpiteitä J. parantamaan liiketoiminnan jatkuvuus-, reagointi- ja palautumissuunnitelmia K. tehostamaan ESG-riskeihin, erityisesti ympäristöriskeihin, liittyvää operatiivisten riskien hallintaa, mahdollisesti yhden tai useamman edellä luetellun toimenpiteen pohjalta.