6. 6. A tőkekockázatok értékelése

109. Az illetékes hatóságoknak értékelniük és pontozniuk kell az intézmény szempontjából lényegesnek minősített tőkét érintő kockázatokat.

110. E cím célja, hogy egységes módszereket biztosítson az egyedi kockázatok, valamint a kockázatkezelés és a kontrollmechanizmusok értékeléséhez. -Nem törekszik a teljességre, és szabad teret ad az illetékes hatóságoknak, hogy a tapasztalataik és az intézmény sajátosságai alapján általuk relevánsnak ítélt további szempontokat vegyenek figyelembe.

értékeléséhez és pontozásához:

• a. hitel- és partnerkockázat;
• b. piaci kockázat;
• c. működési kockázat;
• d. nem kereskedési könyvi tevékenységekből eredő kamatkockázat (IRRBB).

112. A fenti kockázati kategóriákon belül a jelen cím meghatároz olyan alkategóriákat is, amelyeket figyelembe kell venni a tőkét érintő kockázatok értékelésekor. Az egyes alkategóriák külön is értékelhetők és pontozhatók, attól függően, hogy lényegesek-e az adott intézmény szempontjából. Az I–IV. melléklet a teljesség igénye nélkül felsorolja a hitelkockázatra, a piaci kockázatra, a működési kockázatra és az IRRBB-re vonatkozó azon alkategóriákat, amelyeket az illetékes hatóságoknak adott esetben figyelembe kell venniük.

113. A lényegesség meghatározása a felügyeleti megítélésen múlik. A devizahitelezési kockázat esetében azonban a devizahitelezésről szóló ERKT-ajánlás²⁷ fényében a lényegességet a következő küszöbérték figyelembevételével kell meghatározni: a fedezettel nem rendelkező hitelfelvevőknek nyújtott, devizában denominált hitelek az intézmény teljes hitelállományának (a nem pénzügyi vállalatoknak és a háztartásoknak nyújtott összes hitel) legalább 10 %-át adják, és ez a teljes hitelállomány az intézmény teljes eszközállományának legalább 25 %-át teszi ki.

114. Az illetékes hatóságoknak azokat az egyéb kockázatokat is értékelniük kell, amelyeket egy adott intézmény szempontjából lényegesnek minősítettek, de amelyek a fenti felsorolásban nem szerepelnek (pl. nyugdíjkockázat, stratégiai és üzleti kockázat, közbelépési kockázat, kockázaton belüli és kockázatok közötti koncentráció). Az azonosítási folyamatban a következők segíthetnek:

• a. a teljes kockázati kitettségértéket (TREA) befolyásoló tényezők;
• b. az intézmény által a belső tőkemegfelelőség-értékelési eljárás (ICAAP) során azonosított kockázatok;
• c. az intézmény üzleti modelljéből eredő kockázatok (a hasonló üzleti modellt működtető más intézmények által azonosított kockázatokat is beleértve);
• d. a kulcsmutatók nyomon követéséből származó információk;
• e. a belső vagy külső ellenőrzési jelentések megállapításai és észrevételei;
• f. az EBA által kiadott ajánlások és iránymutatások, valamint a makroprudenciális hatóságok vagy az ERKT által kiadott figyelmeztetések és ajánlások.

115. A fenti elemeket az illetékes hatóságoknak akkor is figyelembe kell venniük, amikor egy adott kockázat értékelésével kapcsolatos felügyeleti tevékenységük intenzitását tervezik.

116. A hitel-, piaci- és működési kockázat tekintetében az illetékes hatóságoknak többek között azt kell értékelniük, hogy a pénzintézet betartja-e a 12. bekezdésben említett, az EBA honlapján külön közzétett jogi aktusokat. Ezek az iránymutatások azonban kiterjesztik az értékelés körét ezeken a minimumkövetelményeken túlra, hogy lehetővé tegyék az illetékes hatóságok számára a tőkekockázatokkal kapcsolatos átfogó vélemény kialakítását.

kapcsolatos kockázat potenciális hatását is figyelembe kell venniük a 8. címben meghatározott módszertan alapján, és dönthetnek úgy, hogy szükség van a kockázat mérséklésére irányuló intézkedésekre.

118. Az ebben a címben foglalt módszerek alkalmazása során az illetékes hatóságoknak meg kell határozniuk a releváns mennyiségi mutatókat és egyéb mérőszámokat, amelyek felhasználhatók a kulcsmutatók 3. cím szerinti nyomon követéséhez is, és adott esetben figyelembe kell venniük az intézmények belső kockázati intézkedéseit is.

119. Az illetékes hatóságoknak minden egyes lényeges kockázatra vonatkozóan értékelniük kell és a kockázati pontszámban ki kell fejezniük a következőket:

• a. inherens kockázat (kockázati kitettségek);
• b. a kockázatkezelés és a kontrollmechanizmusok minősége és hatékonysága.

120. Az értékelési folyamat a 2. ábrán látható.

2. ábra: A tőkekockázatok értékelési folyamata

121. Az értékelés során az illetékes hatóságoknak fel kell használniuk minden rendelkezésre álló információforrást, beleértve a hatóságoknak benyújtott jelentéseket, az intézmény belső mérőszámait és jelentéseit (például belső ellenőrzési jelentés, kockázatkezelési jelentések, az ICAAP eljárásból származó információk), a helyszíni vizsgálati jelentéseket és a külső jelentéseket (például az intézmény befektetőknek, hitelminősítő intézeteknek szóló közleményei). A tőkekövetelmény-irányelv (CRD) 104. cikke (2) bekezdésének második albekezdésével összhangban az illetékes hatóságok csak akkor kérhetnek eseti jelentéstételt, ha az a felügyeleti feladataik ellátásához feltétlenül szükséges és azzal arányos, valamint ha az információk más módon nem állnak rendelkezésre, illetve az adatszolgáltatás nem jelent

elemzéshez vagy más elemzésekhez meghatározott hasonló intézményekkel.

122. A tőkekockázatok értékelése során az illetékes hatóságoknak értékelniük kell a szavatolótőkére vonatkozó minimumkövetelmények kiszámításának pontosságát és prudens

minimumszintjére vonatkozó számítások alulbecsülhetik a kockázat tényleges szintjét. Az ebből az értékelésből származó információkat fel kell használni a P2R 7.2.3. szakaszban leírtak szerinti meghatározásához.

123. Az egyes lényeges kockázatok értékelésének eredményét a megállapítások összefoglalásának tükröznie kell, amelynek magában kell foglalnia a fő kockázati tényezők ismertetését és a kockázati pontszámot, a következő szakaszokban meghatározottak szerint.

²⁷ Az Európai Rendszerkockázati Testület 2011. szeptember 21-i ajánlása a devizahitelezésről (ERKT/2011/1) (HL C 342., 2011.11.22., 1. o.).

6.2.1. Általános szempontok

124. A hitelkockázat-kezelési keretrendszer értékelésekor az illetékes hatóságoknak meg kell vizsgálniuk, hogy az intézmény betartja-e a 12. bekezdésben hivatkozott, az EBA honlapján külön közzétett jogi aktusokat. 125. Az illetékes hatóságoknak értékelniük kell az összes nem kereskedési könyvi kitettségből (a mérlegen kívüli tételeket is beleértve) eredő hitelkockázatot. Értékelniük kell továbbá a partnerkockázatot és az elszámolási kockázatot is, amelyek mind a banki, mind a kereskedési könyvek alá tartozhatnak. Az ilyen értékelés elvégzéséhez az illetékes hatóságoknak figyelembe kell venniük a potenciális hitelezési veszteségeket meghatározó valamennyi tényezőt, különös tekintettel a következőkre:

• a. a hitelesemény (azaz nemteljesítések) vagy korrelált hitelesemények valószínűsége, amely elsősorban a hitelfelvevőket és az adott kötelezettség visszafizetésére való képességüket érinti;
• b. a hitelkockázati kitettségek nagysága;
• c. a hitelkitettségek visszafizetési rátája a hitelfelvevők nemteljesítése esetén.

126. Az illetékes hatóságoknak figyelembe kell venniük annak a lehetőségét, hogy ezen összetevők idővel változhatnak és a várt eredményekhez képest kedvezőtlenebbé válhatnak.

127. Az illetékes hatóságoknak értékelniük kell az ESG-kockázatoknak az inherens hitelkockázatra gyakorolt hatását, valamint az ESG-kockázatokkal kapcsolatos hitelkockázati kontrollmechanizmusok megfelelőségét, elsősorban a környezeti kockázatokra összpontosítva. Az illetékes hatóságoknak különös figyelmet kell fordítaniuk az ökológiai átállással kapcsolatos kockázatokra és a fizikai kockázatokra a hitelkoncentrációs kockázat és az ingatlanpiaci kockázat értékelése során, valamint az olyan konkrét portfóliók vagy kitettségi osztályok hitelkockázatának értékelésekor, amelyeknél a környezeti kockázatoknak való kitettség jelentősnek tekinthető.

128. Emellett az illetékes hatóságoknak arra is figyelmet kell fordítaniuk, hogy az intézmény a hitelnyújtási folyamata során figyelembe vegye a pénzmosási és terrorizmusfinanszírozási kockázatokat, beleértve azt is, hogy az intézmény rendelkezik-e olyan rendszerekkel és kontrollmechanizmusokkal, amelyek biztosítják, hogy a hitelek visszafizetésére használt pénzeszközök törvényes forrásokból származzanak.

6.2.2. Az inherens hitelkockázat értékelése

A hitelkockázat lényeges forrásainak azonosítása

129. Az illetékes hatóságoknak a hitelkockázatot jelenlegi és előretekintő szemszögből is vizsgálniuk kell, az aktuális portfólió hitelkockázatának elemzését beépítve az intézmény hitelkockázati stratégiájának, hitelkockázat-vállalási hajlandóságának és hitelkockázati korlátjainak értékelésébe (esetlegesen az üzleti modell elemzésének részeként végzett szélesebb körű stratégiaértékelés részeként). Az illetékes hatóságoknak azt is figyelembe kell venniük, hogy a várható, valamint a stresszhelyzeti makrogazdasági fejlemények hogyan befolyásolhatják ezeket az elemeket.

130. Az intézmény inherens hitelkockázatának értékeléséhez az illetékes hatóságoknak először azonosítaniuk kell az intézmény hitelkockázati kitettségét. Ehhez, valamint azon hitelkockázati források következetes azonosításának biztosításához, amelyeknek az intézmény ki van vagy ki lehet téve, a következő információforrásokat kell figyelembe venniük:

• a. szabályozási adatszolgáltatási sablonok, például a COREP és a FINREP, figyelembe véve a vonatkozó szabályozási kitettségi osztályokat az intézmény szavatolótőke-követelményekre vonatkozó megközelítése (sztenderd vagy IRB-módszer) alapján;
• b. az egyéb SREP-elemek (például az üzletimodell-elemzés) értékelése és a korábbi felügyeleti tevékenységek keretében szerzett ismeretek;
• c. az intézmény helyzetének összehasonlítása a hasonló intézményekével, amennyiben rendelkezésre állnak ilyen adatok. Különösen a belső minősítésen alapuló (IRB) módszert alkalmazó intézmények esetében az illetékes hatóságoknak figyelembe kell venniük a 2013/36/EU irányelv 78. cikkével összhangban végzett felügyeleti összehasonlító elemzés eredményét.

131. Az illetékes hatóságoknak értékelésük során elsősorban a legjelentősebb azonosított hitelkockázati forrásokra kell összpontosítaniuk, prudenciális szempontból vizsgálva azok lényegességét az intézmény vonatkozásában. Ezen értékelés elvégzéséhez a következőket kell figyelembe venniük:

• a. a hitelkockázati stratégia és a hitelkockázat-vállalási hajlandóság, valamint a vonatkozó limitek;
• b. a vizsgált portfólió kitettségértékének összege a hitelkitettségek teljes kitettségértékéhez viszonyítva, beleértve annak időbeli növekedését is;
• c. az érintett portfólió hitelkockázatához kapcsolódó szavatolótőke-követelmény összege a teljes szavatolótőke-követelményhez viszonyítva, beleértve annak időbeli növekedését is;
• d. adott esetben az intézmény által az érintett portfólió hitelkockázatához rendelt belső tőkének a teljes belső tőkéhez viszonyított aránya;
• e. az intézmény mérlegben szereplő és mérlegen kívüli, hitellel összefüggő tételeinek összetétele és minősége a teljesítő (az átstrukturált kitettséget is beleértve) és a nemteljesítő portfólióban, beleértve az értékvesztések és leírások szintjét és időbeli alakulását, valamint a hitelportfólió nemteljesítési arányait.

132. Az illetékes hatóságoknak értékelniük kell a kockázat lényegességét a jelenlegi portfólió vonatkozásában, visszatekintő és előretekintő szemlélettel is (az adatok és az előrejelzések korábbi alakulását figyelembe véve, amennyiben azok rendelkezésre állnak).

133. Az illetékes hatóságoknak a lényegességi vizsgálatot alátámasztó további információforrásként

• – amennyiben rendelkezésre állnak és megfelelőek – figyelembe kell venniük az intézmény által használt belső hitelkockázati paramétereket. Ez magában foglalja annak értékelését is, hogy ezek a módszerek alkalmasak-e a különböző portfóliók hitelkockázati kitettségeinek pontos számszerűsítésére, különös figyelmet fordítva az intézmény validálási funkciója által készített éves jelentésből származó adatokra, és még konkrétabban az utótesztelés eredményeire – vagyis a becsült paramétereknek és a megfigyelt eredményeknek az intézmény által elvégzett összehasonlítására. Az illetékes hatóságoknak kiemelt figyelmet kell fordítaniuk azokra a portfóliókra, amelyeknél a becsült paraméterek alulbecsülték a megfigyelt eredményeket.

134. Az illetékes hatóságoknak figyelembe kell venniük az intézmény által annak érdekében elvégzett stressztesztek eredményeit is, hogy azonosítsák a korábban fel nem tárt hitelkockázati forrásokat, így például a hitelminőségben, a hitelkoncentrációkban, a fedezetek értékében vagy a hitelkitettségben valamely stresszidőszak alatt bekövetkező változásokból eredő kockázatokat.

135. Az illetékes hatóságoknak az előző bekezdések szerint elvégzett lényegességi értékelés, valamint az intézmény hitelkockázatának és hitelportfóliójának mérete és összetettsége alapján kell meghatározniuk az értékeléshez szükséges részletességi szintet.

Az intézmény hitelportfóliójának jellege, mérete és összetétele (mérlegben szereplő és mérlegen kívüli hitelvonatkozású tételek)

136. Az illetékes hatóságoknak értékelniük kell a hitelkitettségek jellegét (azaz a hitelfelvevők és a kitettségek típusait), és elemezniük kell az intézmény hitelportfóliójának összetételét. Az értékelés elvégzése során az illetékes hatóságoknak mérlegelniük kell azt is, hogy a hitelkockázati kitettség jellege milyen módon befolyásolhatja a kitettség nagyságát (például hitelfelvevők által lehívott hitelkeretek és korábban le nem hívott kötelezettségek, más ország pénznemében denominált összegek), figyelembe véve az intézmény arra vonatkozó lehetőségét, hogy jogszerűen, egyoldalúan törölje a folyósítási kötelezettséggel járó hitelkeretek lehívatlan összegét.

137. A hitelkockázat jellegének értékeléséhez az illetékes hatóságoknak legalább a hitelkockázat alábbi alkategóriáit figyelembe kell venniük az intézmény szempontjából legrelevánsabbnak ítélt alkategóriák részletesebb értékelésének elvégzésével²⁸ :

• a. hitelkoncentrációs kockázat;
• b. partner-hitelkockázat, valamint elszámolási és teljesítési kockázat;
• c. országkockázat;
• d. értékpapírosításból származó hitelkockázat;
• e. devizahitelezési kockázat;
• f. ingatlankockázat;
• g. a banki könyvben szereplő részvénykockázat;
• h. felhígulási kockázat;
• i. modellkockázat a szabályozó által jóváhagyott modellek esetében.

138. Amennyiben a speciális hitelezési kitettségek lényegesnek minősülnek, az illetékes hatóságoknak az ilyen kitettségeket az egyéb hitelezési tevékenységektől elkülönítve kell értékelniük, mivel az ilyen kitettségek kockázata a finanszírozott eszköz vagy projekt (például kereskedelmi ingatlan, energiatermelő üzem, fuvarozás, árucikkek) jövedelmezőségéből, és nem a hitelfelvevőből ered (amely általában egy különleges célú gazdasági egység). Ezen értékelés elvégzésekor az illetékes hatóságoknak a következőket kell figyelembe venniük:

• a. a projektek nyereségessége és az üzleti tervek alapját képező feltételezések konzervatív jellege (beleértve a fő vevők hitelkockázatát is);
• b. a szabályozás változásának - és különösen a támogatott ágazatok esetében - a jövőbeli pénzáramlásokra gyakorolt hatása;
• c. a piaci kereslet változásának hatása (amennyiben releváns), valamint a finanszírozott eszköz potenciális jövőbeli értékesítésére szolgáló piac megléte;
• d. létezik-e olyan konzorcium vagy léteznek-e egyéb olyan hitelezők, amelyek osztoznak a hitelkockázatban; valamint
• e. a szponzorok által vállalt garancia bármely formája;
• f. az e tevékenységekhez fűződő koncentrációs kockázat potenciális növekedése.

A portfólió hitelminősége

139. A portfólió hitelminőségének értékelésekor az illetékes hatóságoknak különös figyelmet kell fordítaniuk a hitelkitettségek megfelelő osztályozására, és értékelniük kell az esetleges helytelen osztályozás hatását, valamint az ebből eredő, az intézmény tartalékképzésében és a veszteségek megjelenítésében bekövetkező késedelmet.

140. Az illetékes hatóságoknak el kell végezniük a teljesítő, nemteljesítő és átstrukturált kitettségek kategóriáinak megkülönböztetésére irányuló elemzést, figyelembe véve mind az ügyfelek számát, mind az érintett összegeket/volumeneket. Az intézmény átfogó hitelkockázatának meghatározásához az illetékes hatóságoknak értékelniük kell a portfólió általános hitelminőséget, valamint a különböző kvalitatív osztályokat a fenti kategóriák mindegyikén belül. Ezen értékelés részeként az illetékes hatóságoknak kitettségi osztályok szerint elemezniük kell a nemteljesítési és átminősítési kockázatot, figyelembe véve a hitelminőség időbeli alakulását, valamint meg kell vizsgálniuk, hogy a portfólió tényleges hitelminősége összhangban áll-e a megadott kockázatvállalási hajlandósággal, és meg kell állapítaniuk az esetleges eltérések okait.

141. Ennek eredményeképp átfogó értékelés készül a pénzintézet teljes hitelciklusáról, a hitelnyújtástól kezdve az egyes kitettségi kategóriák nyomon követésén és kezelésén át. Ha szükséges és lehetséges, ezen elemzések elvégzése során az illetékes hatóságoknak a hasonló intézményekkel való összehasonlítást kell alkalmazniuk, és referencia-portfóliókat (azaz az intézménycsoportok esetében közös hitelfelvevői portfóliókat) kell felhasználniuk. Ezt az elemzést a következők figyelembevételével kell elvégezni:

• a. az eszközminőségi mutatók, a múltbeli tendenciák és a növekedési ráták hitelfelvevői típusok, ágazatok és termékek szerinti bontásban, a hitelfelvevők hitelbesorolás szerinti megoszlása, a hitelminőségi besorolások közötti múltbeli átalakulási arányok, valamint a késedelmes fizetési és nemfizetési arányok különböző időtávokon;
• b. a nemteljesítő kitettségek aránya és lefedettsége portfóliónként, ágazatonként, földrajzi helyenként, valamint ezek időbeli változása, figyelembe véve az egyes érintett portfóliókból származó releváns be- és kiáramlásokat, a kitettségek megoszlását a nemteljesítő kitettségek osztályai között (késedelmes, kétséges), az egyes releváns tényezők esetében az értékvesztések és leírások szintjét és időbeli alakulását, a múltbeli visszafizetési rátákat és a visszafizettetési folyamat időtartamát, a végrehajtás alá vont eszközöket, valamint ezek időbeli alakulását, illetve a kitettségek nemteljesítőnek minősítése óta eltelt időt.

142. Az illetékes hatóságoknak értékelniük kell, hogy a hitelveszteségek fedezetére képzett céltartalékok és a hitelértékelési korrekciók megfelelőek-e a kitettségek minőségének és adott esetben a biztosítékok szintjének szempontjából, különös tekintettel arra, hogy a hitelveszteségek fedezetére képzett céltartalékok szintje összhangban van-e a különböző portfóliók kockázati szintjével – az időbeli alakulást tekintve, valamint a hasonló intézményekkel összehasonlítva –, továbbá a releváns makrogazdasági fejleményekkel, valamint hogy a származtatott ügyletek piaci értékeinek hitelértékelési korrekciói tükrözik-e a megfelelő partnerek hitelképességét. Szükség esetén az illetékes hatóságoknak helyszíni vizsgálatokat kell végezniük vagy egyéb megfelelő felügyeleti intézkedéseket kell hozniuk annak értékelése céljából, hogy a hitelveszteségek fedezetére képzett céltartalékok képzése és a kockázati fedezet megfelelő-e, amit például a hitelek közül vett minták értékelésével határozhatnak meg. Az ilyen értékelés elvégzése során az illetékes hatóságoknak figyelembe kell venniük a belső és külső auditorok által felvetett megállapításokat is, amennyiben azok rendelkezésre állnak.

143. Egy adott intézmény inherens hitelkockázatának értékelésekor az illetékes hatóságoknak figyelembe kell venniük az intézmény által elvégzett stressztesztek eredményeit is annak érdekében, hogy feltárják a hitelkockázat esetleges, korábban fel nem tárt forrásait, így például a hitelminőségben, a hitelkoncentrációkban, a biztosítékok értékében vagy a hitelkitettségben valamely stresszidőszak alatt bekövetkező változásokból eredő kockázatokat.

A hitelkockázat-mérséklési keretrendszer szintje és minősége

144. Az illetékes hatóságoknak meg kell vizsgálniuk az olyan garanciák (többek között a hitelderivatívák) és rendelkezésre álló fedezetek szintjét és minőségét, amelyek hitelesemény bekövetkezésekor csökkentenék a hitelezési veszteséget, azokat is beleértve, amelyeket a szavatolótőke kiszámításakor nem fogadnak el hitelkockázat-mérséklési technikaként. Ezen értékelés elvégzése során az illetékes hatóságoknak a következőket kell figyelembe venniük:

• a. a biztosítékok és garanciák által biztosított fedezet portfóliónként, hitelfelvevő-típusonként, besorolásonként, ágazatonként és más releváns szempontok szerint lebontva;
• b. a fedezeti értékek mind a teljesítő, mind a nemteljesítő kitettségek esetében;
• c. múltbeli behajtási arányok a biztosítékok és garanciák típusa és mennyisége szerint. 145. Az illetékes hatóságoknak értékelniük kell továbbá a reziduális kockázat lényegességét (lásd a 2013/36/EU irányelv 80. cikkét), különös tekintettel a biztosítéki megállapodások és a garanciák megfelelőségére és érvényesíthetőségére, a biztosítékok érvényesítésére és a garanciák végrehajtására vonatkozó képességre és azok időzítésére a nemzeti jogszabályok szerint, a biztosítékok értékének likviditására és volatilitására, valamint a biztosíték bármilyen hitelérvényesítési intézkedés révén visszanyerhető értékére. Az illetékes hatóságoknak a kezesek és a biztosítékok koncentrációját, valamint a hitelfelvevők hitelképességével való összefüggést (azaz a rossz irányú kockázatot) és a védelem hatékonyságára gyakorolt esetleges hatást is értékelniük kell.

Környezeti, társadalmi és irányítási tényezők

146. Az ESG-kockázatok és a környezeti kockázatok – különösen az inherens hitelkockázatra gyakorolt – hatásának értékelésekor az illetékes hatóságoknak törekedniük kell arra, hogy figyelembe vegyék e kockázatok sajátos jellemzőit, például azok előretekintő jellegét és a különböző időtávokon jelentkező eltérő hatásait – elismerve a hosszú távú előrejelzésekhez társuló bizonytalanságokat –, és egyúttal fejlesszék arra vonatkozó képességüket, hogy e jellemzőket beépítsék az értékelésükbe.

6.2.3. A hitelkockázat-kezelési és -kontrollkeretrendszer értékelése

147. Az intézmény hitelkockázati profiljának átfogó megismerése érdekében az illetékes hatóságoknak meg kell vizsgálniuk az intézmény hitelkockázat-kezelési és - kontrollkeretrendszerét, valamint annak az inherens hitelkockázati kitettségek tekintetében való megfelelőségét. Ehhez az értékeléshez az illetékes hatóságoknak az egyéb SREP-elemek (például az üzletimodell-elemzés és a vállalatirányítási területek) értékeléséből származó eredményre is támaszkodniuk kell. A nemteljesítő kitettségek (NPE-k) kezelésére (csökkentésére) irányuló stratégiák és a kapcsolódó irányítási és műveleti iránymutatások alkalmazásának hatálya alá tartozó intézmények esetében az illetékes hatóságoknak azt is értékelniük kell, hogy az intézmények teljesítik-e a releváns EBA-iránymutatásokban az ilyen stratégiákra és azok működtetésére vonatkozóan meghatározott konkrét követelményeket, beleértve a fogyasztóvédelmi kötelezettségek teljesítését is.

Hitelkockázati stratégia és hitelkockázat-vállalási hajlandóság

148. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény rendelkezik-e a vezető testület által jóváhagyott, megbízható, egyértelműen megfogalmazott és dokumentált hitelkockázat-vállalási hajlandósággal, valamint hitelkockázati stratégiával és limitekkel. Ehhez az értékeléshez az illetékes hatóságoknak többek között figyelembe kell venniük a vezető testületnek a hitelkockázati stratégia és a hitelkockázat-vállalási hajlandóság meghatározásában, jóváhagyásában és felülvizsgálatában betöltött szerepét, e stratégiának a felső vezetés általi megfelelő végrehajtását, valamint – az intézmény üzleti modelljére, általános kockázatvállalási hajlandóságára, valamint jelenlegi és jövőbeli piaci környezetére és pénzügyi helyzetére tekintettel – annak az intézmény szempontjából való megfelelőségét. Szervezeti és belsőkontroll-keretrendszer

149. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény a szükséges feladatok elvégzéséhez (minőségi és mennyiségi szempontból is) elegendő emberi és műszaki erőforrással ellátott, megfelelő szervezeti kerettel és irányítási rendszerrel rendelkezik-e, amelyek lehetővé teszik a hitelkockázat-vállalást, valamint a hitelkockázat eredményes kezelését, mérését és ellenőrzését. Különösen azt kell értékelniük, hogy az intézmény vezető testülete és felső vezetése átlátja-e a hitelmérési rendszerek alapját képező feltételezéseket. Ezen értékelés során az illetékes hatóságoknak figyelembe kell venniük a felelősségi körök megfelelőségét, valamint a személyzetnek a feladatai ellátásához szükséges készségeit és tapasztalatát a hitelkockázat vállalása, mérése, nyomon követése és jelentése tekintetében – ideértve a nemteljesítő kitettségek kezelését, és különösen azok kezelését –, végezetül pedig azt, hogy a kockázatvállalók és a kockázatkezelők egyértelműen elkülönülnek-e egymástól.

150. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény megfelelő szabályzatokkal és eljárásokkal rendelkezik-e a hitelnyújtás, a hitelkockázat azonosítása, kezelése, mérése, jelentése és kontrollja tekintetében, és hogy ezek a szabályzatok összhangban állnak-e az intézmény hitelkockázati stratégiájával, és lefednek-e minden főbb üzleti tevékenységet és eljárást. Ennek keretében meg kell vizsgálni, hogy ezeket a szabályzatokat egyértelműen formalizálták és közzétették-e, és azokat az intézményen, valamint az ahhoz tartozó bankcsoporton belül következetesen alkalmazzák-e. Ezen értékelés során az illetékes hatóságoknak figyelembe kell venniük, hogy a vezető testület jóváhagyja-e ezeket a szabályzatokat, valamint rendszeresen megvitatja-e és a kockázati stratégiákkal összhangban felülvizsgálja-e azokat, továbbá azt is, hogy a felső vezetés felelős-e a szabályzatoknak és az eljárásoknak a vezető testület utasításai alapján való kidolgozásáért és végrehajtásáért.

151. Az illetékes hatóságoknak meg kell vizsgálniuk, hogy az intézmény rendelkezik-e a hitelkockázat azonosítására, megértésére, mérésére, nyomon követésére és jelentésére szolgáló, az intézmény méretének és összetettségének megfelelő keretrendszerrel. E tekintetben az illetékes hatóságoknak meg kell vizsgálniuk, hogy az intézmény megfelelő adatinfrastruktúrával rendelkezik-e, és az elemzési technikák alkalmasak-e arra, hogy lehetővé tegyék az intézmény számára hitelkockázatának megfelelő kezelését és a felügyeleti adatszolgáltatási követelmények teljesítését, valamint az összes mérlegen belüli és kívüli tevékenységében rejlő hitelkockázatok észlelését, mérését és rendszeres nyomon követését (adott esetben a csoport szintjén).

152. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény vezető testülete és felső vezetése érti-e a hitelmérési rendszerek alapját képező feltételezéseket, és tisztában van-e a kapcsolódó modellkockázat mértékével. Meg kell vizsgálniuk, hogy az intézmény végzett-e stressztesztelést a kedvezőtlen eseményeknek az intézmény hitelkockázati kitettségeire és a hitelkockázati tartalékképzés megfelelőségére gyakorolt hatásainak megismerése érdekében, figyelembe véve a stressztesztek gyakoriságát, a feltárt releváns kockázati tényezőket, a stresszforgatókönyv alapját képező feltételezéseket, valamint a stressztesztek eredményeinek a tőketervezéshez és a hitelkockázati stratégiákhoz történő belső felhasználását. 153. Az illetékes hatóságoknak fel kell mérniük, hogy az intézmény meghatározta és megvalósítja-e a hitelkockázati kitettségek (a hitelkoncentrációt is beleértve) folyamatos, eredményes, az egész intézményre kiterjedő nyomon követését, többek között célirányos mutatók és releváns beavatkozási feltételek segítségével, a hatékony korai riasztások biztosítása céljából. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény készített-e rendszeres jelentéseket a vezető testület, a felső vezetés és az érintett hitelkockázat-kezelők számára a hitelkockázati kitettségekről, és azon belül a stressztesztek eredményéről.

154. Az illetékes hatóságoknak meg kell vizsgálniuk, hogy az intézmény stabil, átfogó belsőkontroll-keretrendszerrel és észszerű óvintézkedésekkel rendelkezik-e a hitelkockázatnak az intézmény hitelkockázati stratégiájával és hitelkockázat-vállalási hajlandóságával összhangban történő mérsékléséhez. Ezen értékelés során az illetékes hatóságoknak különös figyelmet kell fordítaniuk arra, hogy az intézmény kontrollfunkciói megfelelő hatókört fednek-e le (beleértve minden konszolidált szervezetet, minden földrajzi helyszínt és minden hiteltevékenységet), illetve érvényben vannak-e olyan működési limitek és egyéb gyakorlatok, amelyek célja a hitelkockázati kitettségek az intézmény számára elfogadható tartományban tartása, az intézmény kockázatvállalási hajlandóságával és limitjeivel összhangban. E célból az illetékes hatóságoknak különösen azt kell vizsgálniuk, hogy az intézmény rendelkezik-e megfelelő belső kontrollmechanizmusokkal és gyakorlatokkal annak biztosítására, hogy a szabályzatok, eljárások és korlátozások megsértését és az azok alóli kivételeket időben jelentsék a megfelelő vezetőségi szintnek a szükséges intézkedések meghozatala céljából, beleértve azokat az ellenőrzéseket is, amelyek célja az intézményt a hitelnyújtási tevékenységéből adódóan érintő pénzmosási és terrorizmusfinanszírozási kockázatok azonosítása, értékelése és kezelése.

155. Ezen értékelés elvégzése során az illetékes hatóságoknak mérlegelniük kell, hogy a limitrendszer összhangban áll-e az intézmény összetettségével, valamint a hitelkockázat mérésére és kezelésére való képességével. Ez magában foglalja annak vizsgálatát is, hogy a megállapított határértékek abszolút érvényűek-e, vagy előfordulhat-e azok túllépése. Utóbbi esetben az intézmény szabályzatainak egyértelműen meg kell határozniuk azt az időtartamot és azokat a konkrét körülményeket, amelyek mellett az ilyen határérték-túllépések lehetségesek. Ezen túlmenően az illetékes hatóságoknak értékelniük kell, hogy megfelelőek-e azok az eljárások, amelyek révén a hitelkezelők tájékoztatást kapnak a rájuk vonatkozó limitekről, valamint, hogy ezeket a limiteket rendszeresen felülvizsgálja és aktualizálja-e az intézmény (például a stratégia változásaival való összhang fenntartása érdekében).

156. Az illetékes hatóságoknak értékelniük kell továbbá a belső ellenőrzési funkció működését a hitelkockázat-kezelési keretrendszer belső ellenőrzéseinek megfelelősége, hatóköre és gyakorisága tekintetében. Ezeknek az ellenőrzéseknek ki kell terjedniük a hitelkockázat-kezelési, -mérési és -kontrollkeret főbb elemeinek a teljes intézményt lefedő felülvizsgálatára, valamint arra, hogy a belső szabályzatok és eljárások mennyire felelnek meg a vonatkozó külső szabályoknak, illetve hogy vannak-e eltérések ezektől.

157. A hitelkockázathoz kapcsolódó szavatolótőkére vonatkozó minimumkövetelmények meghatározásához belső minősítésen alapuló módszert alkalmazó intézmények esetében az illetékes hatóságoknak azt is értékelniük kell, hogy a belső validálási eljárás megalapozott és eredményes-e a modell feltételezéseinek megkérdőjelezése és azon esetleges hiányosságok azonosítása terén, amelyek a hitelkockázat-kezelési rendszert érinthetik. Ennek az értékelésnek a belső modellekkel kapcsolatban már elvégzett felügyeleti tevékenységekből (például helyszíni ellenőrzésekből) származó információkra kell építenie – amennyiben azok rendelkezésre állnak –, figyelembe véve az EBA a belső minősítésen alapuló rendszerek validálására vonatkozó felügyeleti kézikönyvében részletesen ismertetett felügyeleti gyakorlatokat²⁹ .

6.2.4. A megállapítások összefoglalása, a pontozás és a felügyeleti intézkedések

158. A fenti értékelés elvégzését követően az illetékes hatóságoknak véleményt kell alkotniuk az intézmény hitel- és partnerkockázatáról. E véleménynek tükröződnie kell a megállapítások összefoglalásában, amelyet a 6. táblázatban foglalt szempontok alapján meghatározott kockázati pontszámnak kell kísérnie. Amennyiben az illetékes hatóság – bizonyos kockázati alkategóriák lényegességére tekintettel – úgy dönt, hogy azokat külön-külön értékeli és pontozza, az e táblázatban szereplő iránymutatásokat – amennyire lehetséges – analógia útján kell alkalmazni.

²⁸ A hitelkockázati alkategóriák nem teljes körű felsorolását, valamint az azok értékelésével kapcsolatos további részleteket az I. melléklet tartalmazza.

²⁹ EBA/REP/2023/29.

6.3.1. Általános szempontok

160. A piaci kockázatkezelési keretrendszer értékelése során az illetékes hatóságoknak többek között azt kell vizsgálniuk, hogy az intézménybetartja-e a 12. bekezdésben említett, az EBA honlapján külön közzétett jogi aktusokat.

161. Ezekben az iránymutatásokban a „piaci kockázatra” való hivatkozások magukban foglalják a következő kockázatok mindegyikét, amelyeket az illetékes hatóságoknak értékelniük kell:

• a. a piaci árak mozgásaiból eredő veszteségeknek kitett valamennyi mérlegen belüli és mérlegen kívüli pozícióból eredő piaci kockázat, azaz a kereskedési könyvi pozíciók kockázatai, valamint a nem kereskedési könyvi devizaárfolyam- és árukockázat;
• b. annak a kockázata, hogy a hitelértékelési korrekcióban (CVA) a partner-hitelkockázati felár és/vagy a piaci árak változásának hatására bekövetkező változás miatt veszteségek keletkeznek, amelyek befolyásolják a származtatott ügyletek és – adott esetben – az értékpapír-finanszírozási ügyletek (SFT-k) valós értékét;
• c. az 575/2013/EU rendelet 105. cikke értelmében vett, valós értéken értékelt eszközök értékeléséhez kapcsolódó kockázat.

162. Az illetékes hatóságok kevésbé részletes elemzést végezhetnek azon intézmények esetében, amelyek megfelelnek a kisméretű kereskedési könyvi tevékenység az (EU) 575/2013 rendelet 94. cikkében meghatározott feltételeinek. Azoknál az intézményeknél, amelyeknél a kitettségek nem jelentősek, az értékelésnek a kockázatkezelési és irányítási struktúra megfelelőségére, valamint a rendszerek és a kontrollmechanizmusok minőségére és hatékonyságára kell összpontosítania.

163. Az illetékes hatóságoknak figyelembe kell venniük az ESG-kockázatoknak a piaci kockázatra gyakorolt hatását, valamint az ESG-kockázatokkal kapcsolatos piaci kockázatkezelési keretrendszer és -kontrollmechanizmusok megfelelőségét, különös figyelmet fordítva a környezeti kockázatokra.

6.3.2. Az inherens piaci kockázat értékelése

164. Az illetékes hatóságoknak az inherens piaci kockázat értékelése révén meg kell határozniuk az intézmény piaci kockázati kitettségeinek fő alakító tényezőit, és értékelniük kell az intézményre gyakorolt jelentős prudenciális hatás kockázatát. Ehhez az illetékes hatóságoknak először azonosítaniuk kell azokat a piaci kockázatokat, amelyeknek az intézmény ki van vagy ki lehet téve, és figyelmüket azokra az alkategóriákra és tényezőkre kell összpontosítaniuk, amelyeket az intézmény szempontjából a leglényegesebbnek tartanak.

165. Ezen elemzés alátámasztásához az illetékes hatóságoknak legalább az intézmény termékeit, tevékenységeit és üzletágait figyelembe kell venniük. Össze kell hasonlítaniuk a piaci kockázatra és a CVA-kockázatra vonatkozó szavatolótőke-követelményeket, valamint az intézmény szavatolótőkéjéből levont kiegészítő értékelési korrekciót a teljes szavatolótőke-követelménnyel. Adott esetben az intézmény által az e kockázatokra elkülönített belső tőkét is össze kell vetniük a teljes belső tőkével. Figyelembe vehetik továbbá a piaci kockázati pozíciók viszonylagos súlyát a teljes eszközállományhoz viszonyítva, a piaci pozíciókból származó nettó nyereség relatív súlyát a teljes működési bevételekhez viszonyítva, valamint e mutatók múltbeli alakulását és az azokra vonatkozó előrejelzéseket. Emellett figyelembe kell venniük az intézmény piaci tevékenységekre vonatkozó stratégiáját és a kapcsolódó kockázatvállalási hajlandóságát is. A piaci tevékenységek értékelésekor az illetékes hatóságoknak figyelembe kell venniük a 161. bekezdésben említett kockázatokat, amelyek kiterjedhetnek a kereskedési és a nem kereskedési könyvre is.

Az intézmény kockázati tevékenységeinek jellege és összetétele

166. Az intézmény inherens piaci kockázata jellegének értékelése során az első lépés a piaci kockázati kitettségek következetes és átfogó azonosítása. Az illetékes hatóságoknak ehhez fel kell használniuk a rendelkezésre álló szabályozási jelentési sablonokat – például a COREP-et és a FINREP-et –, a belső jelentéseket, a többi SREP-elem (például az üzletimodell-elemzés) értékeléséből vagy a korábbi felügyeleti tevékenységekből származó ismereteket, valamint – amennyiben rendelkezésre állnak – az intézmény hasonló intézményekkel való összehasonlításait.

167. Az illetékes hatóságoknak értékelésüket elsősorban a legjelentősebb azonosított kockázatforrásokra kell alapozniuk, prudenciális szempontból vizsgálva azok lényegességét a pénzintézet vonatkozásában. A piaci kockázat jellegének értékeléséhez az illetékes hatóságoknak legalább az alábbi alkategóriákat³⁰ figyelembe kell venniük:

• a. kamatlábkockázat (kereskedési könyv);
• b. nem értékpapírosításra vonatkozó hitelkockázati felár, értékpapírosításra vonatkozó hitelkockázati felár (kereskedési könyv);
• c. részvénykockázat (kereskedési könyv);
• d. átminősítési kockázat (a nemteljesítési kockázati tőkekövetelmény hatálya alá tartozó ügyletek esetében)³¹ ;
• e. nemteljesítési kockázat (a nemteljesítési kockázati tőke-tőkekövetelmény hatálya alá tartozó ügyletek esetében);
• f. devizaárfolyam-kockázat, beleértve az átszámítási kockázatot is (mind a kereskedési, mind a banki könyvben);
• g. árukockázat (kereskedési és banki könyv);
• h. CVA-kockázat (kereskedési és banki könyv);
• i. értékelési kockázat (a kereskedési könyvi és a nem kereskedési könyvi valós értéken értékelt instrumentumok).

168. Az illetékes hatóságoknak a következőket is figyelembe kell venniük:

• a. a pénzügyi termékek összetettsége (pl. modellalapú árazással értékelt termékek, nem delta kockázattal és báziskockázattal járó termékek). Az illetékes hatóság ennek értékeléséhez az 575/2013/EU rendelet 325u. cikke szerinti fennmaradó kockázatra vonatkozó többletet veszi figyelembe mutatóként;
• b. az intézmény kitettségének likviditása. Az illetékes hatóság ezt annak felmérésével állapíthatja meg, hogy az intézmény ki van-e téve a 575/2013/EU rendelet 325bd. cikkében foglalt 2. táblázat szerinti nagy likviditási horizonttal rendelkező alkategóriáknak;
• c. a piaci kockázatok bizonyos vállalatokra, ágazatokra, gazdaságokra és kockázati osztályokra való koncentrációja;
• d. olyan konkrét piaci műveletek alkalmazása, amelyek kockázatát a piaci kockázathoz kapcsolódó szavatolótőke-követelmények esetleg nem tükrözik teljes mértékben (pl. magas frekvenciájú kereskedés).

169. Az illetékes hatóságoknak szükség esetén figyelembe kell venniük az intézmények belső kockázatkezelési mérőszámait is. Ezek közé tartozhat a szavatolótőke-követelmények kiszámításához nem használt belső kockáztatott érték vagy várható hiány, vagy a piaci kockázatoknak különböző kockázati tényezőkkel és potenciális veszteségekkel szembeni érzékenysége. 170. Az illetékes hatóságoknak azt is értékelniük kell, hogy az intézmény képes-e átfogó képet alkotni arról, milyen mértékű piaci koncentrációs kockázatnak van kitéve – akár egyetlen kockázati tényezővel kapcsolatos kitettségek, akár több, egymással összefüggő kockázati tényezővel kapcsolatos kitettségek miatt –, különös figyelmet fordítva az összetett és illikvid termékek terén jelentkező koncentrációkra. Felül kell vizsgálniuk a szervezet koncentrációkra és illikvid pozíciókra vonatkozó saját értékelését is. Az illetékes hatóságoknak elő kell írniuk a pénzügyi intézmények számára, hogy túlzott koncentrációs kockázat esetén csökkentsék az adott központi szerződő fél (CCP) felé fennálló kitettségüket, vagy a 648/2012 rendelet 7a. cikkével összhangban az elszámolási számláikon igazítsák ki a kitettségeket.

171. Amennyiben megállapításra kerül, hogy az intézményt érintő piaci kockázat tekintetében be kell-e vezetni a P2R-t, a 300. bekezdéssel összhangban az illetékes hatóságoknak mérlegelniük kell, hogy az 1. pillér módszertana megfelelően tükrözi-e a kockázatot, figyelembe véve a következőket:

• a. az alternatív sztenderd megközelítést alkalmazó intézményeknek az 1. pillér értelmében többletet (reziduális kockázatra vonatkozó többlet) kell kiszámítaniuk azokra a komplex pénzügyi termékekben rejlő kockázatokra vonatkozóan, amelyeket az érzékenységen alapuló módszer és a nemteljesítési kockázatra vonatkozó szavatolótőke-tőkekövetelmény nem vesz megfelelően figyelembe;
• b. a belső modellen alapuló módszert vagy az alternatív belső modellen alapuló módszert alkalmazó intézményeknek meg kell vizsgálniuk az említett belső modellekben szereplő valamennyi lényeges kockázatot;
• c. az alternatív sztenderd módszerben meghatározott kockázati súlyok, az 575/2013/EU rendelet 325bb. cikkében említett várható hiány-mértékek, valamint az 575/2013/EU rendelet 325bk. cikkében említett stresszforgatókönyvi kockázati mértékek az alternatív belső modellen alapuló módszerben úgy lettek kialakítva, hogy az 575/2013/EU rendelet 325bd. cikkének 2. táblázatában foglalt likviditási horizontnak megfelelően figyelembe vegyék a pozíciók likviditását.

172. Az illetékes hatóságoknak a piaci kockázati pozíciók és a kapcsolódó irányítási szabályok tekintetében azonosítaniuk és elemezniük kell az Unióban letelepedett, harmadik országbeli csoport részét képező intézmények, valamint az említett csoportnak az Unió területén kívül letelepedett és az uniós anyavállalat által nem konszolidált egyéb szervezetei közötti bármely transzferárazási megállapodást. Az elemzésnek magában kell foglalnia a következőket:

• a. egy mennyiségi elem, amelynek célja a transzferárazási megállapodások lényegességének meghatározása a kereskedési könyv teljes eredményéhez és a pénzintézet szavatolótőkéjéhez viszonyítva;
• b. egy minőségi elem annak értékelésére, hogy e megállapodások hatása átlátható-e az intézmény igazgatótanácsa számára, és megfelelően tükröződik-e a kockázatkezelés irányításában;
• c. minőségi elem annak értékelésére, hogy a transzferárazási megállapodás hogyan befolyásolja az intézmény üzleti döntéseit, beleértve a megállapodás által okozott esetleges összeférhetetlenségeket, valamint azt is, hogy a transzferárazási megállapodás dinamikája hogyan befolyásolhatja az üzletkötői terület döntéseit.

173. Az illetékes hatóságoknak a kereskedési könyvi tételekkel összefüggésben azonosítaniuk kell a transzferárazás lényegességét, azokra a transzferárazási megállapodásokra összpontosítva, amelyek megfelelnek a következő feltételeknek:

• a. legalább egy olyan, az Unión kívül letelepedett csoporttagot érintenek, amelynek legmagasabb konszolidációs szintje az Unión kívül található;
• b. tranzakciós nyereségelosztási módszeren (TPM) – vagy bármely, gazdasági szempontból azzal egyenértékű gyakorlaton – alapulnak, amelynek értelmében a több gazdálkodó egység tulajdonában lévő pozíciókhoz kapcsolódó nyereségeket és veszteségeket az egyes gazdálkodó egységek által az árképzési megállapodásban meghatározott fő mérőszámokhoz nyújtott „m” marginális hozzájárulás alapján osztják szét e gazdálkodó egységek között.

174. A 173. bekezdés a) pontja szerinti intézmények esetében amennyiben a tranzakciós nyereségelosztási módszereken alapuló transzferárazási megállapodások eredményeként újraelosztott nyereségek és veszteségek lényeges mértékűek (pl. az intézmény eredménykimutatásának több mint 5 %-át teszik ki), és ezt a kockázatot a P1R nem vagy nem teljes mértékben fedezi, az illetékes hatóságoknak a következőket kell tenniük:

• a. ezt a kockázatot figyelembe kell venniük a P2R meghatározásakor;
• b. figyelembe kell venniük a 172. bekezdésben felsorolt elemek eredményeit – például a transzferárazási megállapodások lényegességét – azon portfólió piaci kockázati tőkekövetelményeinek fényében, amelynek nyereségeit és veszteségeit az intézményre átruházandó összeg meghatározásához felhasználják, valamint a kapcsolódó irányítási rendszer esetleges hiányosságait;
• c. olyan P2R-értéket kell meghatározniuk, amely megfelelően fedezi azokat a piaci kockázatokat, amelyekre a P1R nem terjed ki, és amelyek a transzferárazási megállapodásból erednek. Ehhez az illetékes hatóságok az V. mellékletben meghatározott számítási módszert, vagy olyan alternatív módszert alkalmazhatnak, amely pontosan méri a P1R által le nem fedett kockázatot, és meghatározza az ebből következő P2R-t, referenciaként figyelembe véve az V. mellékletben szereplő módszert.

Jövedelmezőségi elemzés és stressztesztelés

175. Az illetékes hatóságoknak az intézmény piaci kockázati profiljának jobb megismeréséhez elemezniük kell a piaci tevékenységek korábbi nyereségességét, beleértve a nyereségek volatilitását is. Az elemzés elvégezhető a portfólió szintjén, valamint üzletágra, eszközosztályra vagy kereskedési részlegre lebontva is, az intézmény kitettségeinek lényegességétől és összetettségétől függően (az üzletimodell-elemzés keretében vagy más felügyeleti meglátás szerint megállapítottak alapján). 176. Az illetékes hatóságoknak különbséget kell tenniük egyrészt a kereskedésből származó bevételek és a nem kereskedésből származó bevételek (például jutalékok, ügyfelek által fizetett díjak stb.) között, másrészt pedig a realizált és nem realizált nyereségek/veszteségek között.

177. A jelentős nyereséget vagy veszteséget termelő eszközosztályok és/vagy kitettségek esetében az illetékes hatóságoknak a nyereségességet az intézmény által vállalt kockázat szintjével való összehasonlítás révén kell elemezniük (például a kereskedés céljából tartott pénzügyi eszközök és források kockáztatott értéke/nettó nyeresége) az esetleges ellentmondások azonosítása és elemzése érdekében. Ha lehetséges, az illetékes hatóságoknak az intézmény számadatait össze kell vetniük saját múltbeli teljesítményével és a hasonló intézmények adataival.

178. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény megfelelő, a kockázatmérési rendszerét kiegészítő stresszteszteket hajtott-e végre. Ehhez az illetékes hatóságoknak a következő elemeket kell figyelembe venniük:

• a. a stressztesztek gyakorisága;
• b. azonosította-e az intézmény a releváns kockázati tényezőket (pl. illikviditás/árfolyamugrások, koncentrált pozíciók, egyirányú piacok);
• c. a stresszforgatókönyv alapját képező feltételezések; valamint
• d. a stressztesztek eredményeinek belső felhasználása a tőketervezéshez és a piaci kockázati stratégiákhoz.

6.3.3. A piaci kockázatok kezelésére és ellenőrzésére szolgáló keretrendszer értékelése

179. Az intézmény kockázati profiljával összhangban álló piacikockázat-kezelés megfelelő szintű megismeréséhez az illetékes hatóságoknak meg kell vizsgálniuk az intézmény kockázatkezelési és -kontrollkeretrendszerét, valamint annak az inherens kockázati kitettségek tekintetében való megfelelőségét. Ehhez az értékeléshez az illetékes hatóságnak az ebben a szakaszban meghatározott bekezdéseket kell alkalmaznia, valamint a következőkre is támaszkodnia kell:

• a. az egyéb SREP-elemek (például az üzletimodell-elemzés és az irányítási területek) értékelésének eredménye;
• b. az 575/2013/EU rendelet 325c. cikkében említett értékelés eredménye az alternatív sztenderd módszert használó intézmények esetében, valamint az (EU) 2024/1085 felhatalmazáson alapuló rendelettel összhangban elvégzett értékelés eredménye, különösen a 575/2013/EU rendelet 104b., 325bi. és 325bj. cikkében említett követelmények tekintetében.

180. Az illetékes hatóságoknak értékelniük kell továbbá az intézmények azon szabályzatait és eljárásait is, amelyek a pozícióknak a kereskedési könyvhöz és a banki könyvhöz való, a 575/2013/EU rendelet 3. fejezetének 1. címében leírtak szerinti hozzárendelésére vonatkoznak. Piaci kockázati stratégia és kockázatvállalási hajlandóság

181. Az illetékes hatóságoknak meg kell vizsgálniuk, hogy a pénzügyi intézmények rendelkeznek-e a vezető testületük által jóváhagyott, megalapozott, egyértelműen megfogalmazott és dokumentált kockázatvállalási hajlandósággal, kockázati stratégiával és limitekkel. Ehhez az értékeléshez az illetékes hatóságoknak – egyéb tényezők mellett – figyelembe kell venniük a vezető testületnek a kockázati stratégia és a kockázatvállalási hajlandóság meghatározásában, jóváhagyásában és felülvizsgálatában betöltött szerepét, e stratégia vezető testület általi megfelelő végrehajtását, valamint annak az intézmény szempontjából való megfelelőségét, tekintettel annak üzleti modelljére, átfogó kockázatvállalási hajlandóságára, valamint jelenlegi és jövőbeli piaci környezetére és pénzügyi állapotára.

Szervezeti és belsőkontroll-keretrendszer

182. Az illetékes hatóságoknak meg kell vizsgálniuk, hogy a pénzintézet rendelkezik-e a piaci kockázat azonosításához, megértéséhez, mérése, nyomon követéséhez és ellenőrzéséhez szükséges megfelelő szervezeti keretrendszerrel, valamint a szükséges feladatok elvégzéséhez (minőségi és mennyiségi szempontból is) elegendő személyi és technikai erőforrással. Ezen értékelés során az illetékes hatóságoknak figyelembe kell venniük a piaci kockázat vállalására, nyomon követésére, jelentésére és kontrolljára vonatkozó felelősségi körök megfelelőségét, azoknak a teljes intézményre kiterjedő hatályát, a front office és a back office, valamint a kockázatvállalási és az kontrollfunkciók egyértelmű elkülönítését, továbbá az érintett személyzet képességeit és szakértelmét.

183. Az illetékes hatóságoknak fel kell mérniük, hogy az intézmény rendelkezik-e a piaci kockázat azonosítására, kezelésére, mérésére és kontrolljára vonatkozó, egyértelműen meghatározott szabályzatokkal és eljárásokkal, valamint hogy ezek megbízhatóak-e, összhangban állnak-e az intézmény kockázati stratégiájával, és kiterjednek-e az összes főbb üzleti tevékenységre és folyamatra. Ennek keretében meg kell vizsgálniuk, hogy ezeket a szabályzatokat és eljárásokat egyértelműen rögzítették-e, közzétették-e, és az intézmény egészében következetesen alkalmazzák-e.

184. Az értékelésnek különösen a szabályozási célból a kereskedési könyvben szerepeltetendő/abból kizárandó pozíciókra, a belső fedezeti ügyletekre vonatkozó szabályzatokra, valamint az új piaci tevékenységekre és/vagy termékekre vonatkozó eljárásokra kell kiterjednie.

185. Az illetékes hatóságoknak fel kell mérniük, hogy az intézmény rendelkezik-e megfelelő, az intézmény méretéhez és összetettségéhez illeszkedő kerettel a piaci kockázat azonosítására, megismerésére és mérésére, és hogy ez a keret összhangban van-e a vonatkozó jogi és szabályozási keretben meghatározott minimumkövetelményekkel.

186. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény rendelkezik-e a piaci kockázattal kapcsolatos megfelelő monitorozási és adatszolgáltatási kerettel, amely biztosítja, hogy az intézmény felső vezetése vagy vezető testülete limitsértés esetén haladéktalanul megtegye a megfelelő intézkedéseket. A monitorozási rendszernek a hatékony korai riasztások biztosítása érdekében célirányos mutatókat és releváns beavatkozási feltételeket kell tartalmaznia, és tájékoztatnia kell a vezető testületet és a felső vezetést a jelenlegi kitettségekről és mérőszámokról– a szabályzatokban meghatározott limitekhez viszonyítva.

187. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény erős és átfogó limitrendszerrel és kontrollkerettel, valamint megbízható védelmi mechanizmusokkal rendelkezik-e a kockázatainak a kockázati stratégiájával és kockázatvállalási hajlandóságával összhangban történő mérséklése céljából. Ezen értékelés során az illetékes hatóságoknak különös figyelmet kell fordítaniuk arra, hogy az intézmény kontrollfunkciói megfelelő hatókört fednek-e le (beleértve minden konszolidált szervezetet, minden földrajzi helyszínt és minden piaci tevékenységet), illetve érvényben vannak-e olyan működési korlátok (beleértve a részleg vagy az üzleti egység szintjén meghatározott egyedi limiteket, amelyeket naponta monitorozni kell) és egyéb gyakorlatok, amelyek célja a piaci kockázati kitettségek az intézmény számára elfogadható tartományban tartása, az intézmény kockázatvállalási hajlandóságával és limitjeivel összhangban.

188. Az illetékes hatóságoknak azt is fel kell mérniük továbbá, hogy a belső validálási folyamat megbízható és eredményes-e a modellfeltevések megkérdőjelezése és a piaci kockázat kezelési rendszerével kapcsolatos esetleges hiányosságok azonosítása terén. A piaci kockázatra vonatkozó minimális szavatolótőke-követelmények meghatározására belső módszert alkalmazó intézmények esetében ennek az értékelésnek a belső modellekkel kapcsolatban már elvégzett felügyeleti tevékenységekből (például a helyszíni vizsgálatokból) származó információkon kell alapulnia, amennyiben azok rendelkezésre állnak.

189. Az illetékes hatóságoknak a belső ellenőrzési funkció működését abból a szempontból is értékelniük kell, hogy a piaci kockázatkezelési keretrendszerre irányuló belső ellenőrzések megfelelőek-e, kellően átfogóak-e, és megfelelő gyakorisággal zajlanak-e. Ennek keretében az intézmény egészére kiterjedően meg kell vizsgálni a kockázatkezelési, -mérési és -kontrollkeret főbb elemeit, valamint azt, hogy a belső szabályzatok és eljárások mennyire felelnek meg a vonatkozó külső szabályozásoknak, illetve hogy vannak-e eltérések ezekhez képest.

6.3.4. A megállapítások összefoglalása, a pontozás és a felügyeleti intézkedések

190. A fenti értékelés elvégzését követően az illetékes hatóságoknak véleményt kell alkotniuk az intézmény piaci kockázatáról. E véleménynek tükröződnie kell a megállapítások összefoglalásában, amelyet a 8. táblázatban foglalt szempontok alapján meghatározott kockázati pontszámnak kell kísérnie. Amennyiben az illetékes hatóság – bizonyos kockázati alkategóriák lényegességére tekintettel – úgy dönt, hogy azokat külön-külön értékeli és pontozza, az e táblázatban szereplő iránymutatásokat – amennyire lehetséges – analógia útján kell alkalmazni.

³⁰ A piaci kockázat alkategóriáinak nem teljes körű felsorolását a II. melléklet tartalmazza.

³¹ Az átminősítési kockázat a kereskedési könyv alapvető felülvizsgálata keretében a hitelfelár-kockázat részeként kezelendő.

6.4.1. Általános szempontok

192. A működésikockázat-kezelési keretrendszer értékelése során az illetékes hatóságoknak többek között azt kell vizsgálniuk, hogy a pénzintézet betartja-e a 12. bekezdésben említett, az EBA honlapján külön közzétett jogi aktusokat.

193. Az illetékes hatóságoknak az intézmény valamennyi üzletágára és műveletére kiterjedően értékelniük kell a működési kockázatot, figyelembe véve a belső irányítási rendszerek és az intézményi szintű kontrollmechanizmusok 5. címben meghatározott értékeléséből származó megállapításokat. Ezen értékelés elvégzése során az illetékes hatóságoknak meg kell állapítaniuk, milyen formában jelenhet meg a működési kockázat, figyelembe véve az intézmény veszteségadatait, valamint más kapcsolódó kockázatok (pl. határhelyzetű hitelvonatkozású és piaci vonatkozású működési kockázat) lehetséges hatásait is.

194. Az illetékes hatóságoknak értékelniük kell a harmadik fél szolgáltatóktól eredő működési kockázat lényegességét, beleértve az egyetlen harmadik fél szolgáltató (közvetlenül vagy alvállalkozói láncokon keresztül közvetve) vagy az intézmény kritikus vagy fontos funkcióit támogató, korlátozott számú harmadik fél szolgáltató által nyújtott egy vagy több szolgáltatás koncentrációját (szervezeti és adott esetben csoportszintű szinten), valamint azt, hogy ezek befolyásolhatják-e az intézmény működési rezilienciáját, teljesítményét és kockázatkezelését. Ezen értékelés elvégzése során az illetékes hatóságoknak figyelembe kell venniük, hogy más intézmények milyen mértékben támaszkodnak ugyanazokra a harmadik fél szolgáltatókra – amennyiben ilyen információ a rendelkezésükre áll.

195. A működési kockázat értékelésekor az illetékes hatóságoknak a DORA-rendelet szerint fel kell mérniük az ICT-kockázatot, valamint annak az intézmény kritikus vagy fontos funkcióira gyakorolt lehetséges hatását, beleértve az intézményre gyakorolt esetleges pénzügyi, reputációs, szabályozási és stratégiai hatást.

196. Az illetékes hatóságoknak meg kell vizsgálniuk, hogy az intézmény a működési rezilienciára vonatkozó megfelelő megközelítéssel rendelkezik-e ahhoz, hogy képes legyen ellenállni a zavaroknak, alkalmazkodni azokhoz és helyreállni azokból, amikor bekövetkeznek, valamint hogy ezt a megközelítést megfelelően és következetesen összehangolta-e a meglévő kockázatkezelési keretrendszerével, az üzletmenet-folytonossági terveivel és a harmadik felek kezelésével.

197. A működési kockázat értékelése során az illetékes hatóságoknak – adott esetben – meg kell vizsgálniuk, hogy az intézmény szabályzatai és eljárásai megfelelően azonosítják, értékelik és kezelik-e a kriptoeszköz-tevékenységekből és az azok alapjául szolgáló technológiából fakadó működési kockázatokat.

198. Az illetékes hatóságoknak a hírnévkockázatot a működési kockázattal együtt kell értékelniük, mivel az szorosan összefügg a működési kockázati eseményekkel. A működési kockázat pontozásakor azonban nem szabad figyelembe venni a hírnévkockázat-értékelés eredményét; szükség esetén azt az üzletimodell-elemzés és/vagy a likviditásikockázat-értékelés részeként kell figyelembe venni, mivel fő hatásai ronthatják a befektetőknek, a betéteseknek vagy a bankközi piaci szereplőknek az intézménybe vetett bizalmát.

199. Az illetékes hatóságoknak értékelniük kell az ESG-kockázatoknak az inherens működési és hírnévkockázatokra gyakorolt hatását, valamint az ESG-kockázatokkal kapcsolatos működési és hírnévkockázati kontrollmechanizmusok megfelelőségét, elsősorban a környezeti fizikai és átállási kockázatokra összpontosítva. A jogi kockázat és a hírnévkockázat vizsgálata során az illetékes hatóságoknak különösen a környezeti kockázatokat és a zöldrefestési kockázatokat kell figyelembe venniük.

6.4.2. Az inherens működési kockázat értékelése

200. Az illetékes hatóságoknak alaposan meg kell ismerniük az intézmény inherens működési kockázati kitettségeit, és értékelniük kell e kockázat prudenciális hatásának jelentőségét az intézmény szempontjából, valamint azt, hogy ez milyen hatással van az intézmény azon képességére, hogy zavarok esetén is el tudja látni kritikus vagy fontos funkcióit.

201. Ezen értékelés alátámasztásához az illetékes hatóságoknak figyelembe kell venniük a működési kockázatra vonatkozó szavatolótőke-követelményt a teljes szavatolótőke-követelményhez viszonyítva, valamint adott esetben az intézmény által a működési kockázatra elkülönített belső tőkét a teljes belső tőkéhez viszonyítva. Ezen felül az illetékes hatóságoknak fel kell használniuk az egyéb (különösen a 4. és az 5. cím szerinti) SREP-elemek értékelése során szerzett ismereteket, a hasonló intézményekkel való összehasonlításból származó információkat, az egyéb felügyeleti tevékenységekből származó adatokat – ideértve a pénzmosás és terrorizmusfinanszírozás elleni felügyeletet ellátó hatóságok, valamint a piacfelügyeleti hatóságok által nyújtott információkat is –, és minden egyéb, más releváns információforrásokból származó adatot.

202. Az illetékes hatóságoknak legalább a legfontosabb működési kockázati tényezőket és a lehetséges zavarokat okozó forgatókönyveket figyelembe kell venniük, és adott esetben azokat az üzletág, a jogi személy, a földrajzi terület és az eseménytípus-kategória szerint kell elemezniük (az adatok rendelkezésre állásától függően), valamint az intézmény helyzetét a hasonló intézményekhez viszonyítva kell értékelniük. E tényezőknek ki kell terjedniük legalább az intézménynek a működési kockázattal és a működési kockázatvállalási hajlandósággal kapcsolatos fő stratégiájára, az üzleti környezetre (beleértve a földrajzi jelenlétet, az ICT-műveleteket és a forgalmazási csatornákat), a közelmúltbeli jelentős vállalati eseményekre (például fúziók, felvásárlások, elidegenítések és szerkezetátalakítások), a 6.4.2.3. szakasz szerinti ICT-rendszerekre és egyéb ICT-vonatkozású szempontokra, a folyamatváltozásokra, a harmadik felekkel való megállapodásokra, a szabályozási megfeleléssel kapcsolatos kérdésekre, az üzleti törekvésekre és ösztönzőrendszerekre, valamint a működési kockázatot befolyásoló egyéb fő tényezőkre. A működési kockázati kitettségek jellege és jelentősége

203. Az illetékes hatóságoknak a működési kockázati kitettségek jellegét a működési kockázat fő forrásainak és tényezőinek való kitettségek elemzésével kell meghatározniuk annak érdekében, hogy előretekintő képet kapjanak a várható működési kockázatokról. Ehhez az elemzéshez:

• a. az illetékes hatóságok figyelembe vehetik az intézmény szempontjából releváns működési modellt, üzletágakat, termékeket, folyamatokat és földrajzi területeket, az elsődleges kockázati tényezőkkel (pl. folyamatok, emberek, rendszerek és külső tényezők) szembeni függőségek és működési kockázati kitettségek értékelését, valamint a kockázati tényezők kölcsönhatásait, felhasználva az intézmény kockázati önértékelését, a hasonló intézmények elemzését, az adatokat, valamint a nyilvános és/vagy konzorciumi adatbázisokat, amennyiben rendelkezésre állnak és relevánsak;
• b. az illetékes hatóságoknak figyelembe kell venniük mind az intézményt érintő események gyakoriságát, mind azok súlyosságát, és meg kell különböztetnie azokat, amelyek súlyos veszteségeket okoznak, valamint azokat, amelyek nagy gyakorisággal fordulnak elő. Az illetékes hatóságoknak e megkülönböztetés alapján kell értékelniük a működési kockázati veszteségek alakulását és koncentrációját; valamint
• c. az illetékes hatóságoknak fel kell használniuk a forgatókönyv-elemzéseket, valamint – amennyiben rendelkezésre állnak – az intézmény által elvégzett, a tervezett üzleti tevékenységekre és a várható működési kockázatokra vonatkozó elemzéseket, figyelembe véve minden, már végrehajtott és eredményes korrekciós intézkedést és kockázatcsökkentő lépést.

204. A működési kockázat főbb forrásainak és kiváltó tényezőinek azonosítását és elemzését követően az illetékes hatóságoknak azokra kell összpontosítaniuk közülük, amelyek a leglényegesebb potenciális hatást gyakorolhatják az intézményre.

205. Az illetékes hatóságoknak az intézmény veszteségekre és eseményekre vonatkozó adatkészletére kell elsődleges információforrásként tekinteniük, mivel az értékes betekintést nyújthat az intézmény működési kockázati profiljának alakulásába. Az illetékes hatóságoknak rendszeresen értékelniük kell a veszteségadatok teljességét, pontosságát és minőségét. További információforrásként szolgálhat az intézménynek az összes ICT-vonatkozású incidensről és jelentős kiberfenyegetésről vezetett nyilvántartása (a DORA 17. cikkének (2) bekezdése szerint), valamint az azonosított ICT-kockázati forrásokról szóló nyilvántartása (a DORA 8. cikkének (2) bekezdése szerint).

A működési kockázati alkategóriák értékelése

206. Az illetékes hatóságoknak a működési kockázati alkategóriák értékelése során azokra az alkategóriákra kell összpontosítaniuk, amelyek az intézmény szempontjából lényegesnek minősülnek. Az illetékes hatóságoknak szakértői megítélésük alapján, az összes rendelkezésre álló belső és külső információforrás figyelembevételével kell meghatározniuk a jelentős alkategóriákat. Az értékelés elvégzése során az illetékes hatóságoknak mindig figyelmet kell fordítaniuk a működési kockázat³² alábbi aspektusaira:

• a. jogi kockázat;
• b. modellkockázat;
• c. ICT-kockázat.

6.4.2.1. Jogi kockázat

207. Az illetékes hatóságoknak a következőket kell figyelembe venniük, amikor az intézmény jogi kockázati kitettségeinek relevanciáját és jelentőségét értékelik:

• a. a termékek vagy szolgáltatások nem megfelelő értékesítése;
• b. összeférhetetlenség az üzleti tevékenység végzése során;
• c. a referencia-kamatlábak, devizaárfolyamok vagy bármely más pénzügyi eszköz vagy mutató manipulálása;
• d. a pénzügyi termékek teljes életciklusa alatti termékváltás és/vagy a pénzügyi szolgáltatók közötti váltás akadályai;
• e. a termékek automatikus megújítása vagy kilépési szankciók; és/vagy
• f. az ügyfélpanaszok kezelése;
• g. a nemzeti és nemzetközi szabályok és előírások (adózási szabályok, a belső csalásra vagy belső lopásra vonatkozó szabályok, pénzmosás elleni szabályok, terrorizmus elleni szabályok és gazdasági szankciók) megsértése;
• h. Az ESG-vonatkozású – különösen a környezetvédelemmel és a zöldrefestéssel összefüggő – perekkel szembeni kitettségek.

208. Az illetékes hatóságoknak fel kell mérniük, hogy az intézménynél felmerülhetnek-e jogi eljárásokból eredő költségek, bírságok, szankciók vagy büntető kártérítések, továbbá figyelembe kell venniük a panaszok számát és tartalmát is. A 4. cím szerinti értékelés eredményeit az ösztönző politikák vizsgálatával együtt arra is fel kell használni, hogy az illetékes hatóságok magas szintű rálátást nyerjenek a potenciális visszaélések forrásaira. Ebben az összefüggésben az illetékes hatóságoknak azt is meg kell vizsgálniuk, hogy az intézmény megfelelő és hatékony rendszerekkel és eljárásokkal rendelkezik-e a korlátozó intézkedések (pl. szankciók) végrehajtásának és betartásának biztosításához, ideértve az intézménynek az EBA belső szabályzatokról, eljárásokról és ellenőrzésekről szóló iránymutatásaival való összhang értékelését is:³³ .

209. Az illetékes hatóságnak ugyanakkor előretekintő megközelítést is alkalmaznia kell, figyelembe véve a szabályozási fejlemények lehetséges hatását és az érintett hatóságoknak a fogyasztóvédelem és általánosságban a pénzügyi szolgáltatások nyújtása tekintetében végzett tevékenységét.

6.4.2.2. Modellkockázat

210. A működési kockázat keretében az illetékes hatóságoknak értékelniük kell a modellkockázatot, különös tekintettel a belső, nem szabályozási jellegű modellekre (pl. mesterségesintelligencia-modellek, termékárazás, kockázati határértékek meghatározása és nyomon követése, ICAAP/ILAAP-modellek, helyreállítási lehetőségek).

211. A modellkockázat értékeléséhez az illetékes hatóságoknak a következőket kell figyelembe venniük:

• a. az intézmény milyen mértékben és milyen célokra alkalmaz modelleket a döntéshozatal során, és az ilyen döntéseknek mekkora az üzleti jelentősége. Az illetékes hatóságoknak meg kell határozniuk, hogy az intézmény mely üzleti tevékenységében alkalmaz jelentős mértékben modelleket, és értékelniük kell a modellkockázat lehetséges hatását többek között érzékenységi és forgatókönyv-elemzések, illetve stressztesztek segítségével; valamint
• b. a kontrollmechanizmusok megalapozottsága (a módszerek, gyakoriság, utóellenőrzés stb. tekintetében), beleértve a modell-jóváhagyási folyamatot, az elvégzett rendszeres felülvizsgálatokat, valamint azt, hogy az intézmény mennyire van tisztában a modell hiányosságaival vagy a piaci és üzleti fejleményekkel.

212. Amennyiben az intézmény döntéshozatali célokra (pl. termékárazás, MI-modellek, pénzügyi eszközök értékelése, ügyfélprofil-alkotás) használ modelleket, az illetékes hatóságoknak meg kell vizsgálniuk, hogy rendelkezésre áll-e a modellkockázat azonosítására és mérséklésére szolgáló megbízható (a szabályozási modellektől eltérő) belső validálási eljárás és/vagy modell-felülvizsgálati eljárás.

213. A modellkockázat értékelése során az illetékes hatóságoknak figyelembe kell venniük az egyéb tőkekockázatok, valamint a likviditási és finanszírozási kockázatok értékelését is, különösen a kockázat mérésére, az árak képzésére, valamint az eszközök és/vagy kötelezettségek értékelésére használt módszerek megfelelőségének vonatkozásában. Ezen értékelés eredményeit figyelembe kell venni a működési kockázatra vonatkozó megállapítások kialakításakor is.

6.4.2.3. ICT-kockázat – Az inherens ICT-kockázat értékelése

A lényeges ICT-kockázatok azonosítása

214. A DORA-rendelettel összhangban az illetékes hatóságoknak meg kell vizsgálniuk, hogy az intézmény megfelelően azonosítja, osztályozza és dokumentálja-e valamennyi, az ICT-ra támaszkodó üzleti funkciót, feladat- és felelősségi kört, valamint az ezeket a funkciókat támogató információs vagyonelemeket³⁴ és ICT-eszközöket³⁵ , illetve azoknak az ICT-kockázattal kapcsolatos feladatkörét és függőségeit. Ennek a felülvizsgálatnak segítenie kell az illetékes hatóságokat abban, hogy alapos képet szerezzenek az intézmény inherens ICT-kockázati kitettségeiről (ICT-kockázati profil), azonosítsák a lényeges inherens ICT-kockázatokat, és véleményt alkossanak azok prudenciális hatásairól. Ehhez az illetékes hatóságoknak adott esetben legalább a következőket kell figyelembe venniük:

• a. az ICT-kockázatkezelési keretrendszer felülvizsgálatáról szóló jelentés (a DORA-rendelet 6. cikkének (5) bekezdése szerint);
• b. az intézmény által a DORA-rendelet 8. cikkének (2) bekezdése alapján azonosított ICT-kockázati források, különösen a más pénzügyi szervezetekkel szembeni vagy azoktól eredő kockázati kitettség;
• c. a bejelentett jelentős ICT-vonatkozású események (a DORA-rendelet 19. cikkének (1) bekezdése szerint), beleértve a jelentős ICT-vonatkozású események által okozott összesített éves költségek és veszteségek trendjét (a DORA-rendelet 11. cikkének (10) bekezdése szerint);
• d. a digitális működési reziliencia tesztelését szolgáló programban tervezett tesztek eredményei (a DORA-rendelet 24. cikkével összhangban), beleértve a fenyegetésalapú behatolási tesztelés (TLPT) eredményeinek és a kapcsolódó korrekciós terveknek az összefoglalását (a DORA-rendelet 26. cikkének (6) bekezdése szerint);
• e. információ-nyilvántartás (a DORA-rendelet 28. cikkének (3) bekezdésével összhangban), beleértve a harmadik fél ICT-szolgáltatók – köztük a csoporton belüli ICT-szolgáltatók – koncentrációjának mértékét, az ICT-szolgáltatások és/vagy ICT-rendszerek típusai szerint;
• f. a vezető felvigyázók ajánlásai és véleményei (a DORA-rendelet 40. cikkének (3) bekezdése és 42. cikkének (7) bekezdése szerint), valamint a kritikus harmadik fél ICT-szolgáltatóktól származó, kapcsolódó válaszok, jelentések és információk (a DORA-rendelet 35. cikke (1) bekezdésének c) pontja, 42. cikkének (1) bekezdése és 48. cikkének (2) bekezdése szerint);
• g. az ICT-rendszerek összetettségének szintje és az elavult ICT-rendszerekre vonatkozó ICT-kockázatértékelés eredményei (a DORA-rendelet 8. cikkének (7) bekezdése szerint);
• h. a jelentős változásokra vonatkozó kockázatértékelés (a DORA-rendelet 8. cikkének (3) bekezdése szerint);
• i. az innovatív ICT-megoldások bevezetésének és integrációjának mértéke;
• j. az adatközpontok és a kijelölt érzékeny területek helyszíne – azaz régiója vagy országa –, ideértve azokat az eseteket is, amikor a szerződéses ICT-szolgáltatásokat harmadik fél ICT-szolgáltatók nyújtják, az adatfeldolgozás és -tárolás helyszínét is beleértve;
• k. az 5. cím szerint azonosított kapcsolódó lényeges hiányosságok vagy gyengeségek;
• l. az ICT-kockázat és a kontrollmechanizmusok önértékelése (ha az ICAAP-információkban megadják);
• m. az intézmény vezető testületének benyújtott, az ICT-kockázatokkal kapcsolatos irányítási információk;
• n. az ICT-vonatkozású belső és külső ellenőrzések megállapításai;
• o. külső fenyegetési környezet, beleértve a fenyegetésekre és a sérülékenységekre vonatkozó információkat is.

Az ICT-rendszerek és az ICT-szolgáltatások felülvizsgálata

215. Az illetékes hatóságoknak felül kell vizsgálniuk az intézmény vonatkozó dokumentációját, módszertanát és folyamatait, és véleményt kell alkotniuk arról, hogy az intézmény megfelelően azonosította-e a kritikus vagy fontos funkciókat támogató ICT-rendszereket és ICT-szolgáltatásokat. Ennek érdekében az illetékes hatóságoknak a következőket kell figyelembe venniük:

• a. a kritikus vagy fontos funkciókat támogató ICT-rendszerek, valamint az intézmény által azonosított kritikus információs eszközök és ICT-eszközök (a DORA-rendelet 8. cikke szerint);
• b. az intézmény által azonosított, a harmadik fél ICT-szolgáltatóktól függő kulcsfontosságú folyamatok, beleértve a kritikus vagy fontos funkciókat támogató harmadik fél ICT-szolgáltatókkal meglévő összeköttetéseket (a DORA-rendelet 8. cikkének (5) bekezdése szerint).

A kritikus vagy fontos funkciókat támogató ICT-rendszereket és ICT-szolgáltatásokat érintő lényeges ICT-kockázatok azonosítása és feltérképezése

216.Az intézmény információs és ICT-eszközöktől való függőségének, ICT-kockázati profiljának, valamint ICT-rendszereinek és ICT-szolgáltatásainak felülvizsgálatát követően az illetékes hatóságoknak véleményt kell alkotniuk azokról a lényeges ICT-kockázatokról, amelyek jelentős prudenciális hatást gyakorolhatnak az intézmény kritikus vagy fontos funkciókat támogató ICT-rendszereire és -szolgáltatásaira, valamint jelentős hatással lehetnek a pénzintézet zavarok esetén való működőképességére. Ehhez az illetékes hatóságoknak a következőket kell figyelembe venniük:

• a. pénzügyi veszteség, beleértve az esetleges ügyfél-kártalanításokat, a jogi és helyreállítási költségeket, a szerződéses kártérítést, valamint a költségeket és a bevételkiesést;
• b. az üzletmenet megzavarásának kockázata, figyelembe véve (de nem kizárólag) az érintett szolgáltatások kritikus fontosságát – ideértve a pénzintézet tranzakcióit és működését (a harmadik felektől való függőségekre is kiterjedően) –, valamint az esetlegesen érintett ügyfelek és/vagy pénzügyi partnerek, illetve fiókok és alkalmazottak számát;
• c. lehetséges adatveszteségek;
• d. a hírnévre gyakorolt lehetséges hatás;
• e. a lehetséges szabályozási következmények, ideértve a nyilvános elmarasztalás, a bírságok vagy akár az engedélyek módosításának lehetőségét is;
• f. az intézményre gyakorolt lehetséges stratégiai hatás;
• g. a lehetséges földrajzi kiterjedés.

217. Az illetékes hatóságoknak ezután az azonosított lényeges ICT-kockázatokat a III. mellékletben meghatározott ICT-kockázati kategóriákba kell besorolniuk. Az intézmények a mellékletben meghatározott osztályozás használata helyett várhatóan saját osztályozási rendszert tartanak fenn.

6.4.3. A működésikockázat-kezelési és -kontrollkeretrendszer értékelése

218. Az illetékes hatóságoknak értékelniük kell a pénzintézet által a működési kockázat kezelésére és ellenőrzésére létrehozott keretrendszert és intézkedéseket, figyelembe véve az 5. címben tárgyalt átfogó kockázatkezelési és belsőkontroll-keretrendszer elemzésének eredményét, mivel az befolyásolja az intézmény működési kockázati kitettségeit. Ami a pénzmosási és terrorizmusfinanszírozási kockázatot illeti, az illetékes hatóságnak figyelembe kell vennie a pénzmosás és terrorizmusfinanszírozás elleni felügyeletet ellátó hatóság értékelését.

Működési kockázati stratégia és működésikockázat-vállalási hajlandóság

219. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény rendelkezik-e megbízható, egyértelműen megfogalmazott és dokumentált, a vezető testület által jóváhagyott működésikockázat-stratégiával és működésikockázat-vállalási hajlandósággal, amely meghatározza, hogy az intézmény milyen jellegű, típusú és mértékű működési kockázatokat hajlandó vállalni. Ehhez az értékeléshez az illetékes hatóságoknak többek között figyelembe kell venniük a vezető testületnek a működési kockázati stratégia és működésikockázat-vállalási hajlandóság (beleértve az ICT-kockázatvállalási hajlandóságot és a digitális működési rezilienciára vonatkozó stratégiát) meghatározásában, jóváhagyásában, végrehajtásában és felülvizsgálatában betöltött szerepét, valamint a stratégia megfelelő kiterjedését és az intézmény működési kockázati profiljának jellege és lényegessége szempontjából való megfelelőségét.

Szervezeti és belsőkontroll-keretrendszer

220. Az illetékes hatóságoknak értékelniük kell, hogy a pénzintézet betartja-e az 575/2013/EU rendelet 323. cikkét. Ezen értékelés során az illetékes hatóságoknak meg kell vizsgálniuk a szervezeti keret és az irányítási rendszer megbízhatóságát és annak tekintetében vett hatékonyságát, hogy biztosítsák a működési kockázatok eredményes kezelését, mérését és kontrollját, valamint azt, hogy a szükséges feladatok elvégzéséhez elegendő személyi és technikai erőforrás álljon rendelkezésre. Az illetékes hatóságoknak figyelembe kell venniük, hogy a működési kockázat azonosítása, értékelése, mérséklése, nyomon követése és jelentése, valamint a három védelmi vonalra épülő modell betartása tekintetében egyértelmű felelősségi körök vannak-e érvényben.

221. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény rendelkezik-e a működési kockázat mérséklésére szolgáló stabil kontrollkeretrendszerrel és észszerű óvintézkedésekkel

• – ideértve a reziduális kockázatot is lefedő megfelelő szabályzatokat és eljárásokat is –, valamint hogy ezek összhangban állnak-e az intézmény működésikockázat-kezelési hajlandóságával és stratégiájával, továbbá kiterjednek-e valamennyi kulcsfontosságú műveletre és folyamatra. Ez az értékelés magában foglalja többek között annak vizsgálatát is, hogy ezeket a szabályzatokat és eljárásokat egyértelműen formalizálják és kommunikálják-e, valamint következetesen alkalmazzák-e az egész intézményben.

222. Az illetékes hatóságoknak a belső ellenőrzési funkció működését abból a szempontból is értékelniük kell, hogy a működési kockázatkezelési keretrendszerre irányuló belső ellenőrzések megfelelőek és kellően átfogóak-e, valamint megfelelő gyakorisággal zajlanak-e.

Üzletmenet-folytonosság, vészhelyzeti reagálás és helyreállítás

223. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény megfelel-e i. az EBA belső irányításról szóló iránymutatásának az általános üzletmenetfolytonosság-kezelés tekintetében, valamint ii. a DORA-rendeletnek az ICT-üzletmenet-folytonossági szabályzat és az ICT-reagálási és -helyreállítási tervek tekintetében. E tekintetben az illetékes hatóságoknak meg kell állapítaniuk, hogy az ICT-üzletmenet-folytonossági szabályzat, valamint az ICT-reagálási és helyreállítási tervek szerves részét képezik-e az intézmény átfogó üzletmenet-folytonossági szabályzatának, valamint reagálási és helyreállítási tervének.

224. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény hatékony üzletmenet-folytonossági irányítási rendszert alakított-e ki, amely magában foglalja a legalább a kritikus vagy fontos funkcióira – és ezen belül a harmadik felekhez kiszervezett funkciókra is – kiterjedő, tesztelt üzletmenet-folytonossági, reagálási és helyreállítási terveket, valamint hogy ezek figyelembe veszik-e azokat a súlyos, de elképzelhető forgatókönyveket, amelyekkel szemben az intézmény sebezhető lehet. Az illetékes hatóságoknak azt is értékelniük kell, hogy az intézmény üzletmenet-folytonossági politikája lehetővé teszi-e bármilyen típusú incidens esetén a megfelelő reagálási és helyreállítási intézkedések meghozatalát.

225. Az illetékes hatóságoknak meg kell állapítaniuk, hogy az intézmény üzletmenet-folytonossági irányítási rendszere magában foglalja-e a következőket:

• a. üzleti hatáselemzés (BIA);
• b. a kulcsfontosságú belső és külső függőségekre kiterjedő, megfelelő helyreállítási stratégiák, valamint egyértelműen meghatározott helyreállítási prioritások és reziliencia-szintek;
• c. átfogó és rugalmas tervek a valószínűsíthető zavarok kezelésére, amelyeket az üzleti hatáselemzés (BIA) alapján, valamint a belső és külső érdekelt felekkel együttműködve dolgoznak ki;
• d. vészhelyzeti stratégiákat, valamint reagálási és helyreállítási eljárásokat meghatározó tervek;
• e. a tervek kialakításának és működési hatékonyságának hatékony tesztelése;
• f. az üzletmenet-folytonossági irányítással kapcsolatos tudatossági és képzési programok;
• g. a vezetőség és minden érintett érdekelt fél tájékoztatására szolgáló kommunikációs tervek, valamint adott esetben válságkezelési dokumentáció, intézkedések és válságkezelési funkció (a DORA-rendelet 11. cikkének (7) bekezdése szerint).

226. Az illetékes hatóságoknak meg kell vizsgálniuk, hogy a pénzintézet üzletmenet-folytonossági, reagálási és helyreállítási tervei:

• a. meghatározzák-e a szerepköröket és a felelősségi köröket, beleértve az esetleges utódlásra vonatkozó egyértelmű iránymutatásokat is, valamint rögzítik-e a belső döntéshozatali folyamatot és az aktiválási feltételek meghatározását;
• b. felülvizsgálatokon esnek-e át annak biztosítása érdekében, hogy a vészhelyzeti stratégiák mindig összhangban legyenek az aktuális működéssel, kockázatokkal és fenyegetésekkel, rezilienciaszintekkel, valamint helyreállítási célokkal és prioritásokkal;
• c. kockázatalapú megközelítést alkalmazva állítják-e prioritási sorrendbe az üzletmenet-folytonossági intézkedéseket;
• d. rendszeresen ellenőrzésen esnek-e át annak érdekében, hogy biztosított legyen a helyreállítási célok és határidők teljesíthetősége; és
• e. adott esetben magukban foglalják-e a harmadik félként eljáró szolgáltatók által nyújtott szolgáltatások tesztelését is.

227. Az illetékes hatóságoknak azt is értékelniük kell, hogy a vizsgálati eredményeket megfelelően dokumentálják-e, és jelentik-e a vezető testületnek.

Az ICT-kockázatkezelési keretrendszer értékelése

228. Az illetékes hatóságoknak az ICT-kockázat kezelésének belső irányításával és szervezésével kapcsolatban értékelniük kell, hogy az intézmény megfelel-e a DORA-rendeletnek és az EBA belső irányításról szóló iránymutatásának. Véleményt kell alkotniuk továbbá arról, hogy az intézmény vezető testülete átfogó felelősséggel tartozik-e az ICT-kockázat kezeléséért, és megfelelően meghatározza, jóváhagyja és felügyeli-e az ICT-vel kapcsolatos valamennyi intézkedés végrehajtását. Az illetékes hatóságoknak figyelembe kell venniük azt is, hogy a vezető testület tagjai elegendő ismerettel és készséggel rendelkeznek-e az ICT-kockázatok, valamint azoknak az intézmény működésére gyakorolt hatásának megértéséhez és értékeléséhez.

229. Az illetékes hatóságoknak fel kell mérniük, hogy az összes ICT-vonatkozású funkcióhoz tartozó szerepkörök és felelősségi körök, valamint a kialakított irányítási rendszerek hogyan illeszkednek és épülnek be az intézmény belső ellenőrzési és irányítási keretrendszerébe az ICT-kockázatok kezelése érdekében. E célból az illetékes hatóságoknak mérlegelniük kell, hogy az intézmény az ICT-kockázat kezelésének és felügyeletének felelősségi körét ténylegesen egy olyan független kontrollfunkcióra ruházta-e, amely közvetlen kapcsolatban áll az irányítási funkciót ellátó vezető testülettel, valamint közvetlenül beszámolhat annak, továbbá értékelniük kell azt is, hogy az intézmény:

• a. biztosítja-e a szerepek és felelősségi körök egyértelmű kommunikációját, kijelölését és integrálását az ICT-vonatkozású funkcióban, beleértve az ICT által támogatott üzleti funkciókat és folyamatokat is;
• b. megfelelő és elégséges költségvetést nyújt-e a digitális működési reziliencia biztosításához az erőforrások valamennyi típusa tekintetében, beleértve a releváns tudatosságnövelő programokat, a képzéseket, valamint az ICT-készségeket a teljes személyzet vonatkozásában (a DORA-rendelet 5. cikke (2) bekezdésének g) pontja szerint);
• c. biztosítja-e a vezető testület általi megfelelő nyomon követést és reagálást a kritikus ICT-auditmegállapítások és a DORA-rendelet 13. cikkének (5) bekezdése alapján jelentett megállapítások tekintetében.

230. Az illetékes hatóságoknak alaposan meg kell ismerniük az intézmény ICT-kockázatkezelési keretrendszerét, és fel kell mérniük, hogy az intézmény olyan, kielégítő és megfelelő stratégiákkal, szabályzatokkal, eljárásokkal, ICT-protokollokkal és eszközökkel rendelkezik-e – beleértve a toleranciaszinteket is –, amelyekkel a DORA-val összhangban hatékonyan, eredményesen és átfogóan kezelni tudja a lényeges ICT-kockázatokat. Ehhez az illetékes hatóságoknak adott esetben a következőket kell figyelembe venniük:

• a. az intézmény ICT-kockázatkezelési szabályzatainak³⁶ , folyamatainak és eljárásainak megfelelősége és hatékonysága, ideértve többek között a harmadik felek által nyújtott ICT-szolgáltatások kezelését, az ICT-vonatkozású incidensek felismerését és az azokra való reagálást, az ICT-eszközkezelést, a titkosítást és a kriptográfiát, az ICT-műveletek biztonságát, a hálózatbiztonságot, a hozzáférés-ellenőrzést, valamint azt, hogy ezeket a vezető testület jóváhagyta-e és közölte-e az összes érintett érdekelt féllel (a DORA 14. cikke szerint);
• b. az intézmény ICT-kockázatra vonatkozó toleranciaszintjének és az ICT-zavarok hatásaival kapcsolatos toleranciának a megfelelősége (a DORA-rendelet 6. cikke (8) bekezdésének
• b) pontja szerint);
• c. az intézmény digitális működési rezilienciára vonatkozó stratégiájának megfelelősége és végrehajtása, beleértve annak az üzleti stratégiával való összehangolását;
• d. a harmadik féltől eredő ICT-kockázatra vonatkozó stratégia – beleértve adott esetben a több beszállítóra kiterjedő ICT-stratégiát is –, valamint az általános üzleti stratégia és az ICT-kockázatkezelési keretrendszer közötti összhang;
• e. a kritikus vagy fontos funkciókat támogató ICT-szolgáltatások igénybevételére vonatkozó szerződéses rendelkezésekkel kapcsolatban az intézmény által azonosított kockázatokból eredő reziduális kockázat;
• f. a kritikus vagy fontos funkciókat érintő ICT-projektekkel, az ICT-rendszerek beszerzésével, fejlesztésével és karbantartásával, valamint az ICT-változásokkal kapcsolatban az intézmény által azonosított, a vezető testületnek bejelentett kockázatokból eredő reziduális kockázat;
• g. a digitális működési reziliencia tesztelésére irányuló program megbízhatósága és átfogó jellege;
• h. a DORA-rendelet 17. cikke (3) bekezdésének e) pontja és 13. cikkének (5) bekezdése szerint a vezető testületnek bejelentett jelentős ICT-vonatkozású események és megállapítások trendje és mértéke;
• i. a kifejezetten az azonosított lényeges ICT-kockázathoz kapcsolódó ICT-kockázati kontrollmechanizmusok;
• j. az ICT-kockázatkezelési szempontok kellő időben történő jelentése a vezető testületnek és a felső vezetésnek;
• k. a belső ellenőrzés hatálya és megállapításai.

231. Az ICT-kockázatkezelés értékelésekor az illetékes hatóságoknak különös figyelmet kell fordítaniuk a harmadik féltől eredő ICT-kockázatok kezelésére, beleértve az intézmény harmadik féltől eredő ICT-szolgáltatóknál felmerülő koncentrációjának szintjét is. E célból az illetékes hatóságoknak az európai felügyeleti hatóságok közös iránymutatásaival³⁷ összhangban biztosítaniuk kell a kritikus harmadik fél ICT-szolgáltatók vezető felvigyázóival való szoros együttműködést abban az esetben, ha az értékelés alatt álló intézmény egy kritikus harmadik fél ICT-szolgáltató által nyújtott ICT-szolgáltatásokat vesz igénybe. Az illetékes hatóságoknak felül kell vizsgálniuk az intézmény által létrehozott, az ICT-területen harmadik felekkel kötött megállapodások nyomon követéséért felelős különálló tisztség, illetve az erre kijelölt felső vezetői tisztségviselő eredményességét is.

232. Az illetékes hatóságoknak a következők figyelembevételével kell mérlegelniük, hogy a belső ellenőrzési funkció eredményes-e, valamint megfelelő tudással, készségekkel és szakértelemmel rendelkezik-e az intézmény ICT-kockázatkezelési keretrendszerének ellenőrzéséhez:

• a. az ICT-kockázatkezelési keretrendszert a szükséges minőségben, fókusszal és gyakorisággal ellenőrzik-e, és az arányos-e az intézmény ICT-kockázati profiljával;
• b. az ellenőrzési terv magában foglalja-e az intézmény által azonosított lényeges ICT-kockázatokra vonatkozó ellenőrzéseket, beleértve az ICT-reagálási és helyreállítási tervek független felülvizsgálatát is;
• c. a kritikus ICT-ellenőrzési megállapításokat időben ellenőrzik és orvosolják-e, ideértve a vezető testületnek történő jelentéstételt is;
• d. az ICT-auditmegállapításokat, és ezen belül a megállapodás szerinti intézkedéseket hivatalosan nyomon követik-e, illetve az eredményjelentéseket a felső vezetés és/vagy az auditbizottság rendszeresen felülvizsgálja-e.

6.4.4. A hírnévkockázat értékelése

233. Az illetékes hatóságoknak a 4–6.2. cím keretében szerzett ismereteikre támaszkodva értékelniük kell a pénzintézetet érintő hírnévkockázatot. Ennek az értékelésnek az általános hírnévkockázati keretrendszerre is ki kell terjednie, amely biztosítja, hogy az intézmény képes legyen hatékonyan kezelni a hírnévvel kapcsolatos esetleges eseményeket. Ezen értékelés során az illetékes hatóságoknak kerülniük kell azoknak a szempontoknak a kétszeres figyelembevételét, amelyeket a jogi kockázat értékelése során (6.4.2.1. szakasz) már figyelembe vettek.

234. A hírnévkockázat jelentőségének értékelésekor az illetékes hatóságoknak figyelembe kell venniük az intézmény méretét, valamint szolgáltatásainak, tevékenységeinek és műveleteinek jellegét, mértékét és összetettségét (például tőzsdén jegyzett részvények vagy hitelviszonyt megtestesítő értékpapírok, illetve a bankközi piacokon való részvétel).

235. Az illetékes hatóságoknak figyelembe kell venniük azokat a belső és külső tényezőket vagy eseményeket, amelyek hírnévvel kapcsolatos aggályokat vethetnek fel, azon események kivételével, amelyek jogi eljárást vonnak maguk után. Az 1. és 2. kategóriába tartozó intézmények értékelése során az illetékes hatóságoknak az alábbi mutatók mindegyikét figyelembe kell venniük:

• a. a médiában és a közösségi médiában megjelenő negatív híradások, valamint a fogyasztói szervezetek olyan kezdeményezései, amelyek ronthatják az intézmény közvéleményben kialakult megítélését és hírnevét;
• b. az ügyfélpanaszok száma és alakulása, illetve az ügyfelek vagy a befektetők hirtelen elvesztése;
• c. az intézmény hasonló szervezeteivel kapcsolatos negatív események, amelyeket a közvélemény az egész pénzügyi szektorral vagy egy intézménycsoporttal társíthat;
• d. az intézmény vezetésében részt vevő vagy minősített részesedéssel rendelkező személyek hírneve;
• e. olyan ágazatokban vagy joghatósági területeken való jelenlét vagy tevékenység, amelyek kiemelten ki vannak téve a pénzmosás és a terrorizmusfinanszírozás veszélyének, illetve olyan személyekkel való kapcsolat, akik pénzmosás és terrorizmusfinanszírozás szempontjából magas kockázatot jelentenek;
• f. olyan ágazatokban vagy joghatósági területeken való jelenlét vagy tevékenység, illetve olyan partnerekkel való együttműködés, amelyek fokozottan érintettek az ESG-tényezőkkel
• – és kifejezetten, de nem kizárólag a környezeti tényezőkkel – kapcsolatos lényeges ügyekben vagy nyilvános vitákban;
• g. az intézmény által az (EU) 2024/1772 bizottsági felhatalmazáson alapuló rendeletnek³⁸ megfelelően rögzített ICT-vonatkozású események hírnévre gyakorolt hatása;
• h. egyéb „piaci” mutatók, amennyiben rendelkezésre állnak (például leminősítések vagy a részvényárfolyam alakulása az év folyamán).

236. Az illetékes hatóságoknak értékelniük kell a pénzintézet hírnévkockázati kitettségének jelentőségét és annak más kockázatokkal való összefüggéseit, felhasználva a vonatkozó kockázatértékeléseket (beleértve más felügyeleti hatóságok által készítetteket is) a lehetséges másodlagos hatások mindkét irányban történő meghatározásához.

237. A működési kockázat elemzésével összefüggésben az illetékes hatóságoknak a működési kockázat körén belül figyelembe kell venniük az intézmény pénzmosási és terrorizmusfinanszírozási kockázatnak való kitettségének prudenciális szempontból fennálló relevanciáját és jelentőségét. E tekintetben az illetékes hatóságoknak a pénzmosás és terrorizmusfinanszírozás elleni felügyeletet ellátó hatóságoktól kapott releváns információk felhasználásával kell kiegészíteniük a folyamatos felügyeletből származó megállapításaikat, valamint értékelniük, hogy azok okot adnak-e a pénzmosási és terrorizmusfinanszírozási kockázattal kapcsolatos prudenciális aggályokra.

238. Az illetékes hatóságoknak szem előtt kell tartaniuk, hogy mérettől vagy pénzügyi stabilitástól függetlenül bármely intézményt érinthet a pénzmosási és terrorizmusfinanszírozási kockázat. Ezért kell kellő figyelmet fordítani azokra az intézményekre is, amelyek pénzügyileg stabilnak tűnnek és jó hírnévnek örvendenek, mivel előfordulhat, hogy kifejezetten ezeket az intézményeket veszik célba pénzmosás és terrorizmusfinanszírozás céljából. Figyelni kell azokra az intézményekre is, amelyek nagyon sikeresen vonzanak új ügyfeleket, illetve növelik piaci részesedésüket, különösen a nem hagyományos értékesítési csatornák használatával, mivel ez összefügghet azzal, hogy az ügyfélfogadási szakaszban gyengék az ügyfél-átvilágítás keretében alkalmazott kontrollmechanizmusok.

239. Az illetékes hatóságoknak meg kell osztaniuk a pénzmosás és terrorizmusfinanszírozás elleni felügyeletet ellátó hatóságokkal a működési kockázattal kapcsolatban feltárt olyan problémákra vonatkozó releváns információkat, amelyek pénzmosási és terrorizmusfinanszírozási kockázatokat és aggályokat, a célzott pénzügyi szankciók végrehajtásának elmulasztásából és azok kijátszásából fakadó kockázatokat, valamint olyan aggályokat vethetnek fel, mint például az intézmények IT-rendszerének vagy belsőkontroll-keretrendszerének hiányosságai.

240. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény megfelelő intézkedéseket, stratégiákat, folyamatokat és mechanizmusokat alkalmaz-e a hírnévkockázat kezelésére. Az illetékes hatóságoknak különösen azt kell figyelembe venniük, hogy teljesülnek-e az alábbi követelmények:

• a. az intézmény rendelkezik-e e kockázat azonosítására, kezelésére és nyomon követésére vonatkozó, hivatalosan rögzített szabályokkal és eljárásokkal – ezen belül egy szigorú magatartási kódexszel –, valamint hogy ezek a szabályok és eljárások arányosak-e az intézmény méretével és rendszerbeli jelentőségével;
• b. az intézmény elővigyázatosan kezeli-e ezt a kockázatot, többek között a megfelelő mérőszámok és nyomonkövetési eszközök bevezetésével, a lehetséges hírnévproblémák vészhelyzeti tervekbe való belefoglalásával, a megfelelő képzések és tudatosságnövelő foglalkozások szervezésével, valamint a levont tanulságok hasznosításával;
• c. az intézmény végrehajt-e stressztesztelést vagy forgatókönyv-elemzést a hírnévkockázat másodlagos hatásainak (például likviditási és finanszírozási költségek, értékpapírosítási ügyletek, a megfelelő banki szolgáltatásokhoz való hozzáférés) felmérése céljából;
• d. márkájának védelme érdekében alkalmaz-e az intézmény olyan eszközöket, mint a média és a közösségi média figyelemmel kísérése, a téves információk és a negatív sajtóvisszhang kezelésére szolgáló eljárások, valamint az azonnali kommunikációs kampányok;
• e. az intézmény figyelembe veszi-e, hogy a stratégiája, az üzleti tervei, valamint általában véve a magatartása milyen hatással lehetnek a hírnevére.

6.4.5. Működési reziliencia

241. Az illetékes hatóságoknak átfogó képet kell kialakítaniuk arról, hogy az intézmény képes-e zavarok esetén is ellátni a kritikus vagy fontos funkciókat (a működési reziliencia szintje) – amely eredmény alakulását kedvezően befolyásolja a működési kockázat hatékony kezelése – , figyelembe véve az intézmény méretét, üzleti modelljét és általános kockázati profilját. Ehhez az illetékes hatóságoknak fel kell használniuk a működésikockázat-kezelésről, az üzletmenet-folytonosságról, a változáskezelési képességekről, a harmadik felektől igénybe vett szolgáltatásokról, valamint az intézmény által igénybe vett ICT-rendszerekről készült meglévő értékeléseiket annak az átfogó értékelése érdekében, hogy ezek az elemek együttesen támogatják-e az intézmény működési rezilienciáját. Az illetékes hatóságoknak azt is figyelembe kell venniük, hogy az intézmény következetesen és összehangolt módon hajtja-e végre kockázatkezelési keretrendszerét, üzletmenet-folytonossági terveit, a harmadik felek kezelését (amelynek értékelése a DORA-rendelet, valamint a 2013/36/EU irányelv 74. cikkének (3) bekezdése alapján kiadott, a belső irányítási intézkedésekről, folyamatokról és mechanizmusokról szóló EBA-irányelvek keretében már megtörtént), valamint a helyreállítási és szanálási keretrendszereit. Ezen felül az illetékes hatóságoknak meg kell vizsgálniuk, hogy az intézmény megfelelően feltérképezte-e azokat a belső és külső összeköttetéseket és kölcsönös függőségeket, amelyek a kritikus vagy fontos funkcióinak ellátásához szükségesek.

242. Az illetékes hatóságoknak figyelembe kell venniük, hogy a vezető testület és a felső vezetés milyen figyelmet fordít arra, hogy az intézmény – abból a feltételezésből kiindulva, hogy bekövetkezhetnek zavarok – képes legyen reagálni azokra és helyreállni azokat követően. Ennek értékelése során az illetékes hatóságoknak az alábbiakat kell mérlegelniük:

• a. a vezető testület aktív szerepet játszik-e a működési rezilienciára vonatkozó megközelítés széles körű megértésének az egész intézményre kiterjedő kialakításában, valamint a működési rezilienciára vonatkozó intézményi megközelítés hatékonyságának nyomon követésében;
• b. időszerű jelentések készülnek-e az intézmény folyamatos működési rezilienciájáról a vezető testület felügyeleti tevékenységének támogatása érdekében, különösen akkor, ha a feltárt súlyos hiányosságok befolyásolhatják az intézmény kritikus vagy fontos funkcióinak ellátását.

6.4.6. A megállapítások összefoglalása, a pontozás és a felügyeleti intézkedések

243. A fenti értékelés elvégzését követően az illetékes hatóságoknak véleményt kell alkotniuk az intézmény működési kockázatáról. E véleménynek tükröződnie kell a megállapítások összefoglalásában, amelyet a 10. táblázatban foglalt szempontok alapján meghatározott kockázati pontszámnak kell kísérnie. Amennyiben az illetékes hatóság – bizonyos kockázati alkategóriák lényegességére tekintettel – úgy dönt, hogy azokat külön-külön értékeli és pontozza, az e táblázatban szereplő iránymutatásokat – amennyire lehetséges – analógia útján kell alkalmazni.

³² A működési kockázat alkategóriáinak nem teljes körű felsorolását a III. melléklet tartalmazza.

³³ Az EBH az uniós és nemzeti korlátozó intézkedések végrehajtását biztosító belső szabályzatokról, eljárásokról és ellenőrzésekről szóló iránymutatásai (EBA/GL/2024/14)

³⁴ Az (EU) 2022/2554 rendelet 3. cikkének (6) bekezdése.

³⁵ Az (EU) 2022/2554 rendelet 3. cikkének (7) bekezdése.

³⁶ A DORA-rendelet előírásainak megfelelően ezeknek magukban kell foglalniuk legalább az információbiztonsági szabályzatot, a biztonsági mentési szabályzatot, az ICT-eszközök kezelésére vonatkozó szabályzatot, a titkosításra és kriptográfiai ellenőrzésekre vonatkozó szabályzatot, a kriptográfiai kulcsok kezelésére vonatkozó szabályzatot, az ICT-projektmenedzsmentre vonatkozó szabályzatot, az ICT-rendszerek beszerzésére, fejlesztésére és karbantartására vonatkozó szabályzatot, a humánerőforrás-szabályzatot, a fizikai és környezeti biztonsági szabályzatot, az ICT-vonatkozású incidensek kezelésére vonatkozó szabályzatot, valamint a kritikus vagy fontos funkciókat támogató, harmadik fél ICT-szolgáltatók által nyújtott ICT-szolgáltatások használatára vonatkozó szabályzatot.

³⁷ Az európai felügyeleti hatóságok közös iránymutatása az európai felügyeleti hatóságok (ESA-k) és az illetékes hatóságok közötti, az (EU) 2022/2554 rendelet szerinti felvigyázási együttműködésről és információcseréről (JC/2024/36).

³⁸ A Bizottság (EU) 2024/1772 felhatalmazáson alapuló rendelete (2024. március 13.) az (EU) 2022/2554 európai parlamenti és tanácsi rendeletnek az ICT-vonatkozású események és kiberfenyegetések osztályozására vonatkozó kritériumokat, a lényegességi küszöbértékeket és a jelentős eseményekkel kapcsolatos bejelentések részleteit meghatározó szabályozástechnikai standardok tekintetében történő kiegészítéséről, C/2024/1519 (HL L, 2024/1772, 2024.6.25., ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

6.5.1. Általános szempontok

245. Az illetékes hatóságoknak a nem kereskedési, mérlegen belüli vagy kívüli tevékenységek kamatlábra érzékeny pozícióiból eredő kamatlábkockázatot (szokásos elnevezéssel „nem kereskedési könyvi tevékenységekből eredő kamatlábkockázat”, „banki könyvből eredő kamatlábkockázat” vagy „IRRBB”) és a nem kereskedési könyvi pozíciókból eredő hitelfelár-kockázat (szokásos megnevezéssel „CSRBB”), valamint a belsőkontroll-keretrendszer megfelelőségének értékelése során többek között meg kell vizsgálniuk, hogy az intézmény megfelel-e az EBA honlapján a 12. bekezdésben említettek szerint külön közzétett jogi aktusoknak. 246. Az illetékes hatóságoknak az IRRBB-t – ideértve az ilyen pozíciókat fedező ügyleteket is – az e pozíciók, illetve a veszteségek és nyereségek számviteli célú elszámolásának és értékelésének módjától függetlenül kell értékelniük.

247. Az illetékes hatóságoknak az IRRBB értékelésekor legalább a következő alkategóriák³⁹ relevanciáját és lényegességét figyelembe kell venniük: átárazási rés kockázat, báziskockázat és opciós kockázat.

248. Az IRRBB értékelését meg kell különböztetni a CSRBB értékelésétől, amelyet az illetékes hatóságoknak a 6.5.3. szakaszt szem előtt tartva kell elvégezniük. Az illetékes hatóságoknak különösen azt kell figyelembe venniük, hogy az intézmények belső rendszerei megfelelően értékelik és nyomon követik-e a CSRBB-ből eredő kockázatot a gazdasági érték és a nettó kamatbevétel (a piaci érték változásait is beleértve) szempontjából, valamint megfelelően határozzák-e meg a CSRBB fogalmát és hatályát⁴⁰ .

249. Az IRRBB inherens kockázatának, valamint az IRRBB-re és a CSRBB-re vonatkozó kockázatkezelésnek és kontrollmechanizmusoknak az átfogó értékelése alapján az illetékes hatóságoknak véleményt kell alkotniuk az IRRBB-ről és a CSRBB-ről, amelynek eredményeként a 12. táblázatban meghatározott kritériumok alapján egy kombinált kockázati pontszámot kell megállapítaniuk.. Az egyes kockázatok értékelésének eredményét meg kell jeleníteni az eredmények összefoglalójában és a fő kockázati tényezők magyarázatában.

6.5.2. IRRBB

6.5.2.1. Az inherens IRRBB értékelése

250. Az illetékes hatóságoknak az IRRBB inherens szintjének értékelése révén meg kell határozniuk az intézmény IRRBB-kitettségeit alakító fő tényezőket, és értékelniük kell a kockázatnak az intézményre gyakorolt potenciális prudenciális hatását.

Előzetes értékelés

251. Az IRRBB-értékelés hatókörének meghatározásához az illetékes hatóságoknak először azonosítaniuk kell azokat az IRRBB-forrásokat, amelyeknek az intézmény ki van vagy ki lehet téve. Ehhez az illetékes hatóságoknak fel kell használniuk az ICAAP és az ILAAP során a SREP céljából összegyűjtött információkból, az IRRBB-re vonatkozó adatszolgáltatásból, az egyéb SREP-elemek értékeléséből, az intézmény és a hasonló intézmények pozíciójának összehasonlításából, valamint bármely más felügyeleti tevékenységből származó ismereteiket. Ennek részeként az illetékes hatóságoknak mérlegelniük kell az intézmény kamatlábkockázat kezelésére vonatkozó irányítását, ideértve az intézmény fő IRRBB-stratégiáját és az IRRBB-vel kapcsolatos kockázatvállalási hajlandóságát, valamint az intézmény által az IRRBB-re elkülönített belső tőke szintjét. Az intézmény kamatkockázati profiljának jellege és összetétele

252. Az illetékes hatóságoknak egyértelmű álláspontot kell kialakítaniuk arról, hogy milyen kedvezőtlen hatással lehetnek a kamatlábváltozások az intézmény nettó kamatbevételére (és amennyiben releváns, bevételeire) és gazdasági értékére (a várt pénzáramok jelenértékére), hogy áttekinthessék a tőkemegfelelést rövid és hosszú távon fenyegető lehetséges veszélyt.

253. Ehhez elemezniük kell az intézmény eszközeinek, kötelezettségeinek és mérlegen kívüli kitettségeinek szerkezetét és jellemzőit, beleértve azoknak a kamatlábak, a lejáratok és az átárazási időpontok változásaival szembeni érzékenységét, valamint a bizonytalan lejáratú (pl. beágyazott opciókat tartalmazó vagy előtörlesztési lehetőségekkel rendelkező) termékek és pozíciók arányát, illetve a kapcsolódó magatartási feltételezéseket.

254. Ezen túlmenően az illetékes hatóságoknak át kell tekinteniük az intézmény fedezeti stratégiáját és azt, hogy milyen mértékben alkalmazható természetes fedezet (figyelembe véve a nem meghatározott lejáratú tételek átárazásig hátralévő időszakára vonatkozó modellezés megbízhatóságát is), a fedezeti célokra használt származtatott ügyletek összegét, valamint azt, hogy a származtatott ügyletek csökkenthetik-e a gazdasági tőkeérték (EVE), a nettó kamatbevétel (NII) vagy az intézmény által belsőleg használt egyéb mérőszámok érzékenységét.

255. Az illetékes hatóságoknak figyelmet kell fordítaniuk továbbá az átárazásiidőpontok tekintetében vagy az automatikus, illetve magatartástól függő opciós lehetőségeket tartalmazó termékek esetében felmerülő esetleges koncentrációkra (pl. a hitel- vagy kötvényportfóliókban), a nem teljesítő kitettségekre, valamint a valós értékű instrumentumokba beágyazott kamatkockázat (IRRBB) jellegére, beleértve a kevésbé likvid instrumentumokat – például a 3. szintű eszközöket és kötelezettségeket – is.

256. Az intézmény bevételére gyakorolt hatás elemzésekor az illetékes hatóságoknak tisztában kell lenniük azzal, hogy az intézmény hozamai milyen mértékben függenek kamatlábérzékeny pozícióktól, és meg kell állapítaniuk, hogy a kamatlábak különböző változásai milyen hatással lennének az intézmény nettó kamatbevételére, valamint meg kell állapítaniuk az eszközök piaci értékében bekövetkező változásokból származó hatást , amelyek – a számviteli módszertől függően – vagy az eredménykimutatásban, vagy közvetlenül a saját tőkében jelennek meg (például egyéb átfogó jövedelemben).

257. Az intézmény gazdasági értékére és bevételére tett hatásnak az értékelésekor az illetékes hatóságoknak először a 2013/36/EU irányelv 98. cikkének (5) bekezdésében meghatározott és az (EU) 2024/856 felhatalmazáson alapuló rendeletben részletesebben meghatározott felügyeleti kiugróérték-tesztek eredményeit kell megvizsgálnia, hogy megkapja azt a referencia értéket, amelyhez viszonyítani tudja, hogy a kamatláb változása milyen hatást gyakorol az intézményre. Ezen értékelés elvégzésekor az illetékes hatóságoknak különös figyelmet kell fordítaniuk a pénzáramlások átárazásra való érzékenységére mind az időzítés, mind az összeg szempontjából, valamint a fő mögöttes feltételezések változásaira való érzékenységére (különösen a meghatározott átárazási időpontokkal nem rendelkező ügyfélszámlák, az ügyfelek számára beágyazott opcióval rendelkező ügyfélszámlák és/vagy a saját tőke esetében).

258. Amennyiben az intézményt a nettó kamatbevételre vonatkozó felügyeleti kiugróérték-teszt során kiugró értékűnek minősítik, az illetékes hatóságoknak – amennyiben azt (pl. az intézmény üzleti modelljére tekintettel) indokoltnak tartják – fontolóra kell venniük az értékelést kiegészítő további szempontok elemzését. Ilyen további, vizsgálandó szempontok lehetnek a valós értéken értékelt eszközök piaci értékének változásai, valamint a legkedvezőtlenebb előrejelzett kamatbevétel összevetése a jelenlegi realizált NII-vel, illetve az adminisztrációs költségekkel/általános költségekkel és a nettó jutalékok/díj bevételekkel, a kamatlábak és piaci körülmények változásaiból eredő beágyazott veszteségek vagy nyereségek feltárása érdekében.

259. Az illetékes hatóságoknak figyelmet kell fordítaniuk a nem kereskedési könyvben szereplő, valós értéken értékelt eszközök pénzáramlásainakaz értékelésükben bekövetkező változásokra való érzékenységére, ideértve a nem kereskedési könyvi eszközök fedezésére használt kamatderivatívákat is (például a valós értéken értékelt eszközök piaci értékében beálló változások hatása az eredménykimutatásra, a fedezeti könyvelés eredményességére).

260. Az illetékes hatóságok előírhatják az intézmények számára, hogy a 2013/36/EU irányelv 98. cikkének (5) bekezdésében előírt és az (EU) 2024/856 felhatalmazáson alapuló rendeletben részletesebben meghatározott felügyeleti kiugróérték-teszt felhasználásán túlmenően más kamatlábsokk-forgatókönyveket is figyelembe vegyenek.

261. Kvantitatív értékelésükben az illetékes hatóságoknak figyelembe kell venniük az intézmény IRRBB mérésére szolgáló belső vagy sztenderd módszereinek eredményeit is, amelyek közül az illetékes hatóságoknak a különböző pénznemekben tevékenységet folytató intézmények esetében értékelniük kell a különböző pénznemek által a gazdasági értékre és a jövedelemre gyakorolt hatást, valamint belső módszertan alkalmazása esetén az intézmények által az egyes devizanemekre vonatkozó eredmények összesítéséhez használt módszereket is. Az illetékes hatóságoknak e módszerek elemzésével alaposabban meg kell ismerniük az intézmény IRRBB-profilja mögött meghúzódó fő kockázati tényezőket.

262. A felügyeleti kiugróérték-tesztek eredményeinek, valamint a pénzintézet belső vagy sztenderd módszereinek elemzésekor az illetékes hatóságoknak mind az adott időpontban érvényes adatokat, mind a múltbeli tendenciákat figyelembe kell venniük. Ezeket a mutatókat össze kell vetniük hasonló intézményekével, és a globális piaci helyzet fényében kell értékelniük.

Sokkforgatókönyvek és stressztesztelés

263. Az illetékes hatóságoknak értékelniük kell és figyelembe kell venniük a folyamatos kockázatkezelés céljából lefuttatott kamatlábsokk-forgatókönyvek, valamint az intézmény által a belső kockázatkezelési folyamata részeként lefuttatott IRRBB-stressztesztek eredményeit. Ebben az összefüggésben az illetékes hatóságoknak ismerniük kell az intézmény IRRBB-jének fő forrásait, és különösen a magatartással kapcsolatos feltételezésekben bekövetkező változásokhatásait, – például a lejárat nélküli betétek eetén..

264. Ha az intézmény sokkforgatókönyvei és stressztesztjei révén kapott eredmények áttekintésekor kiderül vagy felmerül annak a gyanúja, hogy a hozamgörbe bizonyos pontjain erős átárazási/lejárati koncentráció mutatkozik, szükségessé válhat, hogy az illetékes hatóságok további elemzéseket végezzenek.

6.5.2.2. Az IRRBB-re vonatkozó irányítási és kontrollkeretrendszer értékelése

265. Az intézmény nem kereskedési könyvi kamatlábkockázati profiljának átfogó megismeréséhez az illetékes hatóságoknak át kell tekinteniük az intézmény kamatlábkitettségeinek kezelését szolgáló irányítást és keretrendszert.

IRRBB-stratégia és IRRBB-kockázatvállalási hajlandóság

266. Az illetékes hatóságoknak meg kell vizsgálniuk, hogy az intézmény rendelkezik-e a vezető testület által jóváhagyott, szilárd, egyértelműen megfogalmazott és dokumentált IRRBB-stratégiával és -kockázatvállalási hajlandósággal. Ehhez az értékeléshez az illetékes hatóságoknak többek között figyelembe kell venniük a vezető testületnek az IRRBB-stratégia és a vonatkozó kockázatvállalási hajlandóság meghatározásában, jóváhagyásában és felülvizsgálatában betöltött szerepét, e stratégiának a felső vezetés általi megfelelő végrehajtását, valamint – az intézmény üzleti modelljére, piaci környezetére és a pénzügyi rendszerben betöltött szerepére, valamint tőkemegfelelőségére tekintettel – annak az intézmény szempontjából való megfelelőségét.

Szervezeti és belsőkontroll-keretrendszer

267. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény megfelelő szervezeti keretrendszerrel és világosan kijelölt felelősségi körökkel, illetve megfelelő emberi és technikai erőforrásokkal rendelkezik-e az IRRBB kezeléséhez, méréséhez, nyomon követéséhez és ellenőrzéséhez. Ennek értékeléséhez az illetékes hatóságoknak figyelembe kell venniük az IRRBB átfogó irányítására, valamint az IRRBB-vel kapcsolatos kockázatvállalásra, e kockázat nyomon követésére, ellenőrzésére és az ezzel kapcsolatos jelentéstételre vonatkozó felelősségi körök megfelelőségét, ideértve az IRRBB-ellenőrzési terület függetlenségét is.

268. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény rendelkezik-e egyértelműen meghatározott politikákkal és eljárásokkal az IRRBB kezelésére, és azok összhangban állnak-e az intézmény IRRBB-stratégiájával és a vonatkozó kockázatvállalási hajlandósággal, valamint a vezető testület rendszeresen jóváhagyja és felülvizsgálja-e azokat. A szabályzatokat egyértelműen kell rögzíteni és közzé tenni, továbbá az intézmény egészében és a bankcsoportokban is következetesen kell alkalmazni. Az illetékes hatóságoknak ellenőrizniük kell, hogy a szabályzatok meghatározzák-e az új termékek fejlesztésére, valamint a főbb fedezeti vagy kockázatkezelési kezdeményezésekre vonatkozó eljárásokat, biztosítva, hogy azok tekintetében megfelelő eljárásokat és kontrollmechanizmusokat alkalmazzanak, mielőtt végrehajtásra kerülnének, továbbá hogy az intézmény elvégezte-e ezeknek az intézmény átfogó kockázati profiljára gyakorolt lehetséges hatásainakelemzését.

269. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény rendelkezik-e megfelelő, a nem kereskedési könyvi pozíciók szintjéhez, összetettségéhez és kockázatosságához, valamint az intézmény méretéhez és összetettségéhez illeszkedő kerettel a banki könyvi kamatlábkockázat azonosítására, értékelésére, kezelésére és mérséklésére. Az értékelésnek ki kell terjednie a belső modellekre, így például az ügyfelek magatartásához kapcsolódó modellekre is (pl. betétstabilitási és hitel-előtörlesztési modellek). Ezen értékelés során az illetékes hatóságoknak meg kell vizsgálniuk, hogy a kockázatkezelők és az intézmény felső vezetésének tagjai ismerik-e a mérési rendszerek alapjait képező feltételezéseket, és tisztában vannak-e az intézmény kockázatmérési technikáiban jelen lévő modellkockázat mértékével.

270. Emellett azt is értékelniük kell, hogy az információs rendszerek és a mérési technikák lehetővé teszik-e a vezetőség számára minden lényeges, a nem kereskedési könyvi portfólióba tartozó, mérlegen belüli vagy mérlegen kívüli kitettségben (adott esetben a csoport szintjén) – köztük a belső fedezeti ügyletekben, a lejáratokat és a partnereket érintő koncentrációkban – rejlő IRRBB mérését. Az IRRBB-keretrendszert rendszeresen felül kell vizsgálni, és eredményességét értékelni kell. Az illetékes hatóságoknak össze kell hasonlítaniuk a belső felülvizsgálatok és értékelések eredményeit a COREP-ből származó információkkal.

271. Az illetékes hatóságoknak értékelniük kell az intézmény által a lejárat nélküli betétek viselkedésének modellezésére alkalmazott megközelítést, beleértve azt is, hogy az figyelembe veszi-e a lejárat nélküli betétek átárazási viselkedését befolyásoló releváns kockázati tényezőket. Az illetékes hatóságoknak ehhez az értékeléshez megfelelő elemzési eszközöket kell használniuk, figyelembe véve az intézmény üzleti modelljét. Releváns megközelítés lehet annak értékelése, hogy az intézmény hogyan osztja szegmensekbe a lejárat nélküli betéteket az ügyfélhez, az intézményhez vagy a piaci profilhoz kapcsolódó kockázati tényezők felhasználásával, valamint a hasonló kockázati profillal rendelkező versenytársakkal való összehasonlítással. Ezen felül az illetékes hatóságoknak figyelembe kell venniük azt is, hogy az intézmény hogyan teremt egyensúlyt a múltbeli adatok és az előretekintő megközelítések, valamint a szakértői vélemények között, valamint fel kell mérniük, hogy a magatartással kapcsolatos feltételezések módosítása milyen hatással lenne az NII-re és az EVE-re.

272. Az illetékes hatóságoknak meg kell vizsgálniuk, hogy az intézmény belső mérési rendszerei (IMS) figyelembe veszik-e az intézményt érintő valamennyi lényeges kamatkockázati formát (pl. gap kockázat, báziskockázat és opciós kockázat). A belső mérési rendszerek esetében biztosítani kell a megfelelő kalibrálást, a független módon történő validálást, az utótesztelést és a megfelelő gyakoriságú felülvizsgálatot. Az illetékes hatóságoknak figyelembe kell venniük, hogy az belső mérési rendszert olyan dokumentáció támasztja-e alá, amely figyelembe veszi az üzleti modellben és az intézmény tevékenységeiben rejlő IRRBB jellegét, mértékét és összetettségét. 273. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény olyan, megfelelő ellenőrző és belső adatszolgáltatási keretrendszerrel rendelkezik-e az IRRBB tekintetében, amely szükség esetén biztosítja az azonnali intézkedést az intézmény felső vezetésének vagy vezető testületének megfelelő szintjén. Az ellenőrző rendszernek célirányos mutatókat és releváns beavatkozási feltételeket kell magában foglalnia a hatékony korai figyelmeztető riasztások biztosításának céljából (pl. az IRRBB-határértékek túllépése esetén). Az illetékes hatóságoknak figyelembe kell venniük, hogy az irányítási és ellenőrzési terület rendszeresen beszámol-e a nyomon követés eredményeiről a vezető testületnek és a felső vezetésnek, az IRRBB-kitettségek mértékéhez, összetettségéhez és szintjéhez igazodó, megfelelő gyakorisággal.

274. Az illetékes hatóságoknak értékelniük kell továbbá, hogy az intézmény stabil, átfogó kontroll-keretrendszerrel és észszerű óvintézkedésekkel rendelkezik-e, amelyek lehetővé teszik, hogy a kockázatkezelési stratégiájával és kockázatvállalási hajlandóságával összhangban mérsékelje az IRRBB-nek való kitettségét – ideértve a mindkét IRRBB-mutatóra vonatkozó megfelelő limitrendszert is. A belsőkontroll-funkciónak az összes konszolidált gazdálkodó egységre, minden földrajzi helyszínre és minden pénzügyi tevékenységre ki kell terjednie. Az illetékes hatóságoknak értékelniük kell a belső ellenőrzési funkció működését, ideértve azt is, hogy az ellenőrzések kellő gyakorisággal zajlanak-e, és lefedik-e az IRRBB-keretrendszer főbb elemeit.

6.5.3. CSRBB

6.5.3.1. Az inherens CSRBB értékelése

275. A CSRBB-kockázat inherens szintjének értékelése révén az illetékes hatóságoknak meg kell ismerniük az intézmény CSRBB-kitettségének fő meghatározó tényezőit, és fel kell mérniük e kockázatnak a pénzintézetre gyakorolt lehetséges prudenciális hatását.

276. A CSRBB-értékelés hatókörének meghatározásához az illetékes hatóságoknak először meg kell állapítaniuk, hogy az intézmény milyen CSRBB-forrásoknak van vagy lehet kitéve, valamint hogy történt-e bármilyen jelentős változás e téren. Ennek részeként az illetékes hatóságoknak figyelembe kell venniük az intézmény hitelfelár-kockázatra vonatkozó irányítását, beleértve a CSRBB-stratégiáját és a CSRBB-vel kapcsolatos kockázatvállalási hajlandóságát, valamint a CSRBB-nek az ICAAP keretében történő kezelését.

277. Az illetékes hatóságoknak világos képet kell kialakítaniuk arról, hogy a hitelkockázati felárak változásai hogyan gyakorolhatnak kedvezőtlen hatást egy intézmény nettó kamatbevételére (és adott esetben eredményére), valamint gazdasági értékére, hogy ezáltal átlássák a tőkemegfelelést mind rövid, mind hosszabb távon érintő lehetséges veszélyt. E célból az illetékes hatóságoknak figyelembe kell venniük az intézmény által alkalmazott módszert, hogy világos képet alkossanak az intézmény eszközeinek, kötelezettségeinek és mérlegen kívüli kitettségeinek szerkezetéről és jellemzőiről, valamint arról, hogy ezek milyen hatással vannak a CSRBB szintjére és irányára.

278. Az intézmény eredményére gyakorolt hatás elemzésekor az illetékes hatóságoknak figyelembe kell venniük a hitelkockázati felárra érzékeny pozícióknak az intézmény jövedelmére gyakorolt hatását, a hitelkockázati felárak változásainak az intézmény nettó kamatbevételére gyakorolt hatását, valamint az instrumentumok piaci értékében bekövetkező változások hatásait, amelyek – a számviteli elszámolási módtól függően – vagy az eredménykimutatásban vagy közvetlenül a saját tőkében jelennek meg (pl. egyéb átfogó jövedelemben).

279. Az illetékes hatóságoknak adott esetben figyelembe kell venniük az intézmény által a CSRBB mérésére használt módszerek eredményeit. Ezen módszerek elemzése révén az illetékes hatóságoknak mélyebb rálátást kell szerezniük az intézmény CSRBB-profilját meghatározó fő kockázati tényezőkre.

6.5.3.2. A CSRBB-kezelési és -kontrollkeretrendszer értékelése

280. Az intézmény nem kereskedési könyvi hitelfelár-kockázati profiljának átfogó megismeréséhez az illetékes hatóságoknak át kell tekinteniük az intézmény kamatlábkitettségeinek kezelését szolgáló irányítást és keretrendszert.

281. Az intézmény CSRBB-vel kapcsolatos irányítási gyakorlatára vonatkozó felülvizsgálatnak a következő elemeket kell lefednie:

• a. az intézmény CSRBB-stratégiája és -kockázatvállalási hajlandósága;
• b. az intézmény szervezeti kerete, valamint a CSRBB kezelésével, mérésével, nyomon követésével és kontrolljával kapcsolatos felelősségi körök megosztása;
• c. az intézménynek a CSRBB kezelésére vonatkozó szabályzatai és eljárásai.

282. E területek értékelése során az illetékes hatóságoknak az IRRBB-kezelési és - kontrollkeretrendszer értékeléséről szóló 6.5.2.2. szakaszra kell hivatkozniuk; az abban foglalt elvek az CSRBB-kezelés értékelésére is alkalmazandók.

283. A CSRBB-értékelés hatálya alá tartozó eszközök és kötelezettségek körének elemzésekor – amelyre az intézmény módszertanai is kitérnek – az illetékes hatóságoknak meg kell vizsgálniuk, hogy bármely instrumentumnak a vonatkozó körből való esetleges kizárása kizárólag a hitelfelár-kockázatra való érzékenység hiányában történik-e meg, valamint hogy ez a kizárás az EBA IRRBB-re és CSRBB-re vonatkozó iránymutatásainak 124. bekezdésében előírtakkal összhangban megfelelően dokumentálásra kerül-e, illetve indokolt-e⁴¹ . A figyelembe veendő tényezők a következők:

• a. az intézmény figyelembe vesz-e minden valósan értékelt eszközt és kötelezettséget ;
• b. az intézmény figyelembe vesz-e minden olyan eszközt és kötelezettséget, amelynek hitelfelár-kockázata levezethető a közvetlen/közvetett vagy akár a modellezett piaci árból, függetlenül az elszámolás módjától;
• c. a hitelkockázati felárak esetleges szerepe az intézmény különböző eszközeinek és kötelezettségeinek árazási gyakorlatában (például a megfigyelt piaci árakra való kifejezett hivatkozások révén, vagy közvetettebb módon);
• d. az intézmény által a CSRBB mérése során az EVE és az NII hatóköre tekintetében alkalmazott esetleges eltérések (pl. az NII időtávja vagy más okok miatt).

284. Az intézmény CSRBB-mérésének elemzéséhez az illetékes hatóságoknak adott esetben meg kell vizsgálniuk, hogy az intézmény milyen sokkforgatókönyveket vesz figyelembe, valamint hogy az egyes mérlegtételeket érintő sokkok miért és miben térhetnek el egymástól.

285. Az illetékes hatóságoknak csak az arányossági okán és az intézmény SREP-besorolásától függetlenül kell ellenőrizniük az idioszinkratikus felárnak az intézmény CSRBB-értékeléséből való kizárását vagy az abba való belefoglalását, feltéve, hogy biztosított, hogy a mutatók konzervatívabb eredményeket fognak eredményezni.

286. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény rendelkezik-e megfelelő, a nem kereskedési könyvi pozíciók szintjéhez, összetettségéhez és kockázatosságához, valamint az intézmény méretéhez és összetettségéhez illeszkedő kerettel a CSRBB azonosítására, értékelésére, kezelésére és mérséklésére. Meg kell vizsgálniuk, hogy az információs rendszerek és mérési technikák lehetővé teszik-e a vezetőség számára, hogy mérje a nem kereskedési könyvi portfólióba tartozó valamennyi lényeges, mérlegen belüli vagy kívüli kitettségben jelen lévő inherens CSRBB-t (adott esetben a csoport szintjén); A CSRBB-keretrendszert rendszeresen felül kell vizsgálni, és eredményességét értékelni kell. Ebben az összefüggésben az illetékes hatóságoknak fel kell mérniük, hogy a jelentős mérési feltételezéseket legalább évente, illetve gyorsan változó piaci körülmények esetén ennél gyakrabban felülvizsgálják-e.

287. Az illetékes hatóságoknak mérlegelniük kell, hogy az intézmény belső mérési rendszerei figyelembe veszik-e a CSRBB valamennyi, az intézmény üzleti modellje szempontjából releváns forrását. A belső mérési rendszerek esetében biztosítani kell a megfelelő kalibrálást, a független módon történő validálást, az utótesztelést és a megfelelő gyakoriságú felülvizsgálatot. Az illetékes hatóságoknak figyelembe kell venniük, hogy az belső mérési rendszert olyan dokumentáció támasztja-e alá, amely figyelembe veszi az üzleti modellben és az intézmény tevékenységeiben rejlő CSRBB jellegét, mértékét és összetettségét.

288. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény olyan, megfelelő ellenőrzési és belső adatszolgáltatási keretrendszerrel rendelkezik-e a CSRBB tekintetében, amely szükség esetén biztosítja az azonnali intézkedést az intézmény felső vezetésének vagy vezető testületének megfelelő szintjén. Az illetékes hatóságoknak figyelembe kell venniük, hogy az irányítási és ellenőrzési terület rendszeresen beszámol-e a nyomon követés eredményeiről a vezető testületnek és a felső vezetésnek, a CSRBB-kitettségek mértékéhez, összetettségéhez és szintjéhez igazodó, megfelelő gyakorisággal.

289. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény stabil, átfogó kontroll-keretrendszerrel és észszerű óvintézkedésekkel rendelkezik-e, amelyek lehetővé teszik, hogy a kockázatkezelési stratégiájával és kockázatvállalási hajlandóságával összhangban mérsékelje a CSRBB-nek való kitettségét. A belsőkontroll-funkciónak az összes konszolidált gazdálkodó egységre, minden földrajzi helyszínre és minden pénzügyi tevékenységre ki kell terjednie. Az illetékes hatóságoknak értékelniük kell a belső ellenőrzési funkció működőképességét, beleértve azt is, hogy a felülvizsgálatokat kellően gyakran végzik-e, és azok kiterjednek-e a CRSBB-keretrendszer fő elemeire.

6.5.4. A megállapítások összefoglalása, a pontozás és a felügyeleti intézkedések

290. A fenti értékelések alapján az illetékes hatóságoknak véleményt kell kialakítaniuk az intézmény IRRBB-jéről és CSRBB-jéről. E véleménynek tükröződnie kell a megállapítások összefoglalásában, amelyet a 12. táblázatban foglalt szempontok alapján meghatározott pontszámnak kell kísérnie. Amennyiben az illetékes hatóság – bizonyos kockázati alkategóriák lényegességére tekintettel – úgy dönt, hogy azokat külön-külön értékeli és pontozza, az e táblázatban szereplő iránymutatásokat – amennyire lehetséges – analógia útján kell alkalmazni.

³⁹ Az IRRBB alkategóriáinak nem teljes körű felsorolását a IV. melléklet tartalmazza.

⁴⁰ Szem előtt tartva az EBH/2022/14 számú dokumentumban foglalt iránymutatást is.

⁴¹ Az intézmények nem kereskedési könyvi tevékenységeinek vonatkozásában a kamatlábak lehetséges változásaiból eredő kockázatok azonosítására, értékelésére, kezelésére és csökkentésére, valamint a hitelfelár-kockázat felmérésére és nyomon követésére vonatkozó kritériumok meghatározásáról szóló, a 2013/36/EU irányelv 84. cikkének (6) bekezdése alapján kiadott iránymutatások (EBA/GL/2022/14).