6.4. A működési kockázat értékelése

6.4.1. Általános szempontok

192. A működésikockázat-kezelési keretrendszer értékelése során az illetékes hatóságoknak többek között azt kell vizsgálniuk, hogy a pénzintézet betartja-e a 12. bekezdésben említett, az EBA honlapján külön közzétett jogi aktusokat.

193. Az illetékes hatóságoknak az intézmény valamennyi üzletágára és műveletére kiterjedően értékelniük kell a működési kockázatot, figyelembe véve a belső irányítási rendszerek és az intézményi szintű kontrollmechanizmusok 5. címben meghatározott értékeléséből származó megállapításokat. Ezen értékelés elvégzése során az illetékes hatóságoknak meg kell állapítaniuk, milyen formában jelenhet meg a működési kockázat, figyelembe véve az intézmény veszteségadatait, valamint más kapcsolódó kockázatok (pl. határhelyzetű hitelvonatkozású és piaci vonatkozású működési kockázat) lehetséges hatásait is.

194. Az illetékes hatóságoknak értékelniük kell a harmadik fél szolgáltatóktól eredő működési kockázat lényegességét, beleértve az egyetlen harmadik fél szolgáltató (közvetlenül vagy alvállalkozói láncokon keresztül közvetve) vagy az intézmény kritikus vagy fontos funkcióit támogató, korlátozott számú harmadik fél szolgáltató által nyújtott egy vagy több szolgáltatás koncentrációját (szervezeti és adott esetben csoportszintű szinten), valamint azt, hogy ezek befolyásolhatják-e az intézmény működési rezilienciáját, teljesítményét és kockázatkezelését. Ezen értékelés elvégzése során az illetékes hatóságoknak figyelembe kell venniük, hogy más intézmények milyen mértékben támaszkodnak ugyanazokra a harmadik fél szolgáltatókra – amennyiben ilyen információ a rendelkezésükre áll.

195. A működési kockázat értékelésekor az illetékes hatóságoknak a DORA-rendelet szerint fel kell mérniük az ICT-kockázatot, valamint annak az intézmény kritikus vagy fontos funkcióira gyakorolt lehetséges hatását, beleértve az intézményre gyakorolt esetleges pénzügyi, reputációs, szabályozási és stratégiai hatást.

196. Az illetékes hatóságoknak meg kell vizsgálniuk, hogy az intézmény a működési rezilienciára vonatkozó megfelelő megközelítéssel rendelkezik-e ahhoz, hogy képes legyen ellenállni a zavaroknak, alkalmazkodni azokhoz és helyreállni azokból, amikor bekövetkeznek, valamint hogy ezt a megközelítést megfelelően és következetesen összehangolta-e a meglévő kockázatkezelési keretrendszerével, az üzletmenet-folytonossági terveivel és a harmadik felek kezelésével.

197. A működési kockázat értékelése során az illetékes hatóságoknak – adott esetben – meg kell vizsgálniuk, hogy az intézmény szabályzatai és eljárásai megfelelően azonosítják, értékelik és kezelik-e a kriptoeszköz-tevékenységekből és az azok alapjául szolgáló technológiából fakadó működési kockázatokat.

198. Az illetékes hatóságoknak a hírnévkockázatot a működési kockázattal együtt kell értékelniük, mivel az szorosan összefügg a működési kockázati eseményekkel. A működési kockázat pontozásakor azonban nem szabad figyelembe venni a hírnévkockázat-értékelés eredményét; szükség esetén azt az üzletimodell-elemzés és/vagy a likviditásikockázat-értékelés részeként kell figyelembe venni, mivel fő hatásai ronthatják a befektetőknek, a betéteseknek vagy a bankközi piaci szereplőknek az intézménybe vetett bizalmát.

199. Az illetékes hatóságoknak értékelniük kell az ESG-kockázatoknak az inherens működési és hírnévkockázatokra gyakorolt hatását, valamint az ESG-kockázatokkal kapcsolatos működési és hírnévkockázati kontrollmechanizmusok megfelelőségét, elsősorban a környezeti fizikai és átállási kockázatokra összpontosítva. A jogi kockázat és a hírnévkockázat vizsgálata során az illetékes hatóságoknak különösen a környezeti kockázatokat és a zöldrefestési kockázatokat kell figyelembe venniük.

6.4.2. Az inherens működési kockázat értékelése

200. Az illetékes hatóságoknak alaposan meg kell ismerniük az intézmény inherens működési kockázati kitettségeit, és értékelniük kell e kockázat prudenciális hatásának jelentőségét az intézmény szempontjából, valamint azt, hogy ez milyen hatással van az intézmény azon képességére, hogy zavarok esetén is el tudja látni kritikus vagy fontos funkcióit.

201. Ezen értékelés alátámasztásához az illetékes hatóságoknak figyelembe kell venniük a működési kockázatra vonatkozó szavatolótőke-követelményt a teljes szavatolótőke-követelményhez viszonyítva, valamint adott esetben az intézmény által a működési kockázatra elkülönített belső tőkét a teljes belső tőkéhez viszonyítva. Ezen felül az illetékes hatóságoknak fel kell használniuk az egyéb (különösen a 4. és az 5. cím szerinti) SREP-elemek értékelése során szerzett ismereteket, a hasonló intézményekkel való összehasonlításból származó információkat, az egyéb felügyeleti tevékenységekből származó adatokat – ideértve a pénzmosás és terrorizmusfinanszírozás elleni felügyeletet ellátó hatóságok, valamint a piacfelügyeleti hatóságok által nyújtott információkat is –, és minden egyéb, más releváns információforrásokból származó adatot.

202. Az illetékes hatóságoknak legalább a legfontosabb működési kockázati tényezőket és a lehetséges zavarokat okozó forgatókönyveket figyelembe kell venniük, és adott esetben azokat az üzletág, a jogi személy, a földrajzi terület és az eseménytípus-kategória szerint kell elemezniük (az adatok rendelkezésre állásától függően), valamint az intézmény helyzetét a hasonló intézményekhez viszonyítva kell értékelniük. E tényezőknek ki kell terjedniük legalább az intézménynek a működési kockázattal és a működési kockázatvállalási hajlandósággal kapcsolatos fő stratégiájára, az üzleti környezetre (beleértve a földrajzi jelenlétet, az ICT-műveleteket és a forgalmazási csatornákat), a közelmúltbeli jelentős vállalati eseményekre (például fúziók, felvásárlások, elidegenítések és szerkezetátalakítások), a 6.4.2.3. szakasz szerinti ICT-rendszerekre és egyéb ICT-vonatkozású szempontokra, a folyamatváltozásokra, a harmadik felekkel való megállapodásokra, a szabályozási megfeleléssel kapcsolatos kérdésekre, az üzleti törekvésekre és ösztönzőrendszerekre, valamint a működési kockázatot befolyásoló egyéb fő tényezőkre. A működési kockázati kitettségek jellege és jelentősége

203. Az illetékes hatóságoknak a működési kockázati kitettségek jellegét a működési kockázat fő forrásainak és tényezőinek való kitettségek elemzésével kell meghatározniuk annak érdekében, hogy előretekintő képet kapjanak a várható működési kockázatokról. Ehhez az elemzéshez:

a. az illetékes hatóságok figyelembe vehetik az intézmény szempontjából releváns működési modellt, üzletágakat, termékeket, folyamatokat és földrajzi területeket, az elsődleges kockázati tényezőkkel (pl. folyamatok, emberek, rendszerek és külső tényezők) szembeni függőségek és működési kockázati kitettségek értékelését, valamint a kockázati tényezők kölcsönhatásait, felhasználva az intézmény kockázati önértékelését, a hasonló intézmények elemzését, az adatokat, valamint a nyilvános és/vagy konzorciumi adatbázisokat, amennyiben rendelkezésre állnak és relevánsak;
b. az illetékes hatóságoknak figyelembe kell venniük mind az intézményt érintő események gyakoriságát, mind azok súlyosságát, és meg kell különböztetnie azokat, amelyek súlyos veszteségeket okoznak, valamint azokat, amelyek nagy gyakorisággal fordulnak elő. Az illetékes hatóságoknak e megkülönböztetés alapján kell értékelniük a működési kockázati veszteségek alakulását és koncentrációját; valamint
c. az illetékes hatóságoknak fel kell használniuk a forgatókönyv-elemzéseket, valamint – amennyiben rendelkezésre állnak – az intézmény által elvégzett, a tervezett üzleti tevékenységekre és a várható működési kockázatokra vonatkozó elemzéseket, figyelembe véve minden, már végrehajtott és eredményes korrekciós intézkedést és kockázatcsökkentő lépést.

204. A működési kockázat főbb forrásainak és kiváltó tényezőinek azonosítását és elemzését követően az illetékes hatóságoknak azokra kell összpontosítaniuk közülük, amelyek a leglényegesebb potenciális hatást gyakorolhatják az intézményre.

205. Az illetékes hatóságoknak az intézmény veszteségekre és eseményekre vonatkozó adatkészletére kell elsődleges információforrásként tekinteniük, mivel az értékes betekintést nyújthat az intézmény működési kockázati profiljának alakulásába. Az illetékes hatóságoknak rendszeresen értékelniük kell a veszteségadatok teljességét, pontosságát és minőségét. További információforrásként szolgálhat az intézménynek az összes ICT-vonatkozású incidensről és jelentős kiberfenyegetésről vezetett nyilvántartása (a DORA 17. cikkének (2) bekezdése szerint), valamint az azonosított ICT-kockázati forrásokról szóló nyilvántartása (a DORA 8. cikkének (2) bekezdése szerint).

A működési kockázati alkategóriák értékelése

206. Az illetékes hatóságoknak a működési kockázati alkategóriák értékelése során azokra az alkategóriákra kell összpontosítaniuk, amelyek az intézmény szempontjából lényegesnek minősülnek. Az illetékes hatóságoknak szakértői megítélésük alapján, az összes rendelkezésre álló belső és külső információforrás figyelembevételével kell meghatározniuk a jelentős alkategóriákat. Az értékelés elvégzése során az illetékes hatóságoknak mindig figyelmet kell fordítaniuk a működési kockázat³² alábbi aspektusaira:

a. jogi kockázat;
b. modellkockázat;
c. ICT-kockázat.

6.4.2.1. Jogi kockázat

207. Az illetékes hatóságoknak a következőket kell figyelembe venniük, amikor az intézmény jogi kockázati kitettségeinek relevanciáját és jelentőségét értékelik:

a. a termékek vagy szolgáltatások nem megfelelő értékesítése;
b. összeférhetetlenség az üzleti tevékenység végzése során;
c. a referencia-kamatlábak, devizaárfolyamok vagy bármely más pénzügyi eszköz vagy mutató manipulálása;
d. a pénzügyi termékek teljes életciklusa alatti termékváltás és/vagy a pénzügyi szolgáltatók közötti váltás akadályai;
e. a termékek automatikus megújítása vagy kilépési szankciók; és/vagy
f. az ügyfélpanaszok kezelése;
g. a nemzeti és nemzetközi szabályok és előírások (adózási szabályok, a belső csalásra vagy belső lopásra vonatkozó szabályok, pénzmosás elleni szabályok, terrorizmus elleni szabályok és gazdasági szankciók) megsértése;
h. Az ESG-vonatkozású – különösen a környezetvédelemmel és a zöldrefestéssel összefüggő – perekkel szembeni kitettségek.

208. Az illetékes hatóságoknak fel kell mérniük, hogy az intézménynél felmerülhetnek-e jogi eljárásokból eredő költségek, bírságok, szankciók vagy büntető kártérítések, továbbá figyelembe kell venniük a panaszok számát és tartalmát is. A 4. cím szerinti értékelés eredményeit az ösztönző politikák vizsgálatával együtt arra is fel kell használni, hogy az illetékes hatóságok magas szintű rálátást nyerjenek a potenciális visszaélések forrásaira. Ebben az összefüggésben az illetékes hatóságoknak azt is meg kell vizsgálniuk, hogy az intézmény megfelelő és hatékony rendszerekkel és eljárásokkal rendelkezik-e a korlátozó intézkedések (pl. szankciók) végrehajtásának és betartásának biztosításához, ideértve az intézménynek az EBA belső szabályzatokról, eljárásokról és ellenőrzésekről szóló iránymutatásaival való összhang értékelését is:³³ .

209. Az illetékes hatóságnak ugyanakkor előretekintő megközelítést is alkalmaznia kell, figyelembe véve a szabályozási fejlemények lehetséges hatását és az érintett hatóságoknak a fogyasztóvédelem és általánosságban a pénzügyi szolgáltatások nyújtása tekintetében végzett tevékenységét.

6.4.2.2. Modellkockázat

210. A működési kockázat keretében az illetékes hatóságoknak értékelniük kell a modellkockázatot, különös tekintettel a belső, nem szabályozási jellegű modellekre (pl. mesterségesintelligencia-modellek, termékárazás, kockázati határértékek meghatározása és nyomon követése, ICAAP/ILAAP-modellek, helyreállítási lehetőségek).

211. A modellkockázat értékeléséhez az illetékes hatóságoknak a következőket kell figyelembe venniük:

a. az intézmény milyen mértékben és milyen célokra alkalmaz modelleket a döntéshozatal során, és az ilyen döntéseknek mekkora az üzleti jelentősége. Az illetékes hatóságoknak meg kell határozniuk, hogy az intézmény mely üzleti tevékenységében alkalmaz jelentős mértékben modelleket, és értékelniük kell a modellkockázat lehetséges hatását többek között érzékenységi és forgatókönyv-elemzések, illetve stressztesztek segítségével; valamint
b. a kontrollmechanizmusok megalapozottsága (a módszerek, gyakoriság, utóellenőrzés stb. tekintetében), beleértve a modell-jóváhagyási folyamatot, az elvégzett rendszeres felülvizsgálatokat, valamint azt, hogy az intézmény mennyire van tisztában a modell hiányosságaival vagy a piaci és üzleti fejleményekkel.

212. Amennyiben az intézmény döntéshozatali célokra (pl. termékárazás, MI-modellek, pénzügyi eszközök értékelése, ügyfélprofil-alkotás) használ modelleket, az illetékes hatóságoknak meg kell vizsgálniuk, hogy rendelkezésre áll-e a modellkockázat azonosítására és mérséklésére szolgáló megbízható (a szabályozási modellektől eltérő) belső validálási eljárás és/vagy modell-felülvizsgálati eljárás.

213. A modellkockázat értékelése során az illetékes hatóságoknak figyelembe kell venniük az egyéb tőkekockázatok, valamint a likviditási és finanszírozási kockázatok értékelését is, különösen a kockázat mérésére, az árak képzésére, valamint az eszközök és/vagy kötelezettségek értékelésére használt módszerek megfelelőségének vonatkozásában. Ezen értékelés eredményeit figyelembe kell venni a működési kockázatra vonatkozó megállapítások kialakításakor is.

6.4.2.3. ICT-kockázat – Az inherens ICT-kockázat értékelése

A lényeges ICT-kockázatok azonosítása

214. A DORA-rendelettel összhangban az illetékes hatóságoknak meg kell vizsgálniuk, hogy az intézmény megfelelően azonosítja, osztályozza és dokumentálja-e valamennyi, az ICT-ra támaszkodó üzleti funkciót, feladat- és felelősségi kört, valamint az ezeket a funkciókat támogató információs vagyonelemeket³⁴ és ICT-eszközöket³⁵ , illetve azoknak az ICT-kockázattal kapcsolatos feladatkörét és függőségeit. Ennek a felülvizsgálatnak segítenie kell az illetékes hatóságokat abban, hogy alapos képet szerezzenek az intézmény inherens ICT-kockázati kitettségeiről (ICT-kockázati profil), azonosítsák a lényeges inherens ICT-kockázatokat, és véleményt alkossanak azok prudenciális hatásairól. Ehhez az illetékes hatóságoknak adott esetben legalább a következőket kell figyelembe venniük:

a. az ICT-kockázatkezelési keretrendszer felülvizsgálatáról szóló jelentés (a DORA-rendelet 6. cikkének (5) bekezdése szerint);
b. az intézmény által a DORA-rendelet 8. cikkének (2) bekezdése alapján azonosított ICT-kockázati források, különösen a más pénzügyi szervezetekkel szembeni vagy azoktól eredő kockázati kitettség;
c. a bejelentett jelentős ICT-vonatkozású események (a DORA-rendelet 19. cikkének (1) bekezdése szerint), beleértve a jelentős ICT-vonatkozású események által okozott összesített éves költségek és veszteségek trendjét (a DORA-rendelet 11. cikkének (10) bekezdése szerint);
d. a digitális működési reziliencia tesztelését szolgáló programban tervezett tesztek eredményei (a DORA-rendelet 24. cikkével összhangban), beleértve a fenyegetésalapú behatolási tesztelés (TLPT) eredményeinek és a kapcsolódó korrekciós terveknek az összefoglalását (a DORA-rendelet 26. cikkének (6) bekezdése szerint);
e. információ-nyilvántartás (a DORA-rendelet 28. cikkének (3) bekezdésével összhangban), beleértve a harmadik fél ICT-szolgáltatók – köztük a csoporton belüli ICT-szolgáltatók – koncentrációjának mértékét, az ICT-szolgáltatások és/vagy ICT-rendszerek típusai szerint;
f. a vezető felvigyázók ajánlásai és véleményei (a DORA-rendelet 40. cikkének (3) bekezdése és 42. cikkének (7) bekezdése szerint), valamint a kritikus harmadik fél ICT-szolgáltatóktól származó, kapcsolódó válaszok, jelentések és információk (a DORA-rendelet 35. cikke (1) bekezdésének c) pontja, 42. cikkének (1) bekezdése és 48. cikkének (2) bekezdése szerint);
g. az ICT-rendszerek összetettségének szintje és az elavult ICT-rendszerekre vonatkozó ICT-kockázatértékelés eredményei (a DORA-rendelet 8. cikkének (7) bekezdése szerint);
h. a jelentős változásokra vonatkozó kockázatértékelés (a DORA-rendelet 8. cikkének (3) bekezdése szerint);
i. az innovatív ICT-megoldások bevezetésének és integrációjának mértéke;
j. az adatközpontok és a kijelölt érzékeny területek helyszíne – azaz régiója vagy országa –, ideértve azokat az eseteket is, amikor a szerződéses ICT-szolgáltatásokat harmadik fél ICT-szolgáltatók nyújtják, az adatfeldolgozás és -tárolás helyszínét is beleértve;
k. az 5. cím szerint azonosított kapcsolódó lényeges hiányosságok vagy gyengeségek;
l. az ICT-kockázat és a kontrollmechanizmusok önértékelése (ha az ICAAP-információkban megadják);
m. az intézmény vezető testületének benyújtott, az ICT-kockázatokkal kapcsolatos irányítási információk;
n. az ICT-vonatkozású belső és külső ellenőrzések megállapításai;
o. külső fenyegetési környezet, beleértve a fenyegetésekre és a sérülékenységekre vonatkozó információkat is.

Az ICT-rendszerek és az ICT-szolgáltatások felülvizsgálata

215. Az illetékes hatóságoknak felül kell vizsgálniuk az intézmény vonatkozó dokumentációját, módszertanát és folyamatait, és véleményt kell alkotniuk arról, hogy az intézmény megfelelően azonosította-e a kritikus vagy fontos funkciókat támogató ICT-rendszereket és ICT-szolgáltatásokat. Ennek érdekében az illetékes hatóságoknak a következőket kell figyelembe venniük:

a. a kritikus vagy fontos funkciókat támogató ICT-rendszerek, valamint az intézmény által azonosított kritikus információs eszközök és ICT-eszközök (a DORA-rendelet 8. cikke szerint);
b. az intézmény által azonosított, a harmadik fél ICT-szolgáltatóktól függő kulcsfontosságú folyamatok, beleértve a kritikus vagy fontos funkciókat támogató harmadik fél ICT-szolgáltatókkal meglévő összeköttetéseket (a DORA-rendelet 8. cikkének (5) bekezdése szerint).

A kritikus vagy fontos funkciókat támogató ICT-rendszereket és ICT-szolgáltatásokat érintő lényeges ICT-kockázatok azonosítása és feltérképezése

216.Az intézmény információs és ICT-eszközöktől való függőségének, ICT-kockázati profiljának, valamint ICT-rendszereinek és ICT-szolgáltatásainak felülvizsgálatát követően az illetékes hatóságoknak véleményt kell alkotniuk azokról a lényeges ICT-kockázatokról, amelyek jelentős prudenciális hatást gyakorolhatnak az intézmény kritikus vagy fontos funkciókat támogató ICT-rendszereire és -szolgáltatásaira, valamint jelentős hatással lehetnek a pénzintézet zavarok esetén való működőképességére. Ehhez az illetékes hatóságoknak a következőket kell figyelembe venniük:

a. pénzügyi veszteség, beleértve az esetleges ügyfél-kártalanításokat, a jogi és helyreállítási költségeket, a szerződéses kártérítést, valamint a költségeket és a bevételkiesést;
b. az üzletmenet megzavarásának kockázata, figyelembe véve (de nem kizárólag) az érintett szolgáltatások kritikus fontosságát – ideértve a pénzintézet tranzakcióit és működését (a harmadik felektől való függőségekre is kiterjedően) –, valamint az esetlegesen érintett ügyfelek és/vagy pénzügyi partnerek, illetve fiókok és alkalmazottak számát;
c. lehetséges adatveszteségek;
d. a hírnévre gyakorolt lehetséges hatás;
e. a lehetséges szabályozási következmények, ideértve a nyilvános elmarasztalás, a bírságok vagy akár az engedélyek módosításának lehetőségét is;
f. az intézményre gyakorolt lehetséges stratégiai hatás;
g. a lehetséges földrajzi kiterjedés.

217. Az illetékes hatóságoknak ezután az azonosított lényeges ICT-kockázatokat a III. mellékletben meghatározott ICT-kockázati kategóriákba kell besorolniuk. Az intézmények a mellékletben meghatározott osztályozás használata helyett várhatóan saját osztályozási rendszert tartanak fenn.

6.4.3. A működésikockázat-kezelési és -kontrollkeretrendszer értékelése

218. Az illetékes hatóságoknak értékelniük kell a pénzintézet által a működési kockázat kezelésére és ellenőrzésére létrehozott keretrendszert és intézkedéseket, figyelembe véve az 5. címben tárgyalt átfogó kockázatkezelési és belsőkontroll-keretrendszer elemzésének eredményét, mivel az befolyásolja az intézmény működési kockázati kitettségeit. Ami a pénzmosási és terrorizmusfinanszírozási kockázatot illeti, az illetékes hatóságnak figyelembe kell vennie a pénzmosás és terrorizmusfinanszírozás elleni felügyeletet ellátó hatóság értékelését.

Működési kockázati stratégia és működésikockázat-vállalási hajlandóság

219. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény rendelkezik-e megbízható, egyértelműen megfogalmazott és dokumentált, a vezető testület által jóváhagyott működésikockázat-stratégiával és működésikockázat-vállalási hajlandósággal, amely meghatározza, hogy az intézmény milyen jellegű, típusú és mértékű működési kockázatokat hajlandó vállalni. Ehhez az értékeléshez az illetékes hatóságoknak többek között figyelembe kell venniük a vezető testületnek a működési kockázati stratégia és működésikockázat-vállalási hajlandóság (beleértve az ICT-kockázatvállalási hajlandóságot és a digitális működési rezilienciára vonatkozó stratégiát) meghatározásában, jóváhagyásában, végrehajtásában és felülvizsgálatában betöltött szerepét, valamint a stratégia megfelelő kiterjedését és az intézmény működési kockázati profiljának jellege és lényegessége szempontjából való megfelelőségét.

Szervezeti és belsőkontroll-keretrendszer

220. Az illetékes hatóságoknak értékelniük kell, hogy a pénzintézet betartja-e az 575/2013/EU rendelet 323. cikkét. Ezen értékelés során az illetékes hatóságoknak meg kell vizsgálniuk a szervezeti keret és az irányítási rendszer megbízhatóságát és annak tekintetében vett hatékonyságát, hogy biztosítsák a működési kockázatok eredményes kezelését, mérését és kontrollját, valamint azt, hogy a szükséges feladatok elvégzéséhez elegendő személyi és technikai erőforrás álljon rendelkezésre. Az illetékes hatóságoknak figyelembe kell venniük, hogy a működési kockázat azonosítása, értékelése, mérséklése, nyomon követése és jelentése, valamint a három védelmi vonalra épülő modell betartása tekintetében egyértelmű felelősségi körök vannak-e érvényben.

221. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény rendelkezik-e a működési kockázat mérséklésére szolgáló stabil kontrollkeretrendszerrel és észszerű óvintézkedésekkel

– ideértve a reziduális kockázatot is lefedő megfelelő szabályzatokat és eljárásokat is –, valamint hogy ezek összhangban állnak-e az intézmény működésikockázat-kezelési hajlandóságával és stratégiájával, továbbá kiterjednek-e valamennyi kulcsfontosságú műveletre és folyamatra. Ez az értékelés magában foglalja többek között annak vizsgálatát is, hogy ezeket a szabályzatokat és eljárásokat egyértelműen formalizálják és kommunikálják-e, valamint következetesen alkalmazzák-e az egész intézményben.

222. Az illetékes hatóságoknak a belső ellenőrzési funkció működését abból a szempontból is értékelniük kell, hogy a működési kockázatkezelési keretrendszerre irányuló belső ellenőrzések megfelelőek és kellően átfogóak-e, valamint megfelelő gyakorisággal zajlanak-e.

Üzletmenet-folytonosság, vészhelyzeti reagálás és helyreállítás

223. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény megfelel-e i. az EBA belső irányításról szóló iránymutatásának az általános üzletmenetfolytonosság-kezelés tekintetében, valamint ii. a DORA-rendeletnek az ICT-üzletmenet-folytonossági szabályzat és az ICT-reagálási és -helyreállítási tervek tekintetében. E tekintetben az illetékes hatóságoknak meg kell állapítaniuk, hogy az ICT-üzletmenet-folytonossági szabályzat, valamint az ICT-reagálási és helyreállítási tervek szerves részét képezik-e az intézmény átfogó üzletmenet-folytonossági szabályzatának, valamint reagálási és helyreállítási tervének.

224. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény hatékony üzletmenet-folytonossági irányítási rendszert alakított-e ki, amely magában foglalja a legalább a kritikus vagy fontos funkcióira – és ezen belül a harmadik felekhez kiszervezett funkciókra is – kiterjedő, tesztelt üzletmenet-folytonossági, reagálási és helyreállítási terveket, valamint hogy ezek figyelembe veszik-e azokat a súlyos, de elképzelhető forgatókönyveket, amelyekkel szemben az intézmény sebezhető lehet. Az illetékes hatóságoknak azt is értékelniük kell, hogy az intézmény üzletmenet-folytonossági politikája lehetővé teszi-e bármilyen típusú incidens esetén a megfelelő reagálási és helyreállítási intézkedések meghozatalát.

225. Az illetékes hatóságoknak meg kell állapítaniuk, hogy az intézmény üzletmenet-folytonossági irányítási rendszere magában foglalja-e a következőket:

a. üzleti hatáselemzés (BIA);
b. a kulcsfontosságú belső és külső függőségekre kiterjedő, megfelelő helyreállítási stratégiák, valamint egyértelműen meghatározott helyreállítási prioritások és reziliencia-szintek;
c. átfogó és rugalmas tervek a valószínűsíthető zavarok kezelésére, amelyeket az üzleti hatáselemzés (BIA) alapján, valamint a belső és külső érdekelt felekkel együttműködve dolgoznak ki;
d. vészhelyzeti stratégiákat, valamint reagálási és helyreállítási eljárásokat meghatározó tervek;
e. a tervek kialakításának és működési hatékonyságának hatékony tesztelése;
f. az üzletmenet-folytonossági irányítással kapcsolatos tudatossági és képzési programok;
g. a vezetőség és minden érintett érdekelt fél tájékoztatására szolgáló kommunikációs tervek, valamint adott esetben válságkezelési dokumentáció, intézkedések és válságkezelési funkció (a DORA-rendelet 11. cikkének (7) bekezdése szerint).

226. Az illetékes hatóságoknak meg kell vizsgálniuk, hogy a pénzintézet üzletmenet-folytonossági, reagálási és helyreállítási tervei:

a. meghatározzák-e a szerepköröket és a felelősségi köröket, beleértve az esetleges utódlásra vonatkozó egyértelmű iránymutatásokat is, valamint rögzítik-e a belső döntéshozatali folyamatot és az aktiválási feltételek meghatározását;
b. felülvizsgálatokon esnek-e át annak biztosítása érdekében, hogy a vészhelyzeti stratégiák mindig összhangban legyenek az aktuális működéssel, kockázatokkal és fenyegetésekkel, rezilienciaszintekkel, valamint helyreállítási célokkal és prioritásokkal;
c. kockázatalapú megközelítést alkalmazva állítják-e prioritási sorrendbe az üzletmenet-folytonossági intézkedéseket;
d. rendszeresen ellenőrzésen esnek-e át annak érdekében, hogy biztosított legyen a helyreállítási célok és határidők teljesíthetősége; és
e. adott esetben magukban foglalják-e a harmadik félként eljáró szolgáltatók által nyújtott szolgáltatások tesztelését is.

227. Az illetékes hatóságoknak azt is értékelniük kell, hogy a vizsgálati eredményeket megfelelően dokumentálják-e, és jelentik-e a vezető testületnek.

Az ICT-kockázatkezelési keretrendszer értékelése

228. Az illetékes hatóságoknak az ICT-kockázat kezelésének belső irányításával és szervezésével kapcsolatban értékelniük kell, hogy az intézmény megfelel-e a DORA-rendeletnek és az EBA belső irányításról szóló iránymutatásának. Véleményt kell alkotniuk továbbá arról, hogy az intézmény vezető testülete átfogó felelősséggel tartozik-e az ICT-kockázat kezeléséért, és megfelelően meghatározza, jóváhagyja és felügyeli-e az ICT-vel kapcsolatos valamennyi intézkedés végrehajtását. Az illetékes hatóságoknak figyelembe kell venniük azt is, hogy a vezető testület tagjai elegendő ismerettel és készséggel rendelkeznek-e az ICT-kockázatok, valamint azoknak az intézmény működésére gyakorolt hatásának megértéséhez és értékeléséhez.

229. Az illetékes hatóságoknak fel kell mérniük, hogy az összes ICT-vonatkozású funkcióhoz tartozó szerepkörök és felelősségi körök, valamint a kialakított irányítási rendszerek hogyan illeszkednek és épülnek be az intézmény belső ellenőrzési és irányítási keretrendszerébe az ICT-kockázatok kezelése érdekében. E célból az illetékes hatóságoknak mérlegelniük kell, hogy az intézmény az ICT-kockázat kezelésének és felügyeletének felelősségi körét ténylegesen egy olyan független kontrollfunkcióra ruházta-e, amely közvetlen kapcsolatban áll az irányítási funkciót ellátó vezető testülettel, valamint közvetlenül beszámolhat annak, továbbá értékelniük kell azt is, hogy az intézmény:

a. biztosítja-e a szerepek és felelősségi körök egyértelmű kommunikációját, kijelölését és integrálását az ICT-vonatkozású funkcióban, beleértve az ICT által támogatott üzleti funkciókat és folyamatokat is;
b. megfelelő és elégséges költségvetést nyújt-e a digitális működési reziliencia biztosításához az erőforrások valamennyi típusa tekintetében, beleértve a releváns tudatosságnövelő programokat, a képzéseket, valamint az ICT-készségeket a teljes személyzet vonatkozásában (a DORA-rendelet 5. cikke (2) bekezdésének g) pontja szerint);
c. biztosítja-e a vezető testület általi megfelelő nyomon követést és reagálást a kritikus ICT-auditmegállapítások és a DORA-rendelet 13. cikkének (5) bekezdése alapján jelentett megállapítások tekintetében.

230. Az illetékes hatóságoknak alaposan meg kell ismerniük az intézmény ICT-kockázatkezelési keretrendszerét, és fel kell mérniük, hogy az intézmény olyan, kielégítő és megfelelő stratégiákkal, szabályzatokkal, eljárásokkal, ICT-protokollokkal és eszközökkel rendelkezik-e – beleértve a toleranciaszinteket is –, amelyekkel a DORA-val összhangban hatékonyan, eredményesen és átfogóan kezelni tudja a lényeges ICT-kockázatokat. Ehhez az illetékes hatóságoknak adott esetben a következőket kell figyelembe venniük:

a. az intézmény ICT-kockázatkezelési szabályzatainak³⁶ , folyamatainak és eljárásainak megfelelősége és hatékonysága, ideértve többek között a harmadik felek által nyújtott ICT-szolgáltatások kezelését, az ICT-vonatkozású incidensek felismerését és az azokra való reagálást, az ICT-eszközkezelést, a titkosítást és a kriptográfiát, az ICT-műveletek biztonságát, a hálózatbiztonságot, a hozzáférés-ellenőrzést, valamint azt, hogy ezeket a vezető testület jóváhagyta-e és közölte-e az összes érintett érdekelt féllel (a DORA 14. cikke szerint);
b. az intézmény ICT-kockázatra vonatkozó toleranciaszintjének és az ICT-zavarok hatásaival kapcsolatos toleranciának a megfelelősége (a DORA-rendelet 6. cikke (8) bekezdésének
b) pontja szerint);
c. az intézmény digitális működési rezilienciára vonatkozó stratégiájának megfelelősége és végrehajtása, beleértve annak az üzleti stratégiával való összehangolását;
d. a harmadik féltől eredő ICT-kockázatra vonatkozó stratégia – beleértve adott esetben a több beszállítóra kiterjedő ICT-stratégiát is –, valamint az általános üzleti stratégia és az ICT-kockázatkezelési keretrendszer közötti összhang;
e. a kritikus vagy fontos funkciókat támogató ICT-szolgáltatások igénybevételére vonatkozó szerződéses rendelkezésekkel kapcsolatban az intézmény által azonosított kockázatokból eredő reziduális kockázat;
f. a kritikus vagy fontos funkciókat érintő ICT-projektekkel, az ICT-rendszerek beszerzésével, fejlesztésével és karbantartásával, valamint az ICT-változásokkal kapcsolatban az intézmény által azonosított, a vezető testületnek bejelentett kockázatokból eredő reziduális kockázat;
g. a digitális működési reziliencia tesztelésére irányuló program megbízhatósága és átfogó jellege;
h. a DORA-rendelet 17. cikke (3) bekezdésének e) pontja és 13. cikkének (5) bekezdése szerint a vezető testületnek bejelentett jelentős ICT-vonatkozású események és megállapítások trendje és mértéke;
i. a kifejezetten az azonosított lényeges ICT-kockázathoz kapcsolódó ICT-kockázati kontrollmechanizmusok;
j. az ICT-kockázatkezelési szempontok kellő időben történő jelentése a vezető testületnek és a felső vezetésnek;
k. a belső ellenőrzés hatálya és megállapításai.

231. Az ICT-kockázatkezelés értékelésekor az illetékes hatóságoknak különös figyelmet kell fordítaniuk a harmadik féltől eredő ICT-kockázatok kezelésére, beleértve az intézmény harmadik féltől eredő ICT-szolgáltatóknál felmerülő koncentrációjának szintjét is. E célból az illetékes hatóságoknak az európai felügyeleti hatóságok közös iránymutatásaival³⁷ összhangban biztosítaniuk kell a kritikus harmadik fél ICT-szolgáltatók vezető felvigyázóival való szoros együttműködést abban az esetben, ha az értékelés alatt álló intézmény egy kritikus harmadik fél ICT-szolgáltató által nyújtott ICT-szolgáltatásokat vesz igénybe. Az illetékes hatóságoknak felül kell vizsgálniuk az intézmény által létrehozott, az ICT-területen harmadik felekkel kötött megállapodások nyomon követéséért felelős különálló tisztség, illetve az erre kijelölt felső vezetői tisztségviselő eredményességét is.

232. Az illetékes hatóságoknak a következők figyelembevételével kell mérlegelniük, hogy a belső ellenőrzési funkció eredményes-e, valamint megfelelő tudással, készségekkel és szakértelemmel rendelkezik-e az intézmény ICT-kockázatkezelési keretrendszerének ellenőrzéséhez:

a. az ICT-kockázatkezelési keretrendszert a szükséges minőségben, fókusszal és gyakorisággal ellenőrzik-e, és az arányos-e az intézmény ICT-kockázati profiljával;
b. az ellenőrzési terv magában foglalja-e az intézmény által azonosított lényeges ICT-kockázatokra vonatkozó ellenőrzéseket, beleértve az ICT-reagálási és helyreállítási tervek független felülvizsgálatát is;
c. a kritikus ICT-ellenőrzési megállapításokat időben ellenőrzik és orvosolják-e, ideértve a vezető testületnek történő jelentéstételt is;
d. az ICT-auditmegállapításokat, és ezen belül a megállapodás szerinti intézkedéseket hivatalosan nyomon követik-e, illetve az eredményjelentéseket a felső vezetés és/vagy az auditbizottság rendszeresen felülvizsgálja-e.

6.4.4. A hírnévkockázat értékelése

233. Az illetékes hatóságoknak a 4–6.2. cím keretében szerzett ismereteikre támaszkodva értékelniük kell a pénzintézetet érintő hírnévkockázatot. Ennek az értékelésnek az általános hírnévkockázati keretrendszerre is ki kell terjednie, amely biztosítja, hogy az intézmény képes legyen hatékonyan kezelni a hírnévvel kapcsolatos esetleges eseményeket. Ezen értékelés során az illetékes hatóságoknak kerülniük kell azoknak a szempontoknak a kétszeres figyelembevételét, amelyeket a jogi kockázat értékelése során (6.4.2.1. szakasz) már figyelembe vettek.

234. A hírnévkockázat jelentőségének értékelésekor az illetékes hatóságoknak figyelembe kell venniük az intézmény méretét, valamint szolgáltatásainak, tevékenységeinek és műveleteinek jellegét, mértékét és összetettségét (például tőzsdén jegyzett részvények vagy hitelviszonyt megtestesítő értékpapírok, illetve a bankközi piacokon való részvétel).

235. Az illetékes hatóságoknak figyelembe kell venniük azokat a belső és külső tényezőket vagy eseményeket, amelyek hírnévvel kapcsolatos aggályokat vethetnek fel, azon események kivételével, amelyek jogi eljárást vonnak maguk után. Az 1. és 2. kategóriába tartozó intézmények értékelése során az illetékes hatóságoknak az alábbi mutatók mindegyikét figyelembe kell venniük:

a. a médiában és a közösségi médiában megjelenő negatív híradások, valamint a fogyasztói szervezetek olyan kezdeményezései, amelyek ronthatják az intézmény közvéleményben kialakult megítélését és hírnevét;
b. az ügyfélpanaszok száma és alakulása, illetve az ügyfelek vagy a befektetők hirtelen elvesztése;
c. az intézmény hasonló szervezeteivel kapcsolatos negatív események, amelyeket a közvélemény az egész pénzügyi szektorral vagy egy intézménycsoporttal társíthat;
d. az intézmény vezetésében részt vevő vagy minősített részesedéssel rendelkező személyek hírneve;
e. olyan ágazatokban vagy joghatósági területeken való jelenlét vagy tevékenység, amelyek kiemelten ki vannak téve a pénzmosás és a terrorizmusfinanszírozás veszélyének, illetve olyan személyekkel való kapcsolat, akik pénzmosás és terrorizmusfinanszírozás szempontjából magas kockázatot jelentenek;
f. olyan ágazatokban vagy joghatósági területeken való jelenlét vagy tevékenység, illetve olyan partnerekkel való együttműködés, amelyek fokozottan érintettek az ESG-tényezőkkel
– és kifejezetten, de nem kizárólag a környezeti tényezőkkel – kapcsolatos lényeges ügyekben vagy nyilvános vitákban;
g. az intézmény által az (EU) 2024/1772 bizottsági felhatalmazáson alapuló rendeletnek³⁸ megfelelően rögzített ICT-vonatkozású események hírnévre gyakorolt hatása;
h. egyéb „piaci” mutatók, amennyiben rendelkezésre állnak (például leminősítések vagy a részvényárfolyam alakulása az év folyamán).

236. Az illetékes hatóságoknak értékelniük kell a pénzintézet hírnévkockázati kitettségének jelentőségét és annak más kockázatokkal való összefüggéseit, felhasználva a vonatkozó kockázatértékeléseket (beleértve más felügyeleti hatóságok által készítetteket is) a lehetséges másodlagos hatások mindkét irányban történő meghatározásához.

237. A működési kockázat elemzésével összefüggésben az illetékes hatóságoknak a működési kockázat körén belül figyelembe kell venniük az intézmény pénzmosási és terrorizmusfinanszírozási kockázatnak való kitettségének prudenciális szempontból fennálló relevanciáját és jelentőségét. E tekintetben az illetékes hatóságoknak a pénzmosás és terrorizmusfinanszírozás elleni felügyeletet ellátó hatóságoktól kapott releváns információk felhasználásával kell kiegészíteniük a folyamatos felügyeletből származó megállapításaikat, valamint értékelniük, hogy azok okot adnak-e a pénzmosási és terrorizmusfinanszírozási kockázattal kapcsolatos prudenciális aggályokra.

238. Az illetékes hatóságoknak szem előtt kell tartaniuk, hogy mérettől vagy pénzügyi stabilitástól függetlenül bármely intézményt érinthet a pénzmosási és terrorizmusfinanszírozási kockázat. Ezért kell kellő figyelmet fordítani azokra az intézményekre is, amelyek pénzügyileg stabilnak tűnnek és jó hírnévnek örvendenek, mivel előfordulhat, hogy kifejezetten ezeket az intézményeket veszik célba pénzmosás és terrorizmusfinanszírozás céljából. Figyelni kell azokra az intézményekre is, amelyek nagyon sikeresen vonzanak új ügyfeleket, illetve növelik piaci részesedésüket, különösen a nem hagyományos értékesítési csatornák használatával, mivel ez összefügghet azzal, hogy az ügyfélfogadási szakaszban gyengék az ügyfél-átvilágítás keretében alkalmazott kontrollmechanizmusok.

239. Az illetékes hatóságoknak meg kell osztaniuk a pénzmosás és terrorizmusfinanszírozás elleni felügyeletet ellátó hatóságokkal a működési kockázattal kapcsolatban feltárt olyan problémákra vonatkozó releváns információkat, amelyek pénzmosási és terrorizmusfinanszírozási kockázatokat és aggályokat, a célzott pénzügyi szankciók végrehajtásának elmulasztásából és azok kijátszásából fakadó kockázatokat, valamint olyan aggályokat vethetnek fel, mint például az intézmények IT-rendszerének vagy belsőkontroll-keretrendszerének hiányosságai.

240. Az illetékes hatóságoknak értékelniük kell, hogy az intézmény megfelelő intézkedéseket, stratégiákat, folyamatokat és mechanizmusokat alkalmaz-e a hírnévkockázat kezelésére. Az illetékes hatóságoknak különösen azt kell figyelembe venniük, hogy teljesülnek-e az alábbi követelmények:

a. az intézmény rendelkezik-e e kockázat azonosítására, kezelésére és nyomon követésére vonatkozó, hivatalosan rögzített szabályokkal és eljárásokkal – ezen belül egy szigorú magatartási kódexszel –, valamint hogy ezek a szabályok és eljárások arányosak-e az intézmény méretével és rendszerbeli jelentőségével;
b. az intézmény elővigyázatosan kezeli-e ezt a kockázatot, többek között a megfelelő mérőszámok és nyomonkövetési eszközök bevezetésével, a lehetséges hírnévproblémák vészhelyzeti tervekbe való belefoglalásával, a megfelelő képzések és tudatosságnövelő foglalkozások szervezésével, valamint a levont tanulságok hasznosításával;
c. az intézmény végrehajt-e stressztesztelést vagy forgatókönyv-elemzést a hírnévkockázat másodlagos hatásainak (például likviditási és finanszírozási költségek, értékpapírosítási ügyletek, a megfelelő banki szolgáltatásokhoz való hozzáférés) felmérése céljából;
d. márkájának védelme érdekében alkalmaz-e az intézmény olyan eszközöket, mint a média és a közösségi média figyelemmel kísérése, a téves információk és a negatív sajtóvisszhang kezelésére szolgáló eljárások, valamint az azonnali kommunikációs kampányok;
e. az intézmény figyelembe veszi-e, hogy a stratégiája, az üzleti tervei, valamint általában véve a magatartása milyen hatással lehetnek a hírnevére.

6.4.5. Működési reziliencia

241. Az illetékes hatóságoknak átfogó képet kell kialakítaniuk arról, hogy az intézmény képes-e zavarok esetén is ellátni a kritikus vagy fontos funkciókat (a működési reziliencia szintje) – amely eredmény alakulását kedvezően befolyásolja a működési kockázat hatékony kezelése – , figyelembe véve az intézmény méretét, üzleti modelljét és általános kockázati profilját. Ehhez az illetékes hatóságoknak fel kell használniuk a működésikockázat-kezelésről, az üzletmenet-folytonosságról, a változáskezelési képességekről, a harmadik felektől igénybe vett szolgáltatásokról, valamint az intézmény által igénybe vett ICT-rendszerekről készült meglévő értékeléseiket annak az átfogó értékelése érdekében, hogy ezek az elemek együttesen támogatják-e az intézmény működési rezilienciáját. Az illetékes hatóságoknak azt is figyelembe kell venniük, hogy az intézmény következetesen és összehangolt módon hajtja-e végre kockázatkezelési keretrendszerét, üzletmenet-folytonossági terveit, a harmadik felek kezelését (amelynek értékelése a DORA-rendelet, valamint a 2013/36/EU irányelv 74. cikkének (3) bekezdése alapján kiadott, a belső irányítási intézkedésekről, folyamatokról és mechanizmusokról szóló EBA-irányelvek keretében már megtörtént), valamint a helyreállítási és szanálási keretrendszereit. Ezen felül az illetékes hatóságoknak meg kell vizsgálniuk, hogy az intézmény megfelelően feltérképezte-e azokat a belső és külső összeköttetéseket és kölcsönös függőségeket, amelyek a kritikus vagy fontos funkcióinak ellátásához szükségesek.

242. Az illetékes hatóságoknak figyelembe kell venniük, hogy a vezető testület és a felső vezetés milyen figyelmet fordít arra, hogy az intézmény – abból a feltételezésből kiindulva, hogy bekövetkezhetnek zavarok – képes legyen reagálni azokra és helyreállni azokat követően. Ennek értékelése során az illetékes hatóságoknak az alábbiakat kell mérlegelniük:

a. a vezető testület aktív szerepet játszik-e a működési rezilienciára vonatkozó megközelítés széles körű megértésének az egész intézményre kiterjedő kialakításában, valamint a működési rezilienciára vonatkozó intézményi megközelítés hatékonyságának nyomon követésében;
b. időszerű jelentések készülnek-e az intézmény folyamatos működési rezilienciájáról a vezető testület felügyeleti tevékenységének támogatása érdekében, különösen akkor, ha a feltárt súlyos hiányosságok befolyásolhatják az intézmény kritikus vagy fontos funkcióinak ellátását.

6.4.6. A megállapítások összefoglalása, a pontozás és a felügyeleti intézkedések

243. A fenti értékelés elvégzését követően az illetékes hatóságoknak véleményt kell alkotniuk az intézmény működési kockázatáról. E véleménynek tükröződnie kell a megállapítások összefoglalásában, amelyet a 10. táblázatban foglalt szempontok alapján meghatározott kockázati pontszámnak kell kísérnie. Amennyiben az illetékes hatóság – bizonyos kockázati alkategóriák lényegességére tekintettel – úgy dönt, hogy azokat külön-külön értékeli és pontozza, az e táblázatban szereplő iránymutatásokat – amennyire lehetséges – analógia útján kell alkalmazni.

³² A működési kockázat alkategóriáinak nem teljes körű felsorolását a III. melléklet tartalmazza.

³³ Az EBH az uniós és nemzeti korlátozó intézkedések végrehajtását biztosító belső szabályzatokról, eljárásokról és ellenőrzésekről szóló iránymutatásai (EBA/GL/2024/14)

³⁴ Az (EU) 2022/2554 rendelet 3. cikkének (6) bekezdése.

³⁵ Az (EU) 2022/2554 rendelet 3. cikkének (7) bekezdése.

³⁶ A DORA-rendelet előírásainak megfelelően ezeknek magukban kell foglalniuk legalább az információbiztonsági szabályzatot, a biztonsági mentési szabályzatot, az ICT-eszközök kezelésére vonatkozó szabályzatot, a titkosításra és kriptográfiai ellenőrzésekre vonatkozó szabályzatot, a kriptográfiai kulcsok kezelésére vonatkozó szabályzatot, az ICT-projektmenedzsmentre vonatkozó szabályzatot, az ICT-rendszerek beszerzésére, fejlesztésére és karbantartására vonatkozó szabályzatot, a humánerőforrás-szabályzatot, a fizikai és környezeti biztonsági szabályzatot, az ICT-vonatkozású incidensek kezelésére vonatkozó szabályzatot, valamint a kritikus vagy fontos funkciókat támogató, harmadik fél ICT-szolgáltatók által nyújtott ICT-szolgáltatások használatára vonatkozó szabályzatot.

³⁷ Az európai felügyeleti hatóságok közös iránymutatása az európai felügyeleti hatóságok (ESA-k) és az illetékes hatóságok közötti, az (EU) 2022/2554 rendelet szerinti felvigyázási együttműködésről és információcseréről (JC/2024/36).

³⁸ A Bizottság (EU) 2024/1772 felhatalmazáson alapuló rendelete (2024. március 13.) az (EU) 2022/2554 európai parlamenti és tanácsi rendeletnek az ICT-vonatkozású események és kiberfenyegetések osztályozására vonatkozó kritériumokat, a lényegességi küszöbértékeket és a jelentős eseményekkel kapcsolatos bejelentések részleteit meghatározó szabályozástechnikai standardok tekintetében történő kiegészítéséről, C/2024/1519 (HL L, 2024/1772, 2024.6.25., ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

1. Áttekintés

192. When assessing the operational risk management framework, competent authorities should …

When assessing the operational risk management framework, competent authorities should evaluate inter alia the compliance of the institution with the legal acts published separately on the EBA website as referred to in paragraph 12.

193. Competent authorities should assess operational risk throughout all the business lines and …

Competent authorities should assess operational risk throughout all the business lines and operations of the institution, taking into account findings from the assessment of internal governance arrangements and institution-wide controls as specified in Title 5. In conducting this assessment, competent authorities should determine how operational risk may materialise, also considering the loss data set of the institution and potential impacts from other related risks (e.g. boundary credit-related and market-related operational risk).

194. Competent authorities should assess the materiality of operational risk arising from …

Competent authorities should assess the materiality of operational risk arising from third-party service providers, including concentration (at entity and where relevant at group level) on one or more services provided by a single third-party service provider (directly or indirectly through subcontracting chains) or a limited number of third-party providers supporting institution’s critical or important functions, and whether these could affect the institution’s operational resilience, performance and risk management. When carrying out this assessment, competent authorities should take into account the extent to which the same third-party service providers are relied upon by other institutions, where such information is available to them.

195. When assessing operational risk, competent authorities should assess ICT risk, pursuant to …

When assessing operational risk, competent authorities should assess ICT risk, pursuant to DORA, and its potential impact on the institution’s critical or important functions, including any potential financial, reputational, regulatory and strategic impact to the institution.

196. Competent authorities should assess whether the institution has an adequate operational …

Competent authorities should assess whether the institution has an adequate operational resilience approach to be able to withstand, adapt to and recover from disruptions when they materialise and whether this has been adequately and consistently aligned with the existing risk management framework, business continuity plans and third-party management.

197. When assessing operational risk, competent authorities should assess, if applicable, whether …

When assessing operational risk, competent authorities should assess, if applicable, whether the institution’s policies and procedures identify, evaluate and manage appropriately the operational risks arising from crypto-assets activities and their supporting technology.

198. Competent authorities should assess reputational risk jointly with operational risk as it is …

Competent authorities should assess reputational risk jointly with operational risk as it is inherently linked to operational risk events. However, the outcome of reputational risk assessment should not be reflected in the scoring of operational risk but, where relevant, should be considered as part of the BMA and/or the liquidity risk assessment, as its main effects can deteriorate investors’, depositors’ or interbank-market participants’ confidence to the institution.

199. Competent authorities should assess the impact of ESG risks on the inherent operational and …

Competent authorities should assess the impact of ESG risks on the inherent operational and reputational risks as well as the adequacy of the operational risk and reputational risk controls related to ESG risks, giving priority to environmental physical and transition risks. In particular, competent authorities should consider environmental risks and greenwashing risks when carrying out the assessment of legal risk and reputational risk.

6.4.2. Assessment of inherent operational risk

200. Competent authorities should develop a thorough understanding of the institution’s inherent …

Competent authorities should develop a thorough understanding of the institution’s inherent operational risk exposures and evaluate the significance of the prudential impact of this risk for the institution as well as the impact on its ability to deliver critical or important functions through disruption.

201. To support this assessment, competent authorities should consider the own funds requirement …

To support this assessment, competent authorities should consider the own funds requirement for operational risk compared to the total own funds requirement, and where relevant the internal capital allocated for operational risk by the institution compared to the total internal capital. Moreover, competent authorities should leverage the knowledge gained from the assessment of other SREP elements (in particular from Title 4 and Title 5), from the comparison with peers, from any other supervisory activities including the input from the AML/CFT supervisors and market surveillance authorities and from other relevant information sources.

202. Competent authorities should consider at minimum key operational risk factors, potential …

Competent authorities should consider at minimum key operational risk factors, potential disruptive scenarios, and where relevant, analyse them by business line, legal entity, geography, and event type category (subject to data availability) and benchmark the institution’s position against its peers. These factors should at least cover the institution’s main strategy for operational risk and operational risk appetite, business environment (including geographical presence, ICT operations, and distribution channels), recent significant corporate events (such as mergers, acquisitions, disposals and restructuring), ICT systems and other ICT-related aspects as per section 6.4.2.3, process changes, third-party arrangements, regulatory compliance issues, business ambitions and incentive schemes and other key operational risk drivers.

Nature and significance of operational risk exposures

203. Competent authorities should determine the nature of operational risk exposures by analysing …

Competent authorities should determine the nature of operational risk exposures by analysing exposures to the main sources and drivers of operational risk to form a forward-looking view on prospective operational risk. For this analysis, competent authorities:

a. may consider the operating model, business lines, products, processes and geographies relevant to the institution, assessment of dependencies and operational risk exposures to primary risk drivers (e.g. processes, people, systems and external factors) and interactions of risk drivers, leveraging the institution’s self-risk assessment, peer analysis, data and public and/or consortium databases, if available and relevant;
b. should consider both the frequency and the severity of the events to which the institution is exposed and distinguish those causing high-severity losses and those occurring with high frequencies. Based on this distinction, competent authorities should assess the trends of operational risk losses and their concentration; and
c. should leverage scenario analyses and consider planned business operations and prospective operational risk analyses performed by the institution, where available, taking into account any corrective measures and mitigation actions already implemented and effective.

204. Following the identification and analysis of the major sources and drivers of operational …

Following the identification and analysis of the major sources and drivers of operational risk, competent authorities should focus on those with the most material potential impact to the institution.

205. A primary source of information competent authorities should consider it is the institution’s …

A primary source of information competent authorities should consider it is the institution’s loss and event data set as it can provide valuable insights on the evolution of the institution’s operational risk profile. Competent authorities should periodically assess the comprehensiveness, accuracy and quality of the loss data. Another source of information should be the institution’s records of all ICT-related incidents and significant cyber threats (as per Article 17(2) of DORA) and the identified sources of ICT risk (as per Article 8(2) of DORA).

Assessment of operational risk sub-categories

206. Competent authorities should focus the assessment of operational risk sub-categories to those …

Competent authorities should focus the assessment of operational risk sub-categories to those which are considered material to the institution. Competent authorities should also apply their expert judgement to identify significant sub-categories, based on all available internal and external information sources. In conducting the assessment, competent authorities should always pay attention to the following aspects of operational risk⁴¹ :

a. legal risk;
b. model risk;
c. ICT risk.

6.4.2.1. Legal risk

⁴¹ Please refer to Annex III for a non-exhaustive breakdown of operational risk sub-categories.

207. Competent authorities should consider the following when assessing the relevance and …

Competent authorities should consider the following when assessing the relevance and significance of the institution’s exposures to legal risk:

a. mis-selling of products or services;
b. conflicts of interest in conducting business;
c. manipulation of benchmark interest rates, foreign exchange rates or any other financial instruments or indices;
d. barriers to switching financial products during their lifetime and/or to switching financial service providers;
e. automatic renewals of products or exit penalties; and/or
f. customer complaints processing;
g. violation of national and international rules and regulations (tax rules, internal fraud or internal theft, anti-money laundering rules, anti-terrorism rules and economic sanctions);
h. ESG-related, in particular environment-related and greenwashing-related, litigation exposures.

208. Competent authorities should consider whether the institution may occur any expenses, fines …

Competent authorities should consider whether the institution may occur any expenses, fines, penalties or punitive damages from legal proceedings and the number and content of complaints. The outcomes of the Title 4 assessment should be also leveraged, along with scrutinising the incentive policies, to obtain high-level insights into sources of potential misconduct. In this context, competent authorities should also consider whether the institution has in place adequate and effective systems and processes to implement and comply with restrictive measures (e.g. sanctions), including assessing institution’s compliance with the EBA Guidelines on internal policies, procedures and controls⁴² .

⁴² EBA Guidelines on internal policies, procedures and controls to ensure the implementation of Union and national restrictive measures (EBA/GL/2024/14)

209. However, the competent authority should apply a forward-looking approach, also considering the …

However, the competent authority should apply a forward-looking approach, also considering the possible impact of regulatory developments and the activity of relevant authorities in respect of consumer protection and the supply of financial services in general.

6.4.2.2. Model risk

210. Under the operational risk, competent authorities should assess model risk, with specific …

Under the operational risk, competent authorities should assess model risk, with specific regard to internal non-regulatory models (e.g. AI models, product pricing, setting and monitoring risk limits, ICAAP/ILAAP models, recovery options).

211. For the assessment of model risk, competent authorities should consider: a. to what extent and …

For the assessment of model risk, competent authorities should consider:

a. to what extent and for which purposes the institution uses models to make decisions and the business significance of such decisions. Competent authorities should determine the business/activity for which the institution makes significant use of models and assess the potential impact of model risk through, amongst others, sensitivity and scenario analyses or stress testing; and
b. the soundness of control mechanisms (in terms of methods, frequency, follow-up, etc.), including a model approval process, regular reviews performed and the institution’s level of awareness of model deficiencies or market and business developments.

212. When models are used for decision-making purposes (e.g. product pricing, AI models, evaluation …

When models are used for decision-making purposes (e.g. product pricing, AI models, evaluation of financial instruments, client profiling), competent authorities should assess whether there is a sound internal validation process and/or model-review process to identify and mitigate model risk (other than regulatory models).

213. When conducting the model risk assessment, competent authorities should consider the …

When conducting the model risk assessment, competent authorities should consider the assessment of other risks to capital and risks to liquidity and funding, in particular with respect to the adequacy of methodologies used for measuring risk, pricing and evaluating assets and/or liabilities. The results of such an assessment should inform the findings on operational risk.

6.4.2.3. ICT risk - Assessment of inherent ICT risk

Identification of material ICT risks

214. In line with DORA, competent authorities should review the institution’s identification …

In line with DORA, competent authorities should review the institution’s identification, classification and documentation of all ICT supported business functions, roles and responsibilities, the information assets⁴³ and ICT assets⁴⁴ supporting those functions, and their roles and dependencies in relation to ICT risk. This review should assist competent authorities to develop a thorough understanding of the institution’s inherent ICT risk exposures (ICT risk profile), identify its material inherent ICT risk and form an opinion on its prudential impact. For this purpose, competent authorities should consider at least the following, where relevant and applicable:

a. report on the review of ICT risk management framework (as per Article 6(5) of DORA);
b. sources of ICT risk, in particular the risk exposure to and from other financial entities, identified by the institution under Article 8(2) of DORA;
c. major ICT-related incidents reported (as per Article 19(1) of DORA), including the trend of aggregated annual costs and losses caused by major ICT-related incidents (as per Article 11(10) of DORA);
d. outcomes of the tests envisaged in the digital operational resilience testing programme (as per Article 24 of DORA)), including summary of the threat-led penetration testing (TLPT) findings and related remediation plans (as per Article 26(6) of DORA);
e. register of information (as per Article 28(3) of DORA), including degree of concentration on ICT third-party service providers, including ICT intra-group providers, per type of ICT services and/or ICT systems;
f. recommendations and opinions from the Lead Overseers (as per Article 40(3) and Article 42(7) of DORA) and related responses, reports and information from critical ICT third-party service providers (as per Article 35(1)(c), Article 42(1) and Article 48(2) of DORA);
g. level of complexity of ICT systems and results of ICT risk assessment on legacy ICT systems (as per Article 8(7) of DORA);
h. risk assessment on major changes (as per Article 8(3) of DORA);
i. level of adoption and integration of innovative ICT solutions;
j. locations, namely the regions or countries, of data centres and sensitive designated areas, including where contractual ICT services are provided by ICT third-party service providers, also covering data processing and storage location;
k. any related material deficiencies or weaknesses identified under Title 5;
l. ICT risk and controls self-assessments (if provided in the ICAAP information);
m. ICT risk-related management information submitted to the institution’s management body;
n. ICT-related internal and external audit findings;
o. external threat environment, including threat and vulnerability intelligence.

Review of ICT systems and ICT services

⁴³ Article 3(6) of Regulation (EU) 2022/2554

⁴⁴ Article 3(7) of Regulation (EU) 2022/2554

215. Competent authorities should review the institution’s relevant documentation, methodology and …

Competent authorities should review the institution’s relevant documentation, methodology and processes, and form an opinion on whether the institution has appropriately identified the ICT systems and ICT services that support critical or important functions. For this purpose, competent authorities should consider:

a. ICT systems supporting critical or important functions as well as the critical information assets and ICT assets identified by the institution (as per Article 8 of DORA);
b. key processes dependent on ICT third-party service providers, including interconnections with ICT third-party service providers that support critical or important functions, identified by the institution (as per Article 8.5 of DORA).

Identification and mapping of material ICT risks to ICT systems and ICT services that support critical or importance functions

216.Following the review of the institution’s dependency on information assets and ICT assets, ICT risk profile, ICT systems and ICT services, competent authorities should form an opinion on the material ICT risks that can have a significant prudential impact on the institution’s ICT systems and services that support critical or important functions and a significant impact on its ability to operate under disruption. For this purpose, competent authorities should consider:

a. financial loss, including potential customer compensation, legal and remediation costs, contractual damages, costs and lost revenue;
b. potential for business disruption, considering (but not limited to) the criticality of the services affected, including institution’s transactions and operations (including third-party dependencies), the number of clients and/or financial counterparts and/or branches and employees potentially affected;
c. potential data losses;
d. potential reputational impact;
e. potential regulatory impact, including the potential for public censure, fines or even variation of permissions;
f. potential strategic impact on the institution;
g. potential geographical spread.

217. Competent authorities should then map the identified material ICT risk into the ICT risk …

Competent authorities should then map the identified material ICT risk into the ICT risk categories set out in Annex III. Institutions are expected to maintain their own categorisation rather than using the one set out in the Annex.

6.4.3. Assessment of operational risk management and control framework

218. Competent authorities should assess the framework and arrangements the institution has in …

Competent authorities should assess the framework and arrangements the institution has in place to manage and control operational risk taking into account the outcome of the analysis of the overall risk management and internal control framework addressed in Title 5, as this will influence the institution’s operational risk exposures. Regarding ML/TF risk, the competent authority should take into account the assessment provided by the AML/CFT supervisor.

Operational risk strategy and appetite

219. Competent authorities should assess whether the institution has a sound, clearly formulated …

Competent authorities should assess whether the institution has a sound, clearly formulated and documented operational risk strategy and appetite level approved by the management body, which outlines the nature, types and levels of operational risk the institution is willing to assume. For this assessment, among other factors, competent authorities should take into account the role of the management body in setting, approving, implementing and reviewing the operational risk strategy and appetite (including ICT risk appetite and digital operational resilience strategy), the strategy’s sufficient coverage and appropriateness with respect to the nature and materiality of the institution’s operational risk profile.

Organisational and internal control framework

220. Competent authorities should assess the institution’s compliance with Article 323 of the …

Competent authorities should assess the institution’s compliance with Article 323 of the Regulation (EU) No 575/2013. In this assessment, competent authorities should evaluate the soundness and effectiveness of the organisational framework and governance arrangements to enable effective operational risk management, measurement and control, with sufficient human and technical resources to carry out the required tasks. Competent authorities should take into account whether clear lines of responsibility are in place for the identification, evaluation, mitigation, monitoring and reporting of operational risk as well as adherence to the three lines of defence model.

221. Competent authorities should assess whether the institution has a strong control framework and …

Competent authorities should assess whether the institution has a strong control framework and sound safeguards to mitigate its operational risk, including appropriate policies and procedures, covering also residual risk, and whether these are consistent with the institution’s operational risk management appetite and strategy and cover all the key operations and processes. This includes, amongst others, the assessment of whether these policies and procedures are clearly formalised, communicated and applied consistently across the institution.

222. Competent authorities should also assess the functionality of the internal audit function in …

Competent authorities should also assess the functionality of the internal audit function in terms of adequacy, scope and frequency of internal audits on the operational risk management framework.

Business continuity, response and recovery

223. Competent authorities should assess the institution’s compliance with the (i) EBA Guidelines …

Competent authorities should assess the institution’s compliance with the (i) EBA Guidelines on Internal Governance in relation to the overall business continuity management and with the (ii) DORA in relation to the ICT business continuity policy and ICT response and recovery plans. In this regard, competent authorities should determine whether ICT business continuity policy and ICT response and recovery plans form an integral part of the institution’s overall business continuity policy and response and recovery plan.

224. Competent authorities should assess whether the institution has established effective business …

Competent authorities should assess whether the institution has established effective business continuity management with tested business continuity, response and recovery plans covering at least its critical or important functions, including those contracted to third-party providers, and whether these consider a range of severe but plausible scenarios to which the institution may be vulnerable. Competent authorities should also assess whether the institution’s business continuity policy enables appropriate response and recovery measures to any type of incident.

225. Competent authorities should determine whether the institution’s business continuity …

Competent authorities should determine whether the institution’s business continuity management includes:

a. Business Impact Analysis (BIA);
b. appropriate recovery strategies incorporating key internal and external dependencies and clearly defined recovery priorities and resilience levels;
c. comprehensive and flexible plans to deal with plausible disruptive scenarios, which are established based on the BIA and in coordination with internal and external stakeholders;
d. plans that establish contingency strategies and response and recovery procedures;
e. effective testing of the design and operational effectiveness of the plans;
f. BCM awareness and training programmes;
g. communications plans for informing management and all relevant stakeholders, and crisis-management documentation, measures and a crisis management function where applicable (as per Article 11(7) of DORA).

226. Competent authorities should assess whether the institution’s business continuity, response …

Competent authorities should assess whether the institution’s business continuity, response and recovery plans:

a. establish roles and responsibilities, including clear guidance on potential succession, and set out the internal decision-making process along with definition of activation triggers;
b. are reviewed to ensure contingency strategies remain consistent with current operations, risks and threats, resilience levels, and recovery objectives and priorities;
c. prioritise business continuity actions using risk-based approach;
d. are tested regularly to ensure that recovery objectives and timeframes can be met; and
e. are inclusive of the testing of services provided by third-party service providers, where applicable;

227. Competent authorities should also assess whether testing results are documented and reported …

Competent authorities should also assess whether testing results are documented and reported to the management body.

Assessment of ICT risk management framework

228. Competent authorities should assess the institution’s compliance with the DORA and the EBA …

Competent authorities should assess the institution’s compliance with the DORA and the EBA Guidelines on Internal Governance in relation to the internal governance and organisation of the management of ICT risk. Competent authorities should form a view on whether the institution’s management body is held overall accountable for managing ICT risk and appropriately defines, approves and oversees the implementation of all ICT-related arrangements. Competent authorities should consider whether the members of the management body possess sufficient knowledge and skills to understand and assess ICT risk and its impact on the institution’s operations.

229. Competent authorities should assess how the roles and responsibilities for all ICT-related …

Competent authorities should assess how the roles and responsibilities for all ICT-related functions and the established governance arrangements are embedded and integrated in the institution’s internal control and governance framework to manage ICT risk. For this purpose, competent authorities should consider whether the institution has effectively assigned the responsibility for managing and overseeing ICT risk to an independent control function that has direct access and can report directly to the management body in its supervisory function, and assess whether the institution demonstrates:

a. clear communication, allocation and integration of roles and responsibilities in all ICT-related functions, including ICT supported business functions, and processes;
b. sufficient and appropriate budget to fulfil digital operational resilience in terms of all types of resources, including relevant awareness programmes, training, and ICT skills for all staff (as per Article 5(2)(g) of DORA);
c. adequate follow-up and response by the management body on critical ICT audit findings and findings reported under Article 13(5) of DORA.

230. Competent authorities should develop a thorough understanding of the institution’s ICT risk …

Competent authorities should develop a thorough understanding of the institution’s ICT risk management framework and assess whether the institution has in place sufficient and appropriate strategies, policies, procedures, ICT protocols and tools, including tolerance levels, to address effectively, efficiently and comprehensively the material ICT risk in line with DORA. For this purpose, competent authorities should consider, where applicable:

a. appropriateness and effectiveness of institution’s ICT risk management policies⁴⁵ , processes and procedures, covering inter alia ICT third-party management, ICT-related incident detection and response, ICT assess management, encryption and cryptography, ICT operations security, network security, access control, and whether these have been approved by the management body and communicated to all relevant stakeholders (as per Article 14 of DORA);
b. appropriateness of institution’s risk tolerance level of ICT risk and the impact tolerance for ICT disruptions (as per Article 6(8)(b) of DORA);
c. appropriateness and implementation of the institution’s digital operational resilience strategy, including its alignment with the business strategy;
d. consistency of the strategy on ICT third-party risk, including the ICT multi-vendor strategy, where available, with the overall business strategy and ICT risk management framework;
e. residual risk from the institution’s identified risks in respect to contractual arrangements on the use of ICT services supporting critical or important functions;
f. residual risk from the institution’s identified risks on ICT projects impacting critical or important functions reported to the management body, and also on ICT systems acquisitions, development and maintenance and ICT changes;
g. soundness and comprehensiveness of digital operational resilience testing programme;
h. trend and magnitude of major ICT-related incidents and findings reported to the management body as per Article 17(3)(e) and Article 13(5) of DORA;
i. ICT risk controls specific for the identified material ICT risk;
j. timely reporting of ICT risk management aspects to the management body and senior management;
k. internal audit coverage and findings.

⁴⁵ In accordance with DORA, these should include at least the information security policy, backup policies, ICT asset management policy, encryption and cryptographic controls policy, cryptographic key management policy, ICT project management policy, acquisition, development, and maintenance of ICT systems policy, human resources policy, physical and environmental security policy, ICT-related incident management policy, policy on the use of ICT services supporting critical or important functions provided by ICT third-party service providers.

231. When assessing ICT risk management, competent authorities should pay particular attention to …

When assessing ICT risk management, competent authorities should pay particular attention to ICT third-party risk management, including the institution’s concentration level to ICT third-party service providers. For this purpose, competent authorities should ensure close cooperation with the Lead Overseers of critical ICT third-party providers (CTPPs), in accordance with the ESAs’ Joint Guidelines⁴⁶ , in case the institution under assessment receives ICT services from a CTPP. Competent authorities should also review the effectiveness of the dedicated role established by the institution, or the designated member of senior management, on the monitoring of ICT third-party arrangements.

⁴⁶ ESAs’ Joint Guidelines on the oversight cooperation and information exchange between the ESAs and the competent authorities under Regulation (EU) 2022/2554 (JC/2024/36).

232. Competent authorities should consider whether the internal audit function is effective and …

Competent authorities should consider whether the internal audit function is effective and possesses sufficient knowledge, skills and expertise to audit institution’s ICT risk management framework, by reviewing whether:

a. the ICT risk management framework is audited with the required quality, focus and frequency, and is commensurate to the ICT risk profile of the institution;
b. the audit plan includes audits on the material ICT risks identified by the institution, including independent reviews of ICT response and recovery plans;
c. critical ICT audit findings are timely verified and remediated, including reporting to the management body;
d. ICT audit findings, including agreed actions, are formally followed up and progress reports periodically reviewed by the senior management and/or the audit committee.

6.4.4. Assessment of reputational risk

233. Competent authorities should assess the reputational risk to which the institution is exposed …

Competent authorities should assess the reputational risk to which the institution is exposed by leveraging the understanding gained from Title 4 to Title 6.2. Such an assessment should also focus on the overall reputational risk framework, ensuring the ability of the institution to effectively manage any reputation events. For this assessment, competent authorities should avoid double counting aspects already considered under the assessment of legal risk (section 6.4.2.1).

234. When assessing the relevance of reputational risk, competent authorities should consider the …

When assessing the relevance of reputational risk, competent authorities should consider the size of the institution as well as the nature, scale and complexity of their services, activities and operations (for example, listed equities or debts or participation in interbank markets).

235. Competent authorities should consider both internal and external factors or events that might …

Competent authorities should consider both internal and external factors or events that might give rise to reputational concerns, excluding events that result in legal proceedings. For Category 1 and Category 2 institutions, competent authorities should consider all the following indicators in their assessment:

a. negative media/social media coverage and consumer-association initiatives that could deteriorate the public perception and reputation of the institution;
b. the number of and changes in customer complaints or sudden loss of customers or investors;
c. negative events relating to the institution’s peers that the public could associate with the whole financial sector or a group of institutions;
d. the reputation of individuals involved in the management of the institution or with qualifying shareholdings;
e. involvement or operation in sectors or jurisdictions highly exposed to ML/TF or with individuals associated with high risk from an ML/TF perspective;
f. involvement or operation in sectors or jurisdictions and/or with counterparties highly exposed to material issues or public controversies related to ESG factors, including but not necessarily limited to environmental factors;
g. the reputational impact of ICT-related incidents as recorded by the institution in accordance to the Commission Delegated Regulation (EU) 2024/1772⁴⁷ ;
h. other ‘market’ indicators, if available (e.g. rating downgrades or changes in the share price throughout the year).

⁴⁷ Commission Delegated Regulation (EU) 2024/1772 of 13 March 2024 supplementing Regulation (EU) 2022/2554 of the European Parliament and of the Council with regard to regulatory technical standards specifying the criteria for the classification of ICT-related incidents and cyber threats, setting out materiality thresholds and specifying the details of reports of major incidents, C/2024/1519 (OJL, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

236. Competent authorities should assess the significance of the institution’s reputational risk …

Competent authorities should assess the significance of the institution’s reputational risk exposure and its interconnectedness with the other risks by leveraging the relevant risk assessments (including from other supervisory authorities) to identify any possible secondary effects in either direction.

237. In the context of the operational risk analysis, competent authorities should take into …

In the context of the operational risk analysis, competent authorities should take into account the relevance and significance of the institution’s exposures to ML/TF risk from a prudential perspective under the scope of operational risk. In this respect, competent authorities should use the relevant input received from AML/CFT supervisors to supplement their findings from ongoing supervision and evaluate whether they give rise to prudential concerns related to ML/TF risk.

238. Competent authorities should bear in mind that any institution can be exposed to ML/TF risk …

Competent authorities should bear in mind that any institution can be exposed to ML/TF risk regardless of the institution’s size or financial soundness. Therefore, sufficient attention should also be paid to institutions that are perceived to be financially sound and may have a good reputation given that these institutions might be specifically targeted for ML/TF purposes. Attention should also be paid to institutions that are very successful in attracting new customers/expanding market share – especially by using non-traditional distribution channels

- since this could be related to weak customer due diligence controls at the onboarding phase.

239. Competent authorities should share relevant information on operational risk issues identified …

Competent authorities should share relevant information on operational risk issues identified that can give rise to ML/TF risks, risks of non-implementation and evasion of targeted financial sanctions and concerns such as deficiencies in the institutions’ ICT system or internal control framework with AML/CFT supervisors.

240. Competent authorities should assess whether the institution has implemented adequate …

Competent authorities should assess whether the institution has implemented adequate arrangements, strategies, processes and mechanisms to manage reputational risk. In particular, competent authorities should take into account whether:

a. the institution has formalised policies and processes in place for the identification, management and monitoring of this risk, including a robust code of conduct, and whether these policies and processes are proportionate to its size and its relevance in the system;
b. the institution addresses this risk in a precautionary manner, including putting in place appropriate metrics and monitoring tools, coverage of potential reputation issues in contingency plans, conducting relevant training and awareness sessions and leveraging lessons learned;
c. the institution conducts stress testing or scenario analysis to assess any secondary effects of reputational risk (e.g. liquidity and funding costs, securitisation transactions, access to correspondent banking service);
d. the institution acts to protect its brand through tools to monitor media/social media, protocols to address misinformation and adverse publicity as well as prompt communication campaigns;
e. the institution considers the potential impact of its strategy and business plans, and more generally of its behaviour, on its reputation.

6.4.5. Operational resilience

241. Competent authorities should form a holistic view on the ability of the institution to deliver …

Competent authorities should form a holistic view on the ability of the institution to deliver critical or important functions through disruption (level of operational resilience), an outcome that benefits from the effective management of operational risk, taking into account the institution’s size, business model and overall risk profile. For this purpose, competent authorities should leverage on their existing assessments on operational risk management, business continuity, change management capabilities, third-party services and the ICT upon which the institution relies to holistically evaluate whether these elements collectively support the institution’s operational resilience. Competent authorities should also consider whether the institution implements its risk management framework, business continuity plans, third-party management (already assessed in the context of DORA and EBA Guidelines issued pursuant to Article 74(3) of Directive 2013/36/EU on internal governance arrangements, processes and mechanisms) and recovery and resolution frameworks in a consistent and coordinated manner. Moreover, competent authorities should consider whether the institution has sufficiently mapped the internal and external interconnections and interdependencies that are needed to deliver its critical or important functions.

242. Competent authorities should consider the attention given by the management body and senior …

Competent authorities should consider the attention given by the management body and senior management on the institution’s ability to respond to and recover from disruptions under the assumption that failures will occur. For this purpose, competent authorities should consider whether:

a. the management body takes an active role in establishing a broad understanding of the operational resilience approach across the institution and in monitoring the effectiveness of the institution’s operational resilience approach;
b. timely reporting on the institution’s ongoing operational resilience is provided in support of the management body’s oversight, particularly when major identified deficiencies could affect the delivery of the institution’s critical or important functions.

6.4.6. Summary of findings, scoring and supervisory measures

243. Following the above assessment, competent authorities should form a view on the institution’s …

Following the above assessment, competent authorities should form a view on the institution’s operational risk. This view should be reflected in a summary of findings, accompanied by a risk score based on the considerations specified in table 10. Where, based on the materiality of certain risk sub-categories, the competent authority decides to assess and score them

individually, the guidance analogy.

provided in this table should be

applied,

as far as possible, by

Table 10. Supervisory considerations for assigning an operational risk score

Risk Supervisory score view	• •	Considerations in relation to inherent risk Operational risk exposures are • limited to a few high-frequency/low-severity impact categories. The significance of the exposure to operational risk is •	Considerations adequate There is consistency the institution’s policy and overall strategy appetite. The organisational	in relation to management and controls between operational risk strategy and its and risk framework
There risk significant of is a low		not shown compared peers. material/very by scenario with the low, analysis losses as of and	for with clear between operational clear separation	risk-takers responsibilities risk of tasks is and robust and a
prudential impact on the 1 institution considering the	•	The level of gross losses (before recoveries and including losses on operational credit portfolio risk) experienced caused by •	management functions. Operational includes all	and control relevant risk framework risks.
level of inherent risk and the management	•	by the institution in recent • years has been not material/very low or has decreased No significant from ICT a risk higher level. •	Operational monitoring systems are The control	risk measurement, and reporting appropriate. framework for
and controls.	•	exposures, simple/resilient/agile ICT • architecture and no material/very low ICT risks. The level of concentration risk towards third-party service • providers is low, with simple subcontracting chains.	operational ICT risk management controls are respect to out in DORA. Third-party framework effective, Considerations	risk is sound. and adequate with the requirements set risk management is sound and along with in relation to
Risk Supervisory score view	• • •	Considerations in relation to inherent risk The threat intensity that could result into major operational disruption (including ICT- • related incidents) of critical or important functions is low. Operational risk exposures are mainly in high-frequency/low-severity impact categories. The significance of the exposure to operational risk is low to medium, as shown by scenario analysis and compared	adequate appropriate arrangements. Effective continuity including continuity, recovery	management and controls contractual and sound business management, tested business response and plans.
There is a medium-low risk of significant prudential	•	with the losses of peers. The level of gross losses experienced by the institution in recent years has been low to medium, or is expected to increase from a lower historic
impact on the 2 institution considering the level of inherent risk and the management and controls.	• • •	level or decrease from a higher historic level. Low ICT risk exposures, moderately complex/partially constrained ICT architecture and low/medium ICT risks. The level of concentration risk towards third-party service providers is medium, with moderate subcontracting chains. The threat intensity that could result into major operational disruption (including ICT-related incidents) of critical or important functions is medium.
There medium-high risk significant of is a	• •	Operational extend frequency/high-severity categories. The significance to some risk low- of exposures the impact •	The institution’s policy overall appetite consistency and strategy	is strategy not operational sufficiently and between and risk its risk the
prudential impact on the 3 institution considering the level of inherent risk and the management	•	exposure to operational risk is medium to high, as shown by • scenario analysis and compared with the losses of peers. The level of gross losses • experienced by the institution in recent years has been medium to increase to high, from a or lower is expected •	developed The organisational for operational sufficiently Operational does not risks. Operational	or even inadequate. framework risk is not robust. risk framework include all relevant risk measurement,
and controls.		historic level or decrease from a higher historic level.	monitoring systems are Considerations	and reporting inappropriate. in relation to
Risk Supervisory score view	• • • • •	Considerations in relation to inherent risk Indications of possible • significant ICT risk exposures, complex/rigid/fragmented ICT • architecture and medium/high ICT risks. The level of concentration risk towards third-party service • providers is high, with moderate to long/complex subcontracting chains. The threat intensity that could • result into major operational disruption (including ICT-related incidents) of critical or important functions is high. Operational risk exposures extend to all main categories. The significance of the exposure to operational risk is high and increasing, as shown by scenario analysis and	adequate The control operational ICT risk management controls are respect to out in DORA. Third-party framework along with contractual Inadequate management, unreliable/ineffective/incomple te business and recovery	management and controls framework for risk is tenuous. and not compliant with the requirements set risk management is incomplete/weak, inadequate arrangements. business continuity including continuity, response plans.
There is a high risk of	•	compared with the losses of peers. The level of gross losses
significant prudential impact on the institution 4 considering the level of inherent risk and the management and controls.	• • •	experienced by the institution over the last few years has been high, or risk has significantly increased. Multiple indications of significant ICT risk exposures, highly complex/fragile ICT architecture and high ICT risks. The level of concentration risk towards third-party service providers is very high/severe, with long/complex subcontracting chains. The threat intensity that could result into major operational disruption (including ICT-related incidents) of critical or important functions is very high/severe.

244. The table below presents a non-exhaustive list of supervisory measures that competent …

The table below presents a non-exhaustive list of supervisory measures that competent authorities may take in case of identified deficiencies in the institution’s operational risk management framework and operational resilience (taking into account the close interconnection of operational resilience and operational risk management). Competent authorities should decide on the type of the measure based on its effectiveness to the specific identified deficiency. Competent authorities may apply additional supervisory measures (including quantitative measures in accordance with Article 104(1)(a) of the Directive 2013/36/EU) or a combination of these with the ones listed in the table below, if these are deemed more appropriate to address the identified deficiencies. For breaches of DORA, the competent authorities should consider the applicable corrective and remedial measures provided in Article 50 of DORA.

Table 11. Potential and non-exhaustive list of supervisory measures stemming from the assessment of operational risk and operational resilience Potential supervisory measures for competent authorities in accordance with Article 104(1), points (b), (d), (e), (f), (j), (l), (m), and (n) of Directive 2013/36/EU and Article 50 of Regulation (EU) 2022/2554 – Competent authorities may require the institution to: A. involve the management body or its committees more actively in operational risk management decisions; B. improve operational risk measurement systems; C. strengthen controls on operational processes, including identification, monitoring, response and recovery; D. improve the operational governance framework; E. enhance operational risk reporting to the management body and senior management; F. develop and implement corrective action plans to address deficiencies; G. limit certain third-party arrangements, in particular for critical or important functions; H. enhance stress testing and scenario analysis of operational risk; I. implement stronger operational measures; J. enhance business continuity, response and recovery plans; K. enhance operational risk management related to ESG risks, in particular environmental risks, potentially based on one or several actions listed above.

1.1 Hivatkozások

1.2 Azonosított követelmények

1.3 Kapcsolódó szabványok

2. Azonosított követelmények

Követelmények
Forrás	Követelmény

3. Kapcsolódó szabványok

Szabványok
Forrás	Követelmény

EBA -
EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.