5. 5. cím A belső irányítás és az intézményi szintű kontrollmechanizmusok értékelése

73.A belső irányítás és az intézményi szintű kontrollmechanizmusok értékelése során az illetékes hatóságoknak többek között azt is meg kell vizsgálniuk, hogy az intézmény betartja-e a 12. bekezdésben foglalt, az EBA honlapján külön közzétett jogi aktusokat.

74.Az illetékes hatóságoknak értékelniük kell az intézmény belső irányítási rendszerének megfelelőségét, figyelembe véve az üzleti modellben és a pénzintézet tevékenységeiben rejlő kockázatok jellegét, mértékét és összetettségét. Az illetékes hatóságoknak meg kell állapítaniuk, hogy a pénzintézet milyen mértékben felel meg a hatékony belső irányítási rendszerre vonatkozó, alkalmazandó jogi és szabályozási követelményeknek – ideértve az előző bekezdésben felsoroltakat is –, és fel kell tárniuk az esetleges hiányosságokat. Az illetékes hatóságoknak fel kell mérniük, hogy a nem megfelelő belső irányítási rendszer lényeges kockázatot jelent-e, valamint hogy ez milyen hatással lehet az intézmény kockázati profiljára, működési rezilienciájára és fenntarthatóságára. E célból az arányosság elvével és a 2. címben vázolt felügyeleti szerepvállalással összhangban a következő területeket kell értékelni:

• a. szervezeti felépítés, a vezető testület és annak bizottságai;
• b. kockázatkezelési kultúra és üzleti magatartás;
• c. javadalmazási politikák és gyakorlatok;
• d. belsőkontroll-funkciók;
• e. kockázatkezelési keretrendszer;
• f. ICT-rendszerek, a kockázati adatok összesítése és a kockázatokra vonatkozó jelentéstétel;
• g. pénzmosási és terrorizmusfinanszírozási kockázatok és prudenciális aggályok;
• h. a helyreállítási tervezés irányítása.

75.Az illetékes hatóságoknak az előző bekezdés a)–f) pontjában felsorolt területek értékelése során figyelembe kell venniük az ESG-kockázatokat, elsőbbséget biztosítva az ökológiai átállással kapcsolatos és a fizikai kockázatoknak.

76.A belső irányítás értékelésének alapul kell szolgálnia a kockázatkezelés és az ellenőrzési mechanizmusok 6. és 8. címben meghatározott konkrét értékeléséhez, valamint az ICAAP és az ILAAP értékeléséhez az SREP-tőkeértékelésében (7. cím) és a SREP likviditási és finanszírozási értékelésben (8. cím). Hasonlóképpen, a 7. cím alapján felülvizsgált ICAAP-számítások/tőkebecslések kockázatonkénti elemzésének, valamint az ezen elemzés során azonosított esetleges hiányosságoknak alapul kell szolgálniuk az e cím alapján értékelt átfogó ICAAP-keretrendszer értékeléséhez.

77.A belső irányítás és az intézményi szintű kontrollmechanizmusok átfogó értékelésének keretében az illetékes hatóságoknak fel kell mérniük, hogy az intézmény képes-e hatékonyan és időben orvosolni a feltárt hiányosságokat és/vagy az illetékes hatóságok által kifejezett felügyeleti aggályokat. Ezen értékelés elvégzése során az illetékes hatóságoknak figyelembe kell venniük, hogy az intézmény által korábban elért eredmények bizonyítják-e, hogy az intézmény képes és hajlandó eredményesen és kellő időben kezelni a felügyeleti aggályokat és/vagy az azonosított hiányosságokat, és hogy ezt már figyelembe vették-e az egyéb SREP-területek értékelése során. Ehhez az illetékes hatóságoknak a következő elemek értékelésére kell támaszkodniuk:

• a. a vezető testület szerepe i. az intézmény által alkalmazott irányítási rendszer hatékonyságának értékelésében – különös tekintettel a korrekciós intézkedésekre –, valamint ii. a felügyeleti aggályok és/vagy a hiányosságok orvoslására irányuló megfelelő intézkedések meghozatalában (eredményes reagálás a felügyeleti aggályokra);
• b. az intézményen belüli kockázati kultúra;
• c. az illetékes hatóságnak átadott és azzal kicserélt információk megfelelősége és időszerűsége;
• d. a helyreállítási intézkedésekről a vezető testületnek, a felső vezetésnek és a belsőkontroll-funkcióknak benyújtott belső jelentések minősége;
• e. a belsőkontroll-funkciók szerepe a végrehajtott korrekciós intézkedések megfelelőségének és eredményességének felülvizsgálatában.

78.A belső irányítás és az intézményi szintű kontrollmechanizmusok leányvállalati szintű értékelése során az illetékes hatóságoknak az e címben felsorolt elemeken túlmenően értékelniük kell, hogy a csoportszintű szabályzatokat és eljárásokat következetesen végrehajtják-e leányvállalati szinten, és hogy a csoporthoz tartozó szervezetek megfelelő intézkedéseket hoztak-e annak biztosítására, hogy tevékenységeik megfeleljenek valamennyi alkalmazandó jogszabálynak és rendeletnek.

79.A pénzintézet szervezeti felépítésének, vezető testületének és bizottságainak értékelése során az illetékes hatóságoknak meg kell vizsgálniuk, hogy az intézmény betartja-e a 2013/36/EU irányelv 74., 88. és 91. cikkét, az EBA belső irányításról szóló iránymutatásait (¹⁸ ), valamint az ESMA és az EBA közös iránymutatásait a vezető testület tagjainak és a kiemelt funkciót betöltő személyek alkalmasságának értékeléséről (¹⁹ ). Az intézmény – és adott esetben a csoport – szervezeti és működési felépítésének értékelése során az illetékes hatóságoknak többek között a következőket kell vizsgálniuk:

• a. a szervezeti és működési felépítés megfelelően és egyértelműen kialakított-e, valamint jól körülhatárolt, átlátható és következetes felelősségi köröket foglal-e magában, többek között a vezető testület és annak bizottságainak vonatkozásában is;
• b. a szervezeti és működési felépítés arányban áll-e a vállalkozás és a műveletek méretével és összetettségével;
• c. a szervezeti és működési felépítés átlátható-e az érdekelt felek, köztük a munkavállalók és a részvényesek számára.

80. Az intézmény vezető testületének értékelése során az illetékes hatóságoknak többek között a következőket kell vizsgálniuk:

• a. a vezető testület ismeri és átlátja-e az intézmény jogi, szervezeti és működési felépítését („a saját struktúra ismerete”) és az azzal járó kockázatokat, beleértve a megfelelő felügyeletet is;
• b. adott esetben a konszolidáló intézmény vezető testülete tisztában van-e mind a csoport szervezeti felépítésével, mind a csoport különböző szervezeteinek szerepeivel, valamint a köztük fennálló kapcsolatokkal és összefüggésekkel;
• c. a vezető testület tagjai együttesen véve megfelelően átlátják-e a szervezet üzleti modelljét és tevékenységeit, és rendszeres képzések révén folyamatosan naprakész ismeretekkel és készségekkel rendelkeznek-e a vonatkozó kockázatokról – ideértve az ICT-kockázatokat, az ESG-kockázatokat és az egyéb újonnan felmerülő kockázatokat is;
• d. az intézmény rendelkezik-e a vezető testületen belüli sokszínűséget és befogadást elősegítő szabályzattal, és rendszeresen értékeli-e ezeket, kitérve a nemek közötti egyensúlyra, valamint arra is, hogy az igazgatótanács összetétele, működése és utódlástervezése támogatja-e a hatékony döntéshozatalt, és tükrözi-e az intézmény sokszínűséggel és befogadással kapcsolatos célkitűzéseit;
• e. a vezető testület tagjai eredményesen együttműködnek-e egymással, ideértve az irányító és a felügyeleti funkciók közötti együttműködést is;
• f. a vezető testület minden tagja függetlenül jár-e el, elegendő időt szán-e a feladatra, és megfelelően tájékozott-e az intézmény kockázati helyzetével kapcsolatban;
• g. adott esetben létrehozott-e az irányítási funkciót ellátó vezető testület kockázati, ellenőrzési, kinevezési és javadalmazási bizottságokat, és ezek a bizottságok a vonatkozó jogi és szabályozási keretben előírtak szerint látják-e el a feladataikat.

81.Az intézmény vezető testületének és annak bizottságainak összetételével és működésével kapcsolatos vizsgálatuk során az illetékes hatóságoknak figyelembe kell venniük az intézmény vezető testületének tagjaira és a kiemelt funkciót betöltő személyek vonatkozó, az intézmény vagy – adott esetben – az illetékes hatóság által elvégzett alkalmassági értékelésekből származó releváns megállapításokat is. Az illetékes hatóságoknak felül kell vizsgálniuk az intézmény kiemelt funkciót betöltő személyek azonosítására irányuló folyamatának eredményét, és értékelniük kell az egyéni elszámoltathatóság szintjét, figyelembe véve az irányítási funkciót ellátó vezető testület valamennyi tagjának, a felső vezetésnek és a kulcsfontosságú feladatot ellátó személyeknek a szerepére és feladataira vonatkozó egyéni nyilatkozatokat, valamint a feladatok feltérképezését, beleértve a jelentéstételi útvonalak, a felelősségi körök, valamint az intézmény irányítási rendszerébe tartozó személyek és feladataik részleteit.

¹⁸ EBA/GL/2021/05.

¹⁹ EBA/GL/2021/06.

82.Az intézmény kockázatkezelési kultúrájának és üzleti magatartásának értékelése során az illetékes hatóságoknak meg kell vizsgálniuk, hogy az intézmény megfelel-e a belső irányításról szóló EBA-iránymutatásoknak. Ebben az összefüggésben az illetékes hatóságoknak többek között a következőket kell mérlegelniük:

• a. az intézmény következetes vállalati értékekkel és szilárd kockázatkezelési kultúrával rendelkezik-e, i. amelyeket hatékony és szilárd irányelvek és eljárások, valamint az összes alkalmazott számára biztosított tájékoztatás és képzés támaszt alá – ideértve a magatartási kódexet, az összeférhetetlenségek kezelésére szolgáló megfelelő keretrendszert és a bejelentési mechanizmusokat is, amelyek célja a felelősségteljes, etikus magatartás előmozdítása, valamint a kapcsolt felekkel szembeni kitettségek nyomon követése és kezelése –; és ii. amelyek elősegítik a nyílt kommunikáció és az érdemi vita környezetét;
• b. a vezető testület, a felső vezetés és a kiemelt funkciót betöltő személyek elkötelezettek a szilárd kockázatkezelési és vállalati kultúra, valamint a felelős üzleti magatartás előmozdítása iránt;
• c. az intézmény egészében magas szintű kockázattudatosság figyelhető-e meg;
• d. beépíti-e az intézmény a kockázattudatosságot a döntéshozatali folyamataiba, ideértve a megfelelő kockázatviselést is.

83.Az illetékes hatóságoknak értékelniük kell, hogy az intézmény megfelelő kerettel rendelkezik-e a kapcsolt felekkel folytatott ügyletek azonosítására, dokumentálására és kezelésére, beleértve a jóváhagyási folyamatot, a kitettségi korlátokat, a szokásos piaci feltételeket, valamint a nyomonkövetési és jelentéstételi mechanizmusokat. Az illetékes hatóságoknak értékelniük kell a vezető testület által gyakorolt felügyelet szintjét is.

84.Az intézmény javadalmazási politikáinak és gyakorlatának értékelése során az illetékes hatóságoknak meg kell vizsgálniuk, hogy az intézmény betartja-e a 2013/36/EU irányelv 74., 92. és 94. cikkét, az (EU) 2021/923 felhatalmazáson alapuló rendeletet, valamint az EBA a megbízható javadalmazási szabályokról szóló iránymutatásait (²⁰ ). Ebben az összefüggésben az illetékes hatóságoknak többek között a következőket kell mérlegelniük:

• a. az intézmény megfelelő és a nemek szempontjából semleges, a vezető testület által jóváhagyott, rendszeresen felülvizsgált és felügyelt javadalmazási politikákat és gyakorlatokat vezetett-e be a teljes személyzetre vonatkozóan, és hogy ezek a szabályok megfelelnek-e a vonatkozó jogi és szabályozási követelményeknek;
• b. a belsőkontroll-funkciók részt vesznek-e a javadalmazási politikák kidolgozásában, és ellenőrzik-e azok megfelelő felülvizsgálatát, nyomon követését és frissítését;
• c. a javadalmazási politikák és gyakorlatok elősegítik-e a megbízható és hatékony kockázatkezelést – többek között azáltal, hogy figyelembe veszik a pénzintézet ESG-kockázatokkal kapcsolatos kockázatvállalási hajlandóságát –, továbbá összhangban állnak-e az intézmény üzleti és kockázati stratégiáival, kockázatkezelési kultúrájával és vállalati értékeivel, az intézmény hosszú távú érdekeivel, valamint az összeférhetetlenséget kezelő intézkedésekkel, és nem ösztönöznek-e túlzott kockázatvállalásra;
• d. az intézmény az alkalmazandó jogi és szabályozási követelményeknek megfelelően helyesen azonosította-e mindazokat a munkatársait, akiknek tevékenységei lényeges hatással vannak a kockázati profiljára;
• e. a változó és a rögzített javadalmazás aránya megfelelő-e, és a változó javadalmazási összetevő értéke az azonosított munkavállalók esetében nem haladja-e meg a rögzített javadalmazási összetevő 100 %-át (vagy a részvényesek jóváhagyásával a 200 %-át);
• f. az intézmény megfelelően osztotta-e fel a javadalmazás rögzített és változó elemeit, valamint nem alkalmaz-e a javadalmazási előírások kijátszására szolgáló csatornákat vagy gyakorlatokat;
• g. a változó javadalmazás a teljesítményen alapul-e (mind pénzügyi, mind nem pénzügyi kritériumokat figyelembe véve), valamint az intézmény betartja-e a halasztási és megőrzési időszakokkal, a pénzügyi instrumentumokban való kifizetéssel, valamint a malus és a visszakövetelési rendelkezés alkalmazásával kapcsolatos jogi és szabályozási követelményeket.

²⁰ EBA/GL/2021/04.

85.Az intézmény belsőkontroll-funkcióinak értékelése során az illetékes hatóságoknak meg kell vizsgálniuk, hogy a pénzintézet betartja-e az EBA belső irányításról szóló iránymutatásait, valamint az (EU) 2022/2554 rendelet (DORA-rendelet) vonatkozó rendelkezéseit²¹ . Ebben az összefüggésben az illetékes hatóságoknak többek között a következőket kell mérlegelniük:

• a. az intézmény megfelelő, minden területet lefedő belsőkontroll-keretrendszerrel rendelkezik-e, amely összhangban áll a három védelmi vonalra épülő modellel, valamint jól működő, eredményes és független kockázatkezelési, megfelelési és belső ellenőrzési funkciókat foglal magában;
• b. a belsőkontroll-funkciók vezetői i. a szervezeti hierarchia azon szintjén kerülnek-e kinevezésre, amely biztosítja számukra a feladataik ellátásához szükséges megfelelő hatáskört és tekintélyt, ii. közvetlen kapcsolatban állnak-e az irányítási funkciót ellátó vezető testülettel, és közvetlenül annak számolnak-e be, valamint iii. rendelkeznek-e a feladataik ellátásához szükséges valamennyi erőforrással;
• c. az intézmény rendelkezik-e megfelelő, írásban rögzített, hatékonyan alkalmazott belsőkontroll-szabályzatokkal, továbbá egyértelműen meghatározta-e a keretrendszer végrehajtásával kapcsolatos felelősségi köröket, a feladatkörök szétválasztását, valamint a megbízható adminisztratív és számviteli eljárásokat, illetve a szilárd jelentéstételi szabályokat.

86.Az illetékes hatóságoknak értékelniük kell, hogy a kockázatkezelési funkció a teljes intézményt lefedi-e, átfogó képet ad-e az összes kockázatról, aktívan részt vesz-e már a korai szakaszban az intézmény kockázati stratégiájának kidolgozásában, és figyelemmel kíséri-e annak hatékony végrehajtását. Az illetékes hatóságoknak azt is meg kell állapítaniuk, hogy a kockázatkezelési funkció teljes körű, naprakész és releváns kockázati információkat nyújt-e a vezető testületnek, amelyek alapján meg lehet állapítani az intézmény kockázatvállalási hajlandósági szintjét és a kapcsolódó kockázati határértékeket. Az illetékes hatóságoknak figyelembe kell venniük továbbá a kockázatkezelési funkció által a kockázati stratégiáról és kockázatvállalási hajlandóságról készített, azok stabilitását és fenntarthatóságát értékelő elemzést, valamint azt is, hogy a funkció milyen mértékben vesz részt a lényeges változások vagy rendkívüli tranzakciók által az intézmény és – adott esetben – a csoport átfogó kockázatára gyakorolt hatás értékelésében.

87.Az illetékes hatóságoknak értékelniük kell, hogy a megfelelési funkció hatékonyan felméri és csökkenti-e az alkalmazandó jogi és szabályozási követelmények, a szerződéses kötelezettségek, illetve a belső szabályok és magatartási kódexek – köztük az etikai szabályok – be nem tartásából eredő megfelelési kockázatokat, és biztosítja-e, hogy minden lényeges kockázatkezelési döntés megfelelően figyelembe vegye ezeket a kockázatokat.

88.Az illetékes hatóságoknak értékelniük kell, hogy a belső ellenőrzési funkció az ellenőrzési tervvel és a részletes munkaprogrammal összhangban független felülvizsgálatot végez-e, és objektív biztosítékot nyújt-e az intézmény szabályzatainak, eljárásainak és belső kontrollmechanizmusainak megfelelőségéről és hatékonyságáról, valamint arról, hogy az intézmény valamennyi tevékenysége – a harmadik fél szolgáltatók által végzett tevékenységeket is beleértve – megfelel-e a jogi és szabályozási követelményeknek. Az illetékes hatóságoknak adott esetben értékelniük kell, hogy a csoportszintű belső ellenőrzési funkció független-e, rendelkezik-e csoportszintű kockázatalapú ellenőrzési tervvel, a megfelelő erőforrásokkal és mérettel, valamint közvetlen jelentéstételi kapcsolatban áll-e a konszolidáló intézmény vezető testületével.

²¹ Az Európai Parlament és a Tanács (EU) 2022/2554 rendelete (2022. december 14.) a pénzügyi ágazat digitális működési rezilienciájáról, valamint az 1060/2009/EK, a 648/2012/EU, a 600/2014/EU, a 909/2014/EU és az (EU) 2016/1011 rendelet módosításáról (HL L 333., 2022.12.27., 1. o., ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

89.Az intézmény kockázatkezelési keretrendszerének értékelése során az illetékes hatóságoknak értékelniük kell, hogy az intézmény megfelel-e a belső irányításról szóló EBA-iránymutatásoknak, a DORA-rendeletnek, valamint a 2013/36/EU irányelv 74. cikkének (3) bekezdése alapján kiadott, a belső irányítási rendszerekről, folyamatokról és mechanizmusokról szóló egyéb EBA-iránymutatásoknak. Ebben az összefüggésben az illetékes hatóságoknak többek között a következőket kell mérlegelniük:

• a. az intézmény megfelelő kockázatkezelési keretrendszert és kockázatkezelési folyamatokat alakított-e ki, amelyek kiterjednek a megfelelő és a gyakorlatban végrehajtott kockázati stratégiára, a kockázatvállalási hajlandóságra – beleértve a harmadik felekkel kapcsolatos kockázatkezelési szabályzatot is –, az ICAAP- és ILAAP-keretrendszerekre, valamint a stressztesztelési képességekre és eredményekre;
• b. adott esetben a csoportszintű kockázatkezelési keretrendszer minden lényeges kockázatra kiterjed-e, függetlenül attól, hogy a kockázat a konszolidáció hatálya alá nem tartozó szervezetektől származik-e, és átfogó képet alkot-e minden olyan kockázatról, amelynek az intézmény ki van vagy ki lehet téve;
• c. a vezető testület viseli-e a végső felelősséget a kockázati stratégiáért, a kockázatvállalási hajlandóságért és a kockázatkezelési keretrendszerért, valamint biztosítja-e a megfelelő iránymutatást és felügyeletet;
• d. az intézmény – és adott esetben a konszolidáló intézmény – megfelelő kockázati stratégiát és kockázatvállalási hajlandóságot dokumentált és alkalmazott-e, amelyek kiterjednek az intézmény valamennyi lényeges kockázatára, kockázati határértékeket és tűréshatárokat tartalmaznak, valamint tükrözik az intézmény pénzügyi forrásait;
• e. a kockázatkezelési keretrendszer megfelelő eljárásokat határoz-e meg a kockázatok azonosítására, mérésére, mérséklésére és nyomon követésére, továbbá milyen mértékben illeszkedik az intézmény átfogó stratégiájába, és hogyan befolyásolja azt;
• f. a döntéshozatali folyamatok egyértelműek, átláthatók és megfelelően dokumentáltak-e, valamint figyelembe veszik-e a megfelelő kockázati szempontokat, továbbá a szabályzatokat és azok módosításait megfelelő módon és időben közlik-e;
• g. megfelelő és következetes kapcsolat áll-e fenn az üzleti stratégia, a kockázati stratégia, a digitális működési rezilienciára vonatkozó stratégia, a kockázatvállalási hajlandóság és a kockázatkezelési keretrendszer, a tőke- és likviditáskezelési keretek, valamint az intézménynek az ESG-kockázatok kezelésére vonatkozó, a 2013/36/EU irányelv 76. cikkének (2) bekezdése szerinti terve között.

90.Az illetékes hatóságoknak értékelniük kell, hogy az intézmény rendelkezik-e olyan, a vezető testület által jóváhagyott, jól dokumentált, az új termékek jóváhagyására vonatkozó szabályzattal, amely kiterjed az új piacok, termékek és szolgáltatások fejlesztésére, valamint a meglévők jelentős változásaira, beleértve a rendkívüli ügyleteket is. Az illetékes hatóságoknak azt is mérlegelniük kell, hogy a kockázatkezelési és a megfelelési funkciók megfelelő mértékben vesznek-e részt az új termékek, illetve a meglévő termékek jelentős változtatásainak értékelésében és jóváhagyásában, és hogy a jóváhagyások az adott kontrollmechanizmusok megfelelőségéhez kötődnek-e.

Az ICAAP- és ILAAP-keretrendszerek

91.A pénzintézet ICAAP- és ILAAP-keretrendszerének értékelése során az illetékes hatóságoknak meg kell vizsgálniuk, hogy az intézmény betartja-e az EBA-nak az ICAAP és az ILAAP keretében gyűjtött információkra vonatkozó iránymutatásait (²² ). Az intézmény ICAAP- és ILAAP-keretrendszerének értékelése magában foglalja az ICAAP és az ILAAP időszakos felülvizsgálatát, valamint e keretek megalapozottságának, hatékonyságának és átfogó jellegének meghatározását. Ebben a tekintetben az illetékes hatóságoknak:

• a. értékelniük kell, hogy az ICAAP és az ILAAP hogyan épül be az intézmény átfogó kockázatkezelési és stratégiai irányítási gyakorlataiba, beleértve a tőke- és likviditástervezést is, valamint hogy e gyakorlatok mennyire előretekintő jellegűek;
• b. figyelembe kell venniük, hogy az ICAAP és az ILAAP alkalmas-e az intézményt érintő kockázatok fedezéséhez szükséges belső tőke és likviditás megfelelő szintjének felmérésére és fenntartására, valamint az üzleti döntések meghozatalára (például a tőke üzleti terv szerinti elosztásával kapcsolatban), többek között stresszhelyzetben is;
• c. értékelniük kell, hogy az ICAAP és ILAAP az intézmény minden szintjén beépül-e a döntéshozatali és irányítási folyamatokba (pl. limitek meghatározása, teljesítménymérés);
• d. ellenőrizniük kell, hogy az ICAAP- és az ILAAP-keretrendszer a vezető testület rendszeres felügyelete alá tartozik-e, ideértve e keretrendszerek és azok eredményeinek jóváhagyását is;
• e. meg kell vizsgálniuk, hogy az ICAAP és az ILAAP következetesen és arányosan kerül-e végrehajtásra az intézmény valamennyi üzletágában és jogi személyében, valamint kiterjed- e minden olyan lényeges kockázatra, amelynek az intézmény ki van vagy ki lehet téve;
• f. értékelniük kell a kapcsolódó jogi és szabályozási követelményeknek való megfelelést, és azt is figyelembe kell venniük, hogy az intézmény ICAAP-je azonosít-e felmerülő kockázatokat és/vagy alacsony valószínűségű, nagy hatású kockázatokat, beleértve az ICT-kockázatokat, a környezeti kockázatokat és a geopolitikai bizonytalanságokat is;
• g. meg kell vizsgálniuk, hogy az intézmény egy vagy több jogi személye vagy üzletága esetében indokoltak-e az intézmény szokásos ICAAP- vagy ILAAP-eljárásától való eltérések.

92.Ezeknek az értékeléseknek hozzá kell járulniuk a P2R meghatározásához és a tőkemegfelelés 7. címben meghatározottak szerinti értékeléséhez, valamint a likviditási és finanszírozási megfelelés 8. címben meghatározottak szerinti értékeléséhez.

Az intézmények stressztesztjének értékelése

93.Az intézmény stressztesztjének értékelése során az illetékes hatóságoknak fel kell mérniük, hogy az intézmény megfelel-e a stressztesztelésről szóló EBA-iránymutatásnak²³ , valamint a környezeti kockázatok integrálása céljából végzett környezeti forgatókönyv-elemzésről szóló EBA-iránymutatásnak. Ez az értékelés magában foglalja az intézmény stressztesztelési programjának felülvizsgálatát, figyelembe véve az intézmény méretét és belső szervezetét, valamint tevékenységeinek jellegét, nagyságrendjét és összetettségét. 94.Az illetékes hatóságoknak el kell végezniük az intézmény stressztesztelési programjának minőségi értékelését, valamint a stressztesztek eredményeinek mennyiségi értékelését. Az illetékes hatóságoknak a minőségi és mennyiségi értékelések eredményeit a felügyeleti stressztesztek eredményeivel együtt kell figyelembe venniük (lásd: 11. cím) a tőke- és likviditási megfelelőség értékelése és a feltárt hiányosságokra adott megfelelő felügyeleti válaszok meghatározása céljából. Ha a stressztesztelés felülvizsgálata hiányosságokat tár fel az intézmény irányításában és az intézményi szintű kontrollmechanizmusaiban, ezeket az illetékes hatóságoknak figyelembe kell venniük e területek értékelése során. Ezenfelül az intézmény stressztesztjeinek eredményei felhasználhatók az intézmény tőketervezésének értékeléséhez, valamint a likviditási megfelelőség értékeléséhez szükséges likviditási követelmények számszerűsítéséhez.

95.Az illetékes hatóságoknak értékelniük kell, hogy a stressztesztelés milyen mértékben épül be az intézmény kockázatkezelési keretrendszerébe, beleértve azt is, hogy miként veszik figyelembe a stressztesztet az intézmény kockázatvállalási hajlandóságának és limitjeinek megállapítására irányuló folyamatok során. Ezen felül az illetékes hatóságoknak értékelniük kell az intézmény felső vezetésének és vezető testületének részvételét a stressztesztelési programban – ideértve a kapcsolódó belső jelentéstételt is –, valamint azt, hogy a stresszteszt és annak eredményei milyen mértékben épülnek be a döntéshozatali folyamatokba.

96.A stressztesztelési programok, a stressztesztek eredményei és a tervezett vezetői intézkedések értékelésekor az illetékes hatóságoknak mind az idioszinkratikus, mind a rendszerszintű szempontokat meg kell vizsgálniuk. Az illetékes hatóságoknak figyelembe kell venniük a vezetői intézkedések stresszhelyzetekben való megvalósíthatóságát – beleértve azt is, hogy az intézkedések végrehajtására vonatkozó határidők reálisak-e – és az intézmény sajátosságait. A határokon átnyúló csoportok stresszteszt-programjainak felülvizsgálata során az illetékes hatóságoknak figyelembe kell venniük a csoportokon belüli tőke- és likviditásátvitel, valamint a csoporton belüli pénzügyi támogatási rendszer működése előtt stresszhelyzetben esetlegesen felmerülő potenciális akadályokat.

97.Az illetékes hatóságoknak értékelniük kell a stressztesztek eredményeit²⁴ , valamint azt, hogy az intézmény képes-e minden körülmények között, kedvezőtlen forgatókönyv esetén is fenntartani az alkalmazandó TSCR-t, és hogy meghatározott-e a TSCR esetleges megsértésének kezelésére irányuló irányítási intézkedéseket. Az illetékes hatóságoknak figyelembe kell venniük továbbá azt is, hogy a stressztesztek milyen hatást gyakorolnak az intézmény tőkeáttételi mutatójára, valamint a 2014/59/EU irányelvben említett leírható, illetve átalakítható kötelezettségekre vonatkozó minimumkövetelmények (MREL) céljából tartott leírható, illetve átalakítható kötelezettségeire.

98.A stressztesztek eredményeinek értékelése során az illetékes hatóságoknak figyelembe kell venniük az intézményt a stresszteszt hatókörén és időtávján belül érintő összes ismert jövőbeli szabályozási változást is.

²² A SREP céljából az ICAAP és az ILAAP keretében gyűjtött információkról szóló EBH-iránymutatás (EBA/GL/2016/10).

²³ Az EBH stressztesztelésre vonatkozó iránymutatásai (EBA/GL/2018/04).

²⁴ E bekezdés alkalmazásában a stressztesztek köre nem terjed ki a fordított stressztesztekre.

99. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény ICT-rendszerei megbízhatóak és reziliensek-e, valamint alkalmasak-e a kitettségek nagyságának, összetételének és minőségének mérésére, értékelésére és jelentésére az intézmény valamennyi kockázattípusa, terméke és partnere tekintetében, valamint hogy normál körülmények között és stresszhelyzetekben egyaránt teljes mértékben támogatják-e a kockázati adatok összesítését.

100. Az illetékes hatóságoknak ellenőrizniük kell, hogy az intézmény a kockázati profiljával és rendszerszintű jelentőségével arányos, megfelelő kockázatiadat-összesítési és kockázatjelentési képességeket fejleszt-e ki és tart-e fenn. Az intézmény kockázatiadat-összesítési és kockázatjelentési képességeinek felülvizsgálata során az illetékes hatóságoknak figyelembe kell venniük a BCBS 239. számú, az említett elvek hatálya alá tartozó felügyelt intézményekre vonatkozó, a kockázati adatok hatékony összesítésére és a kockázati jelentéstételre vonatkozó elveit²⁵ . Az illetékes hatóságoknak különösen azt kell értékelniük, hogy az intézmény képes-e pontos, következetes, teljes és megbízható kockázati adatokat és jelentéseket szolgáltatni az egész intézményre vonatkozóan, az összes lényeges kockázatot figyelembe véve, és megfelelően tükrözve az intézmény kockázati profilját, valamint tőke- és likviditási igényeit, továbbá hogy ezek összesíthetők-e, valamint időben és rugalmasan a vezető testület és a felső vezetés rendelkezésére bocsáthatók-e. Az illetékes hatóságoknak adott esetben értékelniük kell, hogy az intézmény hatékony csoportszintű vezetői információs és jelentéstételi rendszert hozott-e létre, amely minden üzleti egységre és jogi személyre alkalmazandó, és ezek az információk kellő időben az intézmény anyavállalatának élén álló vezető testület rendelkezésére állnak-e.

101. Az illetékes hatóságoknak meg kell állapítaniuk, hogy az intézmény vezető testülete jóváhagyja- e az intézmény kockázati adatainak összesítésére és kockázati jelentéstételére szolgáló keretrendszert, és felügyeli-e annak hatékony végrehajtását, ideértve az e tevékenységek támogatásához szükséges megfelelő erőforrások biztosítását is. Az illetékes hatóságoknak azt is értékelniük kell, hogy az intézmény kockázati adatainak összesítésére vonatkozó képességeit és kockázati jelentési gyakorlatát a pénzintézet belsőkontroll-keretrendszerével összhangban függetlenül validálják-e.

²⁵ Bázeli Bankfelügyeleti Bizottság: A kockázati adatok hatékony összesítésére és a kockázati jelentéstételre vonatkozó elvek (BCBS 239).

102. A belső irányítási keret és az intézményi szintű kontrollmechanizmusok elemzésekor az illetékes hatóságoknak figyelembe kell venniük a pénzmosás és terrorizmusfinanszírozás elleni felügyeletet ellátó hatóságoktól kapott értékeléseket is, és meg kell vizsgálniuk, hogy ezek nem vetnek-e fel prudenciális aggályokat. Fordított viszonylatban pedig ha az illetékes hatóság értékelése szerint az intézmény belső kontrollmechanizmusainak és irányítási keretének hiányosságai, valamint az intézményi szintű kontrollmechanizmusok a pénzmosási és terrorizmusfinanszírozási kockázathoz, valamint a célzott pénzügyi szankciók végrehajtásának elmulasztásából és azok kijátszásából fakadó kockázatokhoz kapcsolódó prudenciális aggodalmakra adnak okot, az illetékes hatóságoknak is meg kell osztaniuk az értékelés eredményét a pénzmosás és terrorizmusfinanszírozás elleni felügyeletet ellátó hatóságokkal.

103. Az illetékes hatóságoknak meg kell vizsgálniuk, hogy az intézmény átfogó belső irányítási és kockázatkezelési keretrendszere kiterjed-e a pénzmosási és terrorizmusfinanszírozási kockázatok kezelésére, valamint a célzott pénzügyi szankciók végrehajtásának elmulasztásából és azok kijátszásából fakadó kockázatok kezelésére is.

104. Az illetékes hatóságoknak prudenciális szempontból értékelniük kell, hogy a vezető testület betartja-e a pénzmosás- és a terrorizmusfinanszírozás-ellenes keretrendszerrel kapcsolatos szerepeit és felelősségi köreit. Az illetékes hatóságoknak figyelembe kell venniük az értékelésüket követően a pénzmosás és terrorizmusfinanszírozás elleni felügyeletet ellátó hatóságoktól kapott kiegészítő információkat, a jogszabályoknak való megfeleléssel kapcsolatos politikákról és eljárásokról, valamint az AML/CFT megfelelési tisztviselő szerepéről és felelősségi köréről szóló EBA-iránymutatásokkal²⁶ összhangban.

²⁶ EBA/GL/2022/05.

105. A belső irányítás és az intézményi szintű kontrollmechanizmusok értékeléséhez az illetékes hatóságoknak figyelembe kell venniük a helyreállítási tervezés irányítási keretének a 2014/59/EU irányelv 6. és 8. cikkével összhangban végzett értékelése során feltárt megállapításokat és hiányosságokat.

106. Hasonlóképpen, a SREP-elemek – köztük a belső irányítás és az intézményi szintű kontrollintézkedések – értékelése során tett megállapításoknak is információkkal kell szolgálniuk az intézmény helyreállítási terveinek értékeléséhez.

107. A fenti értékelés elvégzését követően az illetékes hatóságoknak véleményt kell alkotniuk az intézmény belső irányítási rendszerének és intézményi szintű kontrollmechanizmusainak megfelelőségéről. E véleménynek tükröződnie kell az megállapítások összefoglalásában, amelyet a 4. táblázatban meghatározott szempontok alapján meghatározott életképességi pontszámnak kell kísérnie.