6.4. Valutazzjoni tar-riskju operazzjonali

Meta jivvalutaw il-qafas tal-ġestjoni tar-riskju operazzjonali, l-awtoritajiet kompetenti għandhom jevalwaw inter alia l-konformità tal-istituzzjoni mal-atti legali ppubblikati separatament fuq is-sit web tal-EBA kif imsemmi fil-paragrafu 12.

L-awtoritajiet kompetenti għandhom jivvalutaw ir-riskju operazzjonali fil-linji operatorji u l-operazzjonijiet kollha tal-istituzzjoni, b’kunsiderazzjoni tas-sejbiet mill-valutazzjoni tal-arranġamenti ta’ governanza interna u l-kontrolli fl-istituzzjoni kollha kif speċifikat fit-Titolu 5. Fit-twettiq ta’ din il-valutazzjoni, l-awtoritajiet kompetenti għandhom jiddeterminaw kif ir-riskju operazzjonali jista’ jimmaterjalizza, filwaqt li jqisu wkoll is-sett tad-data dwar it-telf tal-istituzzjoni u l-impatti potenzjali minn riskji relatati oħrajn (eż. riskju operazzjonali li jinsab fuq il-konfini bejn riskju relatat mal-kreditu u dak relatat mas-suq).

L-awtoritajiet kompetenti għandhom jivvalutaw il-materjalità tar-riskju operazzjonali li jirriżulta minn fornituri terzi ta’ servizzi, inkluża l-konċentrazzjoni (fil-livell tal-entità u fejn rilevanti fil-livell tal-grupp) fuq servizz wieħed jew aktar ipprovduti minn fornitur wieħed ta’ servizzi terz (direttament jew indirettament permezz ta’ katini ta’ sottokuntrattar) jew minn numru limitat ta’ fornituri terzi li jappoġġaw funzjonijiet kritiċi jew importanti tal-istituzzjoni, u jekk dawn jistgħux jaffettwaw ir-reżiljenza operazzjonali, il-prestazzjoni u l-ġestjoni tar-riskju tal-istituzzjoni. Meta jwettqu din il-valutazzjoni, l-awtoritajiet kompetenti għandhom jieħdu inkunsiderazzjoni kemm istituzzjonijiet oħra jistrieħu fuq l-istess fornituri terzi ta’ servizzi, fejn din l-informazzjoni tkun disponibbli għalihom.

Meta jivvalutaw ir-riskju operazzjonali, l-awtoritajiet kompetenti għandhom jivvalutaw ir-riskju tal-ICT, skont id-DORA, u l-impatt potenzjali tiegħu fuq il-funzjonijiet kritiċi jew importanti tal-istituzzjoni, inkluż kwalunkwe impatt finanzjarju, reputazzjonali, regolatorju u strateġiku potenzjali fuq l-istituzzjoni.

L-awtoritajiet kompetenti għandhom jivvalutaw jekk l-istituzzjoni għandhiex approċċ adegwat ta’ reżiljenza operazzjonali biex tkun kapaċi tirreżisti, tadatta u tirkupra minn tfixkil meta dan jimmaterjalizza u jekk dan ġiex allinjat b’mod adegwat u konsistenti mal-qafas eżistenti ta’ ġestjoni tar-riskju, mal-pjanijiet għall-kontinwità tal-operat u mal-ġestjoni ta’ partijiet terzi.

Meta jivvalutaw ir-riskju operazzjonali, l-awtoritajiet kompetenti għandhom jivvalutaw, jekk applikabbli, jekk il-politiki u l-proċeduri tal-istituzzjoni jidentifikawx, jevalwawx u jimmaniġġjawx b’mod xieraq ir-riskji operazzjonali li jirriżultaw mill-attivitajiet tal-kriptoassi u t-teknoloġija li tappoġġahom.

L-awtoritajiet kompetenti għandhom jivvalutaw ir-riskju reputazzjonali flimkien mar-riskju operazzjonali peress li huwa marbut b’mod inerenti ma’ avvenimenti ta’ riskju operazzjonali. Madankollu, l-eżitu tal-valutazzjoni tar-riskju reputazzjonali ma għandux jiġi rifless fil-punteġġ tar-riskju operazzjonali iżda, fejn rilevanti, għandu jiġi kkunsidrat bħala parti mill-BMA u/jew mill-valutazzjoni tar-riskju tal-likwidità, peress li l-effetti prinċipali tiegħu jistgħu jiddeterjoraw il-fiduċja tal-investituri, tad-depożitanti jew tal-parteċipanti fis-suq interbankarju fl-istituzzjoni.

L-awtoritajiet kompetenti għandhom jivvalutaw l-impatt tar-riskji tal-ESG fuq ir-riskji operazzjonali u reputazzjonali inerenti kif ukoll l-adegwatezza tar-riskju operazzjonali u l-kontrolli tar-riskju reputazzjonali relatati mar-riskji tal-ESG, filwaqt li jagħtu prijorità lil riskji fiżiċi u ta’ tranżizzjoni ambjentali. B’mod partikolari, l-awtoritajiet kompetenti għandhom jikkunsidraw ir-riskji ambjentali u r-riskji ta’ greenwashing meta jwettqu l-valutazzjoni tar-riskju legali u tar-riskju reputazzjonali.

6.4.2. Valutazzjoni tar-riskju operazzjonali inerenti

L-awtoritajiet kompetenti għandhom jiżviluppaw fehim komprensiv tal-iskoperturi inherenti tar-riskju operazzjonali tal-istituzzjoni u jevalwaw is-sinifikat tal-impatt prudenzjali ta’ dan ir-riskju għall-istituzzjoni, kif ukoll l-impatt fuq il-kapaċità tagħha li twettaq funzjonijiet kritiċi jew importanti waqt tfixkil.

Biex jappoġġaw din il-valutazzjoni, l-awtoritajiet kompetenti għandhom jikkunsidraw ir-rekwiżit ta’ fondi proprji għar-riskju operazzjonali meta mqabbel mar-rekwiżit ta’ fondi proprji totali, u fejn rilevanti l-kapital intern allokat għar-riskju operazzjonali mill-istituzzjoni meta mqabbel mal-kapital intern totali. Barra minn hekk, l-awtoritajiet kompetenti għandhom jisfruttaw l-għarfien miksub mill-valutazzjoni ta’ elementi oħrajn tal-SREP (b’mod partikolari mit-Titolu 4 u t-Titolu 5), mit-tqabbil mal-pari, minn kwalunkwe attività superviżorja oħra inkluż l-input mis-superviżuri fil-qasam tal-AML/CFT u l-awtoritajiet tas-sorveljanza tas-suq u minn sorsi ta’ informazzjoni rilevanti oħra.

L-awtoritajiet kompetenti għandhom jikkunsidraw bħala minimu l-fatturi ta’ riskju operazzjonali ewlenin, ix-xenarji ta’ tfixkil potenzjali, u fejn rilevanti, janalizzawhom skont il-linja operatorja, l-entità ġuridika, il-ġeografija, u l-kategorija tat-tip ta’ avveniment (soġġett għad-disponibbiltà tad-data) u jqabblu l-pożizzjoni tal-istituzzjoni ma’ dik tal-pari tagħha. Dawn il-fatturi għandhom ikopru, mill-inqas, l-istrateġija prinċipali tal-istituzzjoni għar-riskju operazzjonali u għall-aptit tagħha għar-riskju operazzjonali, l-ambjent tan-negozju (inkluża l-preżenza ġeografika, l-operazzjonijiet tal-ICT u l-kanali tad-distribuzzjoni), avvenimenti korporattivi sinifikanti riċenti (bħal fużjonijiet, akkwisti, disponimenti u ristrutturazzjoni), is-sistemi tal-ICT u aspetti oħra relatati mal-ICT skont it-taqsima 6.4.2.3, bidliet fil-proċessi, arranġamenti ma’ partijiet terzi, kwistjonijiet ta’ konformità regolatorja, ambizzjonijiet tan-negozju u skemi ta’ inċentivi, u motivaturi tar-riskju operazzjonali ewlenin oħra.

Natura u sinifikat tal-iskoperturi għar-riskju operazzjonali

L-awtoritajiet kompetenti għandhom jiddeterminaw in-natura tal-iskoperturi għar-riskju operazzjonali billi janalizzaw l-iskoperturi għas-sorsi u l-motivaturi prinċipali tar-riskju operazzjonali biex jiffurmaw perspettiva prospettiva dwar ir-riskju operazzjonali prospettiv. Għal din l-analiżi, l-awtoritajiet kompetenti:

• a. jistgħu jikkunsidraw il-mudell operattiv, il-linji operatorji, il-prodotti, il-proċessi u l-ġeografiji rilevanti għall-istituzzjoni, il-valutazzjoni tad-dipendenzi u l-iskoperturi għar-riskju operazzjonali għall-motivaturiprimarji tar-riskju (eż. proċessi, persuni, sistemi u fatturi esterni) u l-interazzjonijiet bejn il-motivaturi tar-riskju, billi jużaw l-awtovalutazzjoni tar-riskju tal-istituzzjoni, l-analiżi bejn il-pari, id-data u l-bażijiet ta’ data pubbliċi u/jew ta’ konsorzju, jekk disponibbli u rilevanti;
• b. għandhom jikkunsidraw kemm il-frekwenza kif ukoll is-severità tal-avvenimenti li għalihom hija esposta l-istituzzjoni u jiddistingwu dawk li jikkawżaw telf ta’ severità għolja u dawk li jseħħu bi frekwenzi għoljin. Abbażi ta’ din id-distinzjoni, l-awtoritajiet kompetenti għandhom jivvalutaw ix-xejriet tat-telf mir-riskju operazzjonali u l-konċentrazzjoni tagħhom; u
• c. għandhom jisfruttaw l-analiżijiet tax-xenarji u jikkunsidraw l-operazzjonijiet tan-negozju ppjanati u l-analiżijiet tar-riskju operazzjonali prospettivi mwettqa mill-istituzzjoni, fejn disponibbli, filwaqt li jqisu kwalunkwe miżura korrettiva u azzjoni ta’ mitigazzjoni diġà implimentati u effettivi.

Wara l-identifikazzjoni u l-analiżi tas-sorsi u l-fatturi ewlenin tar-riskju operazzjonali, l-awtoritajiet kompetenti għandhom jiffokaw fuq dawk bl-aktar impatt potenzjali materjali għall-istituzzjoni.

Sors primarju ta’ informazzjoni li l-awtoritajiet kompetenti għandhom jikkunsidraw huwa s-sett ta’ data dwar it-telf u l-avvenimenti tal-istituzzjoni peress li jista’ jipprovdi għarfien prezzjuż dwar l-evoluzzjoni tal-profil tar-riskju operazzjonali tal-istituzzjoni. L-awtoritajiet kompetenti għandhom jivvalutaw perjodikament il-komprensività, il-preċiżjoni u l-kwalità tad-data dwar it-telf. Sors ieħor ta’ informazzjoni għandu jkun ir-rekords tal-istituzzjoni tal-inċidenti kollha relatati mal-ICT u t-theddid ċibernetiku sinifikanti (skont l-Artikolu 17(2) tad-DORA) u s-sorsi identifikati tar-riskju tal-ICT (skont l-Artikolu 8(2) tad-DORA).

Valutazzjoni tas-sottokategoriji tar-riskju operazzjonali

L-awtoritajiet kompetenti għandhom jiffokaw il-valutazzjoni tas-sottokategoriji tar-riskju operazzjonali fuq dawk li huma meqjusa bħala materjali għall-istituzzjoni. L-awtoritajiet kompetenti għandhom japplikaw ukoll il-ġudizzju espert tagħhom biex jidentifikaw sottokategoriji sinifikanti, abbażi tas-sorsi ta’ informazzjoni interni u esterni disponibbli kollha. Fit-twettiq tal-valutazzjoni, l-awtoritajiet kompetenti għandhom dejjem jagħtu attenzjoni lill-aspetti li ġejjin tar-riskju operazzjonali³² :

• a. riskju legali;
• b. riskju tal-mudell;
• c. riskju tal-ICT. 6.4.2.1. Riskju legali

³² Jekk jogħġbok irreferi għall-Anness III għal diżaggregazzjoni mhux eżawrjenti tas-sottokategoriji tar-riskju operazzjonali.

L-awtoritajiet kompetenti għandhom jikkunsidraw dan li ġej meta jivvalutaw ir-rilevanza u s-sinifikat tal-iskoperturi tal-istituzzjoni għar-riskju legali:

• a. il-bejgħ inadatt ta’ prodotti jew servizzi;
• b. il-kunflitti ta’ interess fit-twettiq tan-negozju;
• c. il-manipulazzjoni ta’ rati tal-imgħax referenzjali, rati tal-kambju jew kwalunkwe strument finanzjarju jew indiċi ieħor;
• d. l-ostakli għall-bdil tal-prodotti finanzjarji matul il-ħajja tagħhom u/jew għall-bdil tal-fornituri tas-servizzi finanzjarji;
• e. it-tiġdid awtomatiku ta’ prodotti jew penali fuq il-ħruġ; u/jew
• f. l-ipproċessar tal-ilmenti tal-klijenti;
• g. il-ksur tar-regoli u r-regolamenti nazzjonali u internazzjonali (regoli tat-taxxa, frodi interna jew serq intern, regoli kontra l-ħasil tal-flus, regoli kontra t-terroriżmu u sanzjonijiet ekonomiċi);
• h. l-iskoperturi ta’ litigazzjoni relatati mal-ESG, b’mod partikolari dawk relatati mal-ambjent u mal-greenwashing.

L-awtoritajiet kompetenti għandhom jikkunsidraw jekk l-istituzzjoni tistax iġġarrab spejjeż, multi, penali jew danni punittivi minn proċedimenti ġudizzjarji u l-għadd u l-kontenut tal-ilmenti. L-eżiti tal-valutazzjoni tat-Titolu 4 għandhom jiġu ingranati wkoll, flimkien ma’ skrutinju tal-politiki ta’ inċentiv, biex jinkiseb għarfien ta’ livell għoli dwar is-sorsi ta’ mġiba ħażina potenzjali. F’dan il-kuntest, l-awtoritajiet kompetenti għandhom jikkunsidraw ukoll jekk l-istituzzjoni għandhiex fis-seħħ sistemi u proċessi adegwati u effettivi biex timplimenta u tikkonforma ma’ miżuri restrittivi (eż. sanzjonijiet), inkluż billi jivvalutaw il-konformità tal-istituzzjoni mal-Linji Gwida tal-EBA dwar il-politiki, il-proċeduri u l-kontrolli interni³³ .

³³ Linji Gwida tal-EBA dwar il-politiki, il-proċeduri u l-kontrolli interni sabiex tiġi żgurata l-implimentazzjoni tal-miżuri restrittivi tal-Unjoni u dawk nazzjonali (EBA/GL/2024/14)

Madankollu, l-awtorità kompetenti għandha tapplika approċċ prospettiv, u tikkunsidra wkoll l-impatt possibbli tal-iżviluppi regolatorji u l-attività tal-awtoritajiet rilevanti fir-rigward tal-protezzjoni tal-konsumatur u l-provvista tas-servizzi finanzjarji b’mod ġenerali.

6.4.2.2. Riskju tal-mudell

Taħt ir-riskju operazzjonali, l-awtoritajiet kompetenti għandhom jivvalutaw ir-riskju tal-mudell, b’riferiment speċifiku għal mudelli interni mhux regolatorji (eż. mudelli tal-IA, ipprezzar tal-prodotti, stabbiliment u monitoraġġ tal-limiti tar-riskju, mudelli tal-ICAAP/ILAAP, opzjonijiet ta’ rkupru).

Għall-valutazzjoni tar-riskju tal-mudell, l-awtoritajiet kompetenti għandhom jikkunsidraw:

• a. sa liema punt u għal liema finijiet l-istituzzjoni tuża mudelli biex tieħu deċiżjonijiet u s-sinifikat kummerċjali ta’ tali deċiżjonijiet. L-awtoritajiet kompetenti għandhom jiddeterminaw in-negozju/l-attività li għaliha l-istituzzjoni tagħmel użu sinifikanti ta’ mudelli u jivvalutaw l-impatt potenzjali tar-riskju tal-mudell permezz, fost l-oħrajn, ta’ analiżijiet tas-sensittività u tax-xenarji jew tal-ittestjar tal-istress; u
• b. is-solidità tal-mekkaniżmi ta’ kontroll (f’termini ta’ metodi, frekwenza, segwitu, eċċ.), inkluż proċess ta’ approvazzjoni ta’ mudell, reviżjonijiet regolari mwettqa u l-livell ta’ sensibilizzazzjoni tal-istituzzjoni dwar in-nuqqasijiet tal-mudell jew l-iżviluppi tas-suq u tan-negozju.

Meta l-mudelli jintużaw għal finijiet ta’ teħid ta’ deċiżjonijiet (eż. l-ipprezzar tal-prodotti, il-mudelli tal-IA, l-evalwazzjoni tal-istrumenti finanzjarji, it-tfassil tal-profili tal-klijenti), l-awtoritajiet kompetenti għandhom jivvalutaw jekk hemmx proċess ta’ validazzjoni intern b’saħħtu u/jew proċess ta’ reviżjoni tal-mudell biex jiġi identifikat u mmitigat ir-riskju tal-mudell (għajr il-mudelli regolatorji).

Meta jwettqu l-valutazzjoni tar-riskju tal-mudell, l-awtoritajiet kompetenti għandhom iqisu l-valutazzjoni ta’ riskji oħrajn għall-kapital u r-riskji għal-likwidità u l-finanzjament, b’mod partikolari fir-rigward tal-adegwatezza tal-metodoloġiji użati għall-kejl tar-riskju, l-ipprezzar u l-evalwazzjoni tal-assi u/jew l-obbligazzjonijiet. Ir-riżultati ta’ tali valutazzjoni għandhom jinfurmaw is-sejbiet dwar ir-riskju operazzjonali.

6.4.2.3. Riskju tal-ICT - Valutazzjoni tar-riskju inerenti tal-ICT

Identifikazzjoni tar-riskji materjali tal-ICT

F’konformità mad-DORA, l-awtoritajiet kompetenti għandhom jirrevedu l-identifikazzjoni, il-klassifikazzjoni u d-dokumentazzjoni tal-istituzzjoni tal-funzjonijiet, ir-rwoli u r-responsabbiltajiet kollha tan-negozju appoġġati mill-ICT, l-assi tal-informazzjoni³⁴ u l-assi tal-ICT³⁵ li jappoġġaw dawk il-funzjonijiet, u r-rwoli u d-dipendenzi tagħhom fir-rigward tar-riskju tal-ICT. Din ir-reviżjoni għandha tgħin lill-awtoritajiet kompetenti jiżviluppaw fehim profond tal-iskoperturi inerenti għar-riskju tal-ICT tal-istituzzjoni (profil tar-riskju tal-ICT), jidentifikaw ir-riskju materjali inerenti tal-ICT tagħha u jiffurmaw opinjoni dwar l-impatt prudenzjali tagħha. Għal dan il-għan, l-awtoritajiet kompetenti għandhom jikkunsidraw mill-inqas dan li ġej, fejn ikun rilevanti u applikabbli:

• a. rapport dwar ir-reviżjoni tal-qafas ta’ ġestjoni tar-riskji tal-ICT (skont l-Artikolu 6(5) tad-DORA);
• b. sorsi tar-riskju tal-ICT, b’mod partikolari l-iskopertura għar-riskju lejn u minn entitajiet finanzjarji oħra, identifikati mill-istituzzjoni skont l-Artikolu 8(2) tad-DORA;
• c. inċidenti ewlenin relatati mal-ICT irrapportati (skont l-Artikolu 19(1) tad-DORA), inkluża x-xejra tal-kostijiet u t-telf annwali aggregati kkawżati minn inċidenti ewlenin relatati mal-ICT (skont l-Artikolu 11(10) tad-DORA);
• d. eżiti tat-testijiet previsti fil-programm ta’ ttestjar tar-reżiljenza operazzjonali diġitali (skont l-Artikolu 24 tad-DORA), inkluż sommarju tas-sejbiet tal-ittestjar tal-penetrazzjoni bbażat fuq it-theddid (TLPT) u l-pjanijiet ta’ rimedjazzjoni relatati (skont l-Artikolu 26(6) ta’ DORA);
• e. reġistru ta’ informazzjoni (skont l-Artikolu 28(3) tad-DORA), inkluż il-grad ta’ konċentrazzjoni fuq fornituri terzi ta’ servizzi tal-ICT, inklużi fornituri intragrupp tal-ICT, skont it-tip ta’ servizzi tal-ICT u/jew sistemi tal-ICT;
• f. rakkomandazzjonijiet u opinjonijiet mis-Sorveljanti Ewlenin (skont l-Artikolu 40(3) u l-Artikolu 42(7) tad-DORA) u t-tweġibiet, ir-rapporti u l-informazzjoni relatati minn fornituri terzi kritiċi ta’ servizzi tal-ICT (skont l-Artikolu 35(1)(c), l-Artikolu 42(1) u l-Artikolu 48(2) tad-DORA);
• g. livell ta’ kumplessità tas-sistemi tal-ICT u r-riżultati tal-valutazzjoni tar-riskju tal-ICT fuq sistemi tal-ICT miruta (skont l-Artikolu 8(7) tad-DORA);
• h. valutazzjoni tar-riskju dwar bidliet kbar (skont l-Artikolu 8(3) tad-DORA);
• i. livell ta’ adozzjoni u integrazzjoni ta’ soluzzjonijiet innovattivi tal-ICT;
• j. postijiet, jiġifieri r-reġjuni jew il-pajjiżi, taċ-ċentri tad-data u żoni deżinjati sensittivi, inkluż fejn is-servizzi kuntrattwali tal-ICT huma pprovduti minn fornituri terzi ta’ servizzi tal-ICT, u jkopru wkoll il-post tal-ipproċessar u tal-ħżin tad-data;
• k. kwalunkwe nuqqas jew dgħufija materjali relatata identifikata taħt it-Titolu 5;
• l. awtovalutazzjonijiet tar-riskju u tal-kontrolli tal-ICT (jekk jingħataw fl-informazzjoni tal-ICAAP);
• m. informazzjoni dwar il-ġestjoni relatata mar-riskju tal-ICT ippreżentata lill-korp maniġerjali tal-istituzzjoni;
• n. sejbiet tal-awditjar intern u estern relatati mal-ICT;
• o. ambjent ta’ theddid estern, inkluża l-intelligence dwar it-theddid u l-vulnerabbiltà.

Reviżjoni tas-sistemi tal-ICT u s-servizzi tal-ICT

³⁴ L-Artikolu 3(6) tar-Regolament (UE) 2022/2554

³⁵ L-Artikolu 3(7) tar-Regolament (UE) 2022/2554

L-awtoritajiet kompetenti għandhom jirrevedu d-dokumentazzjoni, il-metodoloġija u l-proċessi rilevanti tal-istituzzjoni, u jiffurmaw opinjoni dwar jekk l-istituzzjoni identifikatx kif xieraq is-sistemi tal-ICT u s-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti. Għal dan il-għan, l-awtoritajiet kompetenti għandhom jikkunsidraw:

• a. sistemi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti, kif ukoll l-assi ta’ informazzjoni kritika u l-assi tal-ICT identifikati mill-istituzzjoni (skont l-Artikolu 8 tad-DORA);
• b. proċessi ewlenin li jiddependu fuq fornituri terzi ta’ servizzi tal-ICT, inklużi interkonnessjonijiet ma’ fornituri terzi ta’ servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti, identifikati mill-istituzzjoni (skont l-Artikolu 8.5 tad-DORA). Identifikazzjoni u mmappjar ta’ riskji materjali tal-ICT għas-sistemi tal-ICT u s-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti

L-awtoritajiet kompetenti għandhom imbagħad jimmappjaw ir-riskju materjali tal-ICT identifikat fil-kategoriji tar-riskju tal-ICT stabbiliti fl-Anness III. L-istituzzjonijiet huma mistennija li jżommu l-kategorizzazzjoni tagħhom stess minflok jużaw dik stabbilita fl-Anness.

6.4.3. Valutazzjoni tal-qafas ta’ ġestjoni u kontroll tar-riskju operazzjonali

L-awtoritajiet kompetenti għandhom jivvalutaw il-qafas u l-arranġamenti li l-istituzzjoni għandha fis-seħħ biex timmaniġġja u tikkontrolla r-riskju operazzjonali filwaqt li jikkunsidraw l-eżitu tal-analiżi tal-qafas globali ta’ ġestjoni tar-riskju u ta’ kontroll intern indirizzat fit-Titolu 5, peress li dan se jinfluwenza l-iskoperturi tar-riskju operazzjonali tal-istituzzjoni. Fir-rigward tar-riskju tal-ML/TF, l-awtorità kompetenti għandha tqis il-valutazzjoni pprovduta mis-superviżur fil-qasam tal-AML/CFT.

Strateġija u aptit għar-riskju operazzjonali

L-awtoritajiet kompetenti għandhom jivvalutaw jekk l-istituzzjoni għandhiex strateġija tar-riskju u livell ta’ aptit għar-riskju operazzjonali sodi, ifformulati u ddokumentati b’mod ċar approvati mill-korp maniġerjali, li jiddeskrivu n-natura, it-tipi u l-livelli ta’ riskju operazzjonali li l-istituzzjoni lesta li tassumi. Għal din il-valutazzjoni, fost fatturi oħra, l-awtoritajiet kompetenti għandhom jieħdu inkunsiderazzjoni r-rwol tal-korp maniġerjali fl-istabbiliment, l-approvazzjoni, l-implimentazzjoni u r-reviżjoni tal-istrateġija tar-riskju u l-aptit għar-riskju operazzjonali (inkluż l-aptit għar-riskju tal-ICT u l-istrateġija tar-reżiljenza operazzjonali diġitali), il-kopertura suffiċjenti u l--adegwatezza tal-istrateġija fir-rigward tan-natura u l-materjalità tal-profil tar-riskju operazzjonali tal-istituzzjoni.

Qafas organizzazzjonali u ta’ kontroll intern

L-awtoritajiet kompetenti għandhom jivvalutaw il-konformità tal-istituzzjoni mal-Artikolu 323 tar-Regolament (UE) 575/2013. F’din il-valutazzjoni, l-awtoritajiet kompetenti għandhom jevalwaw is-solidità u l-effettività tal-qafas organizzazzjonali u l-arranġamenti ta’ governanza biex jippermettu l-ġestjoni, il-kejl u l-kontroll effettivi tar-riskju operazzjonali, b’riżorsi umani u tekniċi suffiċjenti biex jitwettqu l-kompiti meħtieġa. L-awtoritajiet kompetenti għandhom jieħdu inkunsiderazzjoni jekk hemmx fis-seħħ linji ċari ta’ responsabbiltà għall-identifikazzjoni, l-evalwazzjoni, il-mitigazzjoni, il-monitoraġġ u r-rapportar tar-riskju operazzjonali kif ukoll aderenza mal-mudell tat-tliet linji ta’ difiża.

L-awtoritajiet kompetenti għandhom jivvalutaw jekk l-istituzzjoni għandhiex qafas ta’ kontroll b’saħħtu u salvagwardji sodi biex timmitiga r-riskju operazzjonali tagħha, inklużi politiki u proċeduri xierqa, li jkopru wkoll ir-riskju residwu, u jekk dawn humiex konsistenti mal-aptit u l-istrateġija tal-istituzzjoni fil-ġestjoni tar-riskju operazzjonali u jkoprux l-operazzjonijiet u l-proċessi ewlenin kollha. Dan jinkludi, fost l-oħrajn, il-valutazzjoni ta’ jekk dawn il-politiki u l-proċeduri humiex ċarament formalizzati, komunikati u applikati b’mod konsistenti fl-istituzzjoni kollha.

L-awtoritajiet kompetenti għandhom jivvalutaw ukoll il-funzjonalità tal-funzjoni tal-awditjar intern f’termini ta’ adegwatezza, ambitu u frekwenza tal-awditi interni dwar il-qafas ta’ ġestjoni tar-riskju operazzjonali.

Kontinwità tal-operat, rispons u rkupru

L-awtoritajiet kompetenti għandhom jevalwaw il-konformità tal-istituzzjoni (i) mal-Linji Gwida tal-EBA dwar il-Governanza Interna fir-rigward tal-ġestjoni tal-kontinwità tal-operat globali u

• (ii) mad-DORA fir-rigward tal-politika tal-kontinwità tal-operat tal-ICT u l-pjanijiet ta’ rispons u rkupru tal-ICT. F’dan ir-rigward, l-awtoritajiet kompetenti għandhom jiddeterminaw jekk il-politika tal-kontinwità tal-operat tal-ICT u l-pjanijiet ta’ rispons u rkupru tal-ICT jiffurmawx parti integrali mill-politika tal-kontinwità tal-operat globali tal-istituzzjoni u mill-pjan ta’ rispons u rkupru tagħha.

L-awtoritajiet kompetenti għandhom jivvalutaw jekk l-istituzzjoni stabbilietx ġestjoni effettiva tal-kontinwità tal-operat bi pjanijiet ittestjati għall-kontinwità tal-operat, rispons u rkupru li jkopru mill-inqas il-funzjonijiet kritiċi jew importanti tagħha, inklużi dawk ikkuntrattati ma’ fornituri terzi, u jekk dawn jikkunsidrawx firxa ta’ xenarji severi iżda plawżibbli li l-istituzzjoni tista’ tkun vulnerabbli għalihom. L-awtoritajiet kompetenti għandhom jivvalutaw ukoll jekk il-politika tal-kontinwità tal-operat tal-istituzzjoni tippermettix miżuri ta’ rispons u ta’ rkupru xierqa għal kwalunkwe tip ta’ inċident.

L-awtoritajiet kompetenti għandhom jiddeterminaw jekk il-ġestjoni tal-kontinwità tal-operat tal-istituzzjoni tinkludix:

• a. Valutazzjoni tal-Impatt fuq in-Negozju (BIA);
• b. strateġiji xierqa ta’ rkupru li jinkorporaw dipendenzi interni u esterni ewlenin u prijoritajiet ta’ rkupru u livelli ta’ reżiljenza definiti b’mod ċar;
• c. pjanijiet komprensivi u flessibbli biex jittrattaw xenarji ta’ tfixkil plawżibbli, li huma stabbiliti abbażi tal-BIA u f’koordinazzjoni mal-partijiet ikkonċernati interni u esterni;
• d. pjanijiet li jistabbilixxu strateġiji ta’ kontinġenza u proċeduri ta’ rispons u rkupru;
• e. ittestjar effettiv tad-disinn u tal-effettività operazzjonali tal-pjanijiet;
• f. programmi ta’ għarfien u taħriġ dwar il-BCM;
• g. pjanijiet ta’ komunikazzjoni biex jiġu infurmati l-maniġment u l-partijiet ikkonċernati rilevanti kollha, u dokumentazzjoni dwar il-ġestjoni ta’ kriżijiet, miżuri u funzjoni ta’ ġestjoni ta’ kriżijiet fejn applikabbli (skont l-Artikolu 11(7) tad-DORA).

L-awtoritajiet kompetenti għandhom jivvalutaw jekk il-pjanijiet għall-kontinwità tal-operat, rispons u rkupru tal-istituzzjoni:

• a. jistabbilixxux rwoli u responsabbiltajiet, inkluża gwida ċara dwar suċċessjoni potenzjali, u jistabbilixxux il-proċess intern tat-teħid tad-deċiżjonijiet flimkien mad-definizzjoni ta’ skattaturi ta’ attivazzjoni;
• b. jiġux riveduti sabiex jiġi żgurat li l-istrateġiji ta’ kontinġenza jibqgħu konsistenti mal-operazzjonijiet, ir-riskji u t-theddid kurrenti, il-livelli ta’ reżiljenza, u l-objettivi u l-prijoritajiet tal-irkupru;
• c. jipprijoritizzawx azzjonijiet ta’ kontinwità tal-operat bl-użu ta’ approċċ ibbażat fuq ir-riskju;
• d. jiġux ittestjati b’mod regolari biex jiġi żgurat li l-objettivi ta’ rkupru u l-perjodi ta’ żmien ikunu jistgħu jintlaħqu; u
• e. jinkludux l-ittestjar tas-servizzi pprovduti minn fornituri terzi ta’ servizzi, fejn applikabbli;

L-awtoritajiet kompetenti għandhom jivvalutaw ukoll jekk ir-riżultati tal-ittestjar humiex iddokumentati u rrapportati lill-korp maniġerjali.

Valutazzjoni tal-qafas tal-ġestjoni tar-riskju tal-ICT

L-awtoritajiet kompetenti għandhom jivvalutaw il-konformità tal-istituzzjoni mad-DORA u mal-Linji Gwida tal-EBA dwar il-Governanza Interna fir-rigward tal-governanza interna u l-organizzazzjoni tal-ġestjoni tar-riskju tal-ICT. L-awtoritajiet kompetenti għandhom jiffurmaw perspettiva dwar jekk il-korp maniġerjali tal-istituzzjoni jinżammx responsabbli b’mod globali għall-ġestjoni tar-riskju tal-ICT u jiddefinixxix, japprovax u jissorveljax kif xieraq l-implimentazzjoni tal-arranġamenti kollha relatati mal-ICT. L-awtoritajiet kompetenti għandhom jikkunsidraw jekk il-membri tal-korp maniġerjali għandhomx biżżejjed għarfien u ħiliet biex jifhmu u jivvalutaw ir-riskju tal-ICT u l-impatt tiegħu fuq l-operazzjonijiet tal-istituzzjoni.

L-awtoritajiet kompetenti għandhom jivvalutaw kif ir-rwoli u r-responsabbiltajiet għall-funzjonijiet kollha relatati mal-ICT u l-arranġamenti ta’ governanza stabbiliti huma inkorporati u integrati fil-qafas ta’ kontroll intern u ta’ governanza tal-istituzzjoni biex jiġi ġestit ir-riskju tal-ICT. Għal dan il-għan, l-awtoritajiet kompetenti għandhom jikkunsidraw jekk l-istituzzjoni assenjatx b’mod effettiv ir-responsabbiltà għall-ġestjoni u s-superviżjoni tar-riskju tal-ICT lil funzjoni ta’ kontroll indipendenti li għandha aċċess dirett u tista’ tirrapporta direttament lill-korp ta’ maniġerjali fil-funzjoni superviżorja tiegħu, u jivvalutaw jekk l-istituzzjoni turix:

• a. komunikazzjoni, allokazzjoni u integrazzjoni ċara tar-rwoli u r-responsabbiltajiet fil-funzjonijiet kollha relatati mal-ICT, inklużi l-funzjonijiet tan-negozju appoġġati mill-ICT, u l-proċessi;
• b. baġit suffiċjenti u xieraq biex tiġi ssodisfata r-reżiljenza operazzjonali diġitali f’termini tat-tipi kollha ta’ riżorsi, inklużi programmi ta’ sensibilizzazzjoni rilevanti, taħriġ u ħiliet tal-ICT għall-persunal kollu (skont l-Artikolu 5(2)(g) tad-DORA);
• c. segwitu u rispons adegwat mill-korp maniġerjali dwar sejbiet kritiċi tal-awditjar tal-ICT u sejbiet irrapportati skont l-Artikolu 13(5) tad-DORA.

L-awtoritajiet kompetenti għandhom jiżviluppaw fehim dettaljat tal-qafas tal-ġestjoni tar-riskju tal-ICT tal-istituzzjoni u jivvalutaw jekk l-istituzzjoni għandhiex fis-seħħ strateġiji, politiki, proċeduri, protokolli u għodod tal-ICT suffiċjenti u xierqa, inklużi livelli ta’ tolleranza, sabiex tindirizza b’mod effettiv, effiċjenti u komprensiv ir-riskju materjali tal-ICT f’konformità mad-DORA. Għal dan il-għan, l-awtoritajiet kompetenti għandhom jikkunsidraw, fejn applikabbli:

• a. l-adegwatezza u l-effettività tal-politiki³⁶ , tal-proċessi u tal-proċeduri tal-ġestjoni tar-riskju tal-ICT tal-istituzzjoni, li jkopru inter alia l-ġestjoni ta’ partijiet terzi tal-ICT, l-individwazzjoni u r-rispons għal inċidenti relatati mal-ICT, il-ġestjoni, il-kriptaġġ u l-kriptografija tal-assi tal-ICT, is-sigurtà tal-operazzjonijiet tal-ICT, is-sigurtà tan-network, il-kontroll tal-aċċess, u jekk dawn ġewx approvati mill-korp maniġerjali u kkomunikati lill-partijiet ikkonċernati rilevanti kollha (skont l-Artikolu 14 tad-DORA);
• b. l-adegwatezza tal-livell ta’ tolleranza tar-riskju tal-ICT tal-istituzzjoni u t-tolleranza tal-impatt għal tfixkil fl-ICT (skont l-Artikolu 6(8)(b) tad-DORA);
• c. l-adegwatezza u l-implimentazzjoni tal-istrateġija ta’ reżiljenza operazzjonali diġitali tal-istituzzjoni, inkluż l-allinjament tagħha mal-istrateġija tan-negozju;
• d. il-konsistenza tal-istrateġija dwar ir-riskju relatat mal-ICT minn partijiet terzi, inkluża l-istrateġija ta’ diversi bejjiegħa tal-ICT, fejn disponibbli, mal-istrateġija tan-negozju globali u mal-qafas tal-ġestjoni tar-riskju tal-ICT;
• e. ir-riskju residwu mir-riskji identifikati tal-istituzzjoni fir-rigward tal-arranġamenti kuntrattwali dwar l-użu tas-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti;
• f. ir-riskju residwu mir-riskji identifikati tal-istituzzjoni fuq proġetti tal-ICT li jħallu impatt fuq funzjonijiet kritiċi jew importanti rrapportati lill-korp maniġerjali, kif ukoll fuq l-akkwisti, l-iżvilupp u l-manutenzjoni tas-sistemi tal-ICT u l-bidliet fl-ICT;
• g. is-solidità u l-komprensività tal-programm tal-ittestjar tar-reżiljenza operazzjonali diġitali;
• h. ix-xejra u l-kobor ta’ inċidenti maġġuri relatati mal-ICT u s-sejbiet irrapportati lill-korp maniġerjali skont l-Artikolu 17(3)(e) u l-Artikolu 13(5) tad-DORA;
• i. il-kontrolli tar-riskju tal-ICT li huma speċifiċi għar-riskju materjali tal-ICT identifikat;
• j. ir-rapportar fil-ħin ta’ aspetti tal-ġestjoni tar-riskju tal-ICT lill-korp maniġerjali u lill-maniġment superjuri;
• k. kopertura u sejbiet tal-awditjar intern.

³⁶ F’konformità mad-DORA, dawn għandhom jinkludu mill-inqas il-politika dwar is-sigurtà tal-informazzjoni, il-politiki ta’ backup, il-politika dwar il-ġestjoni tal-assi tal-ICT, il-politika dwar il-kriptaġġ u l-kontrolli kriptografiċi, il-politika dwar il-ġestjoni taċ-ċavetta kriptografika, il-politika dwar il-ġestjoni tal-proġetti tal-ICT, il-politika dwar l-akkwist, l-iżvilupp, u l-manutenzjoni tas-sistemi tal-ICT, il-politika dwar ir-riżorsi umani, il-politika dwar is-sigurtà fiżika u ambjentali, il-politika dwar il-ġestjoni tal-inċidenti relatati mal-ICT, il-politika dwar l-użu tas-servizzi tal-ICT li jappoġġaw funzjonijiet kritiċi jew importanti pprovduti mill-fornituri terzi tas-servizzi tal-ICT.

Meta jivvalutaw il-ġestjoni tar-riskju tal-ICT, l-awtoritajiet kompetenti għandhom jagħtu attenzjoni partikolari lill-ġestjoni tar-riskju tal-ICT marbut ma’ partijiet terzi, inkluż il-livell ta’ konċentrazzjoni tal-istituzzjoni fil-fornituri terzi ta’ servizzi tal-ICT. Għal dan il-għan, l-awtoritajiet kompetenti għandhom jiżguraw kooperazzjoni mill-qrib mas-Sorveljanti Ewlenin ta’ fornituri terzi kritiċi tal-ICT (CTPPs), f’konformità mal-Linji Gwida Konġunti tal-ESA³⁷ , f’każ li l-istituzzjoni taħt valutazzjoni tirċievi servizzi tal-ICT minn CTPP. L-awtoritajiet kompetenti għandhom jirrevedu wkoll l-effettività tar-rwol iddedikat stabbilit mill-istituzzjoni, jew mill-membru deżinjat tal-maniġment superjuri, dwar il-monitoraġġ tal-arranġamenti ta’ partijiet terzi tal-ICT.

³⁷ Il-Linji Gwida Konġunti tal-ESA dwar il-kooperazzjoni fis-sorveljanza u l-iskambju ta’ informazzjoni bejn l-ESA u l-awtoritajiet kompetenti skont ir-Regolament (UE) 2022/2554 (JC/2024/36).

L-awtoritajiet kompetenti għandhom jikkunsidraw jekk il-funzjoni ta’ awditjar intern hijiex effettiva u għandhiex biżżejjed għarfien, ħiliet u għarfien espert biex tagħmel awditjar tal-qafas ta’ ġestjoni tar-riskju tal-ICT tal-istituzzjoni, billi jirrevedu jekk:

• a. il-qafas tal-ġestjoni tar-riskju tal-ICT huwiex awditjat bil-kwalità, fokus u frekwenza meħtieġa, u huwiex proporzjonat għall-profil tar-riskju tal-ICT tal-istituzzjoni;
• b. il-pjan tal-awditu jinkludix awditi fuq ir-riskji materjali tal-ICT identifikati mill-istituzzjoni, inklużi reviżjonijiet indipendenti tal-pjanijiet ta’ rispons u rkupru tal-ICT;
• c. is-sejbiet kritiċi tal-awditjar tal-ICT jiġux ivverifikati u rrimedjati fil-ħin, inkluż ir-rapportar lill-korp maniġerjali;
• d. is-sejbiet tal-awditjar tal-ICT, inklużi l-azzjonijiet miftiehma, jiġux formalment segwiti u r-rapporti ta’ progress jiġux perjodikament riveduti mill-maniġment superjuri u/jew mill-kumitat tal-awditjar.

6.4.4. Valutazzjoni tar-riskju reputazzjonali

L-awtoritajiet kompetenti għandhom jivvalutaw ir-riskju reputazzjonali li l-istituzzjoni tinsab esposta għalih billi jisfruttaw il-fehim miksub mit-Titolu 4 sat-Titolu 6.2. Tali valutazzjoni għandha tiffoka wkoll fuq il-qafas globali tar-riskju reputazzjonali, filwaqt li tiżgura l-kapaċità tal-istituzzjoni li timmaniġġja kwalunkwe avveniment ta’ reputazzjoni. Għal din il-valutazzjoni, l-awtoritajiet kompetenti għandhom jevitaw aspetti ta’ għadd doppju diġà kkunsidrati taħt il-valutazzjoni tar-riskju legali (it-taqsima 6.4.2.1).

Meta jivvalutaw ir-rilevanza tar-riskju reputazzjonali, l-awtoritajiet kompetenti għandhom jikkunsidraw id-daqs tal-istituzzjoni kif ukoll in-natura, l-iskala u l-kumplessità tas-servizzi, l-attivitajiet u l-operazzjonijiet tagħhom (pereżempju, ekwitajiet jew djun ikkwotati jew parteċipazzjoni fis-swieq interbankarji).

L-awtoritajiet kompetenti għandhom jikkunsidraw kemm il-fatturi interni kif ukoll dawk esterni jew avvenimenti li jistgħu jwasslu għal tħassib reputazzjonali, esklużi avvenimenti li jirriżultaw fi proċeduri legali. Għall-istituzzjonijiet tal-Kategorija 1 u tal-Kategorija 2, l-awtoritajiet kompetenti għandhom jikkunsidraw l-indikaturi kollha li ġejjin fil-valutazzjoni tagħhom:

• a. kopertura negattiva fil-media/social media u inizjattivi ta’ assoċjazzjonijiet tal-konsumatur li jistgħu jiddeterjoraw il-perċezzjoni pubblika u r-reputazzjoni tal-istituzzjoni;
• b. l-għadd ta’ lmenti tal-klijenti u l-bidliet fihom jew it-telf f’daqqa tal-klijenti jew tal-investituri;
• c. avvenimenti negattivi relatati mal-pari tal-istituzzjoni li l-pubbliku jista’ jassoċja mas-settur finanzjarju kollu jew ma’ grupp ta’ istituzzjonijiet;
• d. ir-reputazzjoni ta’ individwi involuti fil-ġestjoni tal-istituzzjoni jew li għandhom ishma kwalifikanti;
• e. involviment jew operazzjoni f’setturi jew ġuriżdizzjonijiet esposti ħafna għall-ML/TF jew ma’ individwi assoċjati ma’ riskju għoli minn perspettiva ta’ ML/TF;
• f. involviment jew operazzjoni f’setturi jew ġuriżdizzjonijiet u/jew ma’ kontropartijiet esposti ħafna għal kwistjonijiet materjali jew kontroversji pubbliċi relatati ma’ fatturi tal-ESG, inkluż iżda mhux neċessarjament limitat għal fatturi ambjentali;
• g. l-impatt reputazzjonali ta’ inċidenti relatati mal-ICT kif irreġistrati mill-istituzzjoni f’konformità mar-Regolament Delegat tal-Kummissjoni (UE) 2024/1772³⁸ ;
• h. indikaturi oħra “tas-suq”, jekk disponibbli (eż. twaqqigħ fil-klassifikazzjoni jew bidliet fil-prezz tal-ishma matul is-sena).

³⁸ Ir-Regolament Delegat tal-Kummissjoni (UE) 2024/1772 tat-13 ta’ Marzu 2024 li jissupplimenta r-Regolament (UE) 2022/2554 tal-Parlament Ewropew u tal-Kunsill fir-rigward ta’ standards tekniċi regolatorji li jispeċifikaw il-kriterji għall-klassifikazzjoni ta’ inċidenti relatati mal-ICT u theddid ċibernetiku, li jistabbilixxi livelli limitu ta’ materjalità u li jispeċifika d-dettalji tar-rapporti ta’ inċidenti kbar, C/2024/1519 (ĠU L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

L-awtoritajiet kompetenti għandhom jivvalutaw is-sinifikat tal-iskopertura għar-riskju reputazzjonali tal-istituzzjoni u n-natura interkonnessa tagħha mar-riskji l-oħra billi jisfruttaw il-valutazzjonijiet tar-riskju rilevanti (inklużi dawk minn awtoritajiet superviżorji oħra) biex jidentifikaw kwalunkwe effett sekondarju possibbli fi kwalunkwe direzzjoni.

Fil-kuntest tal-analiżi tar-riskju operazzjonali, l-awtoritajiet kompetenti għandhom iqisu r-rilevanza u s-sinifikat tal-iskoperturi tal-istituzzjoni għar-riskju tal-ML/TF minn perspettiva prudenzjali taħt l-ambitu tar-riskju operazzjonali. F’dan ir-rigward, l-awtoritajiet kompetenti għandhom jużaw l-input rilevanti li jirċievu mis-superviżuri fil-qasam tal-AML/CFT biex jissupplimentaw is-sejbiet tagħhom minn superviżjoni kontinwa u jevalwaw jekk jagħtux lok għal tħassib prudenzjali relatat mar-riskju tal-ML/TF.

L-awtoritajiet kompetenti għandhom iżommu f’moħħhom li kwalunkwe istituzzjoni tista’ tkun esposta għar-riskju tal-ML/TF irrispettivament mid-daqs jew mis-solidità finanzjarja tal-istituzzjoni. Għalhekk, għandha tingħata wkoll attenzjoni suffiċjenti lill-istituzzjonijiet li huma meqjusa li huma finanzjarjament sodi u li jista’ jkollhom reputazzjoni tajba minħabba li dawn l-istituzzjonijiet jistgħu jkunu mmirati speċifikament għall-finijiet tal-ML/TF. Għandha tingħata attenzjoni wkoll lill-istituzzjonijiet li huma ta’ suċċess kbir fl-attirar ta’ klijenti ġodda/espansjoni tas-sehem mis-suq – speċjalment bl-użu ta’ kanali ta’ distribuzzjoni mhux tradizzjonali – peress li dan jista’ jkun relatat ma’ kontrolli dgħajfa tad-diliġenza dovuta fir-rigward tal-klijenti fil-fażi tal-onboarding.

L-awtoritajiet kompetenti għandhom jikkondividu informazzjoni rilevanti dwar kwistjonijiet ta’ riskju operazzjonali identifikati li jistgħu jwasslu għal riskji tal-ML/TF, riskji ta’ nuqqas ta’ implimentazzjoni u ta’ evażjoni ta’ sanzjonijiet finanzjarji mmirati u tħassib bħal nuqqasijiet fis-sistema tal-ICT tal-istituzzjonijiet jew fil-qafas ta’ kontroll intern mas-superviżuri fil-qasam tal-AML/CFT.

L-awtoritajiet kompetenti għandhom jivvalutaw jekk l-istituzzjoni tkunx implimentat arranġamenti, strateġiji, proċessi u mekkaniżmi adegwati biex timmaniġġja r-riskju reputazzjonali. B’mod partikolari, l-awtoritajiet kompetenti għandhom jikkunsidraw jekk:

• a. l-istituzzjoni għandhiex politiki u proċessi formalizzati fis-seħħ għall-identifikazzjoni, il-ġestjoni u l-monitoraġġ ta’ dan ir-riskju, inkluż kodiċi ta’ kondotta robust, u jekk dawn il-politiki u l-proċessi jkunux proporzjonati mad-daqs tagħha u r-rilevanza tagħha fis-sistema;
• b. l-istituzzjoni tindirizzax dan ir-riskju b’mod prekawzjonarju, inkluż billi tistabbilixxi metriċi u għodod ta’ monitoraġġ xierqa , kopertura ta’ kwistjonijiet reputazzjonali potenzjali fil-pjanijiet ta’ kontinġenza, twettaq sessjonijiet rilevanti ta’ taħriġ u sensibilizzazzjoni u tisfrutta t-tagħlimiet meħuda;
• c. l-istituzzjoni twettaqx ittestjar tal-istress jew analiżi tax-xenarji biex tivvaluta kwalunkwe effett sekondarju tar-riskju reputazzjonali (eż. likwidità u kostijiet ta’ finanzjament, tranżazzjonijiet ta’ titolizzazzjoni, aċċess għal servizz ta’ korrispondenza bankarja, eċċ.);
• d. l-istituzzjoni taġixxix biex tipproteġi l-marka tagħha permezz ta’ għodod biex timmonitorja l-media/media soċjali, protokolli biex tindirizza l-informazzjoni żbaljata u l-pubbliċità negattiva kif ukoll kampanji ta’ komunikazzjoni fil-pront;
• e. l-istituzzjoni tqisx l-impatt potenzjali tal-pjanijiet tal-istrateġija u ta’ direzzjoni tan-negozju tagħha, u b’mod aktar ġenerali tal-imġiba tagħha, fuq ir-reputazzjoni tagħha.

6.4.5. Reżiljenza operazzjonali

L-awtoritajiet kompetenti għandhom jiffurmaw fehma olistika dwar il-kapaċità tal-istituzzjoni li twettaq funzjonijiet kritiċi jew importanti waqt tfixkil (livell ta’ reżiljenza operazzjonali), eżitu li jibbenefika mill-ġestjoni effettiva tar-riskju operazzjonali, filwaqt li jitqiesu d-daqs tal-istituzzjoni, il-mudell tan-negozju u l-profil ġenerali tar-riskju globali tagħha. Għal dan il-għan, l-awtoritajiet kompetenti għandhom jisfruttaw il-valutazzjonijiet eżistenti tagħhom dwar il-ġestjoni tar-riskju operazzjonali, il-kontinwità tal-operat, il-kapaċitajiet ta’ ġestjoni tal-bidliet, is-servizzi ta’ partijiet terzi u l-ICT li fuqhom tiddependi l-istituzzjoni sabiex jevalwaw b’mod olistiku jekk dawn l-elementi jappoġġawx kollettivament ir-reżiljenza operazzjonali tal-istituzzjoni. L-awtoritajiet kompetenti għandhom jikkunsidraw ukoll jekk l-istituzzjoni timplimentax il-qafas tagħha ta’ ġestjoni tar-riskju, il-pjanijiet għall-kontinwità tal-operat, il-ġestjoni ta’ partijiet terzi (li diġà ġew vvalutati fil-kuntest tad-DORA u tal-Linji Gwida tal-EBA maħruġa skont l-Artikolu 74(3) tad-Direttiva 2013/36/UE dwar l-arranġamenti, il-proċessi u l-mekkaniżmi ta’ governanza interna) u l-oqfsa ta’ rkupru u ta’ riżoluzzjoni b’mod konsistenti u koordinat. Barra minn hekk, l-awtoritajiet kompetenti għandhom jikkunsidraw jekk l-istituzzjoni mmappjatx b’mod suffiċjenti l-interkonnessjonijiet u l-interdipendenzi interni u esterni li huma meħtieġa biex twettaq il-funzjonijiet kritiċi jew importanti tagħha.

L-awtoritajiet kompetenti għandhom jikkunsidraw l-attenzjoni mogħtija mill-korp maniġerjali u mill-maniġment superjuri lill-kapaċità tal-istituzzjoni li tirrispondi għal tfixkil u tirkupra minnu taħt is-suppożizzjoni li se jseħħu fallimenti. Għal dan il-għan, l-awtoritajiet kompetenti għandhom jikkunsidraw jekk:

• a. il-korp maniġerjali jiħux rwol attiv fl-istabbiliment ta’ fehim wiesa’ tal-approċċ ta’ reżiljenza operazzjonali fl-istituzzjoni kollha u fil-monitoraġġ tal-effettività tal-approċċ ta’ reżiljenza operazzjonali tal-istituzzjoni;
• b. ir-rapportar fil-ħin dwar ir-reżiljenza operazzjonali kontinwa tal-istituzzjoni jiġix ipprovdut b’appoġġ għas-sorveljanza tal-korp maniġerjali, b’mod partikolari meta n-nuqqasijiet kbar identifikati jistgħu jaffettwaw it-twettiq tal-funzjonijiet kritiċi jew importanti tal-istituzzjoni.

6.4.6. Sommarju tas-sejbiet, punteġġ u miżuri superviżorji

Wara l-valutazzjoni ta’ hawn fuq, l-awtoritajiet kompetenti għandhom jiffurmaw perspettiva dwar ir-riskju operazzjonali tal-istituzzjoni. Din il-perspettiva għandha tkun riflessa f’sommarju tas-sejbiet, akkumpanjat minn punteġġ tar-riskju bbażat fuq il-kunsiderazzjonijiet speċifikati fit-tabella 10. Meta, abbażi tal-materjalità ta’ ċerti sottokategoriji tar-riskju, l-awtorità kompetenti tiddeċiedi li tivvalutahom u tagħtihom punteġġ individwalment, il-gwida pprovduta f’din it-tabella għandha tiġi applikata, sa fejn ikun possibbli, b’analoġija.

Tabella 10. Kunsiderazzjonijiet superviżorji biex jiġi assenjat punteġġ tar-riskju operazzjonali

It-tabella hawn taħt tippreżenta lista mhux eżawrjenti ta’ miżuri superviżjorji li l-awtoritajiet kompetenti jistgħu jieħdu f’każ ta’ nuqqasijiet identifikati fil-qafas ta’ ġestjoni tar-riskju operazzjonali u tar-reżiljenza operazzjonali tal-istituzzjoni (filwaqt li tittieħed inkunsiderazzjoni l-interkonnessjoni mill-qrib bejn ir-reżiljenza operazzjonali u l-ġestjoni tar-riskju operazzjonali). L-awtoritajiet kompetenti għandhom jiddeċiedu dwar it-tip ta’ miżura abbażi tal-effettività tagħha għan-nuqqas speċifiku identifikat. L-awtoritajiet kompetenti jistgħu japplikaw miżuri superviżorji addizzjonali (inklużi miżuri kwantitattivi f’konformità mal-Artikolu 104(1)(a) tad-Direttiva 2013/36/UE) jew kombinazzjoni ta’ dawn ma’ dawk elenkati fit-tabella hawn taħt, jekk dawn jitqiesu aktar xierqa biex jindirizzaw in-nuqqasijiet identifikati. Għal ksur tad-DORA, l-awtoritajiet kompetenti għandhom jikkunsidraw il-miżuri korrettivi u rimedjali applikabbli previsti fl-Artikolu 50 tad-DORA.

Tabella 11. Lista potenzjali u mhux eżawrjenti ta’ miżuri superviżorji li jirriżultaw mill-valutazzjoni tar-riskju operazzjonali u tar-reżiljenza operazzjonali Miżuri superviżorji potenzjali għall-awtoritajiet kompetenti f’konformità mal-Artikolu 104(1), il-punti (b), (d), (e), (f), (j), (l), (m), u (n) tad-Direttiva 2013/36/UE u l-Artikolu 50 tar-Regolament (UE) 2022/2554 – L-awtoritajiet kompetenti jistgħu jirrikjedu li l-istituzzjoni: A. tinvolvi l-korp maniġerjali jew il-kumitati tiegħu b’mod aktar attiv fid-deċiżjonijiet ta’ ġestjoni tar-riskju operazzjonali; B. ittejjeb is-sistemi ta’ kejl tar-riskju operazzjonali; C. issaħħaħ il-kontrolli fuq il-proċessi operazzjonali, inklużi l-identifikazzjoni, il-monitoraġġ, ir-rispons u l-irkupru; D. ittejjeb il-qafas ta’ governanza operazzjonali; E. ittejjeb ir-rapportar tar-riskju operazzjonali lill-korp maniġerjali u lill-maniġment superjuri; F. tiżviluppa u timplimenta pjanijiet ta’ azzjoni korrettiva biex tindirizza n-nuqqasijiet; G. tillimita ċerti arranġamenti ma’ partijiet terzi, b’mod partikolari għal funzjonijiet kritiċi jew importanti; H. ittejjeb l-ittestjar tal-istress u l-analiżi tax-xenarji tar-riskju operazzjonali; I. timplimenta miżuri operazzjonali aktar b’saħħithom; Miżuri superviżorji potenzjali għall-awtoritajiet kompetenti f’konformità mal-Artikolu 104(1), il-punti (b), (d), (e), (f), (j), (l), (m), u (n) tad-Direttiva 2013/36/UE u l-Artikolu 50 tar-Regolament (UE) 2022/2554 – L-awtoritajiet kompetenti jistgħu jirrikjedu li l-istituzzjoni: J. ittejjeb il-pjanijiet għall-kontinwità tal-operat, rispons u rkupru; K. ittejjeb il-ġestjoni tar-riskju operazzjonali relatata mar-riskji tal-ESG, b’mod partikolari r-riskji ambjentali, potenzjalment ibbażata fuq azzjoni waħda jew diversi azzjonijiet elenkati hawn fuq.