6.4. Operacinės rizikos vertinimas

Vertindamos operacinės rizikos valdymo sistemą, kompetentingos institucijos turėtų įvertinti, be kita ko, ar įstaiga laikosi teisės aktų, atskirai paskelbtų EBI interneto svetainėje, kaip nurodyta 12 dalyje.

Kompetentingos institucijos turėtų vertinti visų įstaigos verslo linijų ir operacijų operacinę riziką, atsižvelgdamos į vidaus valdymo tvarkos ir visos įstaigos kontrolės priemonių vertinimo išvadas, kaip nurodyta 5 antraštinėje dalyje. Atlikdamos šį vertinimą, kompetentingos institucijos turėtų nustatyti, kaip operacinė rizika gali pasireikšti, taip pat atsižvelgti į įstaigos nuostolių duomenų rinkinį ir galimą kitos susijusios rizikos (pvz., su kreditu ir rinka susijusios operacinės rizikos) poveikį.

Kompetentingos institucijos turėtų vertinti iš trečiųjų šalių paslaugų teikėjų kylančios operacinės rizikos reikšmingumą, įskaitant vienos trečiosios šalies paslaugų teikėjo (tiesiogiai arba netiesiogiai per subrangos grandines) arba riboto skaičiaus trečiųjų šalių paslaugų teikėjų, padedančių įstaigai vykdyti esmines ar svarbias funkcijas, teikiamų paslaugų koncentraciją (subjekto ir, jei reikia, grupės lygmeniu), ir ar tai galėtų turėti įtakos įstaigos veiklos atsparumui, veiklos rezultatams ir rizikos valdymui. Atlikdamos šį vertinimą, kompetentingos institucijos turėtų atsižvelgti į tai, kokiu mastu kitos įstaigos naudojasi tų pačių trečiųjų šalių paslaugų teikėjų paslaugomis, jeigu tokia informacija joms yra prieinama.

Vertindamos operacinę riziką, kompetentingos institucijos turėtų vertinti IRT riziką pagal SVAA ir galimą jos poveikį įstaigos ypatingos svarbos ar svarbioms funkcijoms, įskaitant bet kokį galimą finansinį, reputacijos, reguliavimo ir strateginį poveikį įstaigai.

Kompetentingos institucijos turėtų įvertinti, ar įstaiga taiko tinkamą veiklos atsparumo metodiką, kad galėtų atlaikyti sutrikimus, prisitaikyti prie jų ir atsigauti po jų, kai tokie sutrikimai įvyksta, bei ar ši metodika yra tinkamai ir nuosekliai suderinta su esama rizikos valdymo sistema, veiklos tęstinumo planais ir trečiųjų šalių valdymu.

Vertindamos operacinę riziką, kompetentingos institucijos turėtų įvertinti, jei taikytina, ar įstaigos politika ir procedūros sudaro sąlygas tinkamai nustatyti, įvertinti ir valdyti operacinę riziką, kylančią iš veiklos, susijusios su kriptoturtu, ir ją palaikančios technologijos.

Kompetentingos institucijos turėtų vertinti reputacijos riziką kartu su operacine rizika, nes ji yra neatsiejamai susijusi su operacinės rizikos įvykiais. Tačiau skiriant operacinės rizikos balą, į reputacijos rizikos vertinimo rezultatus atsižvelgti nereikėtų, o jei reikia, reputacijos riziką reikėtų analizuoti atliekant VMA ir (arba) vertinant likvidumo riziką, nes jų pagrindinis poveikis gali pakenkti investuotojų, indėlininkų ar tarpbankinių rinkos dalyvių pasitikėjimui įstaiga.

Kompetentingos institucijos turėtų įvertinti ASV rizikos poveikį būdingai veiklos ir reputacijos rizikai, taip pat su ASV rizika susijusių veiklos ir reputacijos rizikos kontrolės priemonių tinkamumą, teikdamos pirmenybę fizinėms aplinkos ir pereinamojo laikotarpio rizikoms. Visų pirma, vertindamos teisinę riziką ir reputacijos riziką, kompetentingos institucijos turėtų analizuoti riziką aplinkai ir ekologinio manipuliavimo riziką. 6.4.2. Būdingos operacinės rizikos vertinimas

Kompetentingos institucijos turėtų nuodugniai suprasti įstaigai būdingas operacinės rizikos pozicijas ir įvertinti šios rizikos prudencinio poveikio įstaigai svarbą, taip pat poveikį įstaigos gebėjimui vykdyti esmines ar svarbias funkcijas sutrikus veiklai.

Siekdamos pagrįsti šį vertinimą, kompetentingos institucijos turėtų atsižvelgti į nuosavų lėšų reikalavimą, taikomą operacinei rizikai, palyginti su bendru nuosavų lėšų reikalavimu, o prireikus – į institucijos operacinei rizikai skirtą vidinį kapitalą, palyginti su bendru vidiniu kapitalu. Be to, kompetentingos institucijos turėtų pasinaudoti žiniomis, įgytomis vertinant kitus SREP elementus (visų pirma aprašytus 4 ir 5 antraštinėse dalyse), lyginant su panašiomis įmonėmis, vykdant bet kokią kitą priežiūros veiklą, įskaitant kovos su pinigų plovimu ir terorizmo finansavimu priežiūros institucijų bei rinkos priežiūros institucijų pateiktą informaciją, taip pat remiantis kitais atitinkamais informacijos šaltiniais.

Kompetentingos institucijos turėtų bent jau atsižvelgti į pagrindinius operacinės rizikos veiksnius, galimus veiklos sutrikimų scenarijus ir, jei taikytina, juos analizuoti pagal verslo liniją, juridinius asmenis, geografines vietoves ir įvykių tipų kategorijas (atsižvelgiant į duomenų prieinamumą) bei palyginti įstaigos padėtį su panašių įstaigų padėtimi. Šie veiksniai turėtų apimti bent pagrindinę įstaigos operacinės rizikos ir norimos prisiimti operacinės rizikos strategiją, verslo aplinką (įskaitant geografinį pasiskirstymą, IRT operacijas ir platinimo kanalus), naujausius reikšmingus įmonių įvykius (pvz., susijungimus, įsigijimus, perleidimus ir restruktūrizavimą), IRT sistemas ir kitus su IRT susijusius aspektus, kaip nurodyta 6.4.2.3 skirsnyje, procesų pokyčius, trečiųjų šalių susitarimus, atitikties teisės aktams klausimus, verslo užmojus, paskatų sistemas ir kitus pagrindinius operacinės rizikos veiksnius.

Operacinės rizikos pozicijų pobūdis ir reikšmingumas

Kompetentingos institucijos turėtų nustatyti operacinės rizikos pozicijų pobūdį, analizuodamos pagrindinių operacinės rizikos šaltinių ir priežastinių veiksnių poveikį ir susidaryti perspektyvią nuomonę apie galimą operacinę riziką. Atlikdamos šią analizę, kompetentingos institucijos:

• a. gali atsižvelgti į įstaigai aktualų veiklos modelį, verslo linijas, produktus, procesus ir geografines vietoves, priklausomybių vertinimą ir operacinės rizikos pozicijas, susijusias su pagrindiniais rizikos veiksniais (pvz., procesais, žmonėmis, sistemomis ir išoriniais veiksniais), taip pat rizikos veiksnių sąveiką, pasinaudodama įstaigos atliktu savarankišku rizikos vertinimu, panašių įstaigų analize, duomenimis bei viešosiomis ir (arba) konsorciumo duomenų bazėmis, jei tokios yra prieinamos ir aktualios;
• b. turėtų analizuoti tiek įstaigai poveikį darančių įvykių dažnumą, tiek jų poveikio įstaigai mastą, taip pat atskirti didelį poveikį darančius nuostolius nuo dažnai patiriamų nuostolių. Remdamosi tuo skirtumu, kompetentingos institucijos turėtų vertinti operacinės rizikos nuostolių tendencijas ir jų koncentraciją, ir
• c. turėtų atlikti sverto scenarijų analizę ir apsvarstyti planuojamas verslo operacijas bei įstaigos atliekamas būsimas operacinės rizikos analizes, jei tokios yra, atsižvelgiant į visas jau įgyvendintas ir veiksmingas taisomąsias priemones ir rizikos mažinimo veiksmus.

Nustačiusios ir išanalizavusios pagrindinius operacinės rizikos šaltinius ir priežastinius veiksnius, kompetentingos institucijos dėmesį turėtų sutelkti į tuos šaltinius ir priežastinius veiksnius, kurie įstaigai gali turėti reikšmingiausią poveikį.

Pagrindinis informacijos šaltinis, į kurį kompetentingos institucijos turėtų atsižvelgti, yra įstaigos duomenų apie nuostolius ir įvykius rinkinys, nes jis gali suteikti vertingos informacijos apie įstaigos operacinės rizikos profilio raidą. Kompetentingos institucijos turėtų periodiškai vertinti duomenų apie nuostolius išsamumą, tikslumą ir kokybę. Kitas informacijos šaltinis turėtų būti įstaigos įrašai apie visus su IRT susijusius incidentus ir reikšmingas kibernetines grėsmes (pagal SVAA 17 straipsnio 2 dalį) ir nustatytus IRT rizikos šaltinius (pagal SVAA 8 straipsnio 2 dalį).

Operacinės rizikos pakategorių vertinimas

Kompetentingos institucijos, vertindamos operacinės rizikos pakategores, turėtų sutelkti dėmesį į tas pakategores, kurios laikomos reikšmingomis įstaigai. Kompetentingos institucijos taip pat turėtų taikyti savo ekspertinį vertinimą, kad nustatytų reikšmingas pakategores, remdamosi visais prieinamais vidaus ir išorės informacijos šaltiniais. Atlikdamos vertinimą, kompetentingos institucijos turėtų visada atkreipti dėmesį į šiuos operacinės rizikos aspektus³² :

• a. teisinę riziką;
• b. modelio riziką;
• c. IRT riziką;

6.4.2.1. Teisinė rizika

³² Žr. III priedą, kuriame pateikiamas nebaigtinis operacinės rizikos pakategorių suskirstymas.

Vertindamos įstaigos teisinės rizikos pozicijų svarbą ir reikšmingumą, kompetentingos institucijos turėtų atsižvelgti į šiuos aspektus:

• a. netinkamą produktų arba paslaugų pardavimą;
• b. interesų konfliktą vykdant veiklą;
• c. manipuliavimą lyginamosiomis palūkanų normomis, valiutų kursais arba kitomis finansinėmis priemonėmis arba indeksais;
• d. kliūtis pakeisti finansinius produktus jų galiojimo laikotarpiu ir (arba) pakeisti finansinių paslaugų teikėjus;
• e. savaiminį produktų atnaujinimą arba sutarčių nutraukimą skiriant nuobaudas; ir (arba)
• f. klientų skundų nagrinėjimą;
• g. nacionalinių ir tarptautinių taisyklių bei teisės aktų pažeidimus (mokesčių taisyklės, vidinis sukčiavimas ar vidinė vagystė, kovos su pinigų plovimu taisyklės, kovos su terorizmu taisyklės ir ekonominės sankcijos);
• h. su ASV, visų pirma su aplinkos apsauga ir ekologiniu manipuliavimu, susijusią bylinėjimosi riziką.

Kompetentingos institucijos turėtų atsižvelgti į tai, ar dėl teismo proceso įstaiga gali patirti kokių nors išlaidų, baudų, nuobaudų ar baudžiamųjų nuostolių, taip pat į skundų skaičių ir turinį. Be to, reikėtų pasinaudoti 4 skyriaus vertinimo rezultatais ir nuodugniai išnagrinėti skatinimo politiką, siekiant gauti išsamią informaciją apie galimų pažeidimų priežastis. Atsižvelgiant į tai kompetentingos institucijos taip pat turėtų vertinti, ar įstaiga yra nustačiusi tinkamas ir veiksmingas sistemas ir procesus, kuriais įgyvendintų ribojamąsias priemones (pvz., sankcijas) ir jų laikytųsi, be kita ko, vertindamos, kaip įstaiga laikosi EBI vidaus politikos, procedūrų ir kontrolės priemonių gairių³³ .

³³ EBI gairės dėl vidaus politikos, procedūrų ir kontrolės priemonių, kuriomis siekiama užtikrinti Sąjungos ir nacionalinių ribojamųjų priemonių įgyvendinimą (EBA/GL/2024/14).

Tačiau kompetentinga institucija turėtų laikytis perspektyvinio požiūrio ir taip pat analizuoti galimą reglamentavimo pokyčių ir atitinkamų institucijų veiksmų vartotojų apsaugos ir apskritai finansinių paslaugų srityje įtaką.

6.4.2.2. Modelio rizika

Vertindamos operacinę riziką, kompetentingos institucijos turėtų įvertinti modelio riziką, ypatingą dėmesį skirdamos vidiniams nereguliuojamiems modeliams (pvz., dirbtinio intelekto modeliams, produktų kainodarai, rizikos ribų nustatymui ir stebėsenai, ICAAP / ILAAP modeliams, veiklos atkūrimo galimybėms).

Vertindamos modelio riziką, kompetentingos institucijos turėtų atsižvelgti į:

• a. tai, kokia apimtimi ir kokiems tikslams įstaiga taiko modelius sprendimams priimti ir tokių sprendimų reikšmingumą įstaigos veiklai. Kompetentingos institucijos turėtų nustatyti verslo sritį / veiklą, kurioje įstaiga plačiai taiko modelius, ir įvertinti galimą modelio rizikos poveikį, be kita ko, atliekant jautrumo ir scenarijų analizes arba testavimą nepalankiausiomis sąlygomis; ir
• b. kontrolės mechanizmų patikimumą (metodų, dažnumo, tolesnių veiksmų ir pan. atžvilgiu), įskaitant modelio patvirtinimo procesą, reguliarias peržiūras ir įstaigos informuotumo apie modelio trūkumus arba rinkos ir verslo pokyčius lygį.

Kai modeliai naudojami sprendimų priėmimo tikslais (pvz., produktų kainodara, DI modeliai, finansinių priemonių vertinimas, klientų profiliavimas), kompetentingos institucijos turėtų įvertinti, ar esama patikimo vidaus patvirtinimo proceso ir (arba) modelių peržiūros proceso modelio rizikai nustatyti ir sumažinti (išskyrus reguliavimo modelius).

Vertindamos modelio riziką, kompetentingos institucijos turėtų analizuoti, kaip vertinama kita rizika kapitalui, rizika likvidumui ir finansavimui, ypač atsižvelgti į tai, ar rizikos vertinimui, kainodarai ir turto ir (arba) įsipareigojimų vertinimui taikoma metodika yra tinkama. Tokio vertinimo rezultatai turėtų būti grindžiami operacinės rizikos vertinimo išvadomis.

6.4.2.3. IRT rizika. Būdingos IRT rizikos vertinimas

Reikšmingos IRT rizikos nustatymas

Vadovaujantis SVAA, kompetentingos institucijos turėtų peržiūrėti, kaip įstaiga nustato, klasifikuoja ir dokumentuoja visas IRT palaikomas verslo funkcijas, vaidmenis ir atsakomybės sritis, šias funkcijas palaikančius informacinius išteklius³⁴ ir IRT išteklius³⁵ , taip pat jų vaidmenis ir tarpusavio priklausomybes, susijusias su IRT rizika. Ši peržiūra turėtų padėti kompetentingoms institucijoms išsamiai įvertinti įstaigos būdingą IRT riziką (IRT rizikos profilį), nustatyti jos reikšmingą būdingą IRT riziką ir susidaryti nuomonę apie šios rizikos prudencinį poveikį. Šiuo tikslu kompetentingos institucijos, jei tai yra aktualu ir taikytina, turėtų atsižvelgti bent į šiuos aspektus:

• a. IRT rizikos valdymo sistemos peržiūros ataskaitą (pagal SVAA 6 straipsnio 5 dalį);
• b. IRT rizikos šaltinius, visų pirma riziką, susijusią su kitomis finansinėmis įstaigomis ir kylančią iš jų, kurią įstaiga nustatė pagal SVAA 8 straipsnio 2 dalį;
• c. didelius su IRT susijusius incidentus, apie kuriuos pranešta (pagal SVAA 19 straipsnio 1 dalį), įskaitant bendrų metinių išlaidų ir nuostolių dėl didelių su IRT susijusių incidentų tendenciją (pagal SVAA 11 straipsnio 10 dalį);
• d. skaitmeninės veiklos atsparumo testavimo programoje numatytų bandymų rezultatus (pagal SVAA 24 straipsnį), įskaitant grėsmėmis grindžiamo skverbimosi testavimo išvadų santrauką ir susijusius koregavimo planus (pagal SVAA 26 straipsnio 6 dalį);
• e. informacijos registrą (pagal SVAA 28 straipsnio 3 dalį), kuriame nurodomas priklausomybės nuo trečiųjų šalių IRT paslaugų teikėjų, įskaitant grupės vidaus IRT paslaugų teikėjus, laipsnis pagal IRT paslaugų ir (arba) IRT sistemų tipą;
• f. pagrindinių priežiūros institucijų rekomendacijas ir nuomones (pagal SVAA 40 straipsnio 3 dalį ir 42 straipsnio 7 dalį) ir susijusius ypatingos svarbos IRT trečiųjų šalių paslaugų teikėjų atsakymus, ataskaitas ir informaciją (pagal SVAA 35 straipsnio 1 dalies c punktą, 42 straipsnio 1 dalį ir 48 straipsnio 2 dalį);
• g. IRT sistemų sudėtingumo lygį ir senųjų IRT sistemų rizikos vertinimo rezultatus (kaip numatyta SVAA 8 straipsnio 7 dalyje);
• h. rizikos vertinimą po svarbaus pakeitimo (pagal SVAA 8 straipsnio 3 dalį);
• i. novatoriškų IRT sprendimų pritaikymo ir integravimo lygį;
• j. duomenų centrų ir nustatytų jautrių teritorijų vietas, t. y. regionai ar šalys, įskaitant atvejus, kai sutartines IRT paslaugas teikia trečiųjų šalių IRT paslaugų teikėjai, taip pat įtraukiant duomenų tvarkymo ir saugojimo vietą;
• k. bet kokius susijusius esminius trūkumus ar silpnąsias vietas, nustatytas pagal 5 antraštinę dalį;
• l. įstaigos atliktus savo IRT rizikos ir kontrolės priemonių vertinimus (jei jie pateikti ICAAP informacijoje);
• m. įstaigos valdymo organui pateiktą su IRT rizika susijusią valdymo informaciją;
• n. su IRT susijusias vidaus ir išorės audito išvadas;
• o. išorinių grėsmių aplinką, įskaitant informaciją apie grėsmes ir pažeidžiamumą.

IRT sistemų ir IRT paslaugų peržiūra

³⁴ Reglamento (ES) 2022/2554 3 straipsnio 6 dalis.

³⁵ Reglamento (ES) 2022/2554 3 straipsnio 7 dalis.

Kompetentingos institucijos turėtų peržiūrėti atitinkamą įstaigos dokumentaciją, metodiką ir procesus bei susidaryti nuomonę, ar įstaiga tinkamai nustatė IRT sistemas bei IRT paslaugas, kuriomis užtikrina ypatingos svarbos ar svarbių funkcijų veikimą. Šiuo tikslu kompetentingos institucijos turėtų atsižvelgti į:

• a. IRT sistemas, užtikrinančias ypatingos svarbos ar svarbias funkcijas, taip pat institucijos nustatytus ypatingos svarbos informacijos išteklius ir IRT išteklius (pagal SVAA 8 straipsnį);
• b. pagrindinius procesus, priklausomus nuo IRT paslaugas teikiančių trečiųjų šalių, įskaitant sąsajas su IRT paslaugas teikiančiomis trečiosiomis šalimis, kurios vykdo įstaigos nustatytas ypatingos svarbos ar svarbias funkcijas (pagal SVAA 8 straipsnio 5 dalį).

Ypatingos svarbos arba svarbias funkcijas atliekančioms IRT sistemoms bei paslaugoms kylančios reikšmingos IRT rizikos nustatymas ir žemėlapių sudarymas

216.Išnagrinėjusios įstaigos priklausomybę nuo informacinių ir IRT išteklių, IRT rizikos profilį, IRT sistemas ir IRT paslaugas, kompetentingos institucijos turėtų susidaryti nuomonę apie reikšmingas IRT rizikas, kurios prudenciniu požiūriu gali turėti reikšmingą poveikį įstaigos IRT sistemoms ir paslaugoms, užtikrinančioms ypatingos svarbos ar svarbias funkcijas, bei reikšmingą poveikį jos gebėjimui veikti sutrikimų atveju. Šiuo tikslu kompetentingos institucijos turėtų atsižvelgti į:

• a. finansinius nuostolius, įskaitant galimas kompensacijas klientams, teisines ir sanavimo išlaidas, sutartinius nuostolius, išlaidas ir prarastas pajamas;
• b. galimą veiklos sutrikimą, atsižvelgiant (be kita ko) į susijusių paslaugų svarbą, įskaitant įstaigos sandorius ir operacijas (įskaitant priklausomybę nuo trečiųjų šalių), klientų ir (arba) finansinių partnerių ir (arba) filialų ir darbuotojų, kuriems gali būti daromas poveikis, skaičių;
• c. galimą duomenų praradimą;
• d. galimą poveikį reputacijai;
• e. galimą reguliavimo poveikį, įskaitant viešai pareikštą nepasitikėjimą, baudas arba net leidimų keitimą;
• f. galimą strateginį poveikį įstaigai;
• g. galimą geografinį paplitimą.

Kompetentingos institucijos turėtų priskirti nustatytą esminę IRT riziką III priede nurodytoms IRT rizikos kategorijoms. Tikimasi, kad įstaigos išlaikys savo klasifikaciją, užuot naudojusios priede pateiktą klasifikaciją.

6.4.3. Operacinės rizikos valdymo ir kontrolės sistemos vertinimas

Kompetentingos institucijos turėtų vertinti įstaigos taikomą operacinės rizikos valdymo ir kontrolės sistemą ir tvarką, atsižvelgdamos į 5 antraštinėje dalyje aptartos bendrosios rizikos valdymo ir vidaus kontrolės sistemos analizės rezultatus, nes tai turės įtakos įstaigos operacinės rizikos pozicijoms. PP / TF rizikos atžvilgiu kompetentingos institucijos turėtų atsižvelgti į už kovą su pinigų plovimu ir terorizmo finansavimu atsakingų priežiūros institucijų pateiktą vertinimą.

Operacinės rizikos strategija ir norima prisiimti rizika

Kompetentingos institucijos turėtų vertinti, ar įstaiga turi patikimą, aiškiai suformuluotą ir dokumentuotą valdymo organo patvirtintą operacinės rizikos strategiją ir norimą prisiimti rizikos lygį, kurioje apibūdinamas operacinės rizikos, kurią įstaiga nori prisiimti, pobūdis, rūšys ir lygiai. Atlikdamos šį vertinimą, kompetentingos institucijos, be kitų veiksnių, turėtų atsižvelgti į valdymo organo vaidmenį nustatant, tvirtinant, įgyvendinant ir peržiūrint operacinės rizikos strategiją ir norimą prisiimti riziką (įskaitant norimą prisiimti IRT riziką ir skaitmeninio operacinio atsparumo strategiją), taip pat į tai, ar strategijos aprėptis yra pakankama ir ar ji tinkama, atsižvelgiant į įstaigos operacinės rizikos profilio pobūdį ir reikšmingumą.

Organizacinė ir vidaus kontrolės sistema

Kompetentingos institucijos turėtų įvertinti, ar įstaiga laikosi Reglamento (ES) Nr. 575/2013 323 straipsnio nuostatų. Atlikdamos šį vertinimą, kompetentingos institucijos turėtų vertinti organizacinės sistemos ir valdymo tvarkos patikimumą ir veiksmingumą, kad sudarytų sąlygas veiksmingai valdyti, vertinti ir kontroliuoti operacinę riziką, skirdamos pakankamai žmogiškųjų ir techninių išteklių būtinoms užduotims atlikti. Kompetentingos institucijos turėtų atsižvelgti į tai, ar yra nustatytas atsakomybės paskirstymas, susijęs su operacinės rizikos nustatymu, vertinimu, mažinimu, stebėsena ir ataskaitų teikimu, taip pat į tai, ar laikomasi trijų gynybos linijų modelio.

Kompetentingos institucijos turėtų įvertinti, ar įstaiga turi tvirtą kontrolės sistemą ir patikimas apsaugos priemones, skirtas operacinei rizikai mažinti, įskaitant atitinkamas politikos nuostatas ir procedūras, apimančias ir likutinę riziką, taip pat ar jos atitinka įstaigos norimą prisiimti operacinės rizikos valdymą ir strategiją bei apima visas pagrindines operacijas ir procesus. Tai, be kita ko, apima vertinimą, ar ši politika ir procedūros yra aiškiai įformintos, apie jas pranešta ir ar jos nuosekliai taikomos visoje įstaigoje.

Kompetentingos institucijos taip pat turėtų įvertinti vidaus audito funkcijos veiksmingumą, atsižvelgdamos į operacinės rizikos valdymo sistemos vidaus auditų tinkamumą, apimtį ir dažnumą.

Veiklos tęstinumas, reagavimas ir veiklos atkūrimas

Kompetentingos institucijos turėtų įvertinti, ar įstaiga laikosi i) EBI gairių dėl vidaus valdymo, kiek tai susiję su bendru veiklos tęstinumo valdymu, ir ii) SVAA, kiek tai susiję su IRT veiklos tęstinumo politika bei IRT reagavimo ir veiklos atkūrimo planais. Atsižvelgiant į tai, kompetentingos institucijos turėtų nustatyti, ar IRT veiklos tęstinumo politika bei IRT reagavimo ir veiklos atkūrimo planai yra neatskiriama įstaigos bendrosios veiklos tęstinumo politikos ir reagavimo bei veiklos atkūrimo plano dalis.

Kompetentingos institucijos turėtų įvertinti, ar įstaiga yra įdiegusi veiksmingą veiklos tęstinumo valdymo sistemą, apimančią išbandytus veiklos tęstinumo, reagavimo ir veiklos atkūrimo planus, kurie apima bent jau jos ypatingos svarbos arba svarbias funkcijas, įskaitant tas, kurių vykdymas yra patikėtas trečiosioms šalims, ir ar šiuose planuose atsižvelgiama į įvairius rimtus, bet tikėtinus scenarijus, kuriems susiklosčius įstaiga gali būti pažeidžiama. Kompetentingos institucijos taip pat turėtų įvertinti, ar įstaigos veiklos tęstinumo politika sudaro sąlygas imtis tinkamų reagavimo ir veiklos atkūrimo priemonių įvykus bet kokio tipo incidentui.

Kompetentingos institucijos turėtų nustatyti, ar įstaigos veiklos tęstinumo valdymo sistema apima:

• a. poveikio verslui analizę;
• b. tinkamas veiklos atkūrimo strategijas, kuriose būtų numatyti pagrindiniai vidaus ir išorės priklausomybės veiksniai ir aiškiai apibrėžti veiklos atkūrimo prioritetai ir atsparumo lygiai;
• c. išsamius ir lanksčius planus, kaip elgtis esant tikėtiniems trikdantiems scenarijams, kurie parengti remiantis poveikio verslui analize ir koordinuojant veiksmus su vidaus ir išorės suinteresuotaisiais subjektais;
• d. planus, kuriuose nustatomos nenumatytų atvejų strategijos ir reagavimo bei veiklos atkūrimo procedūros;
• e. veiksmingą planų struktūros ir operacinio veiksmingumo testavimą;
• f. informuotumo apie veiklos tęstinumo valdymą didinimo ir mokymo programas;
• g. pranešimų vadovybei ir visiems atitinkamiems suinteresuotiesiems subjektams planus ir krizių valdymo dokumentus, priemones ir krizių valdymo funkciją, jei taikoma (pagal SVAA 11 straipsnio 7 dalį).

Kompetentingos institucijos turėtų įvertinti, ar įstaigos veiklos tęstinumo, reagavimo ir veiklos atkūrimo planai:

• a. apima pareigas ir atsakomybės sritis, įskaitant aiškias gaires dėl galimo pareigų perėmimo, bei apibrėžtą vidinį sprendimų priėmimo procesą ir nustatytas jo aktyvinimo sąlygas;
• b. peržiūrimi siekiant užtikrinti, kad nepaprastųjų situacijų strategijos atitiktų esamą veiklą, rizikas ir grėsmes, atsparumo lygį bei veiklos atkūrimo tikslus ir prioritetus;
• c. apima pirmenybę veiklos tęstinumo veiksmams, taikant rizika grindžiamą metodą;
• d. reguliariai tikrinami, siekiant užtikrinti, kad būtų pasiekti veiklos atkūrimo tikslai ir laikomasi terminų; ir
• e. apima trečiųjų šalių paslaugų teikėjų teikiamų paslaugų testavimą, jei taikoma.

Kompetentingos institucijos taip pat turėtų vertinti, ar testavimo rezultatai dokumentuojami ir ar apie juos pranešama valdymo organui.

IRT rizikos valdymo sistemos vertinimas

Kompetentingos institucijos turėtų įvertinti, ar įstaiga laikosi SVAA ir EBI gairių dėl vidaus valdymo, kiek tai susiję su vidaus valdymu ir IRT rizikos valdymo organizavimu. Kompetentingos institucijos turėtų įvertinti, ar įstaigos valdymo organas neša bendrą atsakomybę už IRT rizikos valdymą ir ar tinkamai apibrėžia, tvirtina bei prižiūri visų su IRT susijusių priemonių įgyvendinimą. Kompetentingos institucijos turėtų analizuoti, ar valdymo organo nariai turi pakankamai žinių ir įgūdžių, kad suprastų ir įvertintų IRT riziką ir jos poveikį įstaigos veiklai.

Kompetentingos institucijos turėtų įvertinti, kokiu mastu visų su IRT susijusių padalinių funkcijos ir atsakomybės sritys bei nustatyta valdymo tvarka yra įtraukti ir integruota į įstaigos vidaus kontrolės ir valdymo sistemą, skirtą IRT rizikai valdyti. Šiuo tikslu kompetentingos institucijos turėtų apsvarstyti, ar įstaiga veiksmingai paskyrė atsakomybę už IRT rizikos valdymą ir priežiūrą nepriklausomai kontrolės funkcijai, kuri turi tiesioginę prieigą ir gali tiesiogiai atsiskaityti priežiūros funkciją vykdančiam valdymo organui, ir įvertinti, ar įstaigoje aiškiai matomas:

• a. aiškus bendravimas, vaidmenų ir pareigų paskirstymas bei integravimas visose su IRT susijusiose funkcijose, įskaitant IRT remiamas verslo funkcijas ir procesus;
• b. pakankamas ir tinkamas biudžetas skaitmeniniam veiklos atsparumui užtikrinti, atsižvelgiant į visų rūšių išteklius, įskaitant atitinkamas visų darbuotojų informuotumo programas, mokymą ir IRT įgūdžius (pagal SVAA 5 straipsnio 2 dalies g punktą);
• c. tinkami tolesni veiksmai ir valdymo organo atsakas į ypatingos svarbos IRT audito nustatytus faktus, apie kuriuos pranešta pagal SVAA 13 straipsnio 5 dalį.

Kompetentingos institucijos turėtų išsamiai susipažinti su įstaigos IRT rizikos valdymo sistema ir įvertinti, ar įstaiga yra parengusi pakankamas ir tinkamas strategijas, politiką, procedūras, IRT protokolus ir priemones, įskaitant tolerancijos lygius, kad galėtų veiksmingai, efektyviai ir visapusiškai valdyti reikšmingą IRT riziką pagal SVAA reikalavimus. Šiuo tikslu kompetentingos institucijos, jei taikytina, turėtų atsižvelgti į:

• a. įstaigos IRT rizikos valdymo politikos³⁶ , procesų ir procedūrų, apimančių, be kita ko, IRT trečiųjų šalių valdymą, su IRT susijusių incidentų nustatymą ir reagavimą, IRT vertinimą, valdymą, šifravimą ir kriptografiją, IRT operacijų saugumą, tinklo saugumą, prieigos kontrolę, tinkamumą ir veiksmingumą, taip pat tai, ar juos patvirtino valdymo organas ir ar apie juos pranešta visiems atitinkamiems suinteresuotiesiems subjektams (pagal SVAA 14 straipsnį);
• b. tai, ar įstaigos nustatytas IRT rizikos tolerancijos lygis ir IRT sutrikimų poveikio tolerancija yra tinkami (kaip numatyta SVAA 6 straipsnio 8 dalies b punkte);
• c. įstaigos skaitmeninės veiklos atsparumo strategijos tinkamumą ir įgyvendinimą, įskaitant jos derėjimą su verslo strategija;
• d. IRT trečiųjų šalių rizikos strategijos, įskaitant, jei tokia yra, IRT kelių tiekėjų strategiją, suderinamumą su bendrąja verslo strategija ir IRT rizikos valdymo sistema;
• e. likutinę riziką, susijusią su įstaigos nustatytomis rizikomis, susijusiomis su sutartiniais susitarimais dėl IRT paslaugų, užtikrinančių ypatingos svarbos ar svarbių funkcijų veikimą, naudojimo;
• f. likutinę riziką, susijusią su įstaigos nustatytomis rizikomis, susijusiomis su IRT projektais, turinčiais įtakos ypatingos svarbos ar svarbioms funkcijoms, apie kurias pranešama valdymo organui, taip pat su IRT sistemų įsigijimu, kūrimu ir priežiūra bei IRT pokyčiais;
• g. skaitmeninės veiklos atsparumo testavimo programos patikimumą ir išsamumą;
• h. pagrindinių su IRT susijusių incidentų ir išvadų, apie kuriuos pranešta valdymo organui pagal SVAA 17 straipsnio 3 dalies e punktą ir 13 straipsnio 5 dalį, tendencijas ir mastą;
• i. nustatytai reikšmingai IRT rizikai taikomas specialias IRT rizikos kontrolės priemones;
• j. savalaikes ataskaitas valdymo organui ir vyresniajai vadovybei apie IRT rizikos valdymo aspektus;
• k. vidaus audito apimtį ir nustatytus faktus.

³⁶ Pagal SVAA reikalavimus, šios politikos turėtų apimti bent jau informacijos saugumo politiką, atsarginių kopijų kūrimo politiką, IRT turto valdymo politiką, šifravimo ir kriptografinių kontrolės priemonių politiką, kriptografinių raktų valdymo politiką, IRT projektų valdymo politiką, IRT sistemų įsigijimo, kūrimo ir priežiūros politiką, žmogiškųjų išteklių politiką, fizinio ir aplinkos saugumo politiką, su IRT susijusių incidentų valdymo politiką, taip pat politiką dėl trečiųjų šalių IRT paslaugų teikėjų teikiamų paslaugų, skirtų ypatingos svarbos ar svarbioms funkcijoms užtikrinti, naudojimo.

Vertindamos IRT rizikos valdymą, kompetentingos institucijos turėtų skirti ypatingą dėmesį IRT trečiųjų šalių rizikos valdymui, įskaitant įstaigos priklausomybės nuo IRT trečiųjų šalių paslaugų teikėjų lygį. Šiuo tikslu kompetentingos institucijos turėtų užtikrinti glaudų bendradarbiavimą su ypatingos svarbos IRT paslaugas teikiančių trečiųjų šalių pagrindiniais priežiūros vykdytojais, kaip numatyta EPI bendrose gairėse³⁷ , jeigu vertinama įstaiga IRT paslaugas gauna iš ypatingos svarbos IRT paslaugas teikiančios trečiosios šalies. Kompetentingos institucijos taip pat turėtų įvertinti, ar institucijos įsteigta speciali pareigybė arba paskirtas aukščiausiosios vadovybės narys veiksmingai vykdo trečiųjų šalių susitarimų IRT srityje stebėseną.

³⁷ EPI bendros gairės dėl EPI ir kompetentingų institucijų bendradarbiavimo ir keitimosi informacija priežiūros srityje pagal Reglamentą (ES) 2022/2554 (JC/2024/36).

Kompetentingos institucijos turėtų analizuoti, ar vidaus audito funkcija yra veiksminga ir ar ji turi pakankamai žinių, įgūdžių ir patirties audito įstaigos IRT rizikos valdymo sistemai įgyvendinti, ir šiuo tikslu tikrinti, ar:

• a. IRT rizikos valdymo sistemos auditas atliekamas pakankamai kokybiškai, išsamiai, dažnai ir atitinka įstaigos dydį, veiklą ir IRT rizikos profilį;
• b. audito plane numatyti audito patikrinimai, susiję su įstaigos nustatytais reikšmingais IRT rizikos veiksniais, įskaitant nepriklausomus IRT reagavimo ir veiklos atkūrimo planų vertinimus;
• c. laiku patikrinti ir ištaisyti svarbiausi IRT audito nustatyti faktai, įskaitant ataskaitų teikimą valdymo organui;
• d. dėl nustatytų IRT audito faktų, įskaitant sutartus veiksmus, imamasi tolesnių oficialių veiksmų, o vyresnioji vadovybė ir (arba) audito komitetas periodiškai tikrina pažangos ataskaitas.

6.4.4. Reputacijos rizikos vertinimas

Kompetentingos institucijos turėtų vertinti įstaigai kylančią reputacijos riziką naudodamosi patirtimi, įgyta pagal 4–6.2 antraštines dalis. Tokiame vertinime dėmesys taip pat turėtų būti skiriamas bendrai reputacijos rizikos sistemai, užtikrinant įstaigos gebėjimą veiksmingai valdyti bet kokius reputacijos rizikos įvykius. Atliekant šį vertinimą, kompetentingos institucijos turėtų vengti dvigubai skaičiuoti aspektus, kurie jau buvo įvertinti atliekant teisinės rizikos vertinimą (6.4.2.1 skyrius).

Vertindamos reputacijos rizikos reikšmingumą, kompetentingos institucijos turėtų atsižvelgti į įstaigos dydį, taip pat į jos teikiamų paslaugų, vykdomos veiklos ir operacijų pobūdį, mastą ir sudėtingumą (pvz., biržoje kotiruojamos akcijos ar skolos vertybiniai popieriai arba dalyvavimas tarpbankinėse rinkose).

Kompetentingos institucijos turėtų analizuoti ir vidaus, ir išorės veiksnius arba įvykius, dėl kurių įstaigai gali kilti su reputacija susijusių rūpesčių, išskyrus įvykius, kurie gali peraugti į teismines bylas. Dėl 1 ir 2 kategorijų įstaigų kompetentingos institucijos, atlikdamos vertinimą, turėtų atsižvelgti į visus šiuos rodiklius:

• a. neigiamą žiniasklaidos / socialinių tinklų dėmesį bei vartotojų asociacijų iniciatyvas, dėl kurių galėtų pablogėti visuomenės nuomonė apie įstaigą ir jos reputaciją;
• b. vartotojų skundų skaičių ir pokytį arba staigų vartotojų ar investuotojų praradimą;
• c. neigiamus įvykius, susijusius su panašiomis įstaigomis, kuriuos visuomenė galėtų susieti su visu finansų sektoriumi arba tam tikra įstaigų grupe;
• d. asmenų, dalyvaujančių įstaigos valdyme arba turinčių reikšmingą akcijų paketą, reputaciją;
• e. veikimą ar operacijas sektoriuose ar jurisdikcijose, kuriose kyla didelė PP / TF rizika, arba bendradarbiavimą su asmenimis, kuriems būdinga didelė PP / TF rizika;
• f. veikimą ar operacijas sektoriuose arba jurisdikcijose ir (arba) bendradarbiavimą su sandorio šalimis, kurioms kyla esminių problemų arba viešų ginčų, susijusių su ASV veiksniais, įskaitant, be kita ko, aplinkos veiksnius;
• g. su IRT susijusių incidentų poveikį reputacijai, kurį įstaiga užregistravo pagal Komisijos deleguotąjį reglamentą (ES) 2024/1772³⁸ ;
• h. kitus „rinkos“ rodiklius, jei tokių duomenų turima (pvz., reitingų sumažinimus arba akcijų kainos kaitą per metus).

³⁸ 2024 m. kovo 13 d. Komisijos deleguotasis reglamentas (ES) 2024/1772, kuriuo papildomas Europos Parlamento ir Tarybos reglamentas (ES) 2022/2554 dėl reguliavimo techninių standartų, kuriais nustatomi su informacinėmis ir ryšių technologijomis (IRT) susijusių incidentų ir kibernetinių grėsmių klasifikavimo kriterijai, nustatomos reikšmingumo ribos ir patikslinamos ataskaitų apie didelius incidentus detalės, C/2024/1519 (OL L, 2024/1772, 2024 6 25, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

Kompetentingos institucijos turėtų įvertinti įstaigos reputacijos rizikos masto reikšmę ir jos sąsajas su kitomis rizikomis, remdamosi atitinkamais rizikos vertinimais (įskaitant kitų priežiūros institucijų vertinimus), siekdamos nustatyti galimą antrinį poveikį abiem kryptimis.

Operacinės rizikos analizės atžvilgiu kompetentingos institucijos turėtų atsižvelgti į įstaigai kylančios PP / TF rizikos svarbą ir reikšmingumą žvelgiant prudenciniu požiūriu pagal operacinės rizikos apimtį. Šiuo atžvilgiu kompetentingos institucijos turėtų naudotis svarbia iš už kovą su pinigų plovimu ir terorizmo finansavimu atsakingų priežiūros institucijų gauta informacija ir papildyti savo vykdomos priežiūros išvadas bei įvertinti, ar dėl jų kyla su PP / TF rizika susijusių prudencinių klausimų.

Kompetentingos institucijos turėtų atsižvelgti į tai, kad PP / TF rizika gali kilti bet kokiai įstaigai, neatsižvelgiant į įstaigos dydį ar finansinį patikimumą. Todėl tinkamas dėmesys turėtų būti skiriamas ir įstaigoms, kurios laikomos finansiškai patikimos ir gali turėti gerą reputaciją, jeigu tos įstaigos galėtų būti konkrečiai pasirinktos PP / TF tikslais. Dėmesys turėtų būti skiriamas ir toms įstaigoms, kurioms labai sekasi pritraukti naujų vartotojų ir (arba) plėsti rinkos dalį, ypač naudojant netradicinius platinimo kanalus, nes tai galėtų būti susiję su silpnomis klientų išsamaus patikrinimo kontrolės priemonėmis vartotojų prijungimo etape.

Kompetentingos institucijos su už kovą su pinigų plovimu ir terorizmo finansavimu atsakingomis priežiūros institucijomis turėtų dalytis svarbia informacija apie nustatytas operacinės rizikos problemas, dėl kurių gali kilti PP / TF rizika, tikslinių finansinių sankcijų nevykdymo arba vengimo rizika ir tokių problemų, kaip įstaigos IT sistemos ar vidaus kontrolės sistemos trūkumai.

Kompetentingos institucijos turėtų vertinti, ar įstaiga yra įdiegusi reikiamą reputacijos rizikos valdymo tvarką, strategijas, procesus ir mechanizmus. Pirmiausia, kompetentingos institucijos turėtų atsižvelgti į tai, ar:

• a. įstaiga yra įforminusi ir įdiegusi politiką ir procesus, kuriais šią riziką nustatytų, valdytų ir stebėtų, įskaitant griežtą elgesio kodeksą, ir ar ši politika ir procesai proporcingi įstaigos dydžiui ir svarbai sistemoje;
• b. įstaiga šią riziką mažina atsargiai, be kita ko, nustato atitinkamus parametrus ir stebėsenos priemones, įtraukia galimus reputacijos klausimus į nenumatytų atvejų planus, vykdo atitinkamus mokymus ir rengia informuotumo didinimo sesijas bei naudojasi įgyta patirtimi;
• c. įstaiga atlieka testavimą nepalankiausiomis sąlygomis arba scenarijų analizę, kad įvertintų bet kokį netiesioginį reputacijos rizikos poveikį (pvz., likvidumui ir finansavimo sąnaudoms, pozicijų pakeitimui vertybiniais popieriais, galimybei pasinaudoti atitinkama bankininkystės paslauga);
• d. įstaiga imasi veiksmų savo prekės ženklui apsaugoti, naudodama žiniasklaidos / socialinių tinklų stebėjimo priemones, protokolus, skirtus kovoti su dezinformacija ir neigiamu viešumu, taip pat vykdydama operatyvias informavimo kampanijas;
• e. įstaiga analizuoja galimą savo strategijos ir verslo planų ir apskritai savo elgsenos poveikį reputacijai.

6.4.5. Veiklos atsparumas

Kompetentingos institucijos turėtų susidaryti visapusišką vaizdą apie įstaigos gebėjimą vykdyti ypatingos svarbos ar svarbias funkcijas esant veiklos sutrikimams (veiklos atsparumo lygis) – tai rezultatas, kurį lemia veiksmingas veiklos rizikos valdymas, atsižvelgiant į įstaigos dydį, verslo modelį ir bendrą rizikos profilį. Šiuo tikslu kompetentingos institucijos turėtų remtis turimais vertinimais, susijusiais su operacinės rizikos valdymu, veiklos tęstinumu, pokyčių valdymo gebėjimais, trečiųjų šalių teikiamomis paslaugomis ir IRT, kuriomis remiasi įstaiga, kad visapusiškai įvertintų, ar šie elementai kartu prisideda prie įstaigos operacinio atsparumo. Kompetentingos institucijos taip pat turėtų atsižvelgti į tai, ar įstaiga nuosekliai ir koordinuotai įgyvendina savo rizikos valdymo sistemą, veiklos tęstinumo planus, trečiųjų šalių valdymą (jau įvertintą pagal SVAA ir EBI gaires, paskelbtas pagal Direktyvos 2013/36/ES dėl vidaus valdymo tvarkos, procesų ir mechanizmų 74 straipsnio 3 dalį) ir veiklos atkūrimo ir pertvarkymo sistemas. Be to, kompetentingos institucijos turėtų įvertinti, ar įstaiga pakankamai išnagrinėjo vidinius ir išorinius ryšius bei tarpusavio priklausomybes, kurie yra būtini jos ypatingos svarbos ar svarbioms funkcijoms vykdyti.

Kompetentingos institucijos turėtų įvertinti, kiek valdymo organas ir vyresnioji vadovybė skiria dėmesio įstaigos gebėjimui reaguoti į veiklos sutrikimus ir atsigauti po jų, remdamosi prielaida, kad sutrikimai neišvengiamai įvyks. Tai vertindamos, kompetentingos institucijos turėtų apsvarstyti, ar:

• a. valdymo organas aktyviai prisideda prie to, kad visoje įstaigoje būtų suformuotas išsamus supratimas apie veiklos atsparumo metodiką, ir stebi šios metodikos veiksmingumą;
• b. laiku teikiamos ataskaitos apie įstaigos nuolatinį veiklos atsparumą, taip padedant valdymo organui vykdyti priežiūrą, visų pirma tais atvejais, kai nustatyti dideli trūkumai galėtų turėti įtakos įstaigos ypatingos svarbos ar svarbių funkcijų vykdymui. 6.4.6. Išvadų, vertinimo balais ir priežiūros priemonių santrauka

Atlikusios pirmiau aptartą vertinimą, kompetentingos institucijos turėtų susidaryti nuomonę apie įstaigos operacinę riziką. Ši nuomonė turėtų būti išdėstyta išvadų santraukoje, prie kurios pridedamas rizikos balas, pagrįstas 10 lentelėje nurodytais analizės kriterijais. Jeigu, atsižvelgdama į tam tikrų rizikos pakategorių reikšmingumą, kompetentinga institucija nusprendžia šias pakategores vertinti ir joms balą skirti atskirai, šioje lentelėje išdėstytų rekomendacijų reikėtų, kiek tai įmanoma, laikytis pagal analogiją.

10 lentelė. Priežiūriniai analizės kriterijai, pagal kuriuos skiriamas operacinės rizikos balas Priežiūros

Toliau esančioje lentelėje pateikiamas nebaigtinis priežiūros priemonių sąrašas, kurias kompetentingos institucijos gali taikyti, jei nustatomi trūkumai įstaigos operacinės rizikos valdymo sistemoje ir veiklos atsparumo srityje (atsižvelgiant į glaudų operacinio atsparumo ir operacinės rizikos valdymo tarpusavio ryšį). Kompetentingos institucijos turėtų nuspręsti dėl priemonės rūšies, atsižvelgdamos į jos veiksmingumą šalinant konkretų nustatytą trūkumą. Kompetentingos institucijos gali taikyti papildomas priežiūros priemones (įskaitant kiekybines priemones pagal Direktyvos 2013/36/ES 104 straipsnio 1 dalies a punktą) arba jų derinį su toliau esančioje lentelėje išvardytomis priemonėmis, jeigu jos laikomos tinkamesnėmis nustatytiems trūkumams pašalinti. SVAA pažeidimų atveju kompetentingos institucijos turėtų apsvarstyti galimybę taikyti SVAA 50 straipsnyje numatytas atitinkamas korekcines ir taisomąsias priemones. 11 lentelė. Nebaigtinis galimų priežiūros priemonių, nustatytų vertinant operacinę riziką ir veiklos atsparumą, sąrašas Galimos kompetentingų institucijų priežiūros priemonės pagal Direktyvos 2013/36/ES 104 straipsnio 1 dalies b, d, e, f, j, l, m ir n punktus ir Reglamento (ES) 2022/2554 50 straipsnį. Kompetentingos institucijos gali reikalauti, kad įstaiga:

• a) valdymo organą arba jo komitetus labiau įtrauktų į sprendimų dėl operacinės rizikos valdymo priėmimo procesą;
• b) tobulintų operacinės rizikos vertinimo sistemas;
• c) stiprintų veiklos procesų kontrolės priemones, įskaitant nustatymą, stebėseną, reagavimą ir atkūrimą;
• d) tobulintų veiklos valdymo sistemą;
• e) gerintų operacinės rizikos ataskaitų teikimą valdymo organui ir vyresniajai vadovybei;
• f) parengtų ir įgyvendintų trūkumų šalinimo veiksmų planus;
• g) apribotų tam tikrus susitarimus su trečiosiomis šalimis, visų pirma susijusius su ypatingos svarbos ar svarbiomis funkcijomis;
• h) stiprintų operacinės rizikos testavimą nepalankiausiomis sąlygomis ir scenarijų analizę;
• i) įgyvendintų griežtesnes veiklos rizikos valdymo priemones;
• j) stiprintų veiklos tęstinumo, reagavimo ir veiklos atkūrimo planus;
• k) stiprintų operacinės rizikos, susijusios su ASV rizika, visų pirma rizika aplinkai, valdymą, galimai remiantis vienu ar keliais pirmiau išvardytais veiksmais.