16 Riskinhallintajärjestelmä

Osana yleistä sisäisen valvonnan järjestelmää sijoituspalveluyrityksillä olisi oltava kokonaisvaltainen, sijoituspalveluyrityksen laajuinen riskienhallintajärjestelmä, joka kattaa kaikki liiketoiminta-alueet ja sisäiset yksiköt, mukaan lukien sisäiset valvontatoiminnot, ja jossa tunnistetaan täysin kaikkien riskialtistusten taloudellinen merkitys, mukaan lukien riskit, joita sijoituspalveluyritys aiheuttaa itselleen, asiakkailleen ja markkinoille, sekä likviditeettiriskit, erityisesti ne, joilla voi olla merkittävä vaikutus käytettävissä oleviin omiin varoihin tai jotka voivat alentaa niiden tasoa. Riskienhallintajärjestelmän on autettava sijoituspalveluyritystä tekemään riskinottamista koskevia tietoon perustuvia päätöksiä. Riskienhallintajärjestelmän tulee kattaa kaikki riskit, olemassa olevat ja tulevat riskit, joille sijoituspalveluyritys voi altistua. Riskejä tulisi arvioida alhaalta ylöspäin ja ylhäältä alaspäin liiketoiminta-alueiden sisällä ja niiden välillä käyttämällä johdonmukaista terminologiaa ja yhteensopivia menetelmiä koko sijoituspalveluyrityksessä ja konsolidoidulla tasolla. Riskienhallintajärjestelmän tulisi kattaa kaikki keskeiset riskit siten, että huomioidaan sekä taloudelliset että muut kuin taloudelliset riskit, kuten markkina-, likviditeetti-, keskittymä- ja maineriskit sekä operatiiviset, tietotekniset, oikeudelliset ja menettelytapoja koskevat riskit, rahanpesuun ja terrorismin torjuntaan sekä muihin talousrikoksiin liittyvien säännösten noudattamista koskevat riskit, ympäristöön, yhteiskuntaan ja hallintotapaan liittyvät riskit sekä strategiset riskit.

Sijoituspalveluyrityksen riskienhallintajärjestelmän tulee sisältää käytännöt, menettelyt, riskirajat ja riskien valvontatoimet, joilla varmistetaan riittävä, oikea-aikainen ja jatkuva riskien havaitseminen, mittaaminen tai arviointi, valvonta, hallinta, lieventäminen ja ilmoittaminen liiketoiminta-alueen tasolla, sijoituspalveluyrityksen tasolla ja konsolidoidulla tasolla.

Sijoituspalveluyrityksen riskienhallintajärjestelmässä on annettava yksityiskohtaiset ohjeet sen strategioiden täytäntöönpanosta. Ohjeissa on tarvittaessa asetettava ja ylläpidettävä sisäisiä rajoja, jotka vastaavat sijoituspalveluyrityksen riskinottohalua ja jotka on suhteutettu sen järkevään hoitoon, taloudelliseen vahvuuteen, pääomapohjaan ja strategisiin tavoitteisiin. Sijoituspalveluyrityksen riskiprofiilin tulee pysyä näiden asetettujen rajojen sisällä. Riskienhallintajärjestelmän avulla on varmistettava, että mikäli riskirajojen ylityksiä tapahtuu, käytössä ovat määritellyt menettelyt, joiden avulla niistä ilmoitetaan ja niihin puututaan asianmukaisella seurantamenettelyllä.

Riskienhallintajärjestelmästä on teetettävä riippumaton sisäinen arviointi esimerkiksi sisäisen tarkastuksen toiminnon suorittamana. Järjestelmää on tarkistettava säännöllisesti vertaamalla sitä sijoituspalveluyrityksen riskinottohaluun ottaen huomioon riskienhallintatoiminnolta ja mahdolliselta riski saadut tiedot. Tässä yhteydessä on otettava huomioon eri tekijöitä, kuten sisäiset ja ulkoiset muutokset, mukaan lukien muutokset tuloissa, sijoituspalveluyrityksen liiketoiminnan, riskiprofiilin tai toiminnallisen rakenteen monipuolistuminen, maantieteellinen laajeneminen, sulautumiset ja yritysostot sekä uusien tuotteiden tai liiketoiminta-alueiden käyttöönotto.

Tunnistettaessa ja mitattaessa tai arvioitaessa riskejä sijoituspalveluyrityksen tulee kehittää asianmukaisia menettelyjä, joihin sisältyvät välineet sekä ennakointia että takautuvaa arviointia varten. Välineiden tulee sisältää tosiasiallisen riskiprofiilin arviointi suhteessa sijoituspalveluyrityksen riskinottohaluun sekä mahdollisten ja stressipainotettujen riskialtistusten tunnistaminen ja arviointi useissa oletetuissa epäsuotuisissa olosuhteissa suhteessa sijoituspalveluyrityksen riskinkantokykyyn. Välineiden tulee tarjota tietoa mahdollisista riskiprofiiliin tarvittavista muutoksista. Sijoituspalveluyritysten tulee tehdä asianmukaisen varovaisia oletuksia laatiessaan stressiskenaarioita.

Niiden on otettava huomioon, että kvantitatiivisten arviointimenettelyjen ja stressitestien tulokset ovat erittäin riippuvaisia käytettyjen mallien rajoituksista ja oletusarvoista (taloudellisen iskun vakavuus ja kesto sekä tähän liittyvät riskit mukaan luettuina). Esimerkiksi erittäin korkeaa pääoman tuottoa osoittava tulos voi johtua pikemminkin käytettyjen mallien puutteista (esim. joidenkin olennaisten riskien pois jättämisestä) kuin hyvästä strategiasta tai sijoituspalveluyrityksen erittäin onnistuneesta strategian toteuttamisesta. Otettavan riskin tason määrittelemisen ei näin ollen tulisi perustua ainoastaan kvantitatiivisiin tietoihin tai mallien tuotoksiin. Sen tulisi sisältää myös laadullista tarkastelua (kuten asiantuntijan näkemyksiä ja kriittistä analyysia). Tässä yhteydessä on käsiteltävä seikkaperäisesti myös makrotalousympäristöön liittyviä kehityssuuntauksia ja tietoja, jotta voidaan määrittää niiden mahdollinen vaikutus riskeihin ja salkkuihin.

Lopullinen vastuu riskinarvioinnista on yksin sijoituspalveluyrityksellä, joten sen on arvioitava riskejään kriittisesti eikä sen tule tukeutua yksinomaan ulkoisiin arviointeihin.

Sijoituspalveluyritysten tulisi olla täysin tietoisia mallien ja mittarien rajoituksista, ja niiden tulisi käyttää kvantitatiivisten riskinarviointivälineiden lisäksi myös kvalitatiivisia välineitä (asiantuntijoiden näkemyksiä ja kriittistä analyysia).

Sijoituspalveluyritysten omien arvioiden lisäksi ne voivat käyttää ulkoisia riskiarviointeja (kuten ulkoisia luottoluokituksia tai ulkoisesti hankittuja riskimalleja). Sijoituspalveluyritysten tulisi olla täysin tietoisia näiden arvioiden tarkasta soveltamisalasta ja niiden rajoituksista.

Sijoituspalveluyritykseen on perustettava säännöllinen ja avoin raportointijärjestelmä, jonka avulla sijoituspalveluyrityksen ylimmälle hallintoelimelle, mahdolliselle riskikomitealle ja kaikille asianomaisille yksiköille voidaan toimittaa ajantasaisia, tarkkoja, ytimekkäitä, ymmärrettäviä ja tarkoituksenmukaisia raportteja ja jonka kautta ne voivat jakaa asianmukaista tietoa riskien tunnistamisesta, mittaamisesta tai arvioinnista, seurannasta ja hallinnasta. Raportointijärjestelmän tulee olla tarkasti määritelty ja dokumentoitu.

Riskejä ja riskistrategiaa koskeva tehokas viestintä ja tietoisuus ovat ratkaisevia koko riskienhallintaprosessin kannalta, arviointi- ja päätöksentekomenettely mukaan luettuna, ja ne auttavat välttämään päätöksiä, jotka voivat tahattomasti lisätä riskiä. Tehokkaaseen riskiraportointiin sisältyvät riskistrategian ja riskejä koskevien merkityksellisten tietojen (esim. vastuut ja keskeiset riski-indikaattorit) järkevä sisäinen tarkastelu ja niistä tiedottaminen sekä horisontaalisesti sijoituspalveluyrityksen yksiköiden välillä että vertikaalisen hallintoketjun päästä päähän.