12. Operacinės rizikos valdymas ir veiklos atsparumas

TSŽ emitentas turėtų turėti tinkamą operacinės rizikos valdymo sistemą ir veiklos atsparumo sistemą. Tai apima veiksmingą politiką ir procesus, kuriais siekiama:

• a. laiku nustatyti, įvertinti, vertinti ir stebėti operacinę riziką, apie ją pranešti ir ją mažinti ;
• b. nustatyti ir apsisaugoti nuo grėsmių ir galimų nesėkmių, reaguoti į trikdančius įvykius ir prie jų prisitaikyti, taip pat po jų atsigauti ir iš jų mokytis, siekiant kuo labiau sumažinti jų poveikį ypatingos svarbos ar svarbių funkcijų vykdymui¹³ .

¹³ BBPK veiklos atsparumo principai, 2021 m. kovo mėn., https://www.bis.org/bcbs/publ/d516.pdf.

TSŽ emitento valdymo organas, kaip rizikos valdymo sistemos dalis turėtų patvirtinti operacinės rizikos ir veiklos atsparumo valdymo strategijas, politiką ir procesus, įskaitant operacinės rizikos sistemos rizikos apetitą ir priimtiną riziką, susijusią su ypatingos svarbos ar svarbių funkcijų sutrikdymu¹⁴ . Tos strategijos, politika ir procesai turėtų būti periodiškai peržiūrimi ir atnaujinami.

¹⁴ Priimtini trikdžiai – trikdžių lygis, kurį emitentas yra pasirengęs prisiimti dėl bet kurios rūšies operacinės rizikos, atsižvelgiant į įvairius sunkius, bet tikėtinus scenarijus.

Valdymo organas užtikrina, kad ši politika ir procesai būtų veiksmingai įgyvendinami, visiškai integruoti į bendrą TSŽ emitento rizikos valdymo sistemą, įskaitant riziką, susijusią su trečiųjų šalių subjektų pasitelkimu, ir kad apie juos būtų veiksmingai informuojami atitinkami darbuotojai.

TSŽ emitentas turėtų aiškiai priskirti atsakomybę už operacinės rizikos ir veiklos atsparumo vertinimo ir valdymo sistemą.

TSŽ emitentas turėtų nustatyti savo operacinės rizikos pozicijas, sekti atitinkamus operacinės rizikos duomenis, įskaitant duomenis apie reikšmingus nuostolius, ir atlikti scenarijų analizę.

TSŽ emitentas turėtų nustatyti savo ypatingos svarbos operacijas, laikydamasis veiklos atsparumo metodo, ir sudaryti asmenų, technologijų, procesų, duomenų, infrastruktūros, trečiųjų šalių, įskaitant grupės vidaus subjektus, taip pat jų tarpusavio sąsajų ir priklausomybės ryšių, kurie yra būtini, kad būtų galima vykdyti ypatingos svarbos ar svarbias funkcijas įprastinės veiklos sąlygomis ir veiklai sutrikus, žemėlapį.

Operacinės rizikos ir veiklos atsparumo valdymo sistemą turėtų reguliariai peržiūrėti vidaus arba išorės auditoriai, turintys žinių, būtinų tokioms peržiūroms atlikti. Operacinės rizikos valdymo sistemos ir veiklos atsparumo sistemos struktūra turėtų būti sudaryta remiantis pakankamais ir tinkamais žmogiškaisiais ir techniniais ištekliais. TSŽ emitento operacinės rizikos vertinimo sistema ir veiklos atsparumo sistema turėtų būti visapusiškai integruotos į emitento rizikos valdymo sistemą.

Turėtų būti įdiegta ataskaitų teikimo valdymo organui sistema, pagal kurią atitinkamas TSŽ emitento funkcijas atliekantys darbuotojai teiktų atitinkamas operacinės rizikos ir veiklos atsparumo ataskaitas. TSŽ emitentas turėtų būti nustatęs procedūras, pagal kurias prireikus būtų galima nedelsiant imtis atitinkamų veiksmų.

TSŽ emitentas turėtų nustatyti ir įvertinti TSŽ emitento veiklai, procesams ir sistemoms būdingą operacinę riziką, kad įsitikintų, jog būdinga rizika yra gerai suvokiama.

Atsižvelgdamas į I antraštinę dalį dėl proporcingumo principo taikymo, TSŽ emitentas turėtų nustatyti, analizuoti ir išmatuoti įvairius scenarijus, įskaitant mažai tikėtinus ir labai sunkius įvykius, iš kurių kai kurie galėtų lemti didelius su operacine rizika susijusius nuostolius. Scenarijų analizė apima atitinkamus vidaus ir išorės nuostolių duomenis, įsivertinimo informaciją, ekspertų nuomonę, vidaus kontrolės sistemą, į ateitį orientuotus parametrus, pagrindinių priežasčių analizę ir atitinkamai procesų sistemą. Scenarijų analizės procesas turėtų būti naudojamas siekiant parengti galimų įvykių pasekmių spektrą, įskaitant poveikio vertinimą rizikos valdymo tikslais, papildant kitas priemones, paremtas ankstesniais duomenimis ar dabartiniais rizikos vertinimais.

Atsižvelgdami į I antraštinę dalį, TSŽ emitentai gali taikyti kokybinio rizikos vertinimo metodus,

• o reikšmingų TSŽ emitentai turėtų naudoti sudėtingesnį metodą, įskaitant, jei yra, vidaus ir išorės duomenų apie nuostolius naudojimą, siekiant jais pagrįsti scenarijų analizę.