+5.6. Kockázatkezelési keretrendszer
---+89. In assessing the institution’s risk management framework, competent authorities should assess …
---+90. Competent authorities should assess whether the institution has in place a well-documented new …
---+91. In assessing the institution’s ICAAP and ILAAP frameworks, competent authorities should assess …
---+92. These assessments should contribute to the determination of P2R and to the assessment of …
---+93. In assessing the institution’s stress testing, competent authorities should assess …
---+94. Competent authorities should perform a qualitative assessment of the institution’s stress …
---+95. Competent authorities should assess the extent to which stress testing is embedded in the …
---+96. When assessing the stress testing programme, the results of stress tests and proposed …
---+97. Competent authorities should assess the results of stress tests and whether the institution is …
---+98. In the assessment of stress test results, competent authorities should also consider all known …

5.6. Kockázatkezelési keretrendszer

89.Az intézmény kockázatkezelési keretrendszerének értékelése során az illetékes hatóságoknak értékelniük kell, hogy az intézmény megfelel-e a belső irányításról szóló EBA-iránymutatásoknak, a DORA-rendeletnek, valamint a 2013/36/EU irányelv 74. cikkének (3) bekezdése alapján kiadott, a belső irányítási rendszerekről, folyamatokról és mechanizmusokról szóló egyéb EBA-iránymutatásoknak. Ebben az összefüggésben az illetékes hatóságoknak többek között a következőket kell mérlegelniük:

a. az intézmény megfelelő kockázatkezelési keretrendszert és kockázatkezelési folyamatokat alakított-e ki, amelyek kiterjednek a megfelelő és a gyakorlatban végrehajtott kockázati stratégiára, a kockázatvállalási hajlandóságra – beleértve a harmadik felekkel kapcsolatos kockázatkezelési szabályzatot is –, az ICAAP- és ILAAP-keretrendszerekre, valamint a stressztesztelési képességekre és eredményekre;
b. adott esetben a csoportszintű kockázatkezelési keretrendszer minden lényeges kockázatra kiterjed-e, függetlenül attól, hogy a kockázat a konszolidáció hatálya alá nem tartozó szervezetektől származik-e, és átfogó képet alkot-e minden olyan kockázatról, amelynek az intézmény ki van vagy ki lehet téve;
c. a vezető testület viseli-e a végső felelősséget a kockázati stratégiáért, a kockázatvállalási hajlandóságért és a kockázatkezelési keretrendszerért, valamint biztosítja-e a megfelelő iránymutatást és felügyeletet;
d. az intézmény – és adott esetben a konszolidáló intézmény – megfelelő kockázati stratégiát és kockázatvállalási hajlandóságot dokumentált és alkalmazott-e, amelyek kiterjednek az intézmény valamennyi lényeges kockázatára, kockázati határértékeket és tűréshatárokat tartalmaznak, valamint tükrözik az intézmény pénzügyi forrásait;
e. a kockázatkezelési keretrendszer megfelelő eljárásokat határoz-e meg a kockázatok azonosítására, mérésére, mérséklésére és nyomon követésére, továbbá milyen mértékben illeszkedik az intézmény átfogó stratégiájába, és hogyan befolyásolja azt;
f. a döntéshozatali folyamatok egyértelműek, átláthatók és megfelelően dokumentáltak-e, valamint figyelembe veszik-e a megfelelő kockázati szempontokat, továbbá a szabályzatokat és azok módosításait megfelelő módon és időben közlik-e;
g. megfelelő és következetes kapcsolat áll-e fenn az üzleti stratégia, a kockázati stratégia, a digitális működési rezilienciára vonatkozó stratégia, a kockázatvállalási hajlandóság és a kockázatkezelési keretrendszer, a tőke- és likviditáskezelési keretek, valamint az intézménynek az ESG-kockázatok kezelésére vonatkozó, a 2013/36/EU irányelv 76. cikkének (2) bekezdése szerinti terve között.

90.Az illetékes hatóságoknak értékelniük kell, hogy az intézmény rendelkezik-e olyan, a vezető testület által jóváhagyott, jól dokumentált, az új termékek jóváhagyására vonatkozó szabályzattal, amely kiterjed az új piacok, termékek és szolgáltatások fejlesztésére, valamint a meglévők jelentős változásaira, beleértve a rendkívüli ügyleteket is. Az illetékes hatóságoknak azt is mérlegelniük kell, hogy a kockázatkezelési és a megfelelési funkciók megfelelő mértékben vesznek-e részt az új termékek, illetve a meglévő termékek jelentős változtatásainak értékelésében és jóváhagyásában, és hogy a jóváhagyások az adott kontrollmechanizmusok megfelelőségéhez kötődnek-e.

Az ICAAP- és ILAAP-keretrendszerek

91.A pénzintézet ICAAP- és ILAAP-keretrendszerének értékelése során az illetékes hatóságoknak meg kell vizsgálniuk, hogy az intézmény betartja-e az EBA-nak az ICAAP és az ILAAP keretében gyűjtött információkra vonatkozó iránymutatásait (²² ). Az intézmény ICAAP- és ILAAP-keretrendszerének értékelése magában foglalja az ICAAP és az ILAAP időszakos felülvizsgálatát, valamint e keretek megalapozottságának, hatékonyságának és átfogó jellegének meghatározását. Ebben a tekintetben az illetékes hatóságoknak:

a. értékelniük kell, hogy az ICAAP és az ILAAP hogyan épül be az intézmény átfogó kockázatkezelési és stratégiai irányítási gyakorlataiba, beleértve a tőke- és likviditástervezést is, valamint hogy e gyakorlatok mennyire előretekintő jellegűek;
b. figyelembe kell venniük, hogy az ICAAP és az ILAAP alkalmas-e az intézményt érintő kockázatok fedezéséhez szükséges belső tőke és likviditás megfelelő szintjének felmérésére és fenntartására, valamint az üzleti döntések meghozatalára (például a tőke üzleti terv szerinti elosztásával kapcsolatban), többek között stresszhelyzetben is;
c. értékelniük kell, hogy az ICAAP és ILAAP az intézmény minden szintjén beépül-e a döntéshozatali és irányítási folyamatokba (pl. limitek meghatározása, teljesítménymérés);
d. ellenőrizniük kell, hogy az ICAAP- és az ILAAP-keretrendszer a vezető testület rendszeres felügyelete alá tartozik-e, ideértve e keretrendszerek és azok eredményeinek jóváhagyását is;
e. meg kell vizsgálniuk, hogy az ICAAP és az ILAAP következetesen és arányosan kerül-e végrehajtásra az intézmény valamennyi üzletágában és jogi személyében, valamint kiterjed- e minden olyan lényeges kockázatra, amelynek az intézmény ki van vagy ki lehet téve;
f. értékelniük kell a kapcsolódó jogi és szabályozási követelményeknek való megfelelést, és azt is figyelembe kell venniük, hogy az intézmény ICAAP-je azonosít-e felmerülő kockázatokat és/vagy alacsony valószínűségű, nagy hatású kockázatokat, beleértve az ICT-kockázatokat, a környezeti kockázatokat és a geopolitikai bizonytalanságokat is;
g. meg kell vizsgálniuk, hogy az intézmény egy vagy több jogi személye vagy üzletága esetében indokoltak-e az intézmény szokásos ICAAP- vagy ILAAP-eljárásától való eltérések.

92.Ezeknek az értékeléseknek hozzá kell járulniuk a P2R meghatározásához és a tőkemegfelelés 7. címben meghatározottak szerinti értékeléséhez, valamint a likviditási és finanszírozási megfelelés 8. címben meghatározottak szerinti értékeléséhez.

Az intézmények stressztesztjének értékelése

93.Az intézmény stressztesztjének értékelése során az illetékes hatóságoknak fel kell mérniük, hogy az intézmény megfelel-e a stressztesztelésről szóló EBA-iránymutatásnak²³ , valamint a környezeti kockázatok integrálása céljából végzett környezeti forgatókönyv-elemzésről szóló EBA-iránymutatásnak. Ez az értékelés magában foglalja az intézmény stressztesztelési programjának felülvizsgálatát, figyelembe véve az intézmény méretét és belső szervezetét, valamint tevékenységeinek jellegét, nagyságrendjét és összetettségét. 94.Az illetékes hatóságoknak el kell végezniük az intézmény stressztesztelési programjának minőségi értékelését, valamint a stressztesztek eredményeinek mennyiségi értékelését. Az illetékes hatóságoknak a minőségi és mennyiségi értékelések eredményeit a felügyeleti stressztesztek eredményeivel együtt kell figyelembe venniük (lásd: 11. cím) a tőke- és likviditási megfelelőség értékelése és a feltárt hiányosságokra adott megfelelő felügyeleti válaszok meghatározása céljából. Ha a stressztesztelés felülvizsgálata hiányosságokat tár fel az intézmény irányításában és az intézményi szintű kontrollmechanizmusaiban, ezeket az illetékes hatóságoknak figyelembe kell venniük e területek értékelése során. Ezenfelül az intézmény stressztesztjeinek eredményei felhasználhatók az intézmény tőketervezésének értékeléséhez, valamint a likviditási megfelelőség értékeléséhez szükséges likviditási követelmények számszerűsítéséhez.

95.Az illetékes hatóságoknak értékelniük kell, hogy a stressztesztelés milyen mértékben épül be az intézmény kockázatkezelési keretrendszerébe, beleértve azt is, hogy miként veszik figyelembe a stressztesztet az intézmény kockázatvállalási hajlandóságának és limitjeinek megállapítására irányuló folyamatok során. Ezen felül az illetékes hatóságoknak értékelniük kell az intézmény felső vezetésének és vezető testületének részvételét a stressztesztelési programban – ideértve a kapcsolódó belső jelentéstételt is –, valamint azt, hogy a stresszteszt és annak eredményei milyen mértékben épülnek be a döntéshozatali folyamatokba.

96.A stressztesztelési programok, a stressztesztek eredményei és a tervezett vezetői intézkedések értékelésekor az illetékes hatóságoknak mind az idioszinkratikus, mind a rendszerszintű szempontokat meg kell vizsgálniuk. Az illetékes hatóságoknak figyelembe kell venniük a vezetői intézkedések stresszhelyzetekben való megvalósíthatóságát – beleértve azt is, hogy az intézkedések végrehajtására vonatkozó határidők reálisak-e – és az intézmény sajátosságait. A határokon átnyúló csoportok stresszteszt-programjainak felülvizsgálata során az illetékes hatóságoknak figyelembe kell venniük a csoportokon belüli tőke- és likviditásátvitel, valamint a csoporton belüli pénzügyi támogatási rendszer működése előtt stresszhelyzetben esetlegesen felmerülő potenciális akadályokat.

97.Az illetékes hatóságoknak értékelniük kell a stressztesztek eredményeit²⁴ , valamint azt, hogy az intézmény képes-e minden körülmények között, kedvezőtlen forgatókönyv esetén is fenntartani az alkalmazandó TSCR-t, és hogy meghatározott-e a TSCR esetleges megsértésének kezelésére irányuló irányítási intézkedéseket. Az illetékes hatóságoknak figyelembe kell venniük továbbá azt is, hogy a stressztesztek milyen hatást gyakorolnak az intézmény tőkeáttételi mutatójára, valamint a 2014/59/EU irányelvben említett leírható, illetve átalakítható kötelezettségekre vonatkozó minimumkövetelmények (MREL) céljából tartott leírható, illetve átalakítható kötelezettségeire.

98.A stressztesztek eredményeinek értékelése során az illetékes hatóságoknak figyelembe kell venniük az intézményt a stresszteszt hatókörén és időtávján belül érintő összes ismert jövőbeli szabályozási változást is.

²² A SREP céljából az ICAAP és az ILAAP keretében gyűjtött információkról szóló EBH-iránymutatás (EBA/GL/2016/10).

²³ Az EBH stressztesztelésre vonatkozó iránymutatásai (EBA/GL/2018/04).

²⁴ E bekezdés alkalmazásában a stressztesztek köre nem terjed ki a fordított stressztesztekre.

1. Áttekintés

Megnevezés	Szabályozás
89. In assessing the institution’s risk management framework, competent authorities should assess …	In assessing the institution’s risk management framework, competent authorities should assess institution’s compliance with the EBA Guidelines on Internal Governance, the DORA and other EBA Guidelines issued pursuant to Article 74(3) of Directive 2013/36/EU on internal governance arrangements, processes and mechanisms. In this context, competent authorities should consider inter alia whether: a. the institution has established an appropriate risk management framework and risk management processes, encompassing an appropriate and implemented risk strategy, risk appetite, including a third-party risk management policy, ICAAP and ILAAP frameworks and stress testing capabilities and results; b. where applicable, the group-wide risk management framework covers all material risks regardless of whether the risk arises from entities not subject to consolidation and establishes a comprehensive view on all risks the institution is or might be exposed to; c. the management body has the ultimate responsibility for the risk strategy, risk appetite and risk management framework and provides appropriate direction and oversight; d. the institution, and where applicable the consolidating institution, has documented and implemented an appropriate risk strategy and risk appetite, which cover all the institution’s material risks, contain risk limits and tolerances, and reflect the instit ution’s financial resources; e. the risk management framework establishes adequate procedures for risk identification, measurement, mitigation and monitoring and the extent to which it is embedded in, and how it influences, the overall strategy of the institution; f. the decision-making processes are clear, transparent and adequately documented, and take into account the appropriate risk considerations, and whether policies and amendments to policies are communicated in a proper and timely manner; g. there are appropriate and consistent links between the business strategy, risk strategy, digital operational resilience strategy, risk appetite and risk management framework, and the capital and liquidity management frameworks, as well as the institution’s plan to address ESG risks in accordance with Article 76(2) of Directive 2013/36/EU.
90. Competent authorities should assess whether the institution has in place a well-documented new …	Competent authorities should assess whether the institution has in place a well-documented new product approval policy, approved by the management body, that addresses the development of new markets, products and services, and significant changes to existing ones, including exceptional transactions. Competent authorities should also consider whether the risk management and compliance functions are appropriately involved in the assessment and approval of new products or significant changes to existing ones, with approvals linked to the adequacy of the respective controls. ICAAP and ILAAP frameworks
91. In assessing the institution’s ICAAP and ILAAP frameworks, competent authorities should assess …	In assessing the institution’s ICAAP and ILAAP frameworks, competent authorities should assess institution’s compliance with the EBA Guidelines on ICAAP and ILAAP information³¹ . The assessment of the institution’s ICAAP and ILAAP frameworks should encompass periodic review of the ICAAP and ILAAP and determine their soundness, effectiveness and comprehensiveness. In this regard, competent authorities should: a. assess how ICAAP and ILAAP are integrated into the institution’s overall risk management and strategic management practices, including capital and liquidity planning, as well as the extent of their forward-looking nature; b. consider the appropriateness of the ICAAP and ILAAP to assess and maintain an adequate level of internal capital and liquidity to cover the institution’s risks and to take sound business decisions (e.g. in relation to allocating capital under the business plan), including under stressed conditions; c. assess whether the ICAAP and ILAAP are embedded into the decision-making and management processes at all levels in the institution (e.g. limit setting, performance measurement); d. verify whether the ICAAP and ILAAP frameworks are subject to regular oversight by the management body, including the approval of these frameworks and their outcomes; e. assess whether the ICAAP and ILAAP are consistently and proportionately implemented in all the institution’s business lines and legal entities and cover all material risks to which the institution is or might be exposed to; f. assess compliance with related legal and regulatory requirements and also consider whether institution’s ICAAP identifies emerging risks and/or low -probability, high-impact risks, including ICT risks, environmental risks and geopolitical uncertainties; g. assess whether any deviations from the institution’s standard ICAAP or ILAAP for one or more of its legal entities or business lines are justified. ³¹ EBA Guidelines on ICAAP and ILAAP information collected for SREP purposes (EBA/GL/2016/10).
92. These assessments should contribute to the determination of P2R and to the assessment of …	These assessments should contribute to the determination of P2R and to the assessment of capital adequacy as outlined in Title 7, as well as to the evaluation of liquidity and funding adequacy as outlined in Title 8. Assessment of institution’s stress testing
93. In assessing the institution’s stress testing, competent authorities should assess …	In assessing the institution’s stress testing, competent authorities should assess institution’s compliance with the EBA Guidelines on stress testing³² and the EBA Guidelines on environmental scenario analysis for the integration of environmental risks. This assessment encompasses the review of the institution’s stress testing programme, taking into account the size and internal organisation, and the nature, scale and complexity of the activities of the institution. ³² EBA Guidelines on stress testing (EBA/GL/2018/04).
94. Competent authorities should perform a qualitative assessment of the institution’s stress …	Competent authorities should perform a qualitative assessment of the institution’s stress testing programme, as well as a quantitative assessment of the results of stress tests. Competent authorities should consider the outcomes of qualitative and quantitative assessments together with the results of supervisory stress tests (see Title 11) for the purposes of assessing capital and liquidity adequacy and determining the appropriate supervisory response to the deficiencies identified. If the stress testing review identifies deficiencies in the institution’s governance and institution-wide controls, these should be considered by competent authorities in the assessment of these areas. Furthermore, the results of an institution’s stress tests can be used for the assessment of the institution’s capital planning, and in the quantification of liquidity requirements for the assessment of liquidity adequacy.
95. Competent authorities should assess the extent to which stress testing is embedded in the …	Competent authorities should assess the extent to which stress testing is embedded in the institution’s risk management framework, including how stress testing is considered in the processes of setting up the institution’s risk appetite and limits. Furthermore, competent authorities should assess the involvement of institution’s senior management and management body in the stress testing programme, including the related internal reporting, and the degree of integration of stress testing and its outcomes into the decision-making processes.
96. When assessing the stress testing programme, the results of stress tests and proposed …	When assessing the stress testing programme, the results of stress tests and proposed management actions, competent authorities should consider both idiosyncratic and system-wide perspectives. Competent authorities should consider the feasibility of management actions in stress situations, including whether the timelines for the implementation of the actions are realistic and consider the idiosyncrasies of the institution. For the review of stress testing programmes of cross-border groups, competent authorities should take into account potential barriers to the transferability of capital and liquidity within groups and the functioning of any intra-group financial support arrangements, which may arise in stressed conditions.
97. Competent authorities should assess the results of stress tests and whether the institution is …	Competent authorities should assess the results of stress tests³³ and whether the institution is able to maintain the applicable TSCR, at all times, in an adverse scenario and if it has identified a set of management actions to address any potential breaches of the TSCR. Competent authorities should also consider the impact of stress tests on the institution’s leverage ratio, as well as its eligible liabilities held for the purposes of minimum requirements for eligible liabilities (MREL) as referred to in Directive 2014/59/EU. ³³ For the purposes of this paragraph, stress tests do not extend to reverse stress tests.
98. In the assessment of stress test results, competent authorities should also consider all known …	In the assessment of stress test results, competent authorities should also consider all known future regulatory changes affecting the institution within the scope and the time horizon of the stress test exercise.

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabványok

2. Azonosított követelmények

Követelmények
Forrás	Követelmény

3. Kapcsolódó szabványok

Szabványok
Forrás	Követelmény

EBA -
EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.