12. Operatiivisten riskien hallinta ja operatiivinen häiriönsietokyky

ART:ien liikkeeseenlaskijalla tulisi olla asianmukainen operatiivisten riskien hallintajärjestelmä ja operatiivisen häiriönsietokyvyn järjestelmä. Tähän sisältyy tehokkaita toimintatapoja ja prosesseja, joilla

• a. tunnistetaan, arvioidaan, seurataan, raportoidaan ja vähennetään operatiivisia riskejä oikea-aikaisesti ja
• b. tunnistetaan uhkia ja mahdollisia häiriöitä ja suojaudutaan niiltä, reagoidaan ja sopeudutaan häiriötilanteisiin sekä palaudutaan ja opitaan niistä, jotta niiden vaikutus kriittisten tai tärkeiden toimintojen toteuttamiseen olisi mahdollisimman vähäinen¹³ .

¹³ Baselin pankkivalvontakomitean operatiivisen häiriönsietokyvyn periaatteet, maaliskuu 2021, https://www.bis.org/bcbs/publ/d516.pdf

ART:ien liikkeeseenlaskijan ylimmän hallintoelimen tulisi osana riskienhallintajärjestelmää hyväksyä operatiivisen riskin ja operatiivisen häiriönsietokyvyn hallintaa koskevat strategiat, toimintaperiaatteet ja prosessit, mukaan lukien riskinottohalu operatiivisen riskin kehystä varten ja kriittisten tai tärkeiden toimintojen häiriöiden riskinsietokyky¹⁴ . Näitä strategioita, toimintaperiaatteita ja prosesseja tulisi arvioida ja päivittää tarpeen mukaan säännöllisin väliajoin.

¹⁴ Häiriönsieto on minkä tahansa tyyppisen operatiivisen riskin aiheuttaman häiriön taso, jonka liikkeeseenlaskija on valmis hyväksymään, kun otetaan huomioon useita vakavia mutta mahdollisia skenaarioita.

Ylin hallintoelin varmistaa, että nämä toimintaperiaatteet ja prosessit pannaan tehokkaasti täytäntöön, että ne sisällytetään täysimääräisesti ART:ien liikkeeseenlaskijan yleiseen riskienhallintajärjestelmään, mukaan lukien ulkopuolisten yhteisöjen käyttöön liittyvät riskit, ja että niistä tiedotetaan tehokkaasti asianomaiselle henkilöstölle.

ART:ien liikkeeseenlaskijan tulisi selkeästi osoittaa operatiivisten riskien ja operatiivisen häiriönsietokyvyn arviointi- ja hallintajärjestelmän vastuualueet.

ART:ien liikkeeseenlaskijan tulisi tunnistaa altistumat operatiivisille riskeille, seurata asiaankuuluvia operatiivisia riskejä koskevia tietoja, mukaan lukien olennaiset tappiotiedot, ja tehdä skenaarioanalyysi.

ART:ien liikkeeseenlaskijan tulisi määritellä kriittiset toimintonsa operatiivisen häiriönsietokyvyn lähestymistavan mukaisesti ja kartoittaa ihmiset, teknologia, prosessit, tiedot, tilat, kolmannet osapuolet, mukaan lukien konsernin sisäiset yksiköt, sekä niiden väliset yhteydet ja riippuvuussuhteet, jotka ovat välttämättömiä kriittisten tai tärkeiden toimintojen toteuttamiseksi tavanomaisessa liiketoimintatilanteessa ja häiriötilanteissa.

Operatiivisen riskin ja operatiivisen häiriönsietokyvyn hallintajärjestelmää tulisi tarkastella säännöllisesti sellaisten sisäisten tai ulkoisten tarkastajien toimesta, joilla on tällaisten tarkastusten tekemiseen tarvittava tietämys. Operatiivisen riskinhallinnan ja operatiivisen häiriönsietokyvyn järjestelmän tulisi olla rakenteeltaan sellainen, että sillä on riittävät ja asianmukaiset henkilö- ja tekniset resurssit. ART:ien liikkeeseenlaskijan operatiivisen riskin arviointijärjestelmä ja operatiivisen häiriönsietokyvyn järjestelmä on integroitava kokonaan liikkeeseenlaskijan riskienhallintajärjestelmään.

Käyttöön tulisi ottaa järjestelmä, jolla raportoidaan ylimmälle hallintoelimelle ja joka mahdollistaa riittävät operatiivista riskiä ja operatiivista häiriönsietokykyä koskevat raportit ART:ien liikkeeseenlaskijan oleellisista toiminnoista. ART:ien liikkeeseenlaskijalla tulisi olla käytössään menettelyt, joiden avulla voidaan tarvittaessa toteuttaa viipymättä asianmukaiset toimet.

ART:ien liikkeeseenlaskijan tulisi tunnistaa ja arvioida toimintaansa, prosesseihinsa ja järjestelmiinsä luontaisesti liittyvät operatiiviset riskit varmistaakseen, että nämä riskit ymmärretään hyvin.

Kun otetaan huomioon suhteellisuusperiaatteen soveltamista koskeva I osasto, ART:ien liikkeeseenlaskijan tulisi yksilöidä, analysoida ja mitata erilaisia skenaarioita, mukaan lukien pienen todennäköisyyden ja suuren vakavuuden tapahtumat, joista osa voi johtaa vakaviin operatiivisen riskin aiheuttamiin tappioihin. Skenaarioanalyysin syöttötietoina käytetään tarvittaessa asiaankuuluvia sisäisiä ja ulkoisia tappiotietoja, itsearvioinneista saatuja tietoja, asiantuntijalausuntoja, sisäisen valvonnan kehystä, ennakoivia mittareita, perussyiden analyysejä ja prosessikehystä. Skenaarioanalyysiprosessia tulisi käyttää mahdollisten tapahtumien erilaisten seurausten kehittämiseen, mukaan lukien riskinhallintatarkoituksiin tehtävät vaikutustenarvioinnit ja aiempiin tietoihin tai nykyisiin riskinarviointeihin perustuvat muut välineet.

I osaston mukaisesti ART:ien liikkeeseenlaskijat voivat käyttää kvalitatiivisia riskinarviointimenetelmiä, kun taas merkittävien ART:ien liikkeeseenlaskijoiden tulisi soveltaa edistyneempää menetelmää ja käyttää sisäisiä ja ulkoisia tappiotietoja skenaarioanalyysissä, jos tiedot ovat saatavissa.