6.6 Muiden riskien arviointi

Toimivaltaisten viranomaisten tulisi direktiivin (EU) 2019/2034 36 ja 40 artiklan mukaisesti arvioida sellaisten sijoituspalveluyrityksen pääomaan kohdistuvien muiden riskien merkitystä, joita ei kateta pilarin 1 omien varojen vaatimuksella. Näitä muita riskejä arvioidessaan toimivaltaisten viranomaisten tulisi ottaa huomioon sijoituspalveluyrityksen toiminnan luonne ja monimuotoisuus, joilla on vaikutusta näiden riskien merkitykseen.

6.6.2 Riskien tason arviointi

Arvioimalla riskejä, joitapilarin 1 omien varojen vaatimukset eivät kata, toimivaltaisten viranomaisten tulisi määrittää sijoituspalveluyrityksen riskien päätekijät ja arvioida näiden riskien vaikutusta sijoituspalveluyritykseen. Näiden riskien arvioinnissa tulisi noudattaa seuraavia päävaiheita:

• a. alustava arviointi
• b. arvio sellaisen sijoitustoiminnan luonteesta ja laajuudesta, josta aiheutuu sijoituspalveluyritykselle riski, jota pilarin 1 omien varojen vaatimukset eivät kata
• c. näihin toimiin liittyvien järjestelmien ja menettelyjen arviointi.

Toimivaltaisten viranomaisten tulisi arvioida riskit, jotkaeivät tule katetuksi pilarin 1 omien varojen vaatimuksella, sekä senhetkisenä että ennakoivasti.

Toimivaltaisten viranomaisten tulisi tarvittaessa arvioida myös muita kuin tässä luvussa lueteltuja riskejä.

Alustava arviointi

Määrittääkseen arvioinnin laajuuden riskeille, joita pilarin 1 omien varojen vaatimukset eivät kata, toimivaltaisten viranomaisten olisi ensin tunnistaa niiden riskien lähteet, joille sijoituspalveluyritys altistuu tai saattaa altistua.

Toimivaltaisten viranomaisten tulisi tarkastella vähintäänkin seuraavia seikkoja:

• a. liiketoimintamalli ja riskinottohalu
• b. tietotekniikkaratkaisujen sisäinen kehittäminen tai ulkoistaminen
• c. tukitoiminnot, kuten säännösten noudattamisen valvonta (compliance), oikeudelliset ja verotukselliset toiminnot (myös ulkoistetut)
• d. oikeus- ja riita-asioiden kustannukset
• e. operatiivisen toiminnan kokonaistappiot, mukaan lukien sisäisten ja ulkoisten petosten kustannukset
• f. kaupankäyntivarastoon kuulumattomien toimien laajuus.

76

Toimivaltaisten viranomaisten tulisi tehdä alustava analyysi tarkastelemalla edellä mainituissa tekijöissä ajan mittaan tapahtuneita muutoksia, jotta ne voivat saada näin tietoon perustuvan käsityksen sijoituspalveluyrityksen tärkeimmistä muista riskeistä.

Kaupankäyntivarastoon kuulumattomista toimista syntyvä korkoriski

Toimivaltaisten viranomaisten tulisi arvioida kaupankäyntivaraston ulkopuolisista toimista aiheutuva korkoriski, jota sijoituspalveluyritykseen kohdistuu.

Toimivaltaisten viranomaisten tulisi arvioida, miten korkojen muutokset voivat vaikuttaa kielteisesti sijoituspalveluyrityksen varoihin, velkoihin ja taseen ulkopuolisiin vastuisiin. Jotta voitaisiin määrittää paremmin sijoituspalveluyrityksen monimuotoisuus ja korkoriskiprofiili, toimivaltaisten viranomaisten pitäisi myös ymmärtää sijoituspalveluyrityksen varoihin, velkoihin ja taseen ulkopuolisiin eriin liittyvien vastuiden tärkeimmät piirteet.

Määrällisessä arvioinnissaan toimivaltaisten viranomaisten tulisi tarkastella kaupankäyntivarastoon kuulumattomista toimista syntyvän korkoriskin mittaamiseen käytettyjen sijoituspalveluyrityksen sisäisten menetelmien tuloksia. Lisäksi toimivaltaisten viranomaisten tulisi harkita asianmukaisia häiriöskenaarioita, kun otetaan huomioon sijoituspalveluyrityksen kaupankäyntivaraston ulkopuolisista toimista aiheutuvan korkoriskin luonne.

Operatiiviset riskit, jotka eivät kuulu pilarin 1 piiriin

Toimivaltaisten viranomaisten tulisi arvioida operatiivisia riskejä, joita asetuksen (EU) 2019/2033 omien varojen vähimmäisvaatimukset eivät kata. Nämä riskit voivat johtaa suoriin operatiivisiin tappioihin ja epäsuoriin tappioihin, jotka johtuvat valituksista ja oikeudenkäynneistä. Suuret operatiiviset riskit voivat myös johtaa henkilöstöpulaan keskeisissä tehtävissä. Arvioinnissa tulisi ottaa huomioon paitsi operatiiviset tappiot myös läheltä piti -tilanteet ja operatiivisen riskin aiheuttavat tapahtumat, jotka päättyivät lopulta tuottoisasti.

Toimivaltaisten viranomaisten tulisi tarkastella seuraavia riskien lähteitä ja tarvittaessa keskitettävä arviointi niihin näkökohtiin, joita pidetään sijoituspalveluyrityksen kannalta merkittävimpinä:

• a. työturvallisuus
• b. aineelliselle omaisuudelle aiheutuneet vahingot
• c. sisäiset petokset
• d. ulkoiset petokset
• e. IT-riskit
• f. menettelytapariski
• g. sääntelyyn, oikeusasioihin ja verotukseen liittyvät riskit

77

• h. malliriski suhteessa liiketoimintatarkoituksiin käytettäviin malleihin
• i. riittämättömät (sekä laadulliset että määrälliset) henkilöresurssit ja tekniset resurssit keskeisissä tehtävissä
• j. maineriski.

Toimivaltaisten viranomaisten tulisi osana kaikkia SREP-arviointeja muodostaa näkemys tieto- ja viestintätekniikkaan liittyvän riskin tasosta ja tieto- ja viestintäteknisten toimintojen yhdenmukaisuudesta liiketoimintastrategian kanssa. Toimivaltaisten viranomaisten olisi sisällytettävä arviointiinsa kaikki asiaankuuluvat tieto- ja viestintätekniikan riskeihin liittyvät näkökohdat, kuten turvallisuusriski, tietotekniikkahankkeiden riski ja tieto- ja viestintätekniikan hallintariski siltä osin kuin ne eivät jo sisälly näiden ohjeiden muihin osiin sekä otettava huomioon EPV:n ohjeet tieto- ja viestintätekniikka- (ICT) sekä turvallisuusriskien hallinnasta¹⁹ ja ESMAn ohjeet ulkoistamisesta pilvipalvelujen tarjoajille²⁰ .

Toimivaltaisten viranomaisten tulisi muodostaa näkemys sijoituspalveluyrityksen sijoitus- ja markkinatoimintaan liittyvän menettelytapariskin suuruudesta siltä osin kuin se ei sisälly pilarin 1 omien varojen vaatimukseena. Menettelytapariskillä tarkoitetaan senhetkistä tai tulevaa riskiä, joka aiheutuu asiakkaille, markkinoille tai yritykselle itselleen yrityksen tai sen henkilöstön epäasianmukaisen toiminnan vuoksi. Tämä riski voi johtua tahallisista tai tuottamuksellisista väärinkäytöksistä (myös (rahoitus)palvelujen epäasianmukaisesta tarjonnasta) siltä osin kuin niillä voi olla kielteisiä taloudellisia tai maineellisiavaikutuksia. Tällainen maineriski voi puolestaan johtaa markkinaosuuksien tai avainasiakkaiden menetykseen ja asiakkaiden valitusten lisääntymiseen.

Toimivaltaisten viranomaisten tulisi olennaisin osin keskittyä seuraaviin luontaisten menettelytapariskien lähteisiin:

• a. rahaston sulkeminen tai sen toiminnan keskeyttäminen
• b. väärinkäytöstapausten lukumäärä: väärinmyynti, markkinoiden manipulointi
• c. lakisääteiset seuraamukset (sanktiot).

Toimivaltaisten viranomaisten tulisi muodostaa näkemys lainsäädännöllisistä, oikeudellisista ja verotuksellisista riskeistä, jotka johtuvat lakien tai asetusten noudattamatta jättämisestä. Nämä riskit voivat johtaa oikeudenkäynteihin ja rangaistusseuraamuksiin sijoituspalveluyritykselle. Lakien ja asetusten noudattamiseen tähtäävistä korjaavista ohjelmista voi myös aiheutua suuria kustannuksia.

Toimivaltaisten viranomaisten olisi tarvittaessa keskityttävä näihin sääntelyriskien, oikeudellisten riskien ja verotuksellisten riskien lähteisiin:

19 EPV:n ohjeet tieto- ja viestintätekniikka- (ICT) sekä turvallisuusriskien hallinnasta (EBA/GL/2019/04).

20 ESMAn ohjeet ulkoistamisesta pilvipalvelujen tarjoajille (ESMA50-164-4285). 78

• a. sovellettavien säännösten noudattamisesta aiheutuvat kustannukset
• b. sakkojen tai muiden noudattamatta jättämisen seuraamusten maksaminen
• c. verojen uudelleenlaskenta tai viivästyneiden maksujen, sakkojen ja seuraamusten maksaminen
• d. sijoituspalveluyrityksen kannalta merkityksellisten sääntelymuutosten ennakointi.

Toimivaltaisten viranomaisten tulisi arvioida riski, joka liittyy liiketoiminnassa käytettyihin malleihin, mukaan lukien arvostus- ja hinnoittelumallit, algoritmisen kaupankäynnin mallit ja muut mallit, joilla voi olla merkittävä vaikutus sijoituspalveluyrityksen liiketoimintaa koskeviin päätöksiin ja toimintaan.

Sijoituspalveluyrityksen erityispiirteet huomioon ottaen toimivaltaiset viranomaiset voivat arvioidessaan riskejä, joita pilarin 1 omien varojen vaatimukset eivät kata, ottaa huomioon muita riskien lähteitä, jotka eivät sisälly edellä mainittuihin luokkiin.

Järjestelmäriski

Toimivaltaisten viranomaisten tulisi muodostaa määrällisten ja laadullisten kriteerien perusteella käsitys sijoituspalveluyrityksen järjestelmäriskistä. Toimivaltaisten viranomaisten tulisi tämän arvioinnin perusteella määrittää, voiko sijoituspalveluyrityksen kaatuminen johtaa merkittäviin häiriöihin rahoitusmarkkinoilla, joilla sijoituspalveluyritys toimii.

Järjestelmäriskin arviointi voidaan tarvittaessa suorittaa kootusti sellaisten sijoituspalveluyritysten ryhmän osalta, joilla on samankaltainen liiketoimintamalli ja riskiprofiili. Tällaista yhdistettyä arviointia tehdessään toimivaltaisten viranomaisten tulisi ottaa huomioon mahdolliset vaikutukset, joita näiden sijoituspalveluyritysten tietyn lukumäärän/osuuden samanaikaisella kaatumisella olisi niillä rahoitusmarkkinoilla, joilla ne toimivat. Tätä varten toimivaltaiset viranomaiset voivat harkita yhtä tai useampaa skenaariota.

6.6.3 Riskien hallinnan ja valvonnan arviointi

Jotta sijoituspalveluyrityksen riskiprofiilista saataisiin kattava käsitys sellaisten riskien osalta, joita pilarin 1 omien varojen vaatimukset eivät sisällä, toimivaltaisten viranomaisten tulisi tarkastella uudelleen hallinnointi- ja riskienhallintajärjestelmää, jolla vähennetään muista riskilähteistä aiheutuvaa riskiä. Tätä varten toimivaltaisten viranomaisten tulisi arvioida seuraavien seikkojen toteutuminen ottaen huomioon sijoituspalveluyrityksen toiminnan laajuus, luonne ja monimuotoisuus:

• a. sijoituspalveluyrityksen strategia kuvastaa asianmukaisesti sijoituspalveluyrityksen halua ottaa näitä riskejä ja se on yhdenmukainen sijoituspalveluyrityksen yleisen riskinottohalun kanssa

79

• b. sijoituspalveluyrityksellä on sisäiset ohjeet ja toimintaperiaatteet luotettavan riskikulttuurin varmistamiseksi
• c. sijoituspalveluyrityksellä on asianmukaiset puitteet kaupankäyntivaraston ulkopuolisesta toiminnasta aiheutuvan korkoriskin hallintaa, mittaamista, seurantaa ja valvontaa varten
• d. sijoituspalveluyrityksellä on asianmukaiset puitteet tietotekniikkariskien hallintaa, mittaamista, seurantaa ja valvontaa varten ja riittävät (sekä laadulliset että määrälliset) henkilöstöresurssit ja tekniset resurssit
• e. sijoituspalveluyrityksellä on selkeästi määritellyt toimintaperiaatteet ja menettelyt operatiivisen riskin hallintaa varten.

6.6.4 Yhteenveto havainnoista ja pisteytys

Edellä kuvatun arvioinnin jälkeen toimivaltaisten viranomaisten tulisi muodostaa käsitys sijoituspalveluyrityksen muista riskeistä. Tämän käsityksen tulisi käydä ilmi havainnoista tehtävästä yhteenvedosta, johon liitetään taulukossa 8 esitettyjen näkökohtien perusteella annettava riskipistemäärä. Jos tiettyjen riskitekijöiden merkittävyyden perusteella toimivaltainen viranomainen päättää arvioida ja pisteyttää ne erikseen, tulisi mahdollisuuksien mukaan soveltaa analogisesti tässä taulukossa esitettyjä ohjeita.

Toimivaltaisten viranomaisten tulisi tarkastella kaikkia näitä tekijöitä rinnakkain eikä erillään ja ymmärrettävä tekijät, jotka ovat sellaisten riskien taustalla, joita pilarin 1 omien varojen vaatimukset eivät kata.

Taulukko 8. Valvontaan perustuvat näkökohdat muiden riskien pisteyttämistä varten