6.4. Procjena operativnog rizika

Pri procjeni okvira upravljanja operativnim rizikom nadležna tijela trebaju, među ostalim, ocijeniti usklađenost institucije s pravnim aktima koji su zasebno objavljeni na mrežnom mjestu EBA-e kako je navedeno u točki 12.

Nadležna tijela trebaju procijeniti operativni rizik kroz sve poslovne linije i poslovne aktivnosti institucije, uzimajući u obzir nalaze procjene mehanizma internog upravljanja i kontrola na razini institucije na način određen u glavi 5. Pri provedbi ove procjene nadležna tijela trebaju utvrditi na koji se način operativni rizik može materijalizirati, uzimajući u obzir i skup podataka

• o gubitcima institucije te potencijalne učinke drugih povezanih rizika (npr. granični kreditno-operativni rizik i tržišno-operativni rizik).

Nadležna tijela trebaju procijeniti značajnost operativnog rizika koji proizlazi od pružatelja usluga trećih strana, uključujući koncentraciju (na razini subjekta i, gdje je primjenjivo, na razini grupe) na jednoj ili više usluga koje pruža jedan pružatelj usluga treće strane (izravno ili neizravno putem lanaca podugovaranja) ili ograničen broj pružatelja usluga trećih strana koji podržavaju kritične ili važne funkcije institucije, te utječu li ti rizici na operativnu otpornost, učinkovitost i upravljanje rizicima institucije. Pri provedbi te procjene nadležna tijela trebala bi uzeti u obzir mjeru u kojoj se druge institucije oslanjaju na iste pružatelje usluga treće strane, ako su im takve informacije dostupne.

Pri procjeni operativnog rizika nadležna tijela trebaju procijeniti rizik IKT-a, u skladu s DORA-om, i njegov mogući utjecaj na kritične ili važne funkcije institucije, uključujući svaki mogući financijski, reputacijski, regulatorni i strateški utjecaj na instituciju.

Nadležna tijela trebaju procijeniti ima li institucija adekvatan pristup operativnoj otpornosti kako bi mogla izdržati, prilagoditi se i oporaviti od poremećaja kada nastanu te je li taj pristup adekvatno i dosljedno usklađen s postojećim okvirom upravljanja rizicima, planovima kontinuiteta poslovanja i upravljanjem trećim stranama.

Pri procjeni operativnog rizika nadležna tijela trebaju, ako je to primjenjivo, procijeniti utvrđuju li i ocjenjuju li politike i postupci institucije operativne rizike koji proizlaze iz aktivnosti povezanih s kriptoimovinom i njihove pomoćne tehnologije te upravljaju li njima na odgovarajući način.

Nadležna tijela trebaju procijeniti reputacijski rizik zajedno s operativnim rizikom jer je on sam po sebi povezan s događajima povezanima s operativnim rizikom. Međutim, rezultati procjene reputacijskog rizika ne bi se trebali odražavati u ocjeni operativnog rizika, već bi se, ako je to relevantno, trebali smatrati dijelom analize poslovnog modela i/ili procjene likvidnosnog rizika, s obzirom na to da se njegovim glavnim učincima može pogoršati povjerenje ulagača, deponenata ili sudionika na međubankarskom tržištu u instituciju.

Nadležna tijela trebaju procijeniti utjecaj ESG rizika na inherentne operativne i reputacijske rizike, kao i na adekvatnost kontrola operativnih i reputacijskih rizika povezanih s ESG rizicima, dajući prednost okolišnoj tranziciji i fizičkim rizicima. Nadležna tijela posebno bi trebala razmotriti okolišne rizike i rizike manipulativnog zelenog marketinga pri provedbi procjene pravnog rizika i reputacijskog rizika.

6.4.2. Procjena inherentnog operativnog rizika

Nadležna tijela trebaju steći temeljito razumijevanje izloženosti institucije inherentnom operativnom riziku i procijeniti značaj bonitetnog učinka koji taj rizik ima na instituciju, kao i učinak na njezinu sposobnost obavljanja ključnih ili važnih funkcija zbog poremećaja.

Kako bi potkrijepila tu procjenu, nadležna tijela trebala bi razmotriti kapitalni zahtjev za operativni rizik u usporedbi s ukupnim kapitalnim zahtjevom i, prema potrebi, internim kapitalom koji je institucija dodijelila za operativni rizik u usporedbi s ukupnim internim kapitalom. Nadalje, nadležna tijela trebala bi iskoristiti znanje stečeno procjenom drugih elemenata SREP-a (posebno iz glave 4. i glave 5.), usporedbom s usporedivim institucijama, svim drugim nadzornim aktivnostima, uključujući informacije dobivene od nadzornih tijela za SPNFT i tijela za nadzor tržišta te iz drugih relevantnih izvora informacija.

Nadležna tijela trebaju uzeti u obzir barem ključne čimbenike operativnog rizika, potencijalne scenarije poremećaja te, gdje je to relevantno, analizirati ih prema poslovnoj liniji, pravnom subjektu, geografskom području i kategoriji vrste događaja (ovisno o dostupnosti podataka) te usporediti položaj institucije s položajem usporedivih institucija. Ti čimbenici trebaju barem obuhvatiti glavnu strategiju institucije za operativni rizik i sklonost preuzimanju operativnog rizika, poslovno okruženje (uključujući geografsku prisutnost, IKT operacije i kanale distribucije), nedavne značajne korporativne događaje (kao što su spajanja, pripajanja, prodaje dijela poslovanja i restrukturiranja), IKT sustave i druge aspekte povezane s IKT-om prema odjeljku 6.4.2.3, promjene procesa, aranžmane s trećim stranama, pitanja usklađenosti s propisima, poslovne ambicije i poticajne sheme te ostale ključne pokretače operativnog rizika.

Vrsta i značaj izloženosti operativnom riziku

Nadležna tijela trebaju odrediti vrstu izloženosti operativnom riziku analizom izloženosti glavnim izvorima i pokretačima operativnog rizika kako bi se izradio anticipativan pregled potencijalnog operativnog rizika. Za ovu analizu nadležna tijela:

• a. mogu razmotriti operativni model, poslovne linije, proizvode, postupke i geografska područja relevantna za instituciju, procjenu ovisnosti i izloženosti operativnom riziku prema primarnim pokretačima rizika (npr. postupci, ljudi, sustavi i vanjski čimbenici) i interakcije pokretača rizika, koristeći se samoprocjenom institucije, analizom usporedivih institucija, podacima i javnim bazama podataka i/ili bazama podataka konzorcija, ako su dostupne i relevantne;
• b. trebaju razmotriti i učestalost i ozbiljnost događaja kojima je institucija izložena te razlikovati one koji uzrokuju velike gubitke od onih koji se događaju s velikom učestalošću. Na temelju te razlike nadležna tijela trebala bi procijeniti trendove gubitaka od operativnog rizika i njihovu koncentraciju i
• c. trebaju iskoristiti analize scenarija i uzeti u obzir planirane poslovne operacije te analize budućih operativnih rizika koje je institucija provela, gdje su dostupne, uzimajući u obzir sve korektivne mjere i mjere ublažavanja koje su već provedene i na snazi.

Nakon utvrđivanja i analize glavnih izvora i pokretača operativnog rizika nadležna tijela trebaju se usredotočiti na one s najznačajnijim mogućim učinkom na instituciju.

Primaran izvor informacija koji nadležna tijela trebaju uzeti u obzir jest skup podataka o gubicima i događajima institucije, jer može pružiti vrijedne uvide u razvoj profila operativnog rizika institucije. Nadležna tijela trebaju periodično procjenjivati sveobuhvatnost, točnost i kvalitetu podataka o gubitcima. Još jedan izvor informacija trebala bi biti evidencija institucije

• o svim incidentima povezanima s IKT-om i značajnim kiberprijetnjama (u skladu s člankom 17. stavkom 2. Uredbe DORA) te o utvrđenim izvorima rizika IKT-a (u skladu s člankom 8. stavkom 2. Uredbe DORA).

Procjena potkategorija operativnog rizika

Nadležna tijela trebaju usmjeriti procjenu potkategorija operativnog rizika na one koje se smatraju značajnima za instituciju. Nadležna tijela trebaju primijeniti i svoju stručnu prosudbu kako bi utvrdila značajne potkategorije na temelju svih dostupnih unutarnjih i vanjskih izvora informacija. Pri provedbi procjene nadležna tijela trebala bi uvijek obratiti pozornost na sljedeće aspekte operativnog rizika³² :

• a. pravni rizik;
• b. rizik modela;
• c. rizik informacijske i komunikacijske tehnologije (rizik IKT-a).

6.4.2.1. Pravni rizik

³² Vidjeti Prilog III. za neisključiv pregled potkategorija operativnog rizika.

Nadležna tijela trebaju uzeti u obzir sljedeće pri procjeni relevantnosti i značaja izloženosti institucije pravnom riziku:

• a. zloupotrebu pri prodaji proizvoda ili usluga;
• b. sukobe interesa u poslovanju;
• c. manipulaciju referentnim kamatnim stopama, deviznim tečajem ili bilo kojim drugim financijskim instrumentima ili indeksima;
• d. zapreke zamjeni financijskih proizvoda tijekom njihova razdoblja upotrebe i/ili zamjeni pružatelja financijskih usluga;
• e. automatske obnove korištenja proizvoda ili naknade za otkazivanje upotrebe i/ili
• f. obradu pritužbi klijenata;
• g. kršenje nacionalnih i međunarodnih pravila i propisa (porezna pravila, interna prevara ili interna krađa, pravila protiv pranja novca, pravila protiv terorizma i gospodarske sankcije);
• h. izloženosti u sudskim sporovima koje su povezane s ESG-om, posebno one povezane s okolišem i manipulativnim zelenim marketingom.

Nadležna tijela trebala bi razmotriti mogu li institucija imati bilo kakve troškove, novčane kazne, sankcije ili kaznene odštete iz pravnih postupaka te broj i sadržaj pritužbi. Rezultati procjene iz glave 4. trebali bi se također iskoristiti, zajedno s pomnim ispitivanjem politika poticaja, kako bi se dobili visokorazinski uvidi u izvore potencijalnog nezakonitog postupanja. U tom kontekstu nadležna tijela također bi trebala razmotriti je li institucija uspostavila adekvatne i učinkovite sustave i procese za provedbu i poštivanje restriktivnih mjera (npr. sankcija), uključujući procjenu usklađenosti institucije sa Smjernicama EBA-e o unutarnjim politikama, postupcima i kontrolama³³ .

³³ Smjernice o unutarnjim politikama, postupcima i kontrolama za osiguravanje provedbe Unijinih i nacionalnih mjera ograničavanja (EBA/GL/2024/14)

Međutim, nadležno tijelo trebalo bi primijeniti anticipativan pristup, razmatrajući i potencijalni utjecaj promjena u propisima i aktivnost relevantnih tijela u pogledu zaštite potrošača i pružanja financijskih usluga općenito. 6.4.2.2. Rizik modela

U okviru operativnog rizika nadležna tijela trebaju procijeniti rizik modela, posebno s obzirom na interne neregulatorne modele (npr. modeli umjetne inteligencije, određivanje cijena proizvoda, utvrđivanje i praćenje ograničenja rizika, modeli ICAAP-a/ILAAP-a, mogućnosti oporavka).

Za procjenu rizika modela nadležna tijela trebaju uzeti u obzir:

• a. u kojoj mjeri i za koje potrebe institucija upotrebljava modele kako bi donijela odluke te poslovni značaj takvih odluka. Nadležna tijela trebaju utvrditi poslovnu djelatnost/aktivnost za koju institucija značajno koristi modele i procijeniti potencijalni utjecaj rizika modela, između ostalog, putem analiza osjetljivosti i scenarija ili testiranja otpornosti na stres i
• b. pouzdanost kontrolnih mehanizama (u smislu metoda, učestalosti, praćenja itd.), uključujući postupak odobrenja modela, redovita preispitivanja koja se provode i razinu svijesti institucije o nedostatcima modela ili tržišnim i poslovnim kretanjima.

Kada se modeli upotrebljavaju u svrhu donošenja odluka (npr. određivanje cijena proizvoda, modeli umjetne inteligencije, ocjenjivanje financijskih instrumenata, profiliranje klijenata), nadležna tijela trebaju procijeniti postoji li pouzdan postupak interne validacije i/ili postupak provjere modela za utvrđivanje i ublažavanje rizika modela (osim regulatornih modela).

Pri provedbi procjene rizika modela nadležna tijela trebaju razmotriti rezultate procjene drugih rizika za kapital i rizika za likvidnost i izvore financiranja, posebno u pogledu primjerenosti metodologija za mjerenje rizika, određivanje cijena i procjenu imovine i/ili obveza. Rezultati takve procjene trebali bi poslužiti kao izvor podataka za nalaze o operativnom riziku.

6.4.2.3. Rizik IKT-a – procjena inherentnog rizika IKT-a

Utvrđivanje značajnih rizika IKT-a

U skladu s DORA-om, nadležna tijela trebaju pregledati identifikaciju, klasifikaciju i dokumentaciju svih poslovnih funkcija, uloga i odgovornosti koje podržava IKT, informacijske imovine³⁴ i IKT imovine³⁵ koje podržavaju te funkcije, te njihove uloge i ovisnosti u odnosu na rizik IKT-a. Taj bi pregled trebao pomoći nadležnim tijelima da steknu temeljito razumijevanje inherentnih izloženosti institucije riziku IKT-a (profil rizičnosti u pogledu IKT-a), utvrde njezine značajne inherentne rizike IKT-a i donesu mišljenje o njihovom bonitetnom učinku. U tu svrhu nadležna tijela trebaju, gdje je to relevantno i primjenjivo, uzeti u obzir barem sljedeće:

• a. izvješće o preispitivanju okvira za upravljanje rizikom IKT-a (u skladu s člankom 6. stavkom 5. Uredbe DORA);
• b. izvore rizika IKT-a, posebno izloženost riziku drugih financijskih subjekata i od drugih financijskih subjekata, koje je institucija utvrdila u skladu s člankom 8. stavkom 2. Uredbe DORA;
• c. prijavljene značajne incidente povezane s IKT-om (u skladu s člankom 19. stavkom 1. Uredbe DORA), uključujući trend agregiranih godišnjih troškova i gubitaka uzrokovanih značajnim IKT incidentima (u skladu s člankom 11. stavkom 10. Uredbe DORA);
• d. rezultate testiranja predviđenih programom testiranja digitalne operativne otpornosti (u skladu s člankom 24. DORA-e), uključujući sažetak nalaza penetracijskog testiranja vođenog prijetnjama (TLPT) i povezane planove za ispravljanje nedostataka (u skladu s člankom 26. stavkom 6. DORA-e);
• e. registar informacija (u skladu s člankom 28. stavkom 3. Uredbe DORA), uključujući stupanj koncentracije trećih strana pružatelja IKT usluga, uključujući pružatelje IKT usluga unutar grupe, prema vrsti usluga IKT-a i/ili sustava IKT-a;
• f. preporuke i mišljenja glavnih nadzornih tijela (u skladu s člankom 40. stavkom 3. i člankom 42. stavkom 7. Uredbe DORA) i povezane odgovore, izvješća i informacije ključnih trećih strana pružatelja usluga IKT-a (u skladu s člankom 35. stavkom 1. točkom (c), člankom 42. stavkom 1. i člankom 48. stavkom 2. Uredbe DORA);
• g. razinu složenosti sustava IKT-a i rezultate procjene rizika IKT-a u pogledu postojećih sustava IKT-a (u skladu s člankom 8. stavkom 7. Uredbe DORA):
• h. procjenu rizika u pogledu značajnih promjena (u skladu s člankom 8. stavkom 3. Uredbe DORA);
• i. razinu usvajanja i integracije inovativnih IKT rješenja;
• j. lokacije, odnosno regije ili zemlje, podatkovnih centara i osjetljivih određenih područja, uključujući područja u kojima ugovorne usluge IKT-a pružaju treći pružatelji usluga IKT-a, što obuhvaća i lokaciju obrade i pohrane podataka;
• k. sve povezane značajne nedostatke ili slabosti utvrđene u glavi 5.;
• l. samoprocjene rizika IKT-a i kontrola (ako se navode u informacijama o ICAAP-u);
• m. upravljačke informacije povezane s IKT rizikom dostavljene upravljačkom tijelu institucije;
• n. nalaze unutarnjih i vanjskih revizija povezanih s IKT-om;
• o. vanjsko okruženje prijetnji, uključujući obavještajne podatke o prijetnjama i ranjivostima.

Pregled IKT sustava i IKT usluga

³⁴ Članak 3. stavak 6. Uredbe (EU) 2022/2554

³⁵ Članak 3. stavak 7. Uredbe (EU) 2022/2554

Nadležna tijela trebaju pregledati relevantnu dokumentaciju, metodologiju i procese institucije te oblikovati mišljenje o tome je li institucija ispravno identificirala IKT sustave i IKT usluge koje podržavaju kritične ili važne funkcije. U tu bi svrhu nadležna tijela trebala razmotriti:

• a. IKT sustave koji podržavaju kritične ili važne funkcije, kao i kritične informacijske imovine i IKT imovine koje je institucija identificirala (u skladu s člankom 8. Uredbe DORA);
• b. ključne procese koji ovise o trećim stranama koje su pružatelji IKT usluga, uključujući međusobnu povezanost s trećim stranama koje su pružatelji IKT usluga i koje podržavaju ključne ili važne funkcije, a koje je utvrdila institucija (u skladu s člankom 8. stavkom 5. Uredbe DORA).

Identifikacija i mapiranje značajnih IKT rizika za IKT sustave i IKT usluge koje podržavaju kritične ili važne funkcije

Nadležna tijela potom bi trebala povezati utvrđeni značajan IKT rizik s kategorijama IKT rizika navedenima u Prilogu III. Institucije bi trebale uspostaviti vlastite kategorizacije rizika, a ne upotrebljavati onu iz Priloga.

6.4.3. Procjena okvira upravljanja operativnim rizikom i kontrole operativnog rizika

Nadležna tijela trebaju procijeniti okvir i mehanizme koje institucija ima na raspolaganju za upravljanje i kontrolu operativnog rizika, uzimajući u obzir rezultate analize cjelokupnog okvira upravljanja rizicima i unutarnjih kontrola iz Glave 5, jer će to utjecati na izloženost institucije operativnom riziku. Kad je riječ o riziku od pranja novca i financiranja terorizma, nadležno tijelo treba uzeti u obzir procjenu koju je dostavilo nadzorno tijelo za SPNFT.

Strategija sklonost preuzimanju operativnog rizika

Nadležna tijela trebaju procijeniti ima li institucija pouzdanu, jasno formuliranu i dokumentiranu strategiju operativnog rizika i razinu sklonosti preuzimanju operativnog rizika koju je odobrilo upravljačko tijelo, a u kojoj se navode priroda, vrste i razine operativnog rizika koji je institucija spremna preuzeti. Pri toj procjeni nadležna tijela trebaju, među ostalim, uzeti u obzir ulogu upravljačkog tijela u utvrđivanju, odobravanju, provedbi i preispitivanju strategije i sklonosti preuzimanju operativnog rizika (uključujući sklonost preuzimanju IKT rizika i strategiju digitalne operativne otpornosti), dostatnu pokrivenost i primjerenost strategije s obzirom na prirodu i značajnost profila operativnog rizika institucije.

Organizacijski okvir i okvir interne kontrole

Nadležna tijela trebaju procijeniti usklađenost institucije s člankom 323. Uredbe (EU) br. 575/2013. Pri toj procjeni nadležna tijela trebaju procijeniti stabilnost i učinkovitost organizacijskog okvira i mehanizama upravljanja kako bi se omogućilo učinkovito upravljanje operativnim rizikom, njegovo mjerenje i kontrola, uz dostatne ljudske i tehničke resurse za obavljanje potrebnih zadataka. Nadležna tijela trebaju uzeti u obzir postoje li jasne linije odgovornosti za utvrđivanje, procjenu, ublažavanje, praćenje operativnog rizika i izvještavanje

• o njemu, kao i pridržavanje modela „tri linije obrane”.

Nadležna tijela trebaju procijeniti ima li institucija čvrst okvir kontrole i pouzdane zaštitne mjere za ublažavanje operativnog rizika, uključujući odgovarajuće politike i postupke, koji obuhvaćaju i rezidualni rizik, te jesu li oni u skladu sa sklonošću institucije preuzimanju operativnog rizika i njezinom strategijom upravljanja operativnim rizikom te obuhvaćaju li sve ključne operacije i procese. To uključuje, između ostalog, procjenu jesu li te politike i procedure jasno formalizirane, komunicirane i dosljedno primjenjivane u cijeloj instituciji.

Nadležna tijela također bi trebala procijeniti funkcionalnost funkcije interne revizije u pogledu adekvatnosti, opsega i učestalosti internih revizija okvira upravljanja operativnim rizicima.

Kontinuitet poslovanja, odgovor i oporavak

Nadležna tijela trebaju procijeniti usklađenost institucije sa i. Smjernicama EBA-e o internom upravljanju u pogledu cjelokupnog upravljanja kontinuitetom poslovanja te s ii. Uredbom DORA u pogledu politike kontinuiteta poslovanja IKT-a te planova odgovora i oporavka IKT-a. U tom pogledu nadležna tijela trebaju utvrditi jesu li politika kontinuiteta poslovanja IKT-a i planovi odgovora i oporavka IKT-a sastavni dio sveukupne politike kontinuiteta poslovanja te plana odgovora i oporavka institucije.

Nadležna tijela trebaju procijeniti je li institucija uspostavila učinkovito upravljanje kontinuitetom poslovanja uz testirane planove kontinuiteta poslovanja, odgovora i oporavka koji obuhvaćaju barem njezine ključne ili važne funkcije, uključujući one ugovorene s trećim stranama koje su pružatelji usluga, te uzimaju li u obzir niz ozbiljnih, ali vjerojatnih scenarija na koje institucija može biti ranjiva. Nadležna tijela također bi trebala procijeniti omogućuje li politika kontinuiteta poslovanja institucije odgovarajuće mjere za odgovor i oporavak od bilo koje vrste incidenta.

Nadležna tijela trebaju utvrditi uključuje li upravljanje kontinuitetom poslovanja institucije:

• a. analizu poslovnog utjecaja;
• b. primjerene strategije oporavka koje uključuju ključne ovisnosti o internim i eksternim pokretačima i jasno definirane prioritete oporavka te razine otpornosti;
• c. sveobuhvatne i fleksibilne planove za rješavanje potencijalnih scenarija poremećaja, koji se utvrđuju na temelju analize učinka na poslovanje i u koordinaciji s unutarnjim i vanjskim dionicima;
• d. planove kojima se uspostavljaju strategije postupanja u kriznim situacijama te postupci odgovora i oporavka;
• e. djelotvorno ispitivanje izrade i operativne učinkovitosti planova;
• f. programe osposobljavanja i upoznavanja s upravljanjem kontinuitetom poslovanja;
• g. komunikacijske planove za informiranje rukovodstva i svih relevantnih dionika te dokumentaciju o upravljanju kriznim situacijama, mjere i funkciju upravljanja kriznim situacijama ako je to primjenjivo (u skladu s člankom 11. stavkom 7. Uredbe DORA).

Nadležna tijela trebaju procijeniti sljedeće u vezi s planovima kontinuiteta poslovanja, odgovora i oporavka institucije:

• a. utvrđuju li se njima uloge i odgovornosti, uključujući jasne smjernice o mogućem nasljeđivanju, te interni postupak donošenja odluka zajedno s definicijom okidača aktivacije;
• b. preispituju li se kako bi se osiguralo da strategije za nepredvidive situacije ostanu usklađene s trenutačnim aktivnostima, rizicima i prijetnjama, razinama otpornosti te ciljevima i prioritetima u pogledu oporavka;
• c. određuju li se njima prioriteti u pogledu mjera za kontinuitet poslovanja primjenom pristupa koji se temelji na riziku;
• d. testiraju li se redovito kako bi se osiguralo da se ciljevi i vremenski okviri oporavka mogu ispuniti; i
• e. uključuju li testiranje usluga koje pružaju treći pružatelji usluga, ako je primjenjivo.

Nadležna tijela također bi trebala procijeniti dokumentiraju li se rezultati testiranja i izvještavaju li se upravljačkom tijelu.

Procjena okvira upravljanja IKT rizikom

Nadležna tijela trebaju procijeniti usklađenost institucije s Uredbom DORA i Smjernicama EBA- e o internom upravljanju u pogledu internog upravljanja i organizacije upravljanja IKT rizikom. Nadležna tijela trebaju zauzeti stav o tome je li upravljačko tijelo institucije općenito odgovorno za upravljanje IKT rizikom te adekvatno definira, odobrava i nadzire provedbu svih IKT mehanizama. Nadležna tijela trebaju razmotriti posjeduju li članovi upravljačkog tijela dovoljno znanja i vještina za razumijevanje i procjenu IKT rizika te njihovog utjecaja na poslovanje institucije.

Nadležna tijela trebaju procijeniti na koji su način uloge i odgovornosti za sve funkcije povezane s IKT-om i uspostavljeni sustavi upravljanja ugrađeni i integrirani u okvir unutarnje kontrole i upravljanja institucije za upravljanje IKT rizikom. U tu bi svrhu nadležna tijela trebala razmotriti je li institucija učinkovito dodijelila odgovornost za upravljanje IKT rizikom i nadzor nad njime neovisnoj kontrolnoj funkciji koja ima izravan pristup i može izravno izvještavati upravljačko tijelo u nadzornoj funkciji te procijeniti pokazuje li institucija:

• a. jasnu komunikaciju, raspodjelu i integraciju uloga i odgovornosti u svim funkcijama povezanima s IKT-om, uključujući poslovne funkcije i procese koje podržava IKT;
• b. dostatan i primjeren proračun za ispunjavanje digitalne operativne otpornosti u smislu svih vrsta resursa, uključujući relevantne programe za podizanje svijesti, osposobljavanje i vještine u području IKT-a za cjelokupno osoblje (u skladu s člankom 5. stavkom 2. točkom (g) Uredbe DORA);
• c. adekvatno praćenje i odgovor upravljačkog tijela na ključne nalaze revizije IKT-a i nalaze o kojima se izvješćuje na temelju članka 13. stavka 5. Uredbe DORA.

Nadležna tijela trebaju steći temeljito razumijevanje okvira institucije za upravljanje IKT rizicima i procijeniti je li institucija uspostavila dovoljne i prikladne strategije, politike, procedure, IKT protokole i alate, uključujući razine tolerancije, kako bi značajne IKT rizike učinkovito, efikasno i sveobuhvatno riješila u skladu s Uredbom DORA-a. U tu svrhu nadležna tijela trebaju razmotriti, ako je to primjenjivo:

• a. primjerenost i učinkovitost politika, procesa i postupaka za upravljanje IKT rizicima³⁶ , koji, među ostalim, obuhvaćaju upravljanje trećim stranama u području IKT-a, otkrivanje i odgovor incidenata povezanih s IKT-om, upravljanje procjenom IKT-a, šifriranje i kriptografiju, sigurnost operacija IKT-a, sigurnost mreže, kontrolu pristupa te je li ih odobrilo upravljačko tijelo i jesu li o njima obaviješteni svi relevantni dionici (u skladu s člankom 14. Uredbe DORA);
• b. primjerenost razine tolerancije rizika institucije u pogledu IKT rizika i tolerancije utjecaja za poremećaje u području IKT-a (u skladu s člankom 6. stavkom 8. točkom (b) Uredbe DORA);
• c. primjerenost i provedbu strategije digitalne operativne otpornosti institucije, uključujući njezinu usklađenost s poslovnom strategijom;
• d. usklađenost strategije upravljanja IKT rizikom trećih strana, uključujući, gdje je dostupna, strategiju nabave od više IKT dobavljača, s cjelokupnom poslovnom strategijom i okvirom upravljanja IKT rizicima;
• e. preostali rizik od utvrđenih rizika institucije u vezi s ugovornim aranžmanima o korištenju IKT usluga koje podržavaju kritične ili važne funkcije;
• f. preostali rizik od utvrđenih rizika institucije u pogledu IKT projekata koji utječu na ključne ili važne funkcije o kojima je obaviješteno upravljačko tijelo, kao i u pogledu nabave, razvoja i održavanja IKT sustava i promjena u IKT-u;
• g. pouzdanost i sveobuhvatnost programa testiranja digitalne operativne otpornosti;
• h. trend i razmjer značajnih IKT incidenata i nalaza prijavljenih upravljačkom tijelu u skladu s člankom 17. stavkom 3. točkom (e) i člankom 13. stavkom 5. Uredbe DORA;
• i. kontrole rizika IKT-a koje su specifične za utvrđeni značajni rizik IKT-a;
• j. pravodobno izvještavanje upravljačkog tijela i višeg rukovodstva o aspektima upravljanja IKT rizikom;
• k. obuhvat i nalaze unutarnje revizije.

³⁶ U skladu s Uredbom DORA, to bi trebalo uključivati barem politiku sigurnosti informacija, politike sigurnosnog kopiranja, politiku upravljanja IKT imovinom, politiku šifriranja i kriptografskih kontrola, politiku upravljanja kriptografskim ključevima, politiku upravljanja IKT projektima, politiku nabave, razvoja i održavanja IKT sustava, politiku ljudskih resursa, politiku fizičke i okolišne sigurnosti, politiku upravljanja incidentima vezanim uz IKT te politiku korištenja IKT usluga koje podržavaju kritične ili važne funkcije, a koje pružaju treći pružatelji IKT usluga.

Pri procjeni upravljanja IKT rizicima nadležna tijela trebala bi obratiti posebnu pozornost na upravljanje IKT rizicima trećih strana, uključujući razinu koncentracije institucije na treće strane pružatelje IKT usluga. U tu bi svrhu nadležna tijela trebala osigurati blisku suradnju s glavnim nadzornim tijelima za ključne treće strane pružatelja usluga IKT-a, u skladu sa Zajedničkim smjernicama³⁷ europskih nadzornih tijela, u slučaju da institucija koja se procjenjuje primi IKT usluge od ključne treće strane pružatelja usluga IKT-a. Nadležna tijela također bi trebala pregledati učinkovitost namjenske uloge koju je uspostavila institucija ili imenovanog člana višeg rukovodstva u nadzoru ugovornih aranžmana s trećim stranama u području IKT-a.

³⁷ Zajedničke smjernice europskih nadzornih tijela o suradnji u području nadzora i razmjeni informacija između europskih nadzornih tijela i nadležnih tijela na temelju Uredbe (EU) 2022/2554 (JC/2024/36).

Nadležna tijela trebaju razmotriti je li funkcija interne revizije učinkovita i posjeduje li dovoljno znanja, vještina i stručnosti za reviziju okvira institucije za upravljanje IKT rizicima, provjerom sljedećeg:

• a. jesu li revizije okvira za kontrolu IKT rizika dovoljno kvalitetne, usmjerene, učestale i razmjerne profilu rizičnosti institucije u pogledu IKT-a;
• b. uključuje li plan revizije reviziju značajnih IKT rizika koje je institucija identificirala, uključujući neovisne preglede planova za odgovor i oporavak u vezi s IKT-om;
• c. provjeravaju li se i otklanjaju li se kritični nalazi revizije IKT-a pravodobno, uključujući izvještavanje upravljačkom tijelu;
• d. jesu li poduzete daljnje aktivnosti povezane s nalazima revizija IKT-a, uključujući dogovorene mjere i provjerava li više rukovodstvo i/ili odbor za reviziju redovito izvješća o napretku.

6.4.4. Procjena reputacijskog rizika

Nadležna tijela trebaju procijeniti reputacijski rizik kojem je institucija izložena koristeći saznanja stečena u okviru glava od 4. do 6.2. Takva bi procjena trebala biti usmjerena i na cjelokupni okvir reputacijskog rizika, čime se osigurava sposobnost institucije da upravlja svim događajima koji mogu ugroziti njezin ugled. Pri toj procjeni nadležna tijela trebaju izbjegavati aspekte dvostrukog obračunavanja koji su već razmotreni u okviru procjene pravnog rizika (odjeljak 6.4.2.1.).

Pri procjeni relevantnosti reputacijskog rizika nadležna tijela trebaju uzeti u obzir veličinu institucije, kao i vrstu, opseg i složenost njezinih usluga, aktivnosti i poslovanja (na primjer, dionice ili obveznice koje kotiraju na burzi ili one koje posluju na međubankarskim tržištima).

Nadležna tijela trebaju uzeti u obzir i unutarnje i vanjske čimbenike ili događaje koji bi mogli izazvati zabrinutosti u pogledu ugleda institucije, osim događaja koji dovode do pravnih postupaka. Kad je riječ o institucijama 1. i 2. kategorije, nadležna tijela trebaju u svojoj procjeni uzeti u obzir sve sljedeće pokazatelje:

• a. negativnu pokrivenost medija / društvenih mreža te inicijative potrošačkih udruga koje bi mogle narušiti javnu percepciju i ugled institucije;
• b. broj i promjene pritužbi klijenata ili iznenadni gubitak klijenata ili ulagatelja;
• c. negativne događaje koji utječu na usporedive institucije, a koje bi javnost mogla povezati sa cjelokupnim financijskim sektorom ili grupom institucija;
• d. ugled pojedinaca uključenih u upravljanje institucijom ili s kvalificiranim udjelima;
• e. uključenost ili poslovanje u sektorima ili nadležnostima koje su vrlo izložene pranju novca / financiranju terorizma ili s pojedincima povezanima s visokim rizikom iz perspektive pranja novca / financiranja terorizma;
• f. uključenost ili poslovanje u sektorima ili nadležnostima i/ili s drugim ugovornim stranama koji su u velikoj mjeri izloženi značajnim pitanjima ili javnim kontroverzama vezanim uz ESG čimbenike, uključujući, ali ne nužno ograničavajući se na okolišne čimbenike;
• g. učinak na ugled povezan s IKT incidentima, kako ga je zabilježila institucija u skladu s Delegiranom uredbom Komisije (EU) 2024/1772³⁸ ;
• h. druge „tržišne” pokazatelje, ako su dostupni (npr. smanjenje rejtinga ili promjene u cijeni dionice tijekom godine).

³⁸ Delegirana uredba Komisije (EU) 2024/1772 od 13. ožujka 2024. o dopuni Uredbe (EU) 2022/2554 Europskog parlamenta i Vijeća u pogledu regulatornih tehničkih standarda kojima se utvrđuju kriteriji za klasifikaciju IKT incidenata i kiberprijetnji, pragovi značajnosti i pojedinosti izvješća o značajnim incidentima, C/2024/1519 (SL, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

Nadležna tijela trebaju procijeniti značaj izloženosti institucije reputacijskom riziku i njezinu povezanost s drugim rizicima primjenom relevantnih procjena rizika (uključujući procjene drugih nadzornih tijela) kako bi utvrdila sve moguće sekundarne učinke u oba smjera.

U kontekstu analize operativnog rizika nadležna tijela trebaju uzeti u obzir relevantnost i značaj izloženosti institucije riziku od pranja novca i financiranja terorizma iz bonitetne perspektive u okviru operativnog rizika. U tom pogledu nadležna tijela trebaju upotrijebiti relevantne informacije dobivene od nadzornih tijela za SPNFT kako bi dopunila svoje nalaze iz kontinuiranog nadzora i procijenila izazivaju li zabrinutosti u vezi s bonitetnosti koje su povezane s rizikom od pranja novca i financiranja terorizma.

Nadležna tijela trebaju imati na umu da svaka institucija može biti izložena riziku od pranja novca i financiranja terorizma bez obzira na njezinu veličinu ili financijsku stabilnost. Stoga trebaju posvetiti dovoljno pozornosti i institucijama za koje se smatra da su financijski stabilne i koje možda imaju dobar ugled s obzirom na to da bi upravo na te institucije mogle biti usmjerene aktivnosti pranja novca i financiranja terorizma. Pozornost bi trebalo posvetiti i institucijama koje su vrlo uspješne u privlačenju novih klijenata / širenju tržišnog udjela, posebno upotrebom netradicionalnih kanala distribucije, budući da bi to moglo biti povezano sa slabim kontrolama postupka dubinske analize klijenata u početnoj fazi poslovnog odnosa.

Nadležna tijela trebaju s nadzornim tijelima za SPNFT podijeliti relevantne informacije o utvrđenim problemima povezanima s operativnim rizicima koji mogu dovesti do rizika od pranja novca i financiranja terorizma, rizika od neprovedbe i izbjegavanja ciljanih financijskih sankcija kao što su nedostatci u IKT sustavima institucija ili okviru unutarnje kontrole.

Nadležna tijela trebaju procijeniti je li institucija uvela primjerene sustave, strategije, postupke i mehanizme za upravljanje reputacijskim rizikom. Nadležna tijela posebno trebaju u obzir uzeti sljedeće:

• a. je li institucija formalizirala politike i postupke za utvrđivanje i praćenje tog rizika i upravljanje njime, uključujući pouzdan kodeks ponašanja, te jesu li te politike i postupci razmjerni njezinoj veličini i značaju u sustavu;
• b. primjenjuje li institucija za taj rizik mjere predostrožnosti, uključujući uspostavu odgovarajućih alata za mjerenje i praćenje, pokrivanje mogućih problema s ugledom u planovima postupanja u kriznim situacijama, provođenje relevantnog osposobljavanja i sastanaka za podizanje svijesti te korištenje stečenih iskustava;
• c. provodi li institucija testiranje otpornosti na stres ili analizu scenarija kako bi procijenila bilo kakve sekundarne učinke reputacijskog rizika (npr. likvidnost i troškovi financiranja, sekuritizacijske transakcije, pristup uslugama korespondentnih banaka);
• d. institucija djeluje kako bi zaštitila svoj brend putem alata za praćenje medija i društvenih mreža, protokola za rješavanje dezinformacija i nepovoljnog publiciteta, kao i brzih komunikacijskih kampanja;
• e. razmatra li institucija potencijalni utjecaj svoje strategije i poslovnih planova, i općenito svojeg ponašanja, na svoj ugled.

6.4.5. Operativna otpornost

Nadležna tijela trebaju steći cjelovit uvid u sposobnost institucije da obavlja ključne ili važne funkcije unatoč poremećajima (razina operativne otpornosti), što je ishod koji proizlazi iz učinkovitog upravljanja operativnim rizikom, uzimajući u obzir veličinu institucije, poslovni model i cjelokupan profil rizika. U tu bi svrhu nadležna tijela trebala iskoristiti svoje postojeće procjene upravljanja operativnim rizikom, kontinuiteta poslovanja, sposobnosti upravljanja promjenama, usluga trećih strana i IKT-a na koje se institucija oslanja kako bi holistički procijenila podržavaju li ti elementi kolektivno operativnu otpornost institucije. Nadležna tijela također trebaju razmotriti provodi li institucija svoj okvir upravljanja rizicima, planove kontinuiteta poslovanja, upravljanje trećim stranama (već procijenjeno u kontekstu Uredbe DORA i Smjernica EBA-e izdanih u skladu s člankom 74. stavkom 3. Direktive 2013/36/EU o sustavima, procesima i mehanizmima internog upravljanja) te okvire za oporavak i sanaciju na dosljedan i koordiniran način. Nadalje, nadležna tijela trebala bi razmotriti je li institucija u dovoljnoj mjeri mapirala unutarnju i vanjsku međusobnu povezanost i međuovisnosti koje su potrebne za obavljanje njezinih ključnih ili važnih funkcija.

Nadležna tijela trebaju uzeti u obzir pozornost koju upravljačko tijelo i više rukovodstvo posvećuju sposobnosti institucije da odgovori na poremećaje i oporavi se od njih, polazeći od pretpostavke da će do poremećaja doći. U tu svrhu nadležna bi tijela trebala razmotriti sljedeće:

• a. preuzima li upravljačko tijelo aktivnu ulogu u uspostavljanju širokog razumijevanja pristupa operativnoj otpornosti unutar institucije i u praćenju učinkovitosti pristupa operativnoj otpornosti institucije;
• b. izvješćuje li se pravodobno o kontinuiranoj operativnoj otpornosti institucije radi potpore nadzoru upravljačkog tijela, posebno ako bi veći utvrđeni nedostatci mogli utjecati na obavljanje ključnih ili važnih funkcija institucije.

6.4.6. Sažetak nalaza, ocjena i nadzorne mjere

Nakon provedbe prethodno opisane procjene nadležna tijela trebaju donijeti mišljenje o operativnom riziku institucije. Mišljenje bi se trebalo odraziti u sažetku nalaza i poduprijeti ocjenom rizika utemeljenom na razmatranjima navedenima u Tablici 10. Ako na temelju značajnosti određenih potkategorija rizika nadležno tijelo odluči te potkategorije procijeniti i ocijeniti na pojedinačnoj osnovi, potrebno je analogijom primijeniti razmatranja iz ove tablice u mjeri u kojoj je to moguće.

Tablica 10. Razmatranja nadzornih tijela za dodjelu ocjene operativnog rizika

Tablica u nastavku prikazuje neisključiv popis nadzornih mjera koje nadležna tijela mogu poduzeti u slučaju utvrđenih nedostataka u okviru upravljanja operativnim rizikom i operativne otpornosti institucije (uzimajući u obzir usku povezanost između operativne otpornosti i upravljanja operativnim rizikom). Nadležna tijela trebaju odlučiti o vrsti mjere na temelju njezine učinkovitosti u odnosu na određeni utvrđeni nedostatak. Nadležna tijela mogu primijeniti dodatne nadzorne mjere (uključujući kvantitativne mjere u skladu s člankom 104. stavkom 1. točkom (a) Direktive 2013/36/EU) ili kombinaciju tih mjera s onima navedenima u donjoj tablici, ako se smatra da su prikladnije za otklanjanje utvrđenih nedostataka. U slučaju kršenja Uredbe DORA nadležna tijela trebaju razmotriti primjenjive korektivne mjere i mjere za otklanjanje nedostataka iz članka 50. Uredbe DORA.

Tablica 11. Potencijalni i neisključiv popis nadzornih mjera koje proizlaze iz procjene operativnog rizika i operativne otpornosti Potencijalne nadzorne mjere za nadležna tijela u skladu s člankom 104. stavkom 1. točkama (b), (d), (e), (f), (j), (l), (m) i (n) Direktive 2013/36/EU i člankom 50. Uredbe (EU) 2022/2554 – Nadležna tijela mogu zahtijevati od institucije da: A. aktivnije uključi upravljačko tijelo ili njegove odbore u odluke o upravljanju operativnim rizikom; B. unaprijedi sustave za mjerenje operativnog rizika; C. ojača kontrole nad operativnim procesima, uključujući utvrđivanje, nadzor, odgovor i oporavak; D. poboljša okvira operativnog upravljanja; E. unaprijedi izvještavanje upravljačkog tijela i višeg rukovodstva o operativnom riziku; F. razvije i provede planove korektivnih radnji za otklanjanje nedostataka; G. ograniči određene aranžmane s trećim stranama, osobito za kritične ili važne funkcije; H. poboljša testiranje otpornosti na stres i analizu scenarija operativnog rizika; I. provede snažnije operativne mjere; J. poboljša planove za kontinuitet poslovanja, odgovor i oporavak; K. poboljša upravljanje operativnim rizikom povezanim s ESG rizicima, posebno okolišnim rizicima, koji se mogu temeljiti na jednoj ili više prethodno navedenih mjera.