17 Riskienhallintajärjestelmä

Laitoksilla tulisi osana yleistä sisäistä valvontajärjestelmää olla kokonaisvaltainen laitoksen laajuinen riskienhallintajärjestelmä, joka kattaa kaikki sen liiketoiminta-alueet ja sisäiset yksiköt, kuten sisäiset valvontatoiminnot, ja jonka avulla voidaan täysin tunnistaa kaikkien riskialtistusten taloudellinen sisältö. Riskienhallintajärjestelmän on autettava laitosta tekemään riskinottamista koskevia tietoon perustuvia päätöksiä. Riskienhallintajärjestelmän tulee kattaa taseeseen kuuluvat ja taseen ulkopuoliset riskit sekä olemassa olevat ja tulevat riskit, joille laitos voi altistua. Riskejä tulisi arvioida alhaalta ylöspäin ja ylhäältä alaspäin liiketoiminta-alueiden sisällä ja niiden välillä käyttämällä johdonmukaista terminologiaa ja yhteensopivia menetelmiä koko laitoksessa sekä konsolidoidulla ja alakonsolidointiryhmän tasolla. Riskienhallintajärjestelmän tulisi kattaa kaikki keskeiset riskit siten, että huomioidaan sekä taloudelliset että muut kuin taloudelliset riskit, kuten luotto-, markkina-, likviditeetti-, keskittymä- ja maineriskit sekä operatiiviset, tietotekniset, oikeudelliset ja menettelytapoja koskevat riskit, rahanpesuun ja terrorismin torjuntaan sekä muihin talousrikoksiin liittyvien säännösten noudattamista koskevat riskit, ympäristöön, yhteiskuntaan ja hallintotapaan liittyvät riskit sekä strategiset riskit.

Laitoksen riskienhallintajärjestelmän tulee sisältää käytännöt, menettelyt, riskirajat ja riskien valvontatoimet, joilla varmistetaan riittävä, oikea-aikainen ja jatkuva riskien havaitseminen, mittaaminen tai arviointi, valvonta, hallinta, lieventäminen ja ilmoittaminen liiketoiminta-alueen tasolla, laitoksen tasolla, konsolidoidulla tasolla tai alakonsolidointiryhmän tasolla.

Laitoksen riskienhallintajärjestelmässä on annettava yksityiskohtaiset ohjeet sen strategioiden täytäntöönpanosta. Ohjeissa on tarvittaessa asetettava ja ylläpidettävä sisäisiä rajoja, jotka vastaavat laitoksen riskinottohalua ja jotka on suhteutettu sen järkevään hoitoon, taloudelliseen vahvuuteen, pääomapohjaan ja strategisiin tavoitteisiin. Laitoksen riskiprofiilin tulee pysyä näiden asetettujen rajojen sisällä. Riskienhallintajärjestelmän avulla on varmistettava, että mikäli riskirajojen ylityksiä tapahtuu, käytössä ovat määritellyt menettelyt, joiden avulla niistä ilmoitetaan ja niihin puututaan asianmukaisella seurantamenettelyllä.

Riskienhallintajärjestelmästä on teetettävä riippumaton sisäinen arviointi esimerkiksi sisäisen tarkastuksen toiminnon suorittamana. Järjestelmää on tarkistettava säännöllisesti vertaamalla sitä laitoksen riskinottohaluun ottaen huomioon riskienhallintatoiminnolta ja mahdolliselta riskivaliokunnalta saadut tiedot. Tässä yhteydessä on otettava huomioon eri tekijöitä, kuten sisäiset ja ulkoiset muutokset, mukaan lukien muutokset taseessa ja tuloissa, laitoksen liiketoiminnan, riskiprofiilin tai toiminnallisen rakenteen monipuolistuminen, maantieteellinen laajeneminen, sulautumiset ja yritysostot sekä uusien tuotteiden tai liiketoiminta-alueiden käyttöönotto.

Tunnistettaessa ja mitattaessa tai arvioitaessa riskejä laitoksen tulee kehittää asianmukaisia menettelyjä, joihin sisältyvät välineet sekä ennakointia että takautuvaa arviointia varten. Niiden tulee mahdollistaa riskien yhteenlaskeminen kaikilta liiketoiminta-alueilta ja helpottaa riskikeskittymien tunnistamista. Välineiden tulee sisältää tosiasiallisen riskiprofiilin arviointi suhteessa laitoksen riskinottohaluun sekä mahdollisten ja stressipainotettujen riskialtistusten tunnistaminen ja arviointi useissa oletetuissa epäsuotuisissa olosuhteissa suhteessa laitoksen riskinkantokykyyn. Välineiden tulee tarjota tietoa mahdollisista riskiprofiiliin tarvittavista muutoksista. Laitosten tulee tehdä asianmukaisen varovaisia oletuksia laatiessaan stressiskenaarioita.

Niiden on otettava huomioon, että kvantitatiivisten arviointimenettelyjen ja stressitestien tulokset ovat erittäin riippuvaisia käytettyjen mallien rajoituksista ja oletusarvoista (taloudellisen iskun vakavuus ja kesto sekä tähän liittyvät riskit mukaan luettuina). Esimerkiksi erittäin korkeaa pääoman tuottoa osoittava tulos voi johtua pikemminkin käytettyjen mallien puutteista (esim. joidenkin olennaisten riskien pois jättämisestä) kuin hyvästä strategiasta tai laitoksen erittäin onnistuneesta strategian toteuttamisesta. Otettavan riskin tason määrittelemisen ei näin ollen tulisi perustua ainoastaan kvantitatiivisiin tietoihin tai mallien tuotoksiin. Sen tulisi sisältää myös laadullista tarkastelua (kuten asiantuntijan näkemyksiä ja kriittistä analyysia). Tässä yhteydessä on käsiteltävä seikkaperäisesti myös makrotalousympäristöön liittyviä kehityssuuntauksia ja tietoja, jotta voidaan määrittää niiden mahdollinen vaikutus riskeihin ja salkkuihin.

Lopullinen vastuu riskinarvioinnista on yksin laitoksella, joten sen on arvioitava riskejään kriittisesti eikä sen tule tukeutua yksinomaan ulkoisiin arviointeihin. Laitoksen tulisi esimerkiksi validoida hankittu riskinarviontimalli ja mukauttaa se omiin erityisolosuhteisiinsa varmistaakseen, että malli kartoittaa ja analysoi riskiä tarkasti ja kattavasti.

Laitosten tulisi olla täysin tietoisia mallien ja mittarien rajoituksista, ja niiden tulisi käyttää kvantitatiivisten riskinarviointivälineiden lisäksi myös kvalitatiivisia välineitä (asiantuntijoiden näkemyksiä ja kriittistä analyysia).

Laitosten omien arvioiden lisäksi ne voivat käyttää ulkoisia riskiarviointeja (kuten ulkoisia luottoluokituksia tai ulkoisesti hankittuja riskimalleja). Laitosten tulisi olla täysin tietoisia näiden arvioiden tarkasta soveltamisalasta ja niiden rajoituksista.

Laitokseen on perustettava säännöllinen ja avoin raportointijärjestelmä, jonka avulla laitoksen ylimmälle hallintoelimelle, mahdolliselle riskivaliokunnalle ja kaikille asianomaisille yksiköille voidaan toimittaa ajantasaisia, tarkkoja, ytimekkäitä, ymmärrettäviä ja tarkoituksenmukaisia raportteja ja jonka kautta ne voivat jakaa asianmukaista tietoa riskien tunnistamisesta, mittaamisesta tai arvioinnista, seurannasta ja hallinnasta. Raportointijärjestelmän tulee olla tarkasti määritelty ja dokumentoitu.

Riskejä ja riskistrategiaa koskeva tehokas viestintä ja tietoisuus ovat ratkaisevia koko riskienhallintaprosessin kannalta, arviointi- ja päätöksentekomenettely mukaan luettuna, ja ne auttavat välttämään päätöksiä, jotka voivat tahattomasti lisätä riskiä. Tehokkaaseen riskiraportointiin sisältyvät riskistrategian ja riskejä koskevien merkityksellisten tietojen (esim. vastuut ja keskeiset riski-indikaattorit) järkevä sisäinen tarkastelu ja niistä tiedottaminen sekä horisontaalisesti laitoksen yksiköiden välillä että vertikaalisen hallintoketjun päästä päähän.