12. Upravljanje operativnim rizikom i operativna otpornost

Izdavatelj ART - ova treba imati odgovarajući okvir upravljanja operativnim rizikom i okvir za operativnu otpornost. To uključuje učinkovite politike i postupke za:

• a. pravodobno utvrđivanje, procjenu, ocjenu, praćenje i ublažavanje operativnog rizika te izvješćivanje o njemu; i
• b. utvrđivanje i zaštitu od prijetnji i potencijalnih neuspjeha, reagiranje i prilagođavanje na disruptivne događaje, te za oporavak i izvlačenje pouka iz njih kako bi se njihov učinak na obavljanje ključnih ili važnih funkcija sveo na najmanju moguću mjeru¹³ .

¹³ Načela BCBS - a za operativnu otpornost, ožujak 2021., https://www.bis.org/bcbs/publ/d516.pdf

Kao dio svojeg okvira upravljanja rizicima, izdavatelj ART - ova treba donijeti strategije, politike i postupke za upravljanje operativnim rizikom i operativnom otpornošću, uključujući sklonost preuzimanju rizika za okvir operativnog rizika i toleranciju rizika za poremećaje ključnih ili važnih funkcija¹⁴ . Te strategije, politike i postupke potrebno je periodično preispitivati i prema potrebi ažurirati.

¹⁴ Tolerancija poremećaja jest razina poremećaja proizašlog iz bilo koje vrste operativnog rizika koju je izdavatelj spreman prihvatiti s obzirom na niz ozbiljnih, ali mogućih scenarija.

Upravljačko tijelo osigurava da se te politike i postupci učinkovito provede, potpuno integriraju u cjelokupni okvir upravljanja rizicima izdavatelja ART - ova, uključujući rizik povezan s angažiranjem trećih subjekata, kao i da se o njima informira relevant no osoblje.

Izdavatelj ART - ova treba jasno dodijeliti odgovornosti za sustav procjene i upravljanja operativnim rizikom i operativnom otpornošću.

Izdavatelj ART - ova treba utvrditi svoje izloženosti operativnom riziku, pratiti relevantne podatke o operativnom riziku, uključujući podatke o značajnim gubitcima i provesti analizu scenarija.

Izdavatelj ART - ova treba utvrditi svoje ključne poslovne aktivnosti, u skladu sa svojim pristupom operativnoj otpornosti, i mapirati osobe, tehnologiju, postupke, podatke, objekte, treće subjekte, uključujući subjekte unutar grupe, te međusobne povezanosti i međuovisnosti među njima koje su potrebne za obavljanje ključnih ili važnih funkcija u uobičajenim poslovnim uvjetima i tijekom poremećaja.

Okvir upravljanja operativnim rizikom i operativnom otpornošću trebaju redovito preispitivati unutarnji ili vanjski revizori koji posjeduju znanje potrebno za provedbu takvih preispitivanja. Okvir upravljanja operativnim rizikom i okvir za operativnu otpornost trebaju raspolagati dostatnim i primjerenim ljudskim i tehničkim resursima. Sustav procjene operativnog rizika i okvir za operativnu otpornost izdavatelja ART - ova trebaju biti potpuno integrirani u izdavateljev okvir upravljanja rizicima.

Potrebno je uvesti sustav izvješćivanja upravljačkog tijela unutar kojega relevantne funkcije izdavatelja ART - ova izrađuju odgovarajuća izvješća o operativnom riziku i operativnoj otpornosti. Izdavatelj ART - ova treba imati uspostavljene postupke za poduzim anje odgovarajućih mjera bez odgode, ako je to potrebno.

Izdavatelj ART - ova treba utvrditi i procijeniti operativni rizik koji je svojstven njegovim aktivnostima, postupcima i sustavima kako bi se osiguralo dobro razumijevanje tih rizika.

Uzimajući u obzir glavu I. o primjeni načela proporcionalnosti, izdavatelj ART - ova treba utvrditi, analizirati i mjeriti niz scenarija, uključujući malo vjerojatne i vrlo ozbiljne događaje, od kojih bi neki mogli dovesti do ozbiljnih gubitaka zbog operativnog rizika. Ulazni podatci za analizu scenarija uključuju, prema potrebi, relevantne unutarnje i vanjske podatke o gubitcima, informacije iz samoprocjena, stručna mišljenja, okvir unutarnje kontrole, parametre usmjerene na budućnost, analize temeljnih uzroka i okvir procesa. Postupak analize scenarija treba se upotrebljavati za razvoj niza posljedica potencijalnih događaja, uključujući procjene učinka za potrebe upravljanja rizikom, čime se upotpunjuju drugi alati temeljeni na povijesnim podacima ili trenutačnim procjenama rizika.

Uzimajući u obzir glavu I., izdavatelji ART - ova mogu primijeniti pristupe kvalitativne procjene rizika, dok izdavatelji značajnih ART - ova trebaju primijeniti sofisticiraniji pristup koji uključuje upotrebu unutarnjih i vanjskih podataka o gubitcima, ako su dostupni, za potrebe analize scenarija.