5.6 Riskienhallintajärjestelmä

Toimivaltaisten viranomaisten tulisi arvioida, onko sijoituspalveluyrityksellä asianmukainen riskienhallintajärjestelmä ja -prosessit. Toimivaltaisten viranomaisten tulisi tarkastella vähintään

• a. riskistrategiaa, riskinottohalua ja riskienhallintajärjestelmää
• b. ICARAP-kehystä
• c. herkkyys talouden suhdannevaihteluille.

5.6.1 Riskienhallintajärjestelmä, riskinottohalu ja strategia

Arvioidessaan riskienhallintajärjestelmää toimivaltaisten viranomaisten tulisi tarkastella sitä, missä määrin se on sisällytetty sijoituspalveluyrityksen kokonaisstrategiaan ja vaikuttaa siihen. Toimivaltaisten viranomaisten tulisi erityisesti arvioida sitä, onko liiketoimintastrategian, riskistrategian, riskinottohalun ja riskienhallintajärjestelmän sekä pääoma- ja likviditeettihallintajärjestelmien välillä asianmukainen ja johdonmukainen yhteys.

Sijoituspalveluyrityksen riskistrategian, riskinottohalun ja riskienhallintajärjestelmän tarkastelemiseksi toimivaltaisten viranomaisten tulisi vähintäänkin arvioida, toteutuvatko seuraavat seikat:

• a. Sijoituspalveluyrityksillä on kokonaisvaltainen, yrityksen laajuinen riskienhallintajärjestelmä, joka kattaa koko organisaation ja jossa tunnistetaan täysin kaikkien riskialtistusten taloudellinen merkitys, mukaan lukien riskit, joita sijoituspalveluyritys aiheuttaa itselleen (RtF), asiakkailleen (RtC) ja markkinoille (RtM), sekä likviditeettiriskit, erityisesti ne, joilla voi olla merkittävä vaikutus käytettävissä oleviin omiin varoihin tai jotka voivat alentaa niiden tasoa.
• b. Riskienhallintajärjestelmä kattaa kaikki merkitykselliset riskit ottaen asianmukaisesti huomioon sekä taloudelliset että muut riskit.
• c. Sijoituspalveluyritys käyttää riskien tunnistamisessa ja mittaamisessa tai arvioinnissa kvantitatiivisten arviointimenetelmien (mukaan lukien stressitestit) lisäksi myös laadullisia riskinarviointivälineitä (mukaan lukien asiantuntija-arviot ja kriittiset analyysit).
• d. Sijoituspalveluyritys tekee tehokasta riskiraportointia, johon sisältyy riskistrategian ja riskejä koskevien merkityksellisten tietojen järkevä sisäinen tarkastelu ja niistä tiedottaminen sekä horisontaalisesti sijoituspalveluyrityksen yksiköiden välillä että vertikaalisesti hallintoketjun päästä päähän.
• e. Sijoituspalveluyrityksen riskienhallintajärjestelmä sisältää käytännöt, menettelyt, riskirajat ja riskien valvontatoimet, joilla varmistetaan riittävä, oikea-aikainen ja jatkuva riskien havaitseminen, mittaaminen tai arviointi, valvonta, hallinta,

40 lieventäminen ja ilmoittaminen liiketoiminta-alueen tasolla, sijoituspalveluyrityksen tasolla ja konsolidoidulla tasolla.

• f. Riskistrategian ja riskinottohalun avulla voidaan määrittää erityiset riskirajat kaikille olennaisille riskeille.
• g. Riskistrategiassa ja riskinottohalussa otetaan asianmukaisesti huomioon sijoituspalveluyrityksen riskinsietokyky ja taloudelliset resurssit sekä valvontatarkoituksiin asetetut omien varojen vaatimukset ja maksuvalmiusvaatimukset sekä muut valvontatoimenpiteet ja -vaatimukset.
• h. Sijoituspalveluyritys on ottanut käyttöön menettelyt sellaisten päätösten hyväksymistä varten, joista säännösten noudattamista valvova toiminto tai tapauksen mukaan riskienhallintatoiminto on antanut kielteisen näkemyksen.

5.6.2 Sisäisen pääoman riittävyyden arviointimenettelyn ja sisäisten riskien arviointimenettelyn puitteet (ICARAP)

Toimivaltaisten viranomaisten tulisi arvioida, onko sijoituspalveluyrityksillä, jotka eivät ole asetuksen (EU) 2019/2033 12 artiklan mukaisia pieniä ja ilman sidossuhteita olevia sijoituspalveluyrityksiä tai joiden osalta toimivaltaiset viranomaiset ovat käyttäneet direktiivin (EU) 2019/2034 24 artiklan 2 kohdan toisessa alakohdassa säädettyä harkintavaltaa, yksittäisten yritysten tasolla tai sijoituspalveluyritysryhmillä konsolidoidulla tasolla hyvin perustellut, tehokkaat ja kattavat järjestelyt, strategiat ja prosessit, joilla ne arvioivat ja ylläpitävät jatkuvasti tarvittavan sisäisen pääoman ja likvidien varojen määriä, tyyppejä ja jakautumista tasolla, joka riittää kattamaan sen luonteiset ja -tasoiset riskit, joita sijoituspalveluyritykset voivat aiheuttaa toisille ja joita niihin itseensä kohdistuu tai saattaa kohdistua. Tällaisten järjestelyjen, strategioiden ja prosessien tulisi olla osa sisäistä pääoman riittävyyden ja sisäisten riskien arviointimenettelyä, joka voidaan jakaa edelleen sisäisen pääoman riittävyyden arviointimenettelyyn (ICAAP) ja sisäisen likviditeetin riittävyyden arviointimenettelyyn (ILAAP).

Niiden sijoituspalveluyritysten osalta, jotka täyttävät asetuksen (EU) 2019/2033 12 artiklan 1 kohdassa säädetyt pienten ja ilman sidossuhteita olevien sijoituspalveluyritysten edellytykset ja joita niiden toimivaltaiset viranomaiset pyytävät soveltamaan direktiivin (EU) 2019/2034 24 artiklan 2 kohdan mukaisia vaatimuksia, toimivaltaisten viranomaisten tulisi suorittaa arviointi asianmukaiseksi katsomallaan tavalla.

Nämä arvioinnit tulisi ottaa huomioon laskettaessa omien varojen lisävaatimusta ja arvioitaessa pääoman riittävyyttä 7 osastossa esitetyllä tavalla samoin kuin arvioitaessa maksuvalmiuden riittävyyttä 9 osastossa kuvatulla tavalla.

ICARAPin luotettavuus

Arvioidessaan ICARAPin luotettavuutta toimivaltaisten viranomaisten tulisi arvioida (tarvittaessa käsitellen ICAAPia ja ILAAPia erikseen) toteutuvatko seuraavat seikat:

41

• a. ICARAPin sisältämät järjestelyt, strategiat ja menettelyt ovat asianmukaisia ja oikeassa suhteessa sijoituspalveluyrityksen toiminnan luonteeseen, kokoon ja monimuotoisuuteen
• b. sijoituspalveluyritys tarkistaa säännöllisesti ICARAPin sisältämiä järjestelyjä, strategioita ja menettelyjä
• c. sijoituspalveluyritysten soveltamat menetelmät ja oletukset ovat asianmukaisia ja perustuvat luotettaviin empiirisiin tietosyötteisiin
• d. luottamustaso on yhdenmukainen riskinottohalun kanssa
• e. käytettävissä olevien sisäisen pääoman tai maksuvalmiusjärjestelyjen, jotka sijoituspalveluyritys ottaa huomioon ICARAPin yhteydessä, määritelmä ja koostumus yhdenmukaisia sijoituspalveluyrityksen mittaamien riskien kanssa ja niitä voidaan käyttää omien varojen puskurien ja maksuvalmiuspuskurien laskennassa.

ICARAPin tehokkuus

Arvioidessaan ICARAPin tehokkuutta toimivaltaisten viranomaisten tulisi arvioida (tarvittaessa käsitellen ICAAPia ja ILAAPia erikseen) toteutuvatko seuraavat seikat:

• a. sijoituspalveluyritys ottaa ICARAPin ja sen tulokset huomioon päätöksenteko- ja hallinnointiprosesseissa sijoituspalveluyrityksen kaikilla tasoilla
• b. sijoituspalveluyritys käyttää ICARAPia ja sen tuloksia riskien, pääoman ja likviditeetin hallinnassaan
• c. sijoituspalveluyrityksellä on toimintaperiaatteet, menettelyt ja välineet, joilla mahdollistetaan
• i. ICARAPin eri osista vastaavien toimintojen ja/tai asiaankuuluvien komiteoiden selkeää määrittelyä
• ii. pääoma- ja likviditeettisuunnittelua eli pääoman ja maksuvalmiusjärjestelyjen ennakoivaa laskemista kokonaisstrategian tai merkittävien liiketoimien yhteydessä
• iii. pääoman ja maksuvalmiusjärjestelyjen kohdentamista ja valvontaa liiketoiminta-alueittain ja riskityypeittäin etenkin määrittelemällä riskilimiitit liiketoiminta-alueille, yksiköille tai yksittäisille riskeille siten, että ne vastaavat tavoitetta varmistaa sijoituspalveluyrityksen sisäisen pääoman ja maksuvalmiusjärjestelyjen yleinen riittävyys
• iv. säännöllistä ja nopeaa raportointia pääoman ja maksuvalmiuden riittävyydestä toimivalle johdolle ja ylimmälle hallintoelimelle
• v. toimivan johdon tai ylimmän hallintoelimen tietoisuutta ja toimia tilanteissa, joissa liiketoimintastrategia ja/tai merkittävät yksittäiset liiketoimet voivat olla

42 ristiriidassa ICAAPin ja käytettävissä olevan sisäisen pääoman tai ILAAPin ja käytettävissä olevien sisäisen maksuvalmiuden kanssa

• d. ylin hallintoelin osoittaa asianmukaisen sitoutumisen ja tietämyksen ICARAPiin ja sen tuloksiin, ja
• e. ICARAP on tulevaisuuteen suuntautuva ja siinä arvioidaan sisäisen pääoman ja likvidien varojen yhdenmukaisuutta strategisten suunnitelmien kanssa.

ICARAPin kattavuus

Toimivaltaisten viranomaisten tulisi arvioida, kattaako ICARAP tarkoituksenmukaisesti sijoituspalveluyrityksen liiketoimintamallin, liiketoiminta-alueet, toiminnan ja oikeudelliset yksikött. Tämän arvioinnin perusteella toimivaltaisten viranomaisten tulisi arvioida, onko ICARAPissa tunnistettu ja arvioitu asianmukaisesti ne riskit, joille sijoituspalveluyritys altistuu tai saattaa altistaa muita sekä onko ICARAP lakisääteisten vaatimusten mukainen. Niiden tulisi arvioida erityisesti sitä,

• a. toteutetaanko ICARAPia yhtenäisesti ja oikeasuhteisesti kaikilla sijoituspalveluyrityksen olennaisilla liiketoiminta-alueilla, toiminnoissa ja oikeudellisissa yksiköissä riskien tunnistamisen ja arvioinnin yhteydessä
• b. jos jollakin yksiköllä on erilaiset sisäiset hallinnonti- ja ohjausjärjestelyt tai - prosessit kuin ryhmän muilla yksiköillä, ovatko nämä poikkeamat perusteltuja. Se, että vain osa ryhmästä ottaa käyttöön kehittyneitä malleja, voi olla perusteltua, jos ei ole riittävästi tietoja parametrien arvioimiseksi joidenkin liiketoiminta-alueiden, toimintojen tai oikeudellisten yksiköiden osalta edellyttäen, että nämä liiketoiminta-alueet, toiminnot tai yksiköt eivät muodosta riskikeskittymää muulle salkulle.

5.6.3 Sijoituspalveluyrityksen arvio talouden suhdannevaihteluista

Toimivaltaisten viranomaisten tulisi arvioida, tekevätkö sijoituspalveluyritykset kattavan arvioinnin riskeistä, jotka ovat olennaisia niiden liiketoiminnalle ja toimintamallille, salkun koostumukselle tai kaupankäyntistrategioille. Tähän tulisi sisältyä arvio näistä riskeistä ja vaikutuksista suhdannevaihteluiden yhteydessä, sillä tällaisilla vaihteluilla voi olla vaikutusta sijoituspalveluyritysten kykyyn täyttää omia varoja koskevat vaatimuksensa, rahoittaa käynnissä olevaa liiketoimintaansa tai suorittaa toimintansa alasajo hallitusti.

Toimivaltaisten viranomaisten tulisi arvioida, suorittavatko direktiivin 2014/65/EU liitteessä I olevan A osan 3 tai 6 kohdassa tarkoitettua toimintaa harjoittavat sijoituspalveluyritykset perusteellisemman arvioinnin stressitestien tai herkkyysanalyysin avulla, mikä kuvastaisi sijoituspalveluyritysten toiminnan luonteeseen, laajuuteen ja monimuotoisuuteen sopivaa soveltamisalaa ja kehittyneisyyden tasoa.

43

Toimivaltaisten viranomaisten tulisi tarkastella sijoituspalveluyritysten arviointeja suhdannevaihteluista, tarvittaessa stressitestien tai herkkyysanalyysien muodossa, sekä niiden tuloksia. Jos tällaisen tarkastelun perusteella sijoituspalveluyrityksen arviot suhdannevaihtelujen vaikutuksista ovat riittävän luotettavia, arvioinnin tuloksia tulisi käyttää perustana arvioitaessa SREP:n eri osatekijöitä, erityisesti seuraavia:

• a. mahdollisten puutteiden tunnistaminen yleisissä hallinnointi- ja ohjausärjestelyissä tai tarkastelussa tunnistetut sijoituspalveluyrityksen laajuiset valvonnan toiminnot tulisi ottaa huomioon
• b. sellaisten liiketoiminnan haavoittuvuuksien tunnistaminen, jotka tulisi ottaa huomioon arvioitaessa sijoituspalveluyritysten liiketoimintamallin elinkelpoisuutta ja yritysten strategioiden kestävyyttä 4 osaston mukaisesti
• c. riskienhallinnan ja valvonnan mahdollisten haavoittuvuuksien tai heikkouksien tunnistaminen riskinarvioinnin aikana yksilöityjen yksittäisten riskialueiden osalta olisi otettava huomioon, kun toimivaltaiset viranomaiset arvioivat 6 osastossa tarkoitettuja yksittäisiä pääomaan kohdistuvia riskejä tai 8 osastossa tarkoitettuja likviditeettiriskejä
• d. omien varojen lisäämistä koskevien ohjeiden (P2G) mahdollista määrittämistä, tarkistettua pääomasuunnittelua ja muita toimenpiteitä 7 ja 10 osaston mukaisesti.

Direktiivin 2014/65/EU liitteessä I olevan A osan 3 tai 6 kohdassa tarkoitettua toimintaa harjoittavien sijoituspalveluyritysten osalta toimivaltaisten viranomaisten olisi stressitestejä tai herkkyysanalyysejä ja niiden tuloksia arvioidessaan kiinnitettävä erityistä huomiota seuraaviin seikkoihin:

• a. sijoituspalveluyrityksen liiketoimintamallin tai yksittäisten liiketoiminta-alueiden tai salkkujen sekä markkinoiden, joilla sijoituspalveluyritys toimii, kannalta merkityksellisten skenaarioiden valitsemisen asianmukaisuus
• b. taustalla olevat oletukset, menetelmät ja riskitekijät, mukaan lukien skenaarion vakavuus
• c. tunnistettujen olennaisten riskien ja haavoittuvuuksien ulottuvuus ja niiden vaikutus sijoituspalveluyritysten kykyyn tuottaa voittoa ja ylläpitää riittäviä pääomavaatimuksia, ja
• d. tulosten käyttö sijoituspalveluyrityksen riskienhallinnassa ja strategisessa johtamisessa ennen asiaankuuluvia johdon toimia ja niiden jälkeen.

Rajat ylittävien ryhmien stressitestejä ja herkkyysanalyysejä ja niiden tuloksia arvioidessaan toimivaltaisten viranomaisten tulisi ottaa huomioon pääoman ja likviditeetin siirrettävyys oikeudellisten yksiköiden ja liiketoimintayksiköiden välillä stressitilanteissa sekä mahdollisten ryhmän sisäisten rahoitustukijärjestelyjen toimivuus, ottaen huomioon rahoitusvaikeudet, joita stressitilanteissa voi olla odotettavissa.

44

Jos toimivaltaiset viranomaiset havaitsevat puutteita suhdannevaihtelujen arvioinnin suunnittelussa tai niiden skenaarioiden tai oletusten suunnittelussa, joita sijoituspalveluyritykset käyttävät stressitestauksessa tai herkkyysanalyyseissä, ne voivat vaatia sijoituspalveluyrityksiä tekemään analyysinsä tai niiden tietyt osat uudelleen käyttäen toimivaltaisten viranomaisten antamia muutettuja oletuksia tai erityisiä ennalta määrättyjä skenaarioita.