6. 6. sadaļa. Risku kapitālam novērtēšana

109. Kompetentajām iestādēm jānovērtē un jāizvērtē riski kapitālam, ko uzskata par iestādei būtiskiem.

110. Šīs sadaļas mērķis ir nodrošināt vienotu metodiku, kas jāņem vērā, novērtējot individuālos riskus, kā arī riska pārvaldīšanu un kontroli. Šie nav paredzēti kā visaptveroši kritēriji un ļauj

nozīmīgiem, balstoties uz pieredzi un konkrētām iestādes īpatnībām.

111. Šajā sadaļā kompetentajām iestādēm tiek sniegtas novērtēšanas un izvērtēšanas pamatnostādnes attiecībā uz šādiem riskiem kapitālam:

• a. kredītrisks un darījuma partnera kredītrisks;
• b. tirgus risks;
• c. operacionālais risks;
• d. procentu likmes risks, kas izriet no netirdzniecības darbībām (IRRBB).

novērtējot riskus kapitālam. Atkarībā no tā, cik būtiskas ir jebkuras no šīm apakškategorijām konkrētajai iestādei, tās var tikt novērtētas un pēc rezultātiem ierindotas individuāli. I– IV pielikumā ir sniegts neizsmeļošs kredītriska, tirgus riska, operacionālā riska un IRRBB apakškategoriju saraksts, kas kompetentajām iestādēm attiecīgā gadījumā jāņem vērā.

ārvalstu valūtas aizdevumu risku, ņemot vērā ESRK Ieteikumu par aizdevumiem ārvalstu valūtās²⁷ , būtiskums jānosaka, ņemot vērā šādu slieksni: ārvalstu valūtā denominēti aizdevumi pret risku nenodrošinātiem aizņēmējiem veido vismaz 10 % no iestādes kopējā aizdevumu portfeļa (kopējie aizdevumi nefinanšu sabiedrībām un mājsaimniecībām), ja šāds kopējais aizdevumu portfelis veido vismaz 25 % no iestādes kopējiem aktīviem.

114. Kompetentajām iestādēm jāizvērtē arī citi riski, kas konkrētai iestādei ir atzīti par būtiskiem,

iesaistīšanās risks, kā arī risku koncentrācija gan viena riska veida ietvaros, gan starp dažādiem riskiem). Risku noteikšanas procesā var palīdzēt:

• a. TREA ietekmējošie faktori;
• b. riski, kas konstatēti iestādes ICAAP;
• c. riski, ko rada iestādes uzņēmējdarbības modelis (tostarp tie, ko nosaka citas iestādes, kas darbojas ar līdzīgu uzņēmējdarbības modeli);
• d. informācija, kas izriet no galveno rādītāju uzraudzības;
• e. iekšējās vai ārējās revīzijas ziņojumu konstatējumus un novērojumus;
• f. EBI sniegtie ieteikumi un pamatnostādnes, kā arī makroprudenciālās uzraudzības iestāžu vai ESRK brīdinājumi un ieteikumi.

uzraudzības darbības intensitāti attiecībā uz specifisku risku novērtēšanu.

116. Attiecībā uz kredītrisku, tirgus risku un operacionālo risku kompetentajām iestādēm jānovērtē, cita starpā, vai iestāde ievēro tiesību aktus, kas atsevišķi publicēti EBI tīmekļa vietnē, kā minēts 12 punktā. Tomēr šīs pamatnostādnes paplašina novērtēšanas jomu ārpus šīm minimālajām prasībām, lai ļautu kompetentajām iestādēm izveidot visaptverošu viedokli par riskiem kapitālam.

117. Izvērtējot riskus kapitālam, kompetentajām iestādēm arī jāapsver finansējuma izmaksu riska

kvantitatīvie rādītāji un citi mērījumi, kurus varētu izmantot arī 3. sadaļā noteikto galveno rādītāju uzraudzībai, kā arī, attiecīgā gadījumā, jāņem vērā iestāžu iekšējie riska novērtējuma rādītāji.

119. Par katru būtisko risku kompetentajām iestādēm jānovērtē un jāatspoguļo riska izvērtējums:

• a. piemītošais risks (riska darījumi);
• b. riska pārvaldības un kontroles kvalitātei un efektivitātei.

120. Šī novērtēšanas procesa plūsma ir attēlota 2. attēlā tālāk.

2. attēls. Kapitāla risku novērtēšanas darbplūsma

Individuālo risku un kontroles Riska novērtēšana vērtējums

121. Veicot novērtējumus, kompetentajām iestādēm jāizmanto pieejamie informācijas avoti, tostarp normatīvie ziņojumi, iestādes iekšējie rādītāji un ziņojumi (piemēram, iekšējās revīzijas ziņojums, riska pārvaldības ziņojumi, informācija no ICAAP), pārbaužu uz vietas ziņojumi un ārējie ziņojumi (piemēram, iestādes saziņa ar investoriem, reitinga aģentūrām). Kompetentajām iestādēm jāizmanto ad hoc ziņošana gadījumos, kad tas ir absolūti nepieciešams un samērīgs, lai veiktu savus uzraudzības uzdevumus, un ja informācija nav dublēta vai citādi pieejama, saskaņā ar KPD 104. panta 2. punkta otro apakšpunktu. Lai gan novērtējums ir konkrētai iestādei, jāizdara salīdzinājums ar līdzīgajām iestādēm, lai noteiktu iespējamos kapitāla risku draudus. Šādiem nolūkiem līdzīgas ieguldījumu sabiedrības jānosaka, pamatojoties uz kādu konkrētu risku, un tās var atšķirties no tām, kas noteiktas attiecībā uz BMA vai veicot citas analīzes.

122. Veicot kapitāla risku novērtēšanu, kompetentajām iestādēm arī jāizvērtē minimālā pašu

riska virzītājspēku skaidrojumā un vērtējumā, kā noteikts turpmākajās iedaļās.

²⁷ Eiropas Sistēmisko risku kolēģijas ieteikums (2011. gada 21. septembris) par kreditēšanu ārvalstu valūtā (ESRB/2011/1) (OV L 342, 22.11.2011., 1. lpp.).

6.2.1. Vispārīgi apsvērumi

124. Novērtējot kredītriska pārvaldības sistēmu, kompetentajām iestādēm jāizvērtē, vai iestāde ievēro tiesību aktus, kas atsevišķi publicēti EBI tīmekļa vietnē, kā minēts 12. punktā.

125. Kompetentajām iestādēm jānovērtē kredītrisks, kas izriet no visiem netirdzniecības portfeļa riska darījumiem (tostarp ārpusbilances posteņiem). Tām jānovērtē arī darījuma partnera kredītrisks un norēķinu risks, kas varētu attiekties gan uz netirdzniecības, gan tirdzniecības portfeli. Lai veiktu šādu novērtējumu, kompetentajām iestādēm jāņem vērā visi faktori, kas nosaka potenciālos kredītzaudējumus, un jo īpaši:

• a. kredītnotikuma (t. i., saistību nepildīšanas) vai savstarpēji saistītu kredītnotikumu varbūtība, kas galvenokārt attiecas uz aizņēmējiem un to spēju atmaksāt attiecīgās saistības;
• b. kredītriskam pakļauto riska darījumu apjomu;
• c. kredītrisku atgūšanas rādītājs gadījumā, ja aizņēmēji nepilda savas saistības.

126. Kompetentajām iestādēm jāņem vērā iespēja, ka šie komponenti var pasliktināties laika gaitā un būt sliktāki salīdzinājumā ar gaidāmajiem iznākumiem.

127. Kompetentajām iestādēm jānovērtē VSP risku ietekme uz objektīvo kredītrisku, kā arī kredītriska kontroles piemērotība saistībā ar VSP riskiem, prioritāti piešķirot vides riskiem. Kompetentajām iestādēm jo īpaši jāņem vērā vides pārejas un fiziskie riski, veicot kredīta koncentrācijas riska un nekustamā īpašuma riska novērtējumu, kā arī novērtējot kredītrisku konkrētos portfeļos vai riska darījumu kategorijās, kas tiek uzskatītas par būtiski pakļautām vides riskiem.

128. Turklāt kompetentajām iestādēm jāpievērš uzmanība arī nelikumīgi iegūtu līdzekļu legalizēšanas / teroristu finansēšanas riskiem, kas tiek ņemti vērā kredītu piešķiršanas procesa kontekstā, tostarp tam, vai iestādei ir ieviestas sistēmas un kontroles pasākumi, lai nodrošinātu, ka līdzekļi, ko izmanto aizdevumu atmaksāšanai, ir no likumīgiem avotiem.

6.2.2. Objektīvā kredītriska novērtēšana

Būtisku kredītriska avotu identifikācija

129. Kompetentajām iestādēm jānovērtē kredītrisks gan no pašreizējā, gan no nākotnes perspektīvas, apvienojot pašreizējā portfeļa kredītriska analīzi ar iestādes kredītriska stratēģijas, vēlmes uzņemties risku un riska limitu novērtējumu (iespējams, kā daļu no plašāka stratēģijas novērtējuma, kas tiek veikts BMA ietvaros). Kompetentajām iestādēm arī jāapsver, kā gaidāmā, kā arī saspringtā makroekonomiskā attīstība varētu ietekmēt šos elementus.

130. Lai novērtētu iestādes raksturīgo kredītrisku, kompetentajām iestādēm vispirms jānosaka tās kredītriska pakļautība. Lai to panāktu un nodrošinātu konsekventu to kredītriska avotu identificēšanu, kuriem iestāde ir vai varētu būt pakļauta, tai jāņem vērā šādi informācijas avoti:

• a. regulatīvās ziņošanas veidnes, piemēram, COREP un FINREP, ņemot vērā attiecīgās regulatīvās riska darījumu kategorijas, pamatojoties uz iestādes pieeju pašu kapitāla prasībām (t. i., standartizēto vai uz iekšējiem reitingiem balstīto);
• b. konstatējumi, kas gūti, izvērtējot citus SREP elementus (piemēram, BMA) un iepriekšējās uzraudzības darbības;
• c. iestādes stāvokļa salīdzinājumi ar līdzīgām iestādēm, ja tādi ir pieejami. Jo īpaši attiecībā uz iestādēm, kas izmanto uz iekšējiem reitingiem balstīto pieeju, kompetentajām iestādēm jāņem vērā saskaņā ar Direktīvas 2013/36/ES 78. pantu veiktās uzraudzības kritēriju rezultāts. 131. Kompetentajām iestādēm savs novērtējums galvenokārt jāvērš uz nozīmīgākajiem identificētajiem kredītriska avotiem, izvērtējot to būtiskumu iestādei no prudenciālā viedokļa. Lai veiktu šo novērtējumu, tām jāņem vērā šādi elementi:
• a. kredītriska stratēģija un vēlamo kredītriska līmeni, kā arī attiecīgos limitus;
• b. riska darījumu vērtības apmērs attiecīgajam portfelim salīdzinājumā ar kredītriska darījumu kopējo riska darījumu vērtību, tostarp tā pieaugums laika gaitā;
• c. pašu kapitāla prasība kredītriska segšanai attiecīgajam portfelim salīdzinājumā ar kopējo pašu kapitāla prasību, ieskaitot tās pieaugumu laika gaitā;
• d. attiecīgā gadījumā – iestādes attiecīgajam portfelim kredītriska segšanai piešķirtais iekšējais kapitāls salīdzinājumā ar kopējo iekšējo kapitālu;
• e. iestādes bilances un ārpusbilances kredītu posteņu sastāvs un kvalitāte ienākumus nesošajā (tostarp pārskatītajā riska darījumā) un ienākumus nenesošajā portfelī, tostarp vērtības samazināšanās un norakstījumu līmenis un izmaiņas laika gaitā, kā arī kredītportfeļa saistību neizpildes rādītāji.

132. Kompetentajām iestādēm jānovērtē riska būtiskums saistībā ar pašreizējo portfeli, kā arī ar vēsturisko un uz nākotni vērsto perspektīvu (iepriekšējās izmaiņas šajos skaitļos un prognozēs, ja tādas ir pieejamas).

133. Kā papildu informācijas avotu būtiskuma novērtējumam kompetentajām iestādēm jāapsver iestādes izmantotie iekšējie kredītriska parametri, ja tie ir pieejami un piemēroti. Tas ietver to atbilstības novērtēšanu, lai precīzi kvantificētu kredītriska pozīcijas dažādos portfeļos, pievēršot īpašu uzmanību datiem, kas iekļauti iestādes validācijas funkcijas sagatavotajā gada pārskatā, un konkrētāk – retrospektīvās pārbaudes rezultātiem, proti, iestādes veiktajai aprēķināto parametru salīdzināšanai ar novērotajiem rezultātiem. Kompetentajām iestādēm jāpievērš uzmanība portfeļiem, kuros aprēķinātie parametri ir novērtējuši novērotos rezultātus par zemu.

134. Kompetentajām iestādēm jāņem vērā arī iestādes veikto stresa testu rezultāti, lai identificētu iepriekš nekonstatētus kredītriska avotus, piemēram, tādus, kas rodas, mainoties kredītkvalitātei, kredītu koncentrācijai, nodrošinājuma vērtībai un kredītrisks-pozīcijām stresa apstākļos.

135. Pamatojoties uz būtiskuma novērtējumu, kas veikts saskaņā ar iepriekšējiem punktiem, kā arī iestādes kredītriska un kredītportfeļa lielumu un sarežģītību, kompetentajām iestādēm jāizvēlas atbilstošs novērtējuma detalizācijas līmenis.

Iestādes kredītportfeļa raksturs, apjoms un sastāvs (bilancē un ārpusbilancē uzskaitītās ar kredītiem saistītās pozīcijas)

136. Kompetentajām iestādēm janovērtē kredītriska riska darījumu veids (t. i., aizņēmēju un darījumu veidi) un jāanalizē iestādes kredītportfeļa sastāvs. Veicot šo novērtējumu, kompetentajām iestādēm arī jāapsver, kā kredītriska darījumu veids var ietekmēt darījumu lielumu (piemēram, kredītlīnijas/neizmantotie ierobežojumi, kas paredzēti aizņēmējiem, ārvalstu valūtas nominālvērtības), ņemot vērā iestādes spēju/tiesības vienpusēji atcelt piešķirtās kredītlīnijas neizmantotās summas.

137. Lai novērtētu kredītriska veidu, kompetentajām iestādēm jāņem vērā vismaz šādas kredītriska apakškategorijas, veicot detalizētāku novērtējumu par tām apakškategorijām, kuras uzskatāmas par visbūtiskākajām iestādei²⁸ :

• a. kredītu koncentrācijas risks;
• b. darījuma partnera kredītrisks un norēķinu un piegādes risks;
• c. valsts risks;
• d. vērtspapīrošanas radītais kredītrisks;
• e. arvalstu valūtas aizdevumu risks;
• f. nekustamā īpašuma risks;
• g. kapitāla vērtspapīru risks banku portfelī;
• h. atgūstamās vērtības samazinājuma risks;
• i. risks attiecībā uz normatīvajos aktos apstiprinātiem modeļiem.

138. Gadījumos, kad specializētās kreditēšanas darījumu apjoms tiek uzskatīts par būtisku, kompetentajām iestādēm šie darījumi jāvērtē atsevišķi no citām kreditēšanas darbībām, ņemot vērā, ka šādu darījumu risks ir saistīts ar finansētā aktīva vai projekta (piemēram, komerciālā nekustamā īpašuma, spēkstacijas, kuģniecības, izejvielu) rentabilitāti, nevis ar pašu aizņēmēju (kas parasti ir īpaša mērķa sabiedrība). Veicot šo novērtējumu, kompetentajām iestādēm jāņem vērā:

• a. projektu rentabilitāte un uzņēmējdarbības plānu (tostarp galveno klientu kredītriska) pamatā esošo pieņēmumu konservativitāte;
• b. regulējuma izmaiņu ietekme, jo īpaši attiecībā uz subsidētajām nozarēm, uz nākotnes naudas plūsmām;
• c. mainīgā tirgus pieprasījuma ietekme, attiecīgā gadījumā, un tas, ka pastāv tirgus finansētā objekta potenciālai turpmākai pārdošanai;
• d. sindikāta esamība vai kredītriska dalīšana ar citiem aizdevējiem;
• e. jebkāda veida garantijas, ko ir snieguši sponsori.
• f. iespējamais koncentrācijas riska pieaugums, ko šīs darbības var radīt.

Portfeļa kredītkvalitāte

139. Novērtējot portfeļa kredītu kvalitāti, kompetentajām iestādēm jāpievērš īpaša uzmanība kredītriska darījumu klasifikācijas atbilstībai un jānovērtē klasifikācijas potenciālo kļūdu ietekme, kā rezultātā iestāde var kavēties ar zaudējumu atzīšanu. 140. Kompetentajām iestādēm jāveic analīze, lai nošķirtu ienākumus nesošu, ienākumus nenesošu un pārskatītu riska darījumu kategorijas, ņemot vērā gan parādnieku skaitu, gan attiecīgās summas/apjomus. Kompetentajām iestādēm jānovērtē kopējā kredītu kvalitāte portfeļa līmenī un dažādas kvalitātes pakāpes katrā no iepriekš minētajām kategorijām, lai noteiktu iestādes kopējo kredītrisku. Šā novērtējuma ietvaros kompetentajām iestādēm jāanalizē saistību neizpildes un migrācijas risks pa riska darījumu kategorijām, ņemot vērā kredīta kvalitātes tendences laika gaitā, kā arī jāapsver, vai faktiskā portfeļa kredītu kvalitāte atbilst norādītajai vēlmei uzņemties risku, un jānosaka iemesli jebkādām novirzēm.

141. Rezultātā ir jāveic vispārējs novērtējums par iestādes pilna cikla kredītciklu, sākot no iniciēšanas un beidzot ar katras riska darījumu kategorijas uzraudzību un pārvaldību. Veicot šo analīzi, kompetentajām iestādēm, ja tas ir lietderīgi un iespējams, jāizmanto salīdzinošā analīze un etalonportfeļi (t. i., aizņēmēju portfeļi, kas ir kopīgi iestāžu grupām). Šī analīze jāveic, ņemot vērā:

• a. aktīvu kvalitātes rādītāji, vēsturiskās tendences un pieauguma tempi sadalījumā pa aizņēmēju veidiem, nozarēm un produktiem, aizņēmēju kredītreitingu sadalījums, vēsturiskie pārejas rādītāji starp kredītreitingiem, maksājumu kavējumu un saistību nepildīšanas rādītāji dažādos laika periodos;
• b. neatmaksāto kredītu īpatsvars un segums pa portfeļiem, nozarēm, ģeogrāfiskajām teritorijām un izmaiņas laika gaitā, ņemot vērā arī attiecīgos līdzekļu ieplūdumus/izplūdumus no katra attiecīgā portfeļa, riska pozīciju sadalījumu pa neatmaksāto riska pozīciju kategorijām (t. i., nokavētie maksājumi, apšaubāmie kredīti), katra attiecīgā faktora ietekmē radušos vērtības samazinājumu un norakstījumu apjomu un izmaiņas laika gaitā, vēsturiskos atgūšanas rādītājus un atgūšanas procesa ilgumu, atsavinātos aktīvus un to izmaiņas laika gaitā, kā arī laiku, kas pagājis kopš riska pozīciju klasificēšanas kā nedrošas.

142. Kompetentajām iestādēm jānovērtē, vai aizdevumu zaudējumu uzkrājumu un kredīta novērtējuma korekciju apjoms ir atbilstošs riska pozīciju kvalitātei un, ja nepieciešams, nodrošinājuma līmenim, jo īpaši novērtējot, vai aizdevumu zaudējumu uzkrājumu apjoms atbilst riska līmenim dažādos portfeļos laika gaitā un salīdzinājumā ar attiecīgajām līdzīgajām iestādēm, kā arī ņemot vērā attiecīgās makroekonomiskās tendences, un vai atvasināto finanšu instrumentu tirgus vērtības kredīta novērtējuma korekcijas atspoguļo attiecīgo darījumu partneru kredītspēju. Ja tas tiek uzskatīts par nepieciešamu, kompetentajām iestādēm jāveic klātienes pārbaudes vai citi piemēroti uzraudzības pasākumi, lai novērtētu, vai uzkrājumu līmenis aizdevumu zaudējumiem un risku segums ir atbilstošs, novērtējot, piemēram, aizdevumu izlasi. Veicot šādu novērtējumu, kompetentajām iestādēm jāņem vērā arī jebkādi iekšējo un ārējo revidentu konstatējumi, ja tādi ir pieejami.

143. Izvērtējot iestādes piemītošo kredītrisku, kompetentajām iestādēm jāņem vērā stresa testēšanas rezultāti, ko veikusi iestāde, lai noteiktu jebkādus iepriekš neidentificētus kredītriska avotus, piemēram, izmaiņas kredītu kvalitātē, kredītu koncentrācijas, nodrošinājuma vērtības un kredīta riska darījumu apmēru stresa apstākļos. Kredītriska mazināšanas sistēmas līmenis un kvalitāte

144. Kompetentajām iestādēm jāizvērtē garantiju (ieskaitot kredītu atvasinājumus) līmenis un kvalitāte, kā arī pieejamā nodrošinājuma līmenis un kvalitāte, kas varētu mazināt kredītu zaudējumus, ja rodas kredīta notikumi, tostarp tie, kas nav apstiprināti kā atbilstoši kredītrisku mazināšanas paņēmieni pašu kapitāla aprēķināšanai. Veicot šādu novērtējumu, kompetentajām iestādēm jāņem vērā:

• a. nodrošinājuma un garantiju segums pēc portfeļa, aizņēmēja veida, kategorijas, nozares un citiem saistītajiem aspektiem;
• b. nodrošinājuma vērtības ieņēmumus nesošiem un ieņēmumus nenesošiem riska darījumiem;
• c. vēsturiskie atgūšanas rādītāji pēc nodrošinājuma un garantiju veida un apjoma;

145. Kompetentajām iestādēm arī jānovērtē atlikušā riska būtiskums (kā minēts Direktīvas 2013/36/ES 80. pantā) un jo īpaši nodrošinājuma līgumu un garantiju atbilstība un izpildāmība, nodrošinājuma realizēšanas un garantiju izpildes termiņi un iespējas saskaņā ar valsts tiesisko regulējumu, nodrošinājuma aktīvu likviditāte un vērtības svārstīgums, kā arī nodrošinājuma atgūstamā vērtība jebkādu kredīta piedziņas pasākumu gadījumā. Kompetentajām iestādēm jānovērtē arī garantiju sniedzēju un nodrošinājuma koncentrācija, kā arī korelācija ar aizņēmēju kredītspēju (t. i., korelācijas risks) un iespējamā ietekme uz aizsardzības efektivitāti.

VSP faktori

146. Novērtējot VSP risku un vides risku ietekmi, jo īpaši uz raksturīgo kredītrisku, kompetentajām iestādēm jācenšas ņemt vērā šo risku specifiskās iezīmes, piemēram, to uz nākotni vērsto raksturu un atšķirīgo ietekmi dažādos laika periodos, atzīstot neskaidrības, kas saistītas ar ilgtermiņa prognozēm, vienlaikus attīstot to spēju ņemt vērā šīs iezīmes savā novērtējumā.

6.2.3. Kredītriska pārvaldības un kontroles sistēmas novērtējums

147. Lai iegūtu visaptverošu izpratni par iestādes kredītriska profilu, kompetentajām iestādēm jāizvērtē iestādes kredītriska pārvaldības un kontroles sistēma, kā arī tās atbilstība iestādei raksturīgajām kredītriska pozīcijām. Veicot šo novērtējumu, kompetentajām iestādēm jāņem vērā arī citu SREP elementu (piemēram, bankas pārvaldības novērtējuma un pārvaldības jomu) novērtējuma rezultāti. Iestādēm, kurām piemēro NPE (samazināšanas) stratēģijas un ar tām saistītās pārvaldības un darbības pamatnostādnes, kompetentajām iestādēm arī jānovērtē, vai iestādes atbilst attiecīgajās EBI pamatnostādnēs noteiktajām īpašajām prasībām attiecībā uz šādām stratēģijām un to ieviešanu praksē, tostarp attiecībā uz patērētāju tiesību aizsardzības pienākumu izpildi.

Kredītriska stratēģija un vēlme uzņemties kredītrisku

148. Kompetentajām iestādēm jāizvērtē, vai iestādei ir pienācīgi noteikta, skaidri formulēta un dokumentēta vēlme uzņemties kredītrisku, stratēģija un limiti, ko apstiprinājusi vadības struktūra. Veicot šo novērtējumu, kompetentajām iestādēm, cita starpā, jāņem vērā vadības struktūras loma kredītriska stratēģijas un vēlmes uzņemties risku noteikšanā, apstiprināšanā un pārskatīšanā, šīs stratēģijas pienācīga īstenošana augstākās vadības līmenī, kā arī tās atbilstība iestādei, ņemot vērā tās uzņēmējdarbības modeli, kopējo vēlmi uzņemties risku, pašreizējo un gaidāmo tirgus vidi un finanšu stāvokli.

Organizatoriskā un iekšējās kontroles sistēma

149. Kompetentajām iestādēm jānovērtē, vai iestādei ir atbilstoša organizatoriskā struktūra un pārvaldības pasākumi, lai nodrošinātu efektīvu kredītriska uzņemšanos, mērīšanu un kontroli ar (kvalitatīvi un kvantitatīvi) pietiekamiem cilvēku un tehniskiem resursiem vajadzīgo uzdevumu veikšanai. Tām jo īpaši jānovērtē, vai iestādes vadības struktūra un augstākā vadība izprot kredītu novērtēšanas sistēmas pamatā esošos pieņēmumus. Veicot šo novērtējumu, kompetentajām iestādēm jāņem vērā atbildības jomu atbilstība, kā arī darbinieku prasmes un pieredze savu uzdevumu veikšanā saistībā ar kredītriska uzņemšanos, novērtēšanu, uzraudzību un ziņošanu, tostarp problemātisko kredītu (NPE) pārvaldību, jo īpaši to sanāciju, un, visbeidzot, skaidras nošķiršanas esamība starp riska uzņēmējiem un riska pārvaldītājiem.

150. Kompetentajām iestādēm jānovērtē, vai iestādei ir atbilstošas politikas un procedūras kredītu piešķiršanai, kredītriska identificēšanai, novērtēšanai, ziņošanai un kontrolei, kā arī to, vai tās atbilst iestādes kredītriska stratēģijai un aptver visas galvenās darbības jomas un procesus. Tas ietver novērtējumu par to, vai šīs politikas ir skaidri formulētas, darītas zināmas un konsekventi piemērotas visā iestādē un banku grupā, kurai tā pieder. Veicot šo novērtējumu, kompetentajām iestādēm jāņem vērā, vai vadības struktūra apstiprina šīs politikas un regulāri tās apspriež un pārskata saskaņā ar riska stratēģijām, kā arī to, vai augstākā vadība ir atbildīga par šo politiku un procedūru izstrādi un īstenošanu, kā to noteikusi vadības struktūra.

151. Kompetentajām iestādēm jāizvērtē, vai iestādei ir piemērota sistēma kredītriska identificēšanai, izpratnei, mērīšanai, uzraudzībai un ziņošanai par to, ņemot vērā iestādes lielumu un sarežģītību. Šajā sakarā kompetentajām iestādēm jāizvērtē, vai iestādei ir atbilstoša datu infrastruktūra un vai analītiskās metodes ir piemērotas, lai iestāde varētu pienācīgi pārvaldīt savu kredītrisku, izpildīt uzraudzības ziņošanas prasības, kā arī atklāt, novērtēt un regulāri uzraudzīt kredītrisku, kas raksturīgs visām bilancē un ārpusbilancē iekļautajām darbībām (attiecīgā gadījumā – grupas līmenī).

152. Kompetentajām iestādēm jānovērtē, vai iestādes vadības struktūra un augstākā vadība izprot kredītu novērtēšanas sistēmas pamatā esošos pieņēmumus un vai tās ir informētas par attiecīgā modeļa riska pakāpi. Tām jānovērtē, vai iestāde ir veikusi stresa testus, lai izprastu nelabvēlīgu notikumu ietekmi uz tās kredītriska darījumiem un uz tās kredītriska nodrošinājuma pietiekamību, ņemot vērā stresa testa biežumu, attiecīgos identificētos riska faktorus, stresa scenārija pamatā esošos pieņēmumus; un stresa testa rezultātu iekšējo izmantojumu kapitāla plānošanā un kredītriska stratēģijās.

153. Kompetentajām iestādēm jānovērtē, vai iestāde ir noteikusi un īstenojusi nepārtrauktu un efektīvu kredītriska darījumu (tostarp kredītu koncentrācijas) uzraudzību visā iestādē, cita starpā, izmantojot specifiskus rādītājus un attiecīgus izraisītājus efektīvu agrīnās brīdinājumu nodrošināšanai. Kompetentajām iestādēm jānovērtē, vai iestāde ir īstenojusi regulāru ziņojumu sniegšanu par kredītriska darījumiem, tostarp stresa testa rezultātu, vadības struktūrai, augstākajai vadībai un attiecīgajiem kredītriska pārvaldītājiem.

154. Kompetentajām iestādēm jānovērtē, vai iestādei ir spēcīga un visaptveroša iekšējās kontroles sistēma un stabili drošības pasākumi, lai mazinātu kredītrisku saskaņā ar tās kredītriska stratēģiju un vēlmi uzņemties kredītrisku. Veicot šo novērtējumu, kompetentajām iestādēm jo īpaši jāpievērš uzmanība tam, vai iestādes kontroles funkcijas aptver atbilstošu darbības jomu (ieskaitot visas konsolidētās vienības, ģeogrāfiskās atrašanās vietas un kredītdarbības), kā arī tam, vai ir noteikti darbības ierobežojumi un citas prakses, kuru mērķis ir uzturēt kredītriska pozīcijas iestādei pieņemamā līmenī saskaņā ar tās vēlmi uzņemties risku un ierobežojumiem. Šajā nolūkā kompetentajām iestādēm jāpievērš īpaša uzmanība tam, vai iestādē ir ieviestas atbilstošas iekšējās kontroles un prakses, lai nodrošinātu, ka par politikas, procedūru un ierobežojumu pārkāpumiem (vai izņēmumiem) tiek savlaicīgi ziņots atbilstošajam vadības līmenim, lai tas varētu veikt nepieciešamos pasākumus, tostarp pārbaudes, lai identificētu, novērtētu un pārvaldītu naudas atmazgāšanas un terorisma finansēšanas riskus, kuriem iestāde ir pakļauta kredītu piešķiršanas darbību rezultātā.

155. Veicot šo novērtējumu, kompetentajām iestādēm jāapsver, vai ierobežojumu sistēma ir atbilstoša iestādes sarežģītībai un tās spējai novērtēt un pārvaldīt kredītrisku. Tas ietver novērtējumu par to, vai noteiktie ierobežojumi ir absolūti un vai var notikt to pārkāpumi. Pēdējā gadījumā iestādes politikā skaidri jāapraksta periods un konkrētie apstākļi, kuru laikā ir iespējami šādi limitu pārkāpumi. Turklāt kompetentajām iestādēm jānovērtē, vai esošās procedūras, kas paredzētas, lai kredītu pārvaldniekus informētu par viņiem noteiktajiem limitiem, ir pietiekamas, kā arī to, vai šie ierobežojumi tiek regulāri pārskatīti un atjaunināti (piemēram, lai tie atbilstu izmaiņām stratēģijā).

156. Kompetentajām iestādēm jānovērtē arī iekšējās revīzijas funkcijas funkcionalitāte saistībā ar kredītriska pārvaldības sistēmas iekšējo revīziju atbilstību, tvērumu un biežumu. Šajās revīzijās jāiekļauj kredītriska pārvaldības, novērtēšanas un kontroles sistēmas galveno elementu pārskatīšana visā iestādē, kā arī iekšējo politiku un procedūru atbilstības pārbaude attiecīgajiem ārējiem normatīviem un jebkādu noviržu no tiem konstatēšana.

157. Iestādēm, kas izmanto uz iekšējo reitingu balstītu pieeju, lai noteiktu minimālās pašu kapitāla prasības kredītriska segšanai, kompetentajām iestādēm arī jānovērtē, vai iekšējais validācijas process ir pamatots un efektīvs, lai pārbaudītu modeļa pieņēmumus un identificētu jebkādus iespējamos trūkumus kredītriska pārvaldības sistēmā. Šā novērtējuma pamatā – ja iespējams

• – ir jābūt informācijai, kas izriet no jau veiktajām uzraudzības darbībām attiecībā uz iekšējiem modeļiem (piemēram, pārbaudēm uz vietas), un tajā jāņem vērā uzraudzības prakse, kas sīki izklāstīta EBI uzraudzības rokasgrāmatā par uz iekšējiem reitingiem balstītu sistēmu apstiprināšanu²⁹ . 6.2.4. Secinājumu kopsavilkums, novērtējums un uzraudzības pasākumi

158. Ņemot vērā iepriekš minēto novērtējumu, kompetentajām iestādēm jāizveido viedoklis par iestādes kredītrisku un darījumu partneru kredītrisku. Šie konstatējumi kopā ar riska novērtējumu, kas noteikts, pamatojoties uz 6. tabulā izklāstītajiem apsvērumiem, jāatspoguļo konstatējumu kopsavilkumā. Ja, pamatojoties uz konkrētu risku apakškategoriju būtiskumu, kompetentā iestāde nolemj tos novērtēt un vērtēt individuāli, šajā tabulā sniegtie norādījumi jāpiemēro pēc iespējas analoģiski.

²⁸ Kredītriska apakškategoriju neizsmeļošu sadalījumu un sīkāku informāciju par to novērtēšanu skatiet I pielikumā.

²⁹ EBA/REP/2023/29.

6.3.1. Vispārīgi apsvērumi

160. Novērtējot tirgus riska pārvaldības sistēmu, kompetentajām iestādēm cita starpā jāizvērtē iestādes atbilstība tiesību aktiem, kas atsevišķi publicēti EBI tīmekļa vietnē, kā minēts 12. punktā.

161. Šajās pamatnostādnēs atsauces uz “tirgus risku” ietvers visus turpmāk minētos riskus, kas jānovērtē kompetentajām iestādēm:

• a. tirgus risks, kas izriet no visām bilancē un ārpusbilancē iekļautajām pozīcijām, kuras ir pakļautas zaudējumiem, kas rodas no tirgus cenu svārstībām, t. i., riski tirdzniecības portfeļa pozīcijās, kā arī valūtas un preču risks netirdzniecības portfelī;
• b. zaudējumu risks, kas rodas no mainīgām CVA summām, reaģējot uz izmaiņām darījumu partneru kredītriska starpībās un/vai tirgus cenās, kas ietekmē atvasināto instrumentu darījumu un, attiecīgā gadījumā, vērtspapīru finansēšanas darījumu (VFD) patieso vērtību;
• c. risks, kas saistīts ar pēc patiesās vērtības novērtēto instrumentu novērtēšanu Regulas (ES) Nr. 575/2013 105. panta izpratnē.

162. Kompetentās iestādes var veikt mazāk detalizētu analīzi iestādēm, kas atbilst mazā tirdzniecības portfeļa nosacījumiem, kā noteikts Regulas (ES) Nr. 575/2013 94. pantā. Attiecībā uz iestādēm, kuru riska darījumi ir nebūtiski, novērtējumā galvenā uzmanība jāpievērš riska pārvaldības un pārvaldības struktūras atbilstībai, kā arī sistēmu un kontroles kvalitātei un efektivitātei.

163. Kompetentajām iestādēm jāņem vērā VSP risku ietekme uz objektīvo tirgus risku, kā arī tirgus riska pārvaldības sistēmas un ar VSP riskiem saistīto kontroles pasākumu atbilstība, prioritāti piešķirot vides riskiem.

6.3.2. Piemītošā tirgus riska novērtēšana

164. Novērtējot raksturīgo tirgus risku, kompetentajām iestādēm ir jānosaka galvenie faktori, kas rada iestādes riska pozīcijas, un jāizvērtē risks, ka iestādei varētu rasties būtiska ietekme no prudenciālā viedokļa. Lai izveidotu šādu izpratni, kompetentajām iestādēm vispirms jāidentificē tirgus riski, kuriem iestāde ir vai varētu būt pakļauta, un jāpievērš uzmanība tām apakškategorijām un faktoriem, kas tiek uzskatīti par visbūtiskākajiem attiecībā uz šo iestādi.

165. Lai atbalstītu šo analīzi, kompetentajām iestādēm vajadzētu apsvērt vismaz iestādes produktus, darbības un uzņēmējdarbības virzienus. Tām jāsalīdzina pašu kapitāla prasības attiecībā uz tirgus risku un CVA risku, kā arī papildu vērtēšanas korekciju, kas atskaitīta no iestādes pašu kapitāla, ar kopējām pašu kapitāla prasībām. Attiecīgā gadījumā tām jāsalīdzina iekšējais kapitāls, ko iestāde piešķīrusi šiem riskiem, ar kopējo iekšējo kapitālu. Tās var ņemt vērā arī tirgus riska pozīciju relatīvo īpatsvaru kopējos aktīvos, tirgus riska pozīciju neto peļņas relatīvo īpatsvaru kopējos darbības ieņēmumos, kā arī šo rādītāju vēsturiskās izmaiņas un prognozes. Jāņem vērā arī iestādes stratēģija attiecībā uz tirgus darbībām un ar tām saistītā vēlme uzņemties risku. Apskatot tirgus darbības, kompetentajām iestādēm jāņem vērā 161. punktā minētie riski, kas var attiekties gan uz tirdzniecības, gan uz netirdzniecības portfeli.

Iestādes riskam pakļauto darbījumu raksturs un sastāvs

166. Pirmais solis, novērtējot iestādei piemītošā tirgus riska raksturu, ir konsekventi un visaptveroši identificēt tās tirgus riska darījumus. Kompetentajām iestādēm jāizmanto pieejamās regulatīvās pārskatu veidnes, piemēram, COREP un FINREP, iekšējie pārskati, konstatējumi, kas gūti, novērtējot citus SREP elementus (piemēram, BMA), vai iepriekšējās uzraudzības darbības, kā arī salīdzinājumi ar līdzīgām iestādēm, ja tādi ir pieejami.

167. Kompetentajām iestādēm savs novērtējums galvenokārt jābalsta uz visnozīmīgākajiem noteiktajiem riska avotiem, izvērtējot to būtiskumu iestādei no prudenciālā viedokļa. Lai novērtētu tirgus riska būtību, kompetentajām iestādēm jāņem vērā vismaz šādas apakškategorijas³⁰ :

• a. procentu likmes risks (tirdzniecības portfelis);
• b. kredītriska starpība attiecībā uz nevērtspapīrošanu, kredītriska starpība attiecībā uz vērtspapīrošanu (tirdzniecības portfelis);
• c. kapitāla risks (tirdzniecības portfelis);
• d. migrācijas risks (attiecībā uz uzņēmumiem, uz kuriem attiecas saistību neizpildes riska prasība)³¹ ;
• e. saistību nepildīšanas risks (uzņēmumiem, kam piemēro saistību nepildīšanas riska piemaksu);
• f. valūtas kursa risks, ieskaitot pārrēķina risku (gan tirdzniecības, gan banku portfelī);
• g. preču risks (tirdzniecības un banku portfelis);
• h. CVA risks (tirdzniecības un banku portfelis);
• i. novērtēšanas risks (pēc patiesās vērtības novērtētie instrumenti tirdzniecības un netirdzniecības portfeļos).

168. Kompetentajām iestādēm jāņem vērā arī:

• a. finanšu produktu sarežģītība (piemēram, produkti, kas novērtēti, izmantojot novērtēšanas pēc modeļa metodes, produkti, kas saistīti ar riskiem, kuri nav delta riski, un bāzes riski). Kompetentā iestāde var to novērtēt, izmantojot kā rādītāju papildu koeficientu, kas izriet no atlikušajiem riskiem saskaņā ar Regulas (ES) Nr. 575/2013 325.u pantu;
• b. iestādes riska darījumu likviditāti. Kompetentā iestāde to var izdarīt, novērtējot, vai iestādei ir riska pozīcijas apakškategorijās ar ilgu likviditātes periodu saskaņā ar Regulas (ES) Nr. 575/2013 325.bd panta 2. tabulu;
• c. tirgus riska koncentrāciju attiecībā uz konkrētiem nosaukumiem, nozarēm, ekonomikām, riska klasēm;
• d. tādu konkrētu tirgus operāciju izmantošana, kuru risku, iespējams, pilnībā neatspoguļo tirgus riska pašu kapitāla prasības (piemēram, augstas frekvences tirdzniecība).

169. Vajadzības gadījumā, kompetentajām iestādēm vajadzētu arī apsvērt iestādes iekšējā riska novērtējumus. Tie varētu iekļaut iekšējo VaR vai gaidāmo iztrūkumu, ko neizmanto pašu kapitāla prasību aprēķinos, vai tirgus riska jutīgumu pret dažādiem riska faktoriem un iespējamiem zaudējumiem.

170. Kompetentajām iestādēm arī jānovērtē iestādes spēja izveidot visaptverošu priekšstatu par tirgus koncentrācijas riska pakāpi, kurai tā ir pakļauta, vai nu saistībā ar riska pozīcijām attiecībā uz vienu riska faktoru, vai arī saistībā ar riska pozīcijām attiecībā uz vairākiem savstarpēji korelētiem riska faktoriem, tādējādi pievēršot īpašu uzmanību koncentrācijām sarežģītos un nelikvīdos produktos. Tām jāpārskata uzņēmuma paša veiktais koncentrāciju un nelikvīdo pozīciju novērtējums. Kompetentajām iestādēm jāpieprasa, lai iestādes samazinātu riska darījumus ar konkrētu CCP pārmērīgas koncentrācijas riska gadījumā vai pārdalītu riska darījumus starp saviem tīrvērtes kontiem saskaņā ar Regulas (ES) Nr. 648/2012 7. panta

• a) punktu.

171. Nosakot, vai iestādei, kas ir pakļauta tirgus riskam, ir jāpiemēro P2R, saskaņā ar 300. punktu kompetentajām iestādēm jāizvērtē, vai 1. pīlāra metodika pienācīgi atspoguļo šo risku, ņemot vērā, ka:

• a. iestādēm, kas izmanto alternatīvo standartizēto pieeju saskaņā ar 1. pīlāru ir jāaprēķina papildinājums (atlikušā riska papildinājums) attiecībā uz riskiem, kas raksturīgi sarežģītiem finanšu produktiem un kurus nepietiekami ņem vērā jutīguma metode un saistību nepildīšanas risks;
• b. iestādēm, kas izmanto iekšējā modeļa pieeju vai alternatīvo iekšējā modeļa pieeju, ir jāaptver visi būtiskie riski šajos iekšējos modeļos;
• c. riska pakāpes, kas paredzētas alternatīvajā standartizētajā pieejā, Regulas (ES) Nr. 575/2013/ES 325.bb pantā minētie gaidāmās nepietiekamības mēri un Regulas (ES) Nr. 575/2013/ES 325.bk pantā minētie stresa scenārija riska pasākumi alternatīvā iekšējā modeļa pieejā ir izstrādāti tā, lai nodrošinātu pozīciju likviditāti saskaņā ar Regulas (ES) Nr. 575/2013/ES 325.bd panta 2. tabulā minēto likviditātes periodu.

172. Kompetentajām iestādēm jāidentificē un jāanalizē – saistībā ar tirgus riska pozīcijām un attiecīgajiem pārvaldības pasākumiem – jebkādas iekšējo cenu noteikšanas vienošanās starp Savienībā reģistrētām iestādēm, kas ir trešās valsts grupas daļa, un citām šīs grupas vienībām, kuras ir reģistrētas ārpus Savienības un kuras ES mātesuzņēmums neiekļauj konsolidētajā pārskatā. Analīzē jāiekļauj šāda informācija:

• a. kvantitatīvu komponentu, lai noteiktu transfertcenu noteikšanas nosacījumu būtiskumu attiecībā pret tirdzniecības portfeļa kopējo peļņu un zaudējumiem un iestādes pašu kapitālu;
• b. kvalitatīvu komponentu, lai novērtētu, vai šo pasākumu ietekme ir pārredzama iestādes valdei un pienācīgi atspoguļota riska pārvaldības pārvaldībā;
• c. kvalitatīvu komponentu, lai novērtētu, kā transfertcenu noteikšanas vienošanās ietekmē iestādes uzņēmējdarbības lēmumus, tostarp to, kā transfertcenu noteikšanas vienošanās dinamika var ietekmēt darījumu nodaļas lēmumus, un iespējamos interešu konfliktus, ko vienošanās var radīt.

173. Kompetentajām iestādēm jānosaka transfertcenu nozīmīgums tirdzniecības portfeļa posteņu kontekstā, pievēršoties tādiem transfertcenu noteikšanas pasākumiem, kas atbilst šādiem nosacījumiem:

• a. tajos ir iesaistīta vismaz viena grupas vienība, kas reģistrēta ārpus Savienības un kuras augstākā konsolidācijas līmeņa vienība atrodas ārpus Savienības;
• b. to pamatā ir darījuma peļņas metode (TPM) vai jebkura līdzīga prakse, kas ekonomiski līdzvērtīga saskaņā ar kuru peļņa un zaudējumi, kas saistīti ar vairākiem uzņēmumiem piederošām pozīcijām, tiek pārdalīti starp šiem uzņēmumiem, pamatojoties uz katra uzņēmuma marginālo ieguldījumu “m” tajos galvenajos rādītājos, kas noteikti cenu noteikšanas kārtībā.

174. Iestādēm saskaņā ar 173. punkta a) apakšpunktu, ja peļņa un zaudējumi, kas pārdalīti, pateicoties transfertcenu noteikšanas kārtībai, kuras pamatā ir darījuma peļņas metodes, ir būtiski (piemēram, veido vairāk nekā 5 % no iestādes peļņas un zaudējumiem) un šis risks nav segts vai pilnībā segts ar P1R, kompetentajām iestādēm:

• a. jāņem vērā šis risks, nosakot P2R;
• b. ņem vērā 172. punktā uzskaitīto komponentu rezultātus, piemēram, transfertcenu noteikšanas mehānismu būtiskumu, saistībā ar tirgus riska kapitāla prasībām attiecībā uz portfeli, kura peļņa un zaudējumi tiek izmantoti, lai noteiktu iestādei pārvedamo summu, kā arī iespējamās nepilnības saistītajos pārvaldības mehānismos;
• c. jānosaka P2R, kas pietiekami sedz tirgus riskus, kuri nav ietverti P1R un kuri rodas saskaņā ar iekšējo cenu noteikšanas kārtību. Šajā nolūkā kompetentās iestādes var izmantot V pielikumā noteikto aprēķina metodi vai alternatīvu metodiku, kas nodrošina precīzu tā riska novērtējumu, kurš nav iekļauts P1R, un nosaka no tā izrietošo P2R, par atsauci ņemot V pielikumā minēto metodiku.

Rentabilitātes analīze un stresa testi

175. Kompetentajām iestādēm jāanalizē tirgus darbību vēsturiskā rentabilitāte, tostarp peļņas svārstīgums, lai labāk izprastu iestādes riska profilu attiecībā uz tirgus risku. Šo analīzi varētu veikt gan portfeļa līmenī, gan sadalot pa uzņēmējdarbības virzieniem, aktīvu klasēm vai nodaļām, atkarībā no iestādes riska pozīciju būtiskuma un sarežģītības (kā tas izriet no BMA vai citiem uzraudzības novērojumiem). 176. Kompetentajām iestādēm jānošķir tirdzniecības un netirdzniecības ieņēmumi (piemēram, komisijas maksas, klientu komisijas u. c.), no vienas puses, un realizētā un nerealizētā peļņa/zaudējumi, no otras puses.

177. Šīm aktīvu klasēm un/vai riska darījumiem, kas rada būtisku peļņu vai zaudējumus, kompetentajām iestādēm jānovērtē rentabilitāte, salīdzinot ar riska līmeni, ko paredzējusi iestāde (piemēram, VaR/neto peļņa no tirdzniecības nolūkā turētajiem finanšu aktīviem un saistībām), lai noteiktu un analizētu iespējamās pretrunas. Ja iespējams, kompetentajām iestādēm jāsalīdzina iestādes skaitļus ar tās vēsturisko sniegumu, un ar līdzīgām iestādēm.

178. Kompetentajām iestādēm jānovērtē, vai iestāde ir īstenojusi pietiekamus stresa testus, kas papildina riska novērtēšanas sistēmu. Šajā nolūkā tām jāņem vērā šādi elementi:

• a. stresa testa regularitāte;
• b. vai tiek identificēti attiecīgie riska virzītājspēki (piemēram, nelikviditāte/cenu starpības, koncentrētas pozīcijas, vienvirziena tirgi;
• c. stresa scenārija pamatā esošie pieņēmumi;
• d. stresa testēšanas rezultātu iekšēja izmantošana kapitāla plānošanā un tirgus riska stratēģijā.

6.3.3. Tirgus riska pārvaldības un kontroles sistēmas novērtējums

179. Lai panāktu atbilstošu izpratni par tirgus riska pārvaldību, kas ir samērīga ar iestādes riska profilu, kompetentajām iestādēm jāpārskata iestādes riska pārvaldības un kontroles sistēma un tās atbilstība attiecībā uz piemītošā riska darījumiem. Veicot šo novērtējumu, kompetentajai iestādei jāizmanto šajā sadaļā izklāstītie punkti, vienlaikus ņemot vērā arī:

• a. citu SREP elementu (piemēram, BMA un pārvaldības jomu) novērtējuma rezultāti;
• b. Regulas (ES) Nr. 575/2013/ES 325.c pantā minētā novērtējuma rezultāti iestādēm, kas izmanto alternatīvo standartizēto pieeju, un saskaņā ar Deleģēto regulu (ES) 2024/1085 veiktā novērtējuma rezultāti, jo īpaši attiecībā uz Regulas (ES) Nr. 575/2013/ES 104.b, 325.bi un 325.bj pantā minētajām prasībām.

180. Kompetentajām iestādēm arī jāizvērtē iestāžu politikas un procedūras, kas attiecas uz pozīciju iedalīšanu tirdzniecības portfelī un banku portfelī, kā tas aprakstīts Regulas (ES) Nr. 575/2013 3. nodaļas 1. sadaļā.

Tirgus riska stratēģija un vēlme uzņemties tirgus risku

181. Kompetentajām iestādēm jānovērtē, vai iestādēm ir pamatota, skaidri formulēta un dokumentēta vēlme uzņemties risku, stratēģija un ierobežojumi, ko apstiprinājusi to vadības struktūra. Šajā novērtējumā kompetentajām iestādēm cita starpā jāņem vērā vadības struktūras loma riska stratēģijas un vēlmes uzņemties risku noteikšanā, apstiprināšanā un pārskatīšanā, šīs stratēģijas pareiza īstenošana, ko veic vadības struktūra, kā arī tās piemērotība iestādei, ņemot vērā tās uzņēmējdarbības modeli, vispārējo vēlmi uzņemties risku, pašreizējo un nākotnes tirgus vidi un finanšu stāvokli.

Organizatoriskā un iekšējās kontroles sistēma

182. Kompetentajām iestādēm jānovērtē, vai iestādei ir atbilstoša organizatoriskā sistēma tirgus riska identificēšanai, izpratnei, mērīšanai, uzraudzībai un kontrolei ar pietiekamiem (gan kvalitatīviem, gan kvantitatīviem) cilvēkresursiem un tehniskajiem resursiem nepieciešamo uzdevumu veikšanai. Šajā novērtējumā kompetentajām iestādēm jāņem vērā tas, cik atbilstošas ir atbildības jomas attiecībā uz tirgus riska uzņemšanos, uzraudzību, ziņošanu un kontroli, kā arī tas, vai tās aptver visu iestādi, vai pastāv skaidrs nodalījums starp darījumu nodaļu un noformējuma nodaļu un starp riska uzņemšanos un kontroles funkcijām, un iesaistīto darbinieku prasmes un zināšanas.

183. Kompetentajām iestādēm jānovērtē, vai iestādei ir skaidri definētas politikas un procedūras tirgus riska identificēšanai, pārvaldībai, novērtēšanai un kontrolei, kā arī to, vai tās ir pamatotas un atbilst iestādes riska stratēģijai un aptver visas galvenās darbības jomas un procesus. Tas ietver novērtējumu par to, vai šīs politikas un procedūras ir skaidri formulētas, darītas zināmas un tiek konsekventi piemērotas visā iestādē.

184. Jo īpaši novērtējumā jāiekļauj pozīcijas, kas regulatīvos nolūkos iekļaujamas vai izslēdzamas no tirdzniecības portfeļa, kā arī iekšējo riska ierobežošanas pasākumu politika un procedūras saistībā ar jaunām tirgus darbībām un/vai produktiem.

185. Kompetentajām iestādēm jānovērtē, vai iestādei ir atbilstoša tirgus riska identificēšanas, izpratnes un mērīšanas sistēma atbilstoši iestādes lielumam un sarežģītībai, un vai šī sistēma atbilst attiecīgajām minimālajām prasībām saskaņā ar piemērojamo tiesisko un normatīvo regulējumu.

186. Kompetentajām iestādēm jānovērtē, vai iestādēm ir ieviesta atbilstoša tirgus risku uzraudzības un ziņošanas sistēma, kas nodrošina tūlītēju rīcību iestādes augstākās vadības vai vadības struktūras atbilstošā līmenī pārkāpumu gadījumā. Uzraudzības sistēmai jāietver konkrēti rādītāji un atbilstoši sliekšņi, lai nodrošinātu efektīvus agrīnās brīdināšanas signālus, kā arī jāinformē pārvaldes iestāde un augstākā vadība par pašreizējiem riskiem un pasākumiem, salīdzinot ar politikā noteiktajiem ierobežojumiem.

187. Kompetentajām iestādēm jānovērtē, vai iestādei ir spēcīgas un visaptverošas limitu sistēmas un kontroles sistēma ar stabiliem aizsardzības pasākumiem, lai mazinātu tās riskus saskaņā ar tās riska stratēģiju un vēlmi uzņemties risku. Veicot šo novērtējumu, kompetentajām iestādēm jāpievērš īpaša uzmanība tam, vai iestādes kontroles funkcijas aptver pietiekamu darbības jomu (ieskaitot visas konsolidētās vienības, ģeogrāfiskās atrašanās vietas un tirgus darbības), vai ir noteikti darbības ierobežojumi (ieskaitot individuālos limitus darījumu nodaļu vai biznesa vienību līmenī, kurus jāuzrauga ik dienas) un vai tiek īstenotas citas prakses, kuru mērķis ir uzturēt tirgus riska pozīcijas iestādei pieņemamā līmenī saskaņā ar tās vēlmi uzņemties risku un limitiem. 188. Kompetentajām iestādēm arī jānovērtē, vai iekšējais validācijas process ir pamatots un efektīvs, lai pārbaudītu modeļu pieņēmumus un identificētu jebkādus iespējamos trūkumus saistībā ar tirgus riska pārvaldības sistēmu. Iestādēm, kas pieņem iekšējo pieeju, lai noteiktu minimālās pašu kapitāla prasības tirgus riskam, šis novērtējums jābalsta – ja iespējams – uz informāciju, kas izriet no jau veiktajām uzraudzības darbībām attiecībā uz iekšējiem modeļiem (piemēram, pārbaudēm uz vietas).

189. Kompetentajām iestādēm jānovērtē arī iekšējās revīzijas funkcijas funkcionalitāte saistībā ar tirgus riska pārvaldības sistēmas iekšējo revīziju atbilstību, tvērumu un biežumu. Tajā jāiekļauj pārskats par riska pārvaldības, novērtēšanas un kontroles sistēmas galvenajiem elementiem visā iestādē, kā arī par iekšējo politiku un procedūru atbilstību attiecīgajiem ārējiem normatīvajiem aktiem un jebkādām novirzēm no tiem.

6.3.4. Secinājumu kopsavilkums, novērtējums un uzraudzības pasākumi

190. Ņemot vērā iepriekš minēto novērtējumu, kompetentajām iestādēm jāizdara konstatējumi par iestādes tirgus risku. Šie konstatējumi kopā ar riska novērtējumu, kas noteikts, pamatojoties uz 8. tabulā izklāstītajiem apsvērumiem, jāatspoguļo konstatējumu kopsavilkumā. Ja, pamatojoties uz konkrētu risku apakškategoriju būtiskumu, kompetentā iestāde nolemj tos novērtēt un vērtēt individuāli, šajā tabulā sniegtie norādījumi jāpiemēro pēc iespējas analoģiski.

³⁰ Tirgus riska apakškategoriju neizsmeļošu sadalījumu skatiet II pielikumā.

³¹ Migrācijas risks tiek uzskatīts par daļu no kredītriska starpības riska saskaņā ar tirdzniecības portfeļa fundamentālo pārskatu.

6.4.1. Vispārīgi apsvērumi

192. Novērtējot operacionālā riska pārvaldības sistēmu, kompetentajām iestādēm cita starpā jānovērtē iestādes atbilstība tiesību aktiem, kas atsevišķi publicēti EBI tīmekļa vietnē, kā minēts 12. punktā.

193. Kompetentajām iestādēm jānovērtē operacionālais risks visos uzņēmējdarbības virzienos un iestādes darbībās, ņemot vērā iekšējās pārvaldības pasākumu un iestādes mēroga kontroles novērtējuma konstatējumus, kā norādīts 5. sadaļā. Veicot šo novērtējumu, kompetentajām iestādēm jānosaka, kā operacionālais risks var materializēties, ņemot vērā arī iestādes zaudējumu datu kopumu un iespējamo ietekmi, ko rada citi saistītie riski (piemēram, ar kredītrisku un tirgu saistītais operacionālais risks).

194. Kompetentajām iestādēm jānovērtē no trešo personu pakalpojumu sniedzējiem izrietošā operacionālā riska būtiskums, tostarp koncentrācija (uzņēmuma līmenī un, ja nepieciešams, grupas līmenī) uz vienu vai vairākiem pakalpojumiem, ko sniedz viens trešās personas pakalpojumu sniedzējs (tieši vai netieši, izmantojot apakšuzņēmēju ķēdes), vai uz ierobežotu skaitu trešo personu pakalpojumu sniedzēju, kas atbalsta iestādes kritiskās vai svarīgās funkcijas, kā arī tas, vai šie faktori varētu ietekmēt iestādes operacionālo noturību, darbības rezultātus un riska pārvaldību. Veicot šo novērtējumu, kompetentajām iestādēm jāņem vērā tas, cik lielā mērā citas iestādes paļaujas uz tiem pašiem trešo personu pakalpojumu sniedzējiem, ja šāda informācija tām ir pieejama.

195. Novērtējot operacionālo risku, kompetentajām iestādēm jānovērtē IKT risks saskaņā ar DORA un tā iespējamā ietekme uz iestādes kritiskajām vai svarīgajām funkcijām, tostarp iespējamā finansiālā, reputācijas, regulatīvā un stratēģiskā ietekme uz iestādi.

196. Kompetentajām iestādēm jānovērtē, vai iestādei ir atbilstoša darbības noturības pieeja, kas ļautu tai izturēt traucējumus, pielāgoties tiem un atgūties no tiem, ja tie rodas, kā arī to, vai šī pieeja ir atbilstoši un konsekventi saskaņota ar esošo riska pārvaldības sistēmu, darbības nepārtrauktības plāniem un trešo personu pārvaldību.

197. Novērtējot operacionālo risku, kompetentajām iestādēm vajadzētu vērtēt, ja tas ir piemērojams, vai iestādes politikas un procedūras pienācīgi identificē, novērtē un pārvalda operacionālos riskus, kas izriet no darbībām ar kriptoaktīviem un to atbalsta tehnoloģijām.

198. Kompetentajām iestādēm reputācijas risks jānovērtē kopā ar operacionālo risku, jo tas ir cieši saistīts ar operacionālā riska notikumiem. Tomēr reputācijas riska novērtējuma rezultāti nedrīkst tikt iekļauti operacionālā riska novērtējumā, bet, ja nepieciešams, tie jāņem vērā kā daļa no BMA un/vai likviditātes riska novērtējuma, jo to galvenā ietekme var mazināt investoru, noguldītāju vai starpbanku tirgus dalībnieku uzticību iestādei.

199. Kompetentajām iestādēm jānovērtē VSP risku ietekme uz raksturīgajiem operacionālajiem un reputācijas riskiem, kā arī operacionālā riska un reputācijas riska kontroles atbilstība saistībā ar VSP riskiem, piešķirot prioritāti vides fiziskajiem un pārejas riskiem. Jo īpaši kompetentajām iestādēm, veicot juridisko un reputācijas risku novērtējumu, jāņem vērā vides riski un “zaļās mazgāšanas” riski.

6.4.2. Piemītošā operacionālā riska novērtēšana

200. Kompetentajām iestādēm jāizveido padziļināta izpratne par iestādes piemītošo operacionālo risku un jāizvērtē, cik nozīmīga ir šā riska prudenciālā ietekme uz iestādi, kā arī ietekme uz tās spēju pildīt kritiski svarīgas vai nozīmīgas funkcijas, rodoties traucējumiem.

201. Lai pamatotu šo novērtējumu, kompetentajām iestādēm jāņem vērā operacionālā riska pašu kapitāla prasība salīdzinājumā ar kopējo pašu kapitāla prasību un, attiecīgā gadījumā, iekšējais kapitāls, ko iestāde piešķīrusi operacionālajam riskam, salīdzinājumā ar kopējo iekšējo kapitālu. Turklāt kompetentajām iestādēm jāizmanto zināšanas, kas gūtas, novērtējot citus SREP elementus (jo īpaši 4. un 5. sadaļu), veicot salīdzinājumu ar līdzīgām iestādēm, kā arī no jebkādām citām uzraudzības darbībām, tostarp no informācijas, ko sniedz NILL/TFN uzraugi un tirgus uzraudzības iestādes, un no citiem attiecīgiem informācijas avotiem.

202. Kompetentajām iestādēm vismaz jāņem vērā galvenie operacionālā riska faktori, iespējamie traucējošie scenāriji un attiecīgā gadījumā tie jāanalizē pēc uzņēmējdarbības virziena, juridiskās personas, ģeogrāfiskās atrašanās vietas un notikuma veida kategorijas (atkarībā no datu pieejamības) un jāsalīdzina iestādes pozīcija ar tās līdzīgajām iestādēm. Šiem faktoriem ir jāaptver vismaz iestādes galvenā stratēģija attiecībā uz operacionālo risku un vēlmi uzņemties operacionālo risku, uzņēmējdarbības vide (tostarp ģeogrāfiskā klātbūtne, IKT darbības un izplatīšanas kanāli), nesenie nozīmīgie korporatīvie notikumi (piemēram, uzņēmumu apvienošanās, pārņemšana, atsavināšana un pārstrukturēšana), IKT sistēmas un citi ar IKT saistīti aspekti saskaņā ar 6.4.2.3. iedaļu, procesa izmaiņas, trešo personu pasākumi, regulatīvās atbilstības jautājumi, uzņēmējdarbības plāni un stimulu shēmas, kā arī citi galvenie operacionālā riska virzītājspēki.

Operacionālā riska darījumu raksturs un nozīme

203. Kompetentajām iestādēm jānosaka operacionālā riska pozīciju raksturs, analizējot pozīcijas saistībā ar galvenajiem operacionālā riska avotiem un faktoriem, lai izveidotu prognozi par iespējamo operacionālo risku. Šīs analīzes veikšanai kompetentās iestādes:

• a. var ņemt vērā iestādei būtisko darbības modeli, uzņēmējdarbības virzienuslīnijas, produktus, procesus un ģeogrāfisko atrašanās vietu, atkarības un operacionālā riska pakļautības novērtējumu attiecībā uz primārajiem riska faktoriem (piemēram, procesiem, cilvēkiem, sistēmām un ārējiem faktoriem) un riska faktoru mijiedarbību, izmantojot iestādes pašnovērtējumu, salīdzinošo analīzi, datus un publiskās un/vai konsorcija datubāzes, ja tādas ir pieejamas un atbilstošas;
• b. jāņem vērā gan iestādes pakļauto notikumu biežums, gan smaguma pakāpe un jānošķir tie notikumi, kas rada lielus zaudējumus, no tiem, kas notiek bieži. Pamatojoties uz šo atšķirību, kompetentajām iestādēm jānovērtē operacionālā riska zaudējumu tendences un to koncentrācija; un
• c. jāizmanto scenāriju analīzes un jāapsver iestādes veiktās plānotās uzņēmējdarbības un gaidāmās operacionālā riska analīzes, ja tādas ir pieejamas, ņemot vērā visus jau īstenotos un efektīvus korektīvos pasākumus un mazināšanas darbības.

204. Pēc operacionālā riska galveno avotu un ietekmējošo faktoru identificēšanas un analīzes kompetentajām iestādēm jāpievērš uzmanība tiem, kas varētu radīt visbūtiskāko ietekmi uz iestādi.

205. Primārais informācijas avots, kas kompetentajām iestādēm jāņem vērā, ir iestādes zaudējumu un notikumu datu kopa, jo tā var sniegt vērtīgu ieskatu par iestādes operacionālā riska profila attīstību. Kompetentajām iestādēm periodiski jānovērtē zaudējumu datu vispusīgums, precizitāte un kvalitāte. Vēl viens informācijas avots ir iestādes reģistri, kuros apkopoti visi ar IKT saistītie incidenti un nozīmīgie kiberdraudi (saskaņā ar DORA 17. panta 2. punktu), kā arī identificētie IKT riska avoti (saskaņā ar DORA 8. panta 2. punktu).

Operacionālā riska apakškategoriju novērtēšana

206. Kompetentajām iestādēm operacionālā riska apakškategoriju novērtēšanā jākoncentrējas uz tām, kas tiek uzskatītas par būtiskām attiecīgajai iestādei. Pamatojoties uz visiem pieejamajiem iekšējiem un ārējiem informācijas avotiem, kompetentajām iestādēm jāizmanto arī ekspertu slēdziens, lai noteiktu nozīmīgas apakškategorijas. Veicot novērtējumu, kompetentajām iestādēm vienmēr jāpievērš uzmanība šādiem operacionālā riska aspektiem³² :

• a. juridiskais risks;
• b. modeļu risks;
• c. IKT risks.

6.4.2.1. Juridiskais risks

207. Kompetentajām iestādēm, novērtējot iestādes juridiskā riska pozīciju atbilstību un nozīmīgumu, jāņem vērā šādi aspekti:

• a. Produktu vai pakalpojumu maldinoša pārdošana.
• b. interešu konflikti, veicot uzņēmējdarbību;
• c. standarta procentu likmju, ārvalstu valūtas maiņas likmju vai jebkuru citu finanšu instrumentu vai indeksu manipulācijas;
• d. šķēršļi, lai nomainītu finanšu produktus to pastāvēšanas laikā, un/vai lai nomainītu finanšu pakalpojumu sniedzējus;
• e. automātiska produktu atjaunošana vai izvairīšanās no soda; un/vai
• f. klientu sūdzību apstrāde;
• g. valsts un starptautisko noteikumu un regulējumu pārkāpumi (nodokļu noteikumi, iekšējā krāpšana vai iekšējā zādzība, nelikumīgi iegūtu līdzekļu legalizācijas novēršanas noteikumi, terorisma apkarošanas noteikumi un ekonomiskās sankcijas);
• h. ar VSP saistīti, jo īpaši ar vidi un zaļmaldināšanu saistīti, tiesvedības riska darījumi.

208. Kompetentajām iestādēm jāizvērtē, vai iestādei var rasties izdevumi, naudas sodi, sankcijas vai sodījoši zaudējumu atlīdzinājumi saistībā ar tiesvedību, kā arī sūdzību skaits un saturs. Lai iegūtu vispārīgu izpratni par iespējamo pārkāpumu cēloņiem, jāizmanto arī 4. sadaļas novērtējuma rezultāti, vienlaikus rūpīgi izvērtējot motivācijas politiku. Šajā kontekstā kompetentajām iestādēm arī jāizvērtē, vai iestādē ir ieviestas atbilstošas un efektīvas sistēmas un procesi, lai īstenotu un ievērotu ierobežojošos pasākumus (piemēram, sankcijas), tostarp novērtējot iestādes atbilstību EBI pamatnostādnēm par iekšējām politikām, procedūrām un kontroles mehānismiem³³ .

209. Tomēr kompetentai iestādei vajadzētu piemērot uz nākotni vērstu pieeju, ņemot vērā arī iespējamo regulējuma izmaiņu ietekmi un attiecīgo iestāžu aktivitāti attiecībā uz patērētāju aizsardzību un finanšu pakalpojumu sniegšanu kopumā.

6.4.2.2. Modeļa risks

210. Saistībā ar operacionālo risku kompetentajām iestādēm jānovērtē modeļu risks, īpašu uzmanību pievēršot iekšējiem, neregulētiem modeļiem (piemēram, mākslīgā intelekta modeļiem, produktu cenu noteikšanai, riska limitu noteikšanai un uzraudzībai, ICAAP/ILAAP modeļiem, atgūšanas iespējām).

211. Lai novērtētu modeļa risku, kompetentajām iestādēm jāņem vērā:

• a. kādā mērā un kādiem mērķiem iestāde izmanto modeļus, lai pieņemtu lēmumus, un kāda ir šādu lēmumu uzņēmējdarbības nozīme. Kompetentajām iestādēm jānosaka darbības joma, kurā iestāde plaši izmanto modeļus, un jānovērtē modeļu riska iespējamā ietekme, cita starpā izmantojot jutīguma un scenāriju analīzes vai stresa testus; un
• b. kontroles mehānismu efektivitāte (metožu, biežuma, turpmāko pasākumu u. c. ziņā), tostarp modeļu apstiprināšanas process, veiktās regulārās pārskatīšanas un iestādes informētības līmenis par modeļu trūkumiem vai tirgus un uzņēmējdarbības attīstības tendencēm.

212. Ja modeļi tiek izmantoti lēmumu pieņemšanai (piemēram, produktu cenu noteikšanai, mākslīgā intelekta modeļiem, finanšu instrumentu novērtēšanai, klientu profilēšanai), kompetentajām iestādēm jānovērtē, vai pastāv pienācīga iekšējā validācijas procedūra un/vai modeļu pārskatīšanas procedūra, lai identificētu un mazinātu modeļu risku (izņemot regulatīvos modeļus).

213. Veicot modeļa riska novērtējumu, kompetentajām iestādēm jāņem vērā citu kapitāla risku un likviditātes un finansējuma risku novērtējums, jo īpaši attiecībā uz riska mērīšanai, cenu noteikšanai un aktīvu un/vai saistību novērtēšanai izmantoto metožu piemērotību. Šāda novērtējuma rezultāti jāizmanto, lai izdarītu secinājumus par operacionālo risku.

6.4.2.3. IKT risks – piemītošā IKT riska novērtēšana

Būtisku IKT risku apzināšana

214. Saskaņā ar DORA kompetentajām iestādēm jāpārskata iestādes veiktais visu IKT atbalstīto uzņēmējdarbības funkciju, lomu un pienākumu identificēšanas, klasificēšanas un dokumentēšanas process, kā arī šo funkciju atbalstam izmantotie informācijas resursi³⁴ un IKT resursi³⁵ , kā arī to loma un savstarpējās atkarības saistībā ar IKT risku. Šim pārskatam jāpalīdz kompetentajām iestādēm gūt pilnīgu izpratni par iestādei piemītošo IKT riska iedarbību (IKT riska profilu), identificēt tās būtisko raksturīgo IKT risku un izveidot atzinumu par tās prudenciālo ietekmi. Šajā nolūkā kompetentajām iestādēm vajadzētu ņemt vērā vismaz šādus aspektus, ja tas ir atbilstoši un piemērojams:

• a. ziņojums par IKT riska pārvaldības sistēmas pārskatīšanu (saskaņā ar DORA 6. panta 5. punktu);
• b. IKT riska avoti, jo īpaši riska darījumi ar citām finanšu struktūrām un no tām, ko iestāde noteikusi saskaņā ar DORA 8. panta 2. punktu;
• c. ziņotie nopietnie ar IKT saistītie incidenti (saskaņā ar DORA 19. panta 1. punktu), tostarp tendence attiecībā uz kopējām ikgadējām izmaksām un zaudējumiem, ko radījuši nopietnie ar IKT saistītie incidenti (saskaņā ar DORA 11. panta 10. punktu);
• d. digitālajā darbības noturības testēšanas programmā paredzēto testu rezultāti (saskaņā ar DORA 24. pantu), tostarp kopsavilkums par uz apdraudējumu balstītas ielaušanās testēšanas (TLPT) konstatējumiem un saistītajiem atveseļošanas plāniem (saskaņā ar DORA 26. panta 6. punktu);
• e. informācijas reģistrs (saskaņā ar DORA 28. panta 3. punktu), kurā norādīts atkarības pakāpe no trešo personu IKT pakalpojumu sniedzējiem, tostarp grupas iekšējiem IKT pakalpojumu sniedzējiem, sadalījumā pa IKT pakalpojumu veidiem un/vai IKT sistēmām;
• f. vadošo uzraudzības iestāžu ieteikumi un atzinumi (saskaņā ar DORA 40. panta 3. punktu un 42. panta 7. punktu) un ar tiem saistītās kritiski svarīgu IKT trešo personu pakalpojumu sniedzēju atbildes, ziņojumi un informācija (saskaņā ar DORA 35. panta 1. punkta
• c) apakšpunktu, 42. panta 1. punktu un 48. panta 2. punktu);
• g. IKT sistēmu sarežģītības līmenis un IKT riska novērtējuma rezultāti par mantotajām IKT sistēmām (saskaņā ar DORA 8. panta 7. punktu);
• h. riska novērtējums par būtiskām izmaiņām (saskaņā ar DORA 8. panta 3. punktu);
• i. inovatīvu IKT risinājumu ieviešanas un integrācijas līmenis;
• j. datu centru atrašanās vietas, proti, reģioni vai valstis, un īpaši noteiktas teritorijas, tostarp tādas, kur IKT pakalpojumu sniedzēji, kas ir trešās personas, sniedz līgumiskus IKT pakalpojumus, aptverot arī datu apstrādes un glabāšanas vietas;
• k. visas saistītās būtiskās nepilnības vai trūkumi, kas konstatēti saskaņā ar 5. sadaļu;
• l. IKT riska un kontroles pasākumu pašnovērtējumi (ja iesniegti ICAAP informācijā);
• m. ar IKT risku saistītā pārvaldības informācija, kas iesniegta iestādes vadības struktūrai;
• n. ar IKT saistītie iekšējās un ārējās revīzijas konstatējumi;
• o. ārējā apdraudējuma vide, tostarp informācija par apdraudējumiem un ievainojamībām.

IKT sistēmu un IKT pakalpojumu pārskats

215. Kompetentajām iestādēm jāpārskata iestādes attiecīgā dokumentācija, metodika un procesi un jāsagatavo atzinums par to, vai iestāde ir pienācīgi identificējusi IKT sistēmas un IKT pakalpojumus, kas atbalsta kritiski svarīgas vai nozīmīgas funkcijas. Šajā nolūkā kompetentajām iestādēm jāņem vērā:

• a. IKT sistēmas, kas atbalsta kritiskas vai svarīgas funkcijas, kā arī iestādes noteiktie kritiskie informācijas resursi un IKT resursi (saskaņā ar DORA 8. pantu);
• b. galvenie procesi, kas ir atkarīgi no IKT pakalpojumu sniedzējiem, kuri ir trešās personas, tostarp starpsavienojumi ar IKT pakalpojumu sniedzējiem, kuri ir trešās personas un atbalsta iestādes noteiktās kritiski svarīgās vai svarīgās funkcijas (saskaņā ar DORA 8.5. pantu).

Kritiskām vai svarīgām funkcijām paredzēto IKT sistēmu un IKT pakalpojumu būtisko IKT risku identificēšana un kartēšana

216. Pēc tam, kad ir pārskatīta iestādes atkarība no informācijas aktīviem un IKT aktīviem, IKT riska profila, IKT sistēmām un IKT pakalpojumiem, kompetentajām iestādēm jāsagatavo atzinums par būtiskajiem IKT riskiem, kuriem var būt būtiska prudenciāla ietekme uz iestādes IKT sistēmām un pakalpojumiem, kas atbalsta kritiski svarīgas vai nozīmīgas funkcijas, un būtiska ietekme uz tās spēju darboties darbības traucējumu gadījumā. Šajā nolūkā kompetentajām iestādēm jāņem vērā:

• a. finansiālie zaudējumi, tostarp iespējamās klientu kompensācijas, juridiskās un tiesiskās aizsardzības izmaksas, līgumiskie zaudējumi, izmaksas un zaudētie ieņēmumi;
• b. uzņēmējdarbības traucējumu iespējamība, ņemot vērā (bet ne tikai) skarto pakalpojumu kritiskumu, tostarp iestādes darījumus un darbības (tostarp atkarību no trešajām personām), potenciāli skarto klientu un/vai finanšu partneru un/vai filiāļu un darbinieku skaitu;
• c. iespējamie datu zudumi;
• d. iespējamā ietekme uz reputāciju;
• e. iespējamā ietekme uz regulējumu, tostarp iespējamā sabiedrības nosodījuma, naudas sodu vai pat atļauju izmaiņu iespējamība;
• f. iespējamā stratēģiskā ietekme uz iestādi;
• g. iespējamā ģeogrāfiskā izplatība.

217. Pēc tam kompetentajām iestādēm identificētais būtiskais IKT risks jāiekļauj IKT riska kategorijās, kas noteiktas III pielikumā. No iestādēm tiek sagaidīts, ka tās izmantos savu klasifikāciju, nevis pielikumā noteikto.

6.4.3. Operacionālā riska pārvaldības un kontroles sistēmas novērtējums

218. Kompetentajām iestādēm jānovērtē sistēma un pasākumi, ko iestāde ir ieviesusi, lai pārvaldītu un kontrolētu operacionālo risku, ņemot vērā 5. sadaļā aplūkotās vispārējās riska pārvaldības un iekšējās kontroles sistēmas analīzes rezultātus, jo tas ietekmēs iestādes pakļautību operacionālajam riskam. Attiecībā uz NILL/TF risku kompetentajai iestādei jāņem vērā NILL/TF uzraudzības iestādes sniegtais novērtējums.

Operacionālā riska stratēģija un vēlme uzņemties operacionālo risku

219. Kompetentajām iestādēm jānovērtē, vai iestādei ir pieņemama, skaidri formulēta un dokumentēta operacionālā riska stratēģija un vēlmes uzņemties risku līmenis, ko apstiprinājusi vadības struktūra, kurā izklāstīts operacionālā riska, ko iestāde vēlas uzņemties, raksturs, veidi un līmeņi. Attiecībā uz šo novērtējumu cita starpā kompetentajām iestādēm jāņem vērā vadības struktūras loma operacionālā riska stratēģijas un vēlmes uzņemties risku (tostarp vēlmes uzņemties IKT risku un digitālās darbības noturības stratēģijas) noteikšanā, apstiprināšanā, īstenošanā un pārskatīšanā, stratēģijas pietiekama tvēruma un atbilstības ziņā attiecībā uz iestādes operacionālā riska profila raksturu un būtiskumu.

Organizatoriskā un iekšējās kontroles sistēma

220. Kompetentajām iestādēm jānovērtē iestādes atbilstība Regulas (ES) Nr. 575/2013 323. pantam. Šajā novērtējumā kompetentajām iestādēm ir jāizvērtē organizatoriskās sistēmas un pārvaldības pasākumu stabilitāte un efektivitāte, lai nodrošinātu efektīvu operacionālā riska pārvaldību, novērtēšanu un kontroli, ar pietiekamiem cilvēkresursiem un tehniskajiem resursiem vajadzīgo uzdevumu izpildei. Kompetentajām iestādēm jāņem vērā, vai ir ieviestas skaidras atbildības jomas attiecībā uz operacionālā riska identificēšanu, novērtēšanu, mazināšanu, uzraudzību un ziņošanu, kā arī trīs aizsardzības līniju modeļa ievērošanu.

221. Kompetentajām iestādēm jānovērtē, vai iestādei ir spēcīga kontroles sistēma un droši aizsardzības pasākumi, lai mazinātu tās darbības risku, tostarp atbilstošas politikas un procedūras, kas aptver arī atlikušo risku, kā arī to, vai tās atbilst iestādes operacionālā riska pārvaldības pieejai un stratēģijai un aptver visas galvenās darbības un procesus. Tas ietver, cita starpā, novērtējumu par to, vai šīs politikas un procedūras ir skaidri formulētas, darītas zināmas un tiek konsekventi piemērotas visā iestādē.

222. Kompetentajām iestādēm jānovērtē arī iekšējās revīzijas funkcijas funkcionalitāte operacionālā riska pārvaldības sistēmas iekšējo revīziju piemērotības, tvēruma un biežuma ziņā.

Darbības nepārtrauktība, reaģēšana un atkopšana

223. Kompetentajām iestādēm jānovērtē iestādes atbilstība i) EBI pamatnostādnēm par iekšējo pārvaldību attiecībā uz vispārējo darbības nepārtrauktības pārvaldību un ii) DORA attiecībā uz IKT darbības nepārtrauktības politiku un IKT reaģēšanas un atveseļošanas plāniem. Šajā sakarā kompetentajām iestādēm jānosaka, vai IKT darbības nepārtrauktības politika un IKT reaģēšanas un atveseļošanas plāni ir neatņemama iestādes vispārējās darbības nepārtrauktības politikas un reaģēšanas un atveseļošanas plāna sastāvdaļa.

224. Kompetentajām iestādēm jānovērtē, vai iestāde ir izveidojusi efektīvu darbības nepārtrauktības pārvaldību ar pārbaudītiem darbības nepārtrauktības, reaģēšanas un atveseļošanas plāniem, kas aptver vismaz tās kritiski svarīgās vai nozīmīgās funkcijas, tostarp tās, par kurām līgumus slēdz ar pakalpojumu sniedzējiem, kas ir trešās personas, un vai tajos ir apsvērti vairāki smagi, bet ticami scenāriji, kuros iestāde var būt neaizsargāta. Kompetentajām iestādēm arī jānovērtē, vai iestādes darbības nepārtrauktības politika nodrošina atbilstošus reaģēšanas un atjaunošanas pasākumus jebkura veida incidenta gadījumā.

225. Kompetentajām iestādēm jānosaka, vai iestādes darbības nepārtrauktības pārvaldība ietver:

• a. uzņēmējdarbības ietekmes analīzi (BIA);
• b. atbilstīgas atjaunošanas stratēģijas, kas ietver galvenās iekšējās un ārējās atkarības un skaidri definētas atjaunošanas prioritātes un noturības līmeņus;
• c. visaptverošus un elastīgus plānus iespējamo traucējumu scenāriju risināšanai, kas tiek izstrādāti, pamatojoties uz UIA un saskaņojot tos ar iekšējām un ārējām ieinteresētajām personām;
• d. plānus, kas nosaka ārkārtas situāciju stratēģijas un reaģēšanas un atjaunošanas procedūras;
• e. plānu izstrādes un darbības efektivitātes atbilstošu testēšanu;
• f. BCM izpratnes un apmācības programmas;
• g. komunikācijas plānus vadības un visu attiecīgo ieinteresēto personu informēšanai, kā arī krīzes vadības dokumentāciju, pasākumus un krīzes vadības funkciju, ja piemērojams (saskaņā ar DORA 11. panta 7. punktu).

226. Kompetentajām iestādēm jānovērtē, vai iestādes darbības nepārtrauktības, reaģēšanas un atveseļošanas plāni:

• a. nosaka lomas un pienākumus, tostarp skaidrus norādījumus par iespējamu pēctecību, un izklāsta iekšējo lēmumu pieņemšanas procesu, kā arī nosaka aktivizēšanas izraisītājus;
• b. tiek pārskatīti, lai nodrošinātu, ka ārkārtas situāciju stratēģijas joprojām atbilst pašreizējām darbībām, riskiem un draudiem, noturības līmeņiem un atveseļošanas mērķiem un prioritātēm;
• c. prioritizē darbības nepārtrauktības pasākumus, izmantojot uz risku balstītu pieeju;
• d. tiek regulāri pārbaudīti, lai nodrošinātu, ka atveseļošanas mērķus un laika grafikus var sasniegt; un
• e. ietver trešo personu pakalpojumu sniedzēju sniegto pakalpojumu testēšanu, ja piemērojams.

227. Kompetentajām iestādēm jānovērtē arī tas, vai testēšanas rezultāti tiek dokumentēti un ziņoti vadības struktūrai.

IKT riska pārvaldības sistēmas novērtējums

228. Kompetentajām iestādēm jānovērtē iestādes atbilstība DORA un EBI pamatnostādnēm par iekšējo pārvaldību saistībā ar IKT riska pārvaldības iekšējo pārvaldību un organizāciju. Kompetentajām iestādēm ir jāizveido viedoklis par to, vai iestādes vadības struktūra ir kopumā atbildīga par IKT risku pārvaldību un vai tā pienācīgi definē, apstiprina un uzrauga visu ar IKT saistīto pasākumu īstenošanu. Kompetentajām iestādēm jāizvērtē, vai vadības struktūras locekļiem ir pietiekamas zināšanas un prasmes, lai izprastu un novērtētu IKT risku un tā ietekmi uz iestādes darbību.

229. Kompetentajām iestādēm jānovērtē, kā visas ar IKT saistītās funkcijas, to lomas un pienākumi, kā arī ieviestie pārvaldības pasākumi ir iekļauti un integrēti iestādes mēroga kontroles un pārvaldības sistēmā, lai pārvaldītu IKT riskus. Šajā nolūkā kompetentajām iestādēm jāizvērtē, vai iestāde ir efektīvi uzticējusi atbildību par IKT risku pārvaldību un uzraudzību neatkarīgai kontroles funkcijai, kurai ir tieša piekļuve vadības struktūrai tās uzraudzības funkcijas ietvaros un iespēja tai tieši ziņot, kā arī jānovērtē, vai iestāde nodrošina:

• a. skaidru saziņu, kā arī lomu un pienākumu sadali un integrāciju visās ar IKT saistītajās funkcijās (tostarp ar IKT atbalstītās uzņēmējdarbības funkcijās) un procesos;
• b. pietiekamu un atbilstošu budžetu digitālās darbības noturības nodrošināšanai attiecībā uz visu veidu resursiem, tostarp attiecīgām izpratnes veicināšanas programmām, apmācībām un IKT prasmju apguvi visam personālam (saskaņā ar DORA regulas 5. panta 2. punkta
• g) apakšpunktu);
• c. pienācīgu vadības struktūras rīcību un reakciju attiecībā uz kritiski svarīgiem IKT revīzijas konstatējumiem un konstatējumiem, par kuriem ziņots saskaņā ar DORA regulas 13. panta 5. punktu.

230. Kompetentajām iestādēm jāiegūst padziļināta izpratne par iestādes IKT riska pārvaldības sistēmu un jānovērtē, vai iestādē ir ieviestas pietiekamas un atbilstošas stratēģijas, politikas, procedūras, IKT protokoli un rīki, tostarp riska pieļaujamības līmeņi, lai saskaņā ar DORA efektīvi, racionāli un vispusīgi risinātu būtiskos IKT riskus. Šajā nolūkā kompetentajām iestādēm attiecīgā gadījumā jāizvērtē:

• a. iestādes IKT risku pārvaldības politiku³⁶ , procesu un procedūru piemērotība un efektivitāte, tostarp attiecībā uz IKT pakalpojumu sniedzēju (trešo personu) pārvaldību, ar IKT saistītu incidentu atklāšanu un reaģēšanu uz tiem, IKT aktīvu pārvaldību, šifrēšanu un kriptogrāfiju, IKT darbību drošību, tīkla drošību un piekļuves kontroli, kā arī to, vai tās ir apstiprinājusi vadības struktūra un par tām ir informētas visas attiecīgās ieinteresētās personas (saskaņā ar DORA 14. pantu);
• b. iestādes IKT risku tolerances līmeņa un IKT darbības traucējumu ietekmes tolerances piemērotība (saskaņā ar DORA 6. panta 8. punkta b) apakšpunktu);
• c. iestādes digitālās darbības noturības stratēģijas piemērotība un īstenošana, tostarp tās saskaņotība ar uzņēmējdarbības stratēģiju;
• d. stratēģijas attiecībā uz IKT trešo personu riskiem, tostarp IKT stratēģijas, kas paredz vairāku piegādātāju izmantošanu, ja tāda ir ieviesta, saskaņotība ar vispārējo uzņēmējdarbības stratēģiju un IKT risku pārvaldības sistēmu;
• e. atlikušais risks, kas izriet no iestādes identificētajiem riskiem saistībā ar līgumiskajām vienošanām par tādu IKT pakalpojumu izmantošanu, kuri nodrošina kritisku vai svarīgu funkciju izpildi;
• f. atlikušais risks, kas izriet no iestādes identificētajiem riskiem saistībā ar IKT projektiem, kuri ietekmē kritiskas vai svarīgas funkcijas un par kuriem ziņots vadības struktūrai, kā arī saistībā ar IKT sistēmu iegādi, izstrādi un uzturēšanu un IKT izmaiņām;
• g. digitālās darbības noturības testēšanas programmas pamatotība un visaptverošums;
• h. tādu būtisku ar IKT saistītu incidentu un konstatējumu tendences un apjoms, par kuriem ziņots vadības struktūrai saskaņā ar DORA 17. panta 3. punkta e) apakšpunktu un 13. panta 5. punktu;
• i. IKT riska kontroles, kas paredzētas konkrētiem identificētiem būtiskiem IKT riskiem;
• j. savlaicīga ziņošana vadības struktūrai un augstākajai vadībai par IKT riska pārvaldības aspektiem;
• k. iekšējās revīzijas apjoms un slēdzieni.

231. Novērtējot IKT riska pārvaldību, kompetentajām iestādēm īpaša uzmanība jāpievērš IKT trešo personu riska pārvaldībai, tostarp iestādes koncentrācijas līmenim attiecībā pret IKT trešo personu pakalpojumu sniedzējiem. Šim nolūkam kompetentajām iestādēm jānodrošina cieša sadarbība ar kritisko IKT trešo personu pakalpojumu sniedzēju (CTPP) galvenajiem uzraugiem saskaņā ar Eiropas uzraudzības iestāžu kopīgajām pamatnostādnēm³⁷ , ja novērtējamā iestāde saņem IKT pakalpojumus no CTPP. Kompetentajām iestādēm arī jāizvērtē, cik efektīvi iestādes izveidotā speciālā amata persona vai norīkotais augstākās vadības loceklis veic IKT līgumu ar trešajām personām uzraudzību.

232. Kompetentajām iestādēm ir jāapsver, vai iekšējās revīzijas funkcija ir efektīva un vai tai ir pietiekamas zināšanas, prasmes un kompetence, lai veiktu iestādes IKT riska pārvaldības sistēmas revīziju, pārbaudot, vai:

• a. IKT riska pārvaldības sistēma tiek revīzija veikta ar nepieciešamo kvalitāti, fokusu un biežumu, un vai tā ir atbilstoša iestādes IKT riska profilam;
• b. revīzijas plāns ietver revīzijas par iestādes identificētajiem būtiskajiem IKT riskiem, tostarp neatkarīgas IKT reaģēšanas un atveseļošanas plānu pārskatīšanas;
• c. kritiski svarīgi IKT revīzijas konstatējumi tiek savlaicīgi pārbaudīti un novērsti, tostarp ziņojot vadības struktūrai;
• d. IKT revīzijas slēdzieniem, tostarp saskaņotajām darbībām, tiek oficiāli veikta pārraudzība, un progresa ziņojumus regulāri pārskata augstākā vadība un/vai revīzijas komiteja.

6.4.4. Reputācijas riska novērtēšana

233. Kompetentajām iestādēm jānovērtē reputācijas risks, kuram iestāde ir pakļauta, izmantojot 4. sadaļā līdz 6.2. sadaļā iegūtās atziņas. Šādam novērtējumam jākoncentrējas arī uz vispārējo reputācijas riska sistēmu, nodrošinot iestādes spēju efektīvi pārvaldīt jebkādus reputācijas notikumus. Veicot šo novērtējumu, kompetentajām iestādēm jāizvairās no to aspektu divkāršas uzskaitīšanas, kas jau ir ņemti vērā juridiskā riska novērtējumā (6.4.2.1. iedaļa).

234. Novērtējot reputācijas riska nozīmi, kompetentajām iestādēm jāņem vērā iestādes lielums, kā arī tās pakalpojumu, darbību un operāciju raksturs, mērogs un sarežģītība (piemēram, biržas sarakstā iekļauti kapitāla vērtspapīri vai parādi, vai dalība starpbanku tirgos).

235. Kompetentajām iestādēm jāņem vērā gan iekšējie, gan ārējie faktori vai notikumi, kas varētu radīt bažas par reputāciju, izņemot notikumus, kas izraisa tiesvedību. Attiecībā uz 1. un 2. kategorijas iestādēm kompetentajām iestādēm savā novērtējumā jāņem vērā visi turpmāk minētie rādītāji:

• a. negatīva atspoguļošana plašsaziņas līdzekļos un sociālajos tīklos, kā arī patērētāju apvienību iniciatīvas, kas varētu pasliktināt sabiedrības viedokli par iestādi un tās reputāciju;
• b. klientu sūdzību skaits un izmaiņas tajās vai klientu vai ieguldītāju pēkšņs zaudējums;
• c. negatīvie notikumi, kas saistīti ar iestādei līdzīgām iestādēm, kuras sabiedrība varētu saistīt ar visu finanšu sektoru vai iestāžu grupu;
• d. to personu reputācija, kuras iesaistītas iestādes pārvaldībā vai kurām ir būtiska līdzdalība;
• e. darbība vai iesaistīšanās nozarēs vai jurisdikcijās, kurās pastāv augsts naudas atmazgāšanas un terorisma finansēšanas risks, vai sadarbība ar personām, kas no naudas atmazgāšanas un terorisma finansēšanas viedokļa ir saistītas ar augstu risku;
• f. iesaiste vai darbība nozarēs vai jurisdikcijās un/vai ar darījumu partneriem, kuri ir lielā mērā pakļauti būtiskām problēmām vai publiskām domstarpībām, kas saistītas ar VSP faktoriem, tostarp, bet ne obligāti, vides faktoriem;
• g. IKT incidentu ietekme uz reputāciju, kā to reģistrējusi iestāde saskaņā ar Komisijas Deleģēto regulu (ES) 2024/1772³⁸ ;
• h. citi “tirgus” rādītāji, ja tādi ir pieejami (piemēram, reitingu pazemināšanās vai akciju cenas izmaiņas gada laikā).

236. Kompetentajām iestādēm jānovērtē iestādes reputācijas riska pakļautības nozīmīgums un tā saistība ar citiem riskiem, izmantojot attiecīgos riska novērtējumus (tostarp no citām uzraudzības iestādēm), lai identificētu jebkādas iespējamās sekundārās sekas abos virzienos.

237. Operacionālā riska analīzes kontekstā kompetentajām iestādēm jāņem vērā tas, cik būtiska un nozīmīga ir iestādes pakļautība NILL/TF riskam no prudenciālā viedokļa operacionālā riska jomā. Šajā sakarā kompetentajām iestādēm jāizmanto attiecīgā informācija, kas saņemta no NILL/TFN uzraudzības iestādēm, lai papildinātu savus konstatējumus ar faktiem no pastāvīgās uzraudzības un novērtētu, vai tie rada prudenciālas bažas saistībā ar NILL/TF risku.

238. Kompetentajām iestādēm jāpatur prātā, ka jebkura iestāde var būt pakļauta NILL/TF riskam neatkarīgi no iestādes lieluma vai finanšu stabilitātes. Tādēļ atbilstoša uzmanība jāpievērš arī iestādēm, kuras tiek uzskatītas par finansiāli stabilām un kurām var būt laba reputācija, ņemot vērā to, ka šīs iestādes var būt īpaši pakļautas NILL/TF mērķu īstenošanai. Uzmanība jāpievērš arī iestādēm, kas ļoti veiksmīgi piesaista jaunus klientus/palielina tirgus daļu, jo īpaši izmantojot netradicionālus izplatīšanas kanālus, jo tas varētu būt saistīts ar vājām klientu uzticamības pārbaudēm sākumposmā.

239. Kompetentajām iestādēm jāapmainās ar informāciju ar NILL/TFN uzraudzības iestādēm par konstatētajiem operacionālā riska jautājumiem, kas var radīt NILL/TF riskus, mērķtiecīgu finanšu sankciju neīstenošanas un apiešanas riskus, kā arī bažas par tādiem aspektiem kā nepilnības iestāžu IKT sistēmās vai iekšējās kontroles sistēmā.

240. Kompetentajām iestādēm jānovertē, vai iestāde ir īstenojusi pietiekamus pasākumus, stratēģijas, procesus un mehānismus, lai pārvaldītu reputācijas risku. Jo īpaši kompetentajām iestādēm jāņem vērā, vai:

• a. iestādei ir ieviestas formalizētas politikas un procesi šā riska identificēšanai, pārvaldībai un uzraudzībai, tostarp stingrs rīcības kodekss, un vai šīs politikas un procesi ir samērīgi ar iestādes lielumu un tās nozīmīgumu sistēmā;
• b. iestāde šo risku risina, ievērojot piesardzības principu, tostarp ieviešot atbilstošus rādītājus un uzraudzības rīkus, iekļaujot iespējamos reputācijas jautājumus ārkārtas situāciju plānos, organizējot attiecīgas apmācības un informētības veicināšanas pasākumus, kā arī izmantojot gūto pieredzi;
• c. iestāde veic stresa testēšanu vai scenāriju analīzi, lai novērtētu jebkādas reputācijas riska sekundārās sekas (piemēram, ietekmi uz likviditāti un finansējuma izmaksām, vērtspapīrošanas darījumiem, piekļuvi korespondentbanku pakalpojumiem);
• d. iestāde rīkojas, lai aizsargātu savu zīmolu, izmantojot instrumentus plašsaziņas līdzekļu / sociālo plašsaziņas līdzekļu uzraudzībai, protokolus maldinošas informācijas un negatīvas publicitātes novēršanai, kā arī tūlītējas komunikācijas kampaņas;
• e. iestāde apsver potenciālā stratēģijas un uzņēmējdarbības plānu, un plašākā nozīmē tās rīcības, ietekmi uz tās reputāciju.

6.4.5. Operatīvā izturētspēja

241. Kompetentajām iestādēm ir jāizveido visaptverošs priekšstats par iestādes spēju nodrošināt kritiskas vai svarīgas funkcijas traucējumu gadījumā (darbības noturības līmenis) – šādu rezultātu veicina efektīva operacionālā riska pārvaldība, ņemot vērā iestādes lielumu, uzņēmējdarbības modeli un kopējo riska profilu. Šim nolūkam kompetentajām iestādēm jāizmanto esošie novērtējumi par operacionālo risku pārvaldību, darbības nepārtrauktību, pārmaiņu pārvaldības spējām, trešo personu pakalpojumiem un IKT, uz kuriem iestāde paļaujas, lai vispusīgi novērtētu, vai šie elementi kopumā veicina iestādes operacionālo noturību. Kompetentajām iestādēm arī jāapsver, vai iestāde konsekventi un koordinēti īsteno savu riska pārvaldības sistēmu, darbības nepārtrauktības plānus, trešo personu pārvaldību (kas jau tiek novērtēta saistībā ar DORA un EBI pamatnostādnēm, kas izdotas saskaņā ar Direktīvas 2013/36/ES par iekšējās pārvaldības pasākumiem, procesiem un mehānismiem 74. panta 3. punktu) un atveseļošanas un noregulējuma sistēmas. Turklāt kompetentajām iestādēm jāizvērtē, vai iestāde ir pietiekami izvērtējusi iekšējās un ārējās savstarpējās saiknes un savstarpējās atkarības, kas nepieciešamas tās kritisko vai svarīgo funkciju veikšanai.

242. Kompetentajām iestādēm ir jāņem vērā vadības struktūras un augstākās vadības pievērstā uzmanība iestādes spējai reaģēt uz traucējumiem un atgūties no tiem, pieņemot, ka radīsies kļūmes. Šajā nolūkā kompetentajām iestādēm jāizvērtē, vai:

• a. vadības struktūra aktīvi piedalās visaptverošas izpratnes veidošanā par darbības noturības pieeju visā iestādē un uzrauga šīs pieejas efektivitāti;
• b. tiek nodrošināta savlaicīga ziņošana par iestādes darbības noturību, lai atbalstītu vadības struktūras veikto uzraudzību, jo īpaši gadījumos, kad konstatētās būtiskās nepilnības varētu ietekmēt iestādes kritisko vai svarīgo funkciju izpildi.

6.4.6. Secinājumu kopsavilkums, novērtējums un uzraudzības pasākumi

243. Ņemot vērā iepriekš minēto novērtējumu, kompetentajām iestādēm vajadzētu izveidot viedokli par iestādes operacionālo risku. Šie konstatējumi kopā ar riska novērtējumu, kas noteikts, pamatojoties uz 10. tabulā izklāstītajiem apsvērumiem, jāatspoguļo konstatējumu kopsavilkumā. Ja, pamatojoties uz konkrētu risku apakškategoriju būtiskumu, kompetentā iestāde nolemj tos novērtēt un vērtēt individuāli, šajā tabulā sniegtie norādījumi jāpiemēro pēc iespējas analoģiski.

³² Operacionālā riska apakškategoriju neizsmeļošu uzskaitījumu skatīt III pielikumā.

³³ EBI pamatnostādnes par iekšējo politiku, procedūrām un kontroles pasākumiem, lai nodrošinātu Savienības un valsts līmeņa ierobežojošo pasākumu īstenošanu (EBA/GL/2024/14)

³⁴ Regulas (ES) 2022/2554 3. panta 6. punkts

³⁵ Regulas (ES) 2022/2554 3. panta 7. punkts

³⁶ Saskaņā ar DORA tajās jāiekļauj vismaz informācijas drošības politika, dublējumu veidošanas politikas, IKT aktīvu pārvaldības politika, šifrēšanas un kriptogrāfisko kontroles pasākumu politika, kriptogrāfisko atslēgu pārvaldības politika, IKT projektu vadības politika, IKT sistēmu iegādes, izstrādes un uzturēšanas politika, cilvēkresursu politika, fiziskās un vides drošības politika, ar IKT saistītu incidentu pārvaldības politika, kā arī politika par to IKT pakalpojumu izmantošanu, kas atbalsta kritiskas vai svarīgas funkcijas un kurus sniedz trešo personu IKT pakalpojumu sniedzēji.

³⁷ EUI kopīgās pamatnostādnes par sadarbību uzraudzības jomā un informācijas apmaiņu starp EUI un kompetentajām iestādēm saskaņā ar Regulu (ES) 2022/2554 (JC/2024/36).

³⁸ Komisijas Deleģētā regula (ES) 2024/1772 (2024. gada 13. marts), ar ko Eiropas Parlamenta un Padomes Regulu (ES) 2022/2554 papildina attiecībā uz regulatīvajiem tehniskajiem standartiem, kuros precizēti kritēriji ar IKT saistītu incidentu un kiberdraudu klasifikācijai, nosakot būtiskuma robežvērtības un precizējot sīkāku informāciju, kas ietverama ziņojumos par būtiskiem incidentiem, C/2024/1519 (OV L, 2024/1772, 25.06.2024., ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

6.5.1. Vispārīgi apsvērumi

245. Novērtējot raksturīgo procentu likmes risku, kas izriet no procentu likmei jutīgām pozīcijām, kuras saistītas ar netirdzniecības bilances un ārpusbilances darbībām (parasti saukts par procentu likmes risku netirdzniecības portfelī jeb IRRBB), un kredītriska starpības risku, kas izriet no pozīcijām netirdzniecības portfelī (parasti saukts par CSRBB), kā arī iekšējās kontroles sistēmas atbilstību, kompetentajām iestādēm cita starpā jānovērtē, vai iestāde ievēro tiesību aktus, kas atsevišķi publicēti EBI tīmekļa vietnē, kā minēts 12. punktā.

246. Kompetentajām iestādēm jānovērtē IRRBB, tostarp šo pozīciju riska ierobežošanas darījumus, neatkarīgi no to atzīšanas un novērtēšanas grāmatvedības nolūkos, kā arī neatkarīgi no zaudējumu un peļņas atzīšanas un novērtēšanas grāmatvedības nolūkos.

247. Kompetentajām iestādēm, novērtējot IRRBB, jāņem vērā vismaz šādu apakškategoriju³⁹ nozīmīgums un būtiskums: starpības risks, bāzes risks un opciju risks.

248. IRRBB novērtējums ir jānošķir no CSRBB novērtējuma, ko kompetentajām iestādēm arī jāveic saskaņā ar 6.5.3. iedaļu. Jo īpaši kompetentajām iestādēm jāņem vērā, vai iestāžu iekšējās sistēmas pienācīgi novērtē un uzrauga CSRBB radīto risku no ekonomiskās vērtības un neto procentu ienākumu (tostarp tirgus vērtības izmaiņu) viedokļa, un pienācīgi jādefinē CSRBB un jānosaka tās darbības joma⁴⁰ .

249. Pamatojoties uz IRRBB raksturīgā riska vispārējo novērtējumu, kā arī uz IRRBB un CSRBB riska pārvaldību un kontroles pasākumiem, kompetentajām iestādēm ir jāizveido viedoklis par IRRBB un CSRBB, kā rezultātā, izmantojot 12. tabulā izklāstītos kritērijus, jānosaka kopējais novērtējums. Katra atsevišķā riska novērtējuma rezultātiem jābūt atspoguļotiem konstatējumu kopsavilkumā un galveno riska noteicošo faktoru skaidrojumā.

6.5.2. IRRBB

6.5.2.1. Piemītošā IRRBB novērtēšana

250. Novērtējot piemītošo IRRBB līmeni, kompetentajām iestādēm jānosaka iestādes IRRBB riska darījumu galvenie virzītājspēki un jāizvērtē šā riska iespējamā prudenciālā ietekme uz iestādi.

Sākotnējais novērtējums

251. Lai noteiktu IRRBB novērtējuma tvērumu, kompetentajām iestādēm vispirms jāapzina IRRBB avoti, kuriem iestāde ir vai varētu būt pakļauta, un jānoskaidro, vai ir notikušas būtiskas izmaiņas. Lai to izdarītu, kompetentajām iestādēm jāizmanto zināšanas, kas gūtas no SREP vajadzībām apkopotās ICAAP un ILAAP informācijas, IRRBB ziņojumiem, citu SREP elementu novērtējuma, iestādes pozīcijas salīdzināšanas ar tai līdzīgām iestādēm un no jebkurām citām uzraudzības iestāžu darbībām. Šajā saistībā kompetentajām iestādēm jāņem vērā iestādes procentu likmju riska pārvaldība, tostarp tās galvenā IRRBB stratēģija un vēlme uzņemties risku saistībā ar IRRBB, kā arī iekšējā kapitāla līmenis, ko iestāde ir piešķīrusi IRRBB. Iestādes procentu likmju riska profila raksturs un struktūra

252. Kompetentajām iestādēm jāizdara skaidri konstatējumi par to, kā procentu likmju izmaiņas var negatīvi ietekmēt iestādes neto procentu ienākumus (un attiecīgā gadījumā tās ieņēmumus) un ekonomisko vērtību (gaidāmo naudas plūsmu pašreizējo vērtību), lai gūtu gan īstermiņa, gan ilgtermiņa skatījumu par iespējamiem kapitāla pietiekamības apdraudējumiem.

253. Šajā nolūkā kompetentajām iestādēm jāanalizē un jāizdara skaidri konstatējumi par iestādes aktīvu, saistību un ārpusbilances riska darījumu struktūru un iezīmēm, tostarp to jutīgumu pret procentu likmju, termiņu un pārcenošanas datumu izmaiņām, un produktu un pozīciju ar nenoteiktiem termiņiem proporciju (piemēram, ar iegultiem iespēju līgumiem vai priekšapmaksas iezīmēm), un visiem saistītajiem uzvedības pieņēmumiem.

254. Turklāt kompetentajām iestādēm jāpārskata iestādes riska ierobežošanas stratēģija un tas, cik lielā mērā var piemērot dabisko riska ierobežošanu (ņemot vērā arī to posteņu, kuriem nav noteikts termiņš, pārvērtēšanas termiņu modelēšanas stabilitāti), riska ierobežošanas nolūkos izmantoto atvasināto finanšu instrumentu apjomu, kā arī to, vai šie instrumenti var mazināt jutīgumu attiecībā uz EVE, NII vai citiem rādītājiem, ko iestāde izmanto iekšēji.

255. Kompetentajām iestādēm jāpievērš uzmanība arī jebkurai koncentrācijai (piemēram, aizdevumu vai obligāciju portfeļos) attiecībā uz pārcenošanas termiņu vai produktiem ar automātisku vai uzvedības iespēju, ienākumus nenesošiem riska darījumiem un patiesās vērtības instrumentos ietvertā IRRBB raksturu, tostarp mazāk likvīdos instrumentos, piemēram, 3. līmeņa aktīvos un pasīvos.

256. Analizējot ietekmi uz iestādes peļņu, kompetentajām iestādēm jābūt informētām par to, cik lielā mērā iestādes peļņa ir atkarīga no pozīcijām, kas ir jutīgas pret procentu likmēm, un tām ir jānosaka, kā dažādas procentu likmju izmaiņas ietekmētu iestādes neto procentu ienākumus, kā arī jānosaka instrumentu tirgus vērtības izmaiņu ietekme (atkarībā no grāmatvedības procedūras), kura ir atspoguļota vai nu peļņas un zaudējumu pārskatā, vai tieši kapitālā (piemēram, citos visaptverošos ienākumos).

257. Analizējot ietekmi uz iestādes ekonomisko vērtību un peļņu, kompetentajām iestādēm vispirms jāņem vērā uzraudzības nolūkos veikto noviržu testu rezultāti, kas noteikti Direktīvas 2013/36/ES 98. panta 5. punktā un sīkāk precizēti Deleģētajā regulā (ES) 2024/856, lai iegūtu sākotnējo atskaites punktu, ar kuru salīdzināt procentu likmju izmaiņu ietekmi uz iestādi. Veicot šo novērtējumu, kompetentajām iestādēm jāpievērš īpaša uzmanība naudas plūsmu jutīgumam pret pārcenošanu gan laika, gan apjoma ziņā, pamatā esošo galveno pieņēmumu izmaiņām (īpaši attiecībā uz klientu kontiem bez konkrētiem pārcenošanas datumiem, klientu kontiem ar iegultām klientu izvēles iespējām un/vai pašu kapitālu).

258. Ja iestāde ir identificēta kā izlecoša vērtība saskaņā ar uzraudzības izlecošo vērtību testu attiecībā uz neto procentu ienākumiem, kompetentajām iestādēm jāapsver papildu dimensiju analīze, lai papildinātu novērtējumu, ja tas tiek uzskatīts par lietderīgu (piemēram, ņemot vērā iestādes uzņēmējdarbības modeli). Papildu aspekti, kas jāņem vērā, var ietvert patiesās vērtības instrumentu tirgus vērtības izmaiņas, visnelabvēlīgāko NII prognožu novērtējumu salīdzinājumā ar pašreizējiem realizētajiem NII, kā arī salīdzinājumā ar administratīvajām izmaksām/pārvaldes izmaksām un neto komisijām/maksām, lai ņemtu vērā iebūvētos zaudējumus/peļņu, kas radušies novēroto procentu likmju un tirgus apstākļu izmaiņu dēļ.

259. Kompetentajām iestādēm jāpievērš uzmanība tam, cik jutīgas pret izmaiņām patiesās vērtības novērtējumā ir naudas plūsmas instrumentiem, kas nav iekļauti tirdzniecības portfelī, tostarp procentu likmju atvasinātajiem instrumentiem, ko izmanto šādu instrumentu riska ierobežošanai (piemēram, patiesās vērtībās vērtēto instrumentu tirgus vērtības izmaiņu ietekme uz peļņu un zaudējumiem, riska ierobežošanas konta efektivitāte).

260. Papildus Direktīvas 2013/36/ES 98. panta 5. punktā paredzētās un Deleģētajā regulā (ES) 2024/856 sīkāk precizētās uzraudzības noviržu pārbaudes izmantošanai kompetentās iestādes var pieprasīt iestādēm ņemt vērā citus procentu likmju satricinājuma scenārijus.

261. Veicot kvantitatīvo novērtējumu, kompetentajām iestādēm jāņem vērā arī iestādes iekšējo vai standartizēto IRRBB novērtēšanas metodiku rezultāti, tostarp kompetentajām iestādēm jānovērtē, kā dažādās valūtās darbojošos iestāžu gadījumā dažādu valūtu ietekme uz ekonomiskās vērtības un ienākumu rādītājiem, kā arī – ja tiek piemērota iekšējā metodika – pieejas, ko iestādes izmanto šo valūtu apkopojumam. Veicot šīs metodikas analīzi, kompetentajām iestādēm jāgūst dziļāka izpratne par galvenajiem riska faktoriem, kas ir iestādes IRRBB profila pamatā.

262. Analizējot gan uzraudzības noviržu pārbaudes, gan iestādes iekšējās vai standartizētās metodikas rezultātus, kompetentajām iestādēm jāizskata “konkrēta laika” dati, kā arī vēsturiskās tendences. Šie rādītāji ir jāsalīdzina ar līdzīgo iestāžu rādītājiem un jāizvērtē, ņemot vērā situāciju pasaules tirgū.

Satricinājumu scenāriji un stresa testēšana

263. Kompetentajām iestādēm ir jāizvērtē un jāņem vērā rezultāti, kas iegūti, veicot procentu likmju šoka scenāriju analīzi pastāvīgai pārvaldībai, kā arī IRRBB stresa testus, ko iestāde veikusi sava pastāvīgā iekšējās pārvaldības procesa ietvaros. Šajā kontekstā kompetentajām iestādēm vajadzētu būt informētām par galvenajiem iestādes IRRBB avotiem un jo īpaši par uzvedības pieņēmumu, piemēram, NMD, izmaiņu ietekmi.

264. Ja, pārskatot iestādes satricinājumu scenāriju un stresa testu rezultātus, tiek atklāta pārcenošanas/termiņu īpaša koncentrācija dažādos līknes punktos vai rodas attiecīgas aizdomas, kompetentajām iestādēm var nākties veikt papildu analīzi.

6.5.2.2. IRRBB pārvaldības un kontroles sistēmas novērtēšana

265. Lai gūtu visaptverošu izpratni par iestādes procentu likmju riska profilu netirdzniecības portfelī, kompetentajām iestādēm ir jāanalizē iestādes procentu likmju riska darījumu pamatā esošā pārvaldība un sistēma. IRRBB stratēģija un vēlme uzņemties risku

266. Kompetentajām iestādēm jāizvērtē, vai iestādei ir pamatota, skaidri formulēta un dokumentēta IRRBB stratēģija un vēlme uzņemties risku, ko apstiprinājusi vadības struktūra. Šajā novērtējumā kompetentajām iestādēm cita starpā jāņem vērā vadības struktūras loma IRRBB stratēģijas un vēlmes uzņemties risku noteikšanā, apstiprināšanā un pārskatīšanā, tas, vai augstākā vadība pareizi īsteno šo stratēģiju, kā arī tās piemērotība iestādei, ņemot vērā tās uzņēmējdarbības modeli, tirgus vidi un lomu finanšu sistēmā, un kapitāla pietiekamību.

Organizatoriskā un iekšējās kontroles sistēma

267. Kompetentajām iestādēm jānovērtē, vai iestādei ir attiecīga organizatoriskā struktūra un skaidri noteikta atbildība IRRBB pārvaldības, novērtēšanas, pārraudzības un kontroles funkciju jomā ar pietiekamiem cilvēkresursiem un tehniskajiem resursiem. Veicot šo novērtējumu, kompetentajām iestādēm jāņem vērā atbildības jomu atbilstība IRRBB vispārējai pārvaldībai, kā arī lēmumu pieņemšanai, uzraudzībai, kontrolei un ziņošanai par IRRBB, tostarp IRRBB kontroles jomas neatkarība.

268. Kompetentajām iestādēm jānovērtē, vai iestādē ir skaidri noteikta IRRBB pārvaldības politika un procedūras, kas atbilst iestādes IRRBB stratēģijai un vēlmei uzņemties risku, ko regulāri apstiprina un pārskata vadības struktūra. Šīm politikām jābūt skaidri formulētām, izplatītām un konsekventi piemērotām visā iestādē, kā arī visās banku grupās. Kompetentajām iestādēm jāpārbauda, vai politikas dokumentos ir noteiktas procedūras jaunu produktu izstrādei, nozīmīgām riska ierobežošanas vai riska pārvaldības iniciatīvām, nodrošinot, ka pirms to īstenošanas tiek piemērotas atbilstošas procedūras un kontroles pasākumi un ka iestāde ir veikusi analīzi par to iespējamo ietekmi uz savu kopējo riska profilu.

269. Kompetentajām iestādēm jānovērtē, vai iestādei ir atbilstoša sistēma IRRBB identificēšanai, novērtēšanai, pārvaldībai un mazināšanai atbilstoši netirdzniecības portfeļa pozīciju līmenim, sarežģītībai un riska pakāpei, kā arī iestādes lielumam un sarežģītībai. Novērtējumā jāiekļauj iekšējie modeļi, piemēram, ar klientu rīcību saistītie modeļi (piemēram, noguldījumu stabilitātes un aizdevumu pirmstermiņa atmaksas modeļi). Šajā novērtējumā kompetentajām iestādēm jāizvērtē, vai riska pārvaldītāji un iestādes augstākā vadība izprot novērtēšanas sistēmu pamatā esošos pieņēmumus un vai viņi apzinās modeļu riska pakāpi, kas raksturīga iestādes riska novērtēšanas metodēm.

270. Turklāt tām jāapsver, vai informācijas sistēmas un mērīšanas metodes ļauj vadībai novērtēt raksturīgo IRRBB visās būtiskajās bilances un ārpusbilances pozīcijās (attiecīgā gadījumā – grupas līmenī), tostarp iekšējos riska ierobežošanas darījumos, kā arī termiņu un darījumu partneru koncentrācijas aspektā netirdzniecības portfeļa. IRRBB ietvars regulāri jāpārskata un jānovērtē regulējuma efektivitāte. Kompetentajām iestādēm jāsalīdzina iekšējās pārskatīšanas un novērtējumu rezultātus ar informāciju no COREP.

271. Kompetentajām iestādēm jānovērtē iestādes pieeja beztermiņa noguldījumu (NMD) uzvedības modelēšanai, tostarp tas, vai tiek ņemti vērā attiecīgie riska faktori, kas ietekmē NMD pārcenošanas uzvedību. Kompetentajām iestādēm šā novērtējuma veikšanai jāizmanto atbilstoši analītiskie rīki, ņemot vērā iestādes uzņēmējdarbības modeli. Starp piemērojamajām pieejām var minēt novērtējumu par to, kā iestāde segmentē NMD, izmantojot riska faktorus, kas saistīti ar klienta, iestādes vai tirgus profilu, kā arī salīdzinošo analīzi ar līdzīgām iestādēm, kurām ir līdzīgs riska profils. Turklāt kompetentajām iestādēm jāapsver, kā iestāde līdzsvaro vēsturiskos datus ar tālredzīgām pieejām un ekspertu slēdzieniem, un jāpārskata ietekme uz NII un EVE, ja uzvedības pieņēmumi tiek koriģēti.

272. Kompetentajām iestādēm jāapsver, vai iestādes iekšējās mērīšanas sistēmās (IMS) ir ņemti vērā visi būtiskie procentu likmju riska veidi, kuriem iestāde ir pakļauta (piemēram, plaisas risks, bāzes risks un opciju risks). IMS ir pienācīgi jākalibrē, neatkarīgi jāvalidē, jāveic retrospektīvā pārbaude un jāpārskata atbilstošā biežumā. Kompetentajām iestādēm jāņem vērā, vai IMS ir pamatota ar dokumentāciju, ņemot vērā uzņēmējdarbības modelim un iestādes darbībai raksturīgā IRRBB raksturu, apjomu un sarežģītību.

273. Kompetentajām iestādēm jānovērtē, vai iestādē ir ieviesta attiecīga IRRBB pārraudzības un iekšējās ziņojumu sniegšanas sistēma, kas vajadzības gadījumā nodrošina tūlītēju rīcību iestādes valdes vai vadības struktūras attiecīgajā līmenī. Lai nodrošinātu efektīvus agrīnos brīdinājumus, pārraudzības sistēmai jāietver konkrēti rādītāji un attiecīgie cēloņi (piemēram, gadījumiem, kad tiek pārsniegti IRRBB ierobežojumi). Kompetentajām iestādēm jāņem vērā, vai pārvaldības un kontroles nodaļa regulāri ziņo pārvaldības institūcijai un augstākajai vadībai par uzraudzības rezultātiem, ievērojot atbilstošu biežumu atkarībā no IRRBB riska pozīciju apjoma, sarežģītības un līmeņa.

274. Kompetentajām iestādēm vajadzētu novērtēt, vai iestādei ir spēcīga un visaptveroša kontroles sistēma un stabili drošības pasākumi, lai mazinātu to ietekmi uz IRRBB saskaņā ar tās riska pārvaldības stratēģiju un vēlmi uzņemties risku, tostarp piemērota limitu sistēma abiem IRRBB rādītājiem. Iekšējās kontroles funkcijai jāaptver visas konsolidētās vienības, visas ģeogrāfiskās atrašanās vietas un visas finanšu darbības. Kompetentajām iestādēm jānovērtē iekšējās revīzijas funkcijas funkcionalitāte, tostarp tas, vai tās pārskatīšana tiek veikta pietiekami bieži un aptver IRRBB regulējuma galvenos elementus.

6.5.3. CSRBB

6.5.3.1. Piemītošā CSRBB novērtēšana

275. Novērtējot piemītošo CSRBB līmeni, kompetentajām iestādēm jāizprot iestādes CSRBB riska darījumu galvenie virzītājspēki un jāizvērtē šā riska iespējamā prudenciālā ietekme uz iestādi.

276. Lai noteiktu CSRBB novērtējuma tvērumu, kompetentajām iestādēm vispirms jāapzina CSRBB avoti, kuriem iestāde ir vai varētu būt pakļauta, un jānoskaidro, vai ir notikušas būtiskas izmaiņas. Šajā saistībā kompetentajām iestādēm jāņem vērā iestādes kredītriska starpības riska pārvaldība, tostarp tās CSRBB stratēģija un vēlme uzņemties risku saistībā ar CSRBB, kā arī CSRBB apstrāde ICAAP kontekstā. 277. Kompetentajām iestādēm jāgūst skaidrs priekšstats par to, kā kredītriska uzcenojumu izmaiņas var negatīvi ietekmēt iestādes neto procentu ienākumus (un attiecīgā gadījumā – tās peļņu) un ekonomisko vērtību, lai novērtētu iespējamos draudus kapitāla pietiekamībai gan īstermiņā, gan ilgtermiņā. Šajā nolūkā kompetentajām iestādēm jāizvērtē pieeja, ko iestāde izmanto, lai izveidotu šo skaidru priekšstatu par iestādes aktīvu, pasīvu un ārpusbilances risku struktūru un raksturlielumiem, kā arī to, kā šie faktori ietekmē CSRBB līmeni un virzienu.

278. Analizējot ietekmi uz iestādes peļņu, kompetentajām iestādēm jāņem vērā kredītriska starpības jutīgo pozīciju ietekme uz iestādes peļņu, kredītriska starpību izmaiņu ietekme uz iestādes neto procentu ienākumiem un instrumentu tirgus vērtības izmaiņu ietekme (atkarībā no konta apstrādes), kas uzrādīta vai nu peļņas un zaudējumu (P&L) kontā, vai tieši pašu kapitālā (piemēram, ar atspoguļojumu pārējos apvienotajos ienākumos).

279. Kompetentajām iestādēm vajadzētu ņemt vērā iestādes CSRBB novērtēšanas metodiku rezultātus, ja tas ir piemēroti. Veicot šīs metodikas analīzi, kompetentajām iestādēm jāgūst dziļāka izpratne par galvenajiem riska faktoriem, kas ir iestādes CSRBB profila pamatā.

6.5.3.2. CSRBB pārvaldības un kontroles sistēmas novērtējums

280. Lai gūtu visaptverošu izpratni par iestādes kredītriska starpības riska profilu netirdzniecības portfelī, kompetentajām iestādēm ir jāanalizē iestādes procentu likmju riska darījumu pamatā esošā pārvaldība un sistēma.

281. Iestādes veiktās CSRBB pārvaldības izvērtējumā jāiekļauj šādi elementi:

• a. iestādes CSRBB stratēģija un vēlme uzņemties risku;
• b. iestādes organizatoriskā struktūra un pienākumu sadalījums saistībā ar CSRBB pārvaldības, novērtēšanas, uzraudzības un kontroles funkcijām;
• c. iestādes CSRBB pārvaldības politika un procedūras.

282. Lai novērtētu šīs jomas, kompetentajām iestādēm jāatsaucas uz 6.5.2.2. iedaļu par IRRBB pārvaldības un kontroles sistēmas novērtēšanu, kurā ietvertie principi ir piemērojami arī CSRBB pārvaldības novērtēšanai.

283. Analizējot CSRBB novērtējumā ietverto aktīvu un saistību perimetru, kā arī ņemot vērā iestādes metodiku, kompetentajām iestādēm jānovērtē, vai jebkāda iespējama instrumentu izslēgšana no attiecīgā perimetra tiek veikta tikai tad, ja nav jūtīguma pret kredītriska starpības risku, un ir pienācīgi dokumentēta un pamatota, kā noteikts EBI pamatnostādņu par IRRBB un CSRBB 124. punktā⁴¹ . Faktori, kas jāņem vērā, ir šādi:

• a. vai iestāde iekļauj visus aktīvus un pasīvus, kas tiek uzskaitīti pēc patiesās vērtības;
• b. vai iestāde iekļauj visus aktīvus un pasīvus, kuru kredītriska starpības risku var noteikt, pamatojoties uz tiešu/netiešu vai pat modelētu tirgus cenu, neatkarīgi no to grāmatvedības uzskaites;
• c. kredīta starpību iespējamā nozīme iestādes cenu noteikšanas praksē attiecībā uz dažādiem aktīviem/pasīviem (piemēram, izmantojot tiešas atsauces uz novērotām tirgus cenām vai netiešāku saistību);
• d. atšķirības (ja tādas ir), ko iestāde piemēro starp EVE un NII aprēķina perimetriem, novērtējot CSRBB (piemēram, sakarā ar NII laika periodu vai citu iemeslu dēļ).

284. Lai analizētu iestādes veiktos CSRBB novērtējumus, kompetentajām iestādēm vajadzētu, ja nepieciešams, vērtēt, kādus satricinājumu scenārijus iestāde ņem vērā, kā arī to, kā un kāpēc šie satricinājumi var atšķirties atkarībā no bilances posteņa.

285. Kompetentajām iestādēm jāpārbauda idiosinkrātiskās starpības izslēgšana iestādes CSRBB novērtējumā vai tās iekļaušana tikai proporcionalitātes apsvērumu dēļ un neatkarīgi no iestādes SREP iedalījuma kategorijās, ja vien tiek nodrošināts, ka šie pasākumi sniegs konservatīvākus rezultātus.

286. Kompetentajām iestādēm jānovērtē, vai iestādei ir atbilstoša sistēma CSRBB identificēšanai, novērtēšanai, pārvaldībai un mazināšanai atbilstoši netirdzniecības portfeļa pozīciju līmenim, sarežģītībai un riska pakāpei, kā arī iestādes lielumam un sarežģītībai. Tām jāapsver, vai informācijas sistēmas un mērīšanas metodes ļauj vadībai izmērīt iekšējo CSRBB visos būtiskajos bilances un ārpusbilances riska darījumos (attiecīgā gadījumā grupas līmenī) netirdzniecības portfelī. CSRBB ietvars regulāri jāpārskata un jāizvērtē tā efektivitāte. Šajā kontekstā kompetentajām iestādēm jānovērtē, vai būtiski mērījumu pieņēmumi tiek pārskatīti vismaz reizi gadā un biežāk strauji mainīgajos tirgus apstākļos.

287. Kompetentajām iestādēm jāapsver, vai iestādes iekšējās riska novērtēšanas sistēmās (IMS) ir ņemti vērā visi CSRBB avoti, kas ir būtiski iestādes uzņēmējdarbības modelim. IMS ir pienācīgi jākalibrē, neatkarīgi jāvalidē, jāveic retrospektīvā pārbaude un jāpārskata atbilstošā biežumā. Kompetentajām iestādēm jāņem vērā, vai IMS ir pamatota ar dokumentāciju, ņemot vērā uzņēmējdarbības modelim un iestādes darbībai raksturīgā CSRBB raksturu, apjomu un sarežģītību.

288. Kompetentajām iestādēm jānovērtē, vai iestādē ir ieviesta attiecīga CSRBB pārraudzības un iekšējās ziņojumu sniegšanas sistēma, kas vajadzības gadījumā nodrošina tūlītēju rīcību iestādes valdes vai vadības struktūras attiecīgajā līmenī. Kompetentajām iestādēm jāņem vērā, vai pārvaldības un kontroles nodaļa regulāri ziņo pārvaldības institūcijai un augstākajai vadībai par uzraudzības rezultātiem, ievērojot atbilstošu biežumu atkarībā no CSRBB riska pozīciju apjoma, sarežģītības un līmeņa.

289. Kompetentajām iestādēm vajadzētu novērtēt, vai iestādei ir spēcīga un visaptveroša kontroles sistēma un stabili drošības pasākumi, lai mazinātu būtisku to ietekmi uz CSRBB saskaņā ar tās riska pārvaldības stratēģiju un vēlmi uzņemties risku. Iekšējās kontroles funkcijai jāaptver visas konsolidētās vienības, visas ģeogrāfiskās atrašanās vietas un visas finanšu darbības. Kompetentajām iestādēm jānovērtē iekšējās revīzijas funkcijas funkcionalitāte, tostarp tas, vai tās pārskatīšana tiek veikta pietiekami bieži un aptver CSRBB regulējuma galvenos elementus.

6.5.4. Secinājumu kopsavilkums, novērtējums un uzraudzības pasākumi

290. Pēc iepriekš minētajiem novērtējumiem kompetentajām iestādēm jāizdara konstatējumi par iestādes IRRBB un CSRBB. Šis viedoklis kopā ar novērtējumu, kas veikts pamatojoties uz apsvērumiem, kas norādīti 12. tabulā, jāatspoguļo konstatējumu kopsavilkumā. Ja, pamatojoties uz konkrētu risku apakškategoriju būtiskumu, kompetentā iestāde nolemj tos novērtēt un vērtēt individuāli, šajā tabulā sniegtie norādījumi jāpiemēro pēc iespējas analoģiski.

³⁹ Informāciju par IRRBB apakškategoriju neizsmeļošu sadalījumu skatīt IV pielikumā.

⁴⁰ Ņemot vērā arī norādījumus EBI/2022/14.

⁴¹ Pamatnostādnes, kas izdotas, pamatojoties uz Direktīvas 2013/36/ES 84. panta 6. punktu, precizējot kritērijus tādu risku identificēšanai, novērtēšanai, pārvaldībai un mazināšanai, kas izriet no iespējamām procentu likmju izmaiņām, un kredītriska starpības riska novērtēšanai un uzraudzībai saistībā ar iestāžu netirdzniecības portfeļa darbībām (EBA/GL/2022/14).