16 Invoering van een kader voor interne controle

Instellingen dienen er rekening mee te houden dat de resultaten van kwantitatieve beoordelingsmethoden, waaronder stresstests, in hoge mate afhankelijk zijn van de beperkingen en aannames van de modellen (zoals ernst en duur van de schok en onderliggende risico’s). Zo kan het gebeuren dat een zeer hoog rendement van economisch kapitaal zoals vastgesteld door modellen, eerder het resultaat is van een tekortkoming in die modellen (bijv. de uitsluiting van bepaalde relevante risico’s) dan het gevolg van een excellente strategie of excellente uitvoering van een strategie van de zijde van de instelling. De bepaling van het niveau van het genomen risico dient daarom niet alleen gebaseerd te zijn op kwantitatieve informatie of uitkomsten van modellen, maar dient ook een kwalitatieve benadering te omvatten (inclusief oordelen van deskundigen en kritische analyses). Er dient expliciet aandacht te worden besteed aan belangrijke trends en gegevens betreffende het macro-economische klimaat om hun potentiële effect op blootstellingen en portefeuilles in kaart te brengen.

De uiteindelijke verantwoordelijkheid voor risicobeoordeling berust uitsluitend bij de instelling, die haar risico’s dus kritisch dient te evalueren en zich niet uitsluitend dient te verlaten op externe beoordelingen. Zo dient een instelling een ingekocht risicomodel te valideren en het vervolgens af te stemmen op haar individuele omstandigheden om ervoor te zorgen dat het model het risico accuraat en uitvoerig vastlegt en analyseert.

Instellingen dienen zich ten volle bewust te zijn van de beperkingen van modellen en cijfers en niet alleen kwantitatieve maar ook kwalitatieve instrumenten voor risicobeoordeling te gebruiken (inclusief oordelen van deskundigen en kritische analyses).

Instellingen kunnen, naast hun eigen beoordelingen, gebruikmaken van externe risicobeoordelingen (waaronder externe kredietratings of elders ingekochte risicomodellen). Instellingen dienen volledig op de hoogte te zijn van de precieze reikwijdte van dergelijke beoordelingen en hun beperkingen.

Er dienen mechanismen voor regelmatige en transparante rapportage te worden ingevoerd zodat het leidinggevend orgaan, zijn risicocomité, indien ingesteld, en alle relevante eenheden in een instelling op tijd accurate, beknopte, begrijpelijke en zinvolle rapporten ontvangen en zij belangrijke gegevens kunnen uitwisselen over de identificatie, meting of beoordeling, monitoring en het beheer van risico’s. Het kader voor rapportage dient nauwkeurig omschreven en gedocumenteerd te worden.