4. Titel 4. Analyse van het bedrijfsmodel (BMA – business model analysis)

56.In deze titel worden criteria gegeven voor de beoordeling van het bedrijfsmodel en de strategie van de instelling. Het doel van deze beoordeling door de bevoegde autoriteiten is om een alomvattend inzicht te verkrijgen – zowel vanuit het huidige als vanuit het toekomstige perspectief – in de bedrijfsvoering van de instelling, om belangrijke bestaande of potentiële kwetsbaarheden in kaart te brengen die hoogstwaarschijnlijk een wezenlijke invloed op de instelling zullen hebben, en om de algehele deugdelijkheid van haar bedrijfsmodel en strategie te beoordelen. Na deze beoordeling dienen de bevoegde autoriteiten het volgende vast te stellen:

• a. hoe levensvatbaar het huidige bedrijfsmodel van de instelling is, gemeten aan de hand van het vermogen van dat bedrijfsmodel om gedurende de komende 12 maanden aanvaardbare inkomsten te genereren;
• b. hoe houdbaar de strategie van de instelling is op basis van het vermogen daarvan om gedurende ten minste de volgende drie jaar een aanvaardbaar rendement te genereren, zoals afgeleid van de strategische plannen en financiële prognoses van die instelling.

57.Bevoegde autoriteiten gebruiken de uitkomst van de BMA ter onderbouwing van de beoordeling van alle andere SREP-elementen. Bevoegde autoriteiten kunnen specifieke aspecten van de BMA, in het bijzonder de kwantitatieve beoordeling van het bedrijfsmodel, opnemen in de beoordeling van andere SREP-elementen (zo kan het verkrijgen van inzicht in de financieringsstructuur onderdeel zijn van de beoordeling van de risico’s voor de liquiditeit).

58.De bevoegde autoriteiten dienen bij het uitvoeren van de BMA rekening te houden met risico’s op het gebied van milieu, maatschappij en bestuur (ESG), waarbij prioriteit moet worden gegeven aan risico’s in verband met de ecologische transitie en fysieke risico’s, teneinde de strategische en prudentiële gevolgen van deze risico’s voor het bedrijfsmodel van de instelling op korte, middellange en lange termijn te beoordelen.

59.Bevoegde autoriteiten gebruiken de analyse van het bedrijfsmodel ook voor het beoordelen van implicaties van prudentiële aard van ML/TF-risico’s, en die verband houden met het bedrijfsmodel van de instelling. Daarbij maken bevoegde autoriteiten gebruik van de input die zij ontvangen van AML/CFT-toezichthouders, in aanvulling op hun eigen bevindingen uit lopend toezicht en evalueren zij of die aanleiding geven voor prudentiële zorgen met betrekking tot het ML/TF-risico. Wanneer uit de beoordeling blijkt dat het bedrijfsmodel van de instelling aanleiding geeft tot prudentiële bezorgdheden met betrekking tot het ML/TF-risico, delen bevoegde autoriteiten de uitkomst van de prudentiële beoordeling van het bedrijfsmodel met de AML/CFT-toezichthouder¹⁶ .

60.Voor de uitvoering van de BMA gebruiken bevoegde autoriteiten ten minste de volgende bronnen van kwantitatieve en kwalitatieve informatie:

• a. het strategische plan / de strategische plannen van de instelling met prognoses voor het lopende jaar en daarna, en de onderliggende economische aannames;
• b. financiële verslaglegging (bijv. winst- en verliesrekeningen, balansen);
• c. verplichte rapportage (COREP, FINREP en kredietregister, indien van toepassing);
• d. interne rapportage (managementinformatie, waaronder – voor zover beschikbaar – de bijdrage aan de winstgevendheid per bedrijfsonderdeel, kapitaalplanning, rapportage over liquiditeit, operationele veerkracht, interne risicorapporten);
• e. herstelplannen;
• f. afwikkelingsplannen, met inbegrip van de resultaten van de beoordeling van de afwikkelbaarheid, die worden verstrekt door de afwikkelingsautoriteit overeenkomstig artikel 14 van Richtlijn 2014/59/EU;
• g. het plan van de instelling om ESG-risico’s aan te pakken, dat moet worden opgesteld overeenkomstig artikel 76, lid 2, van Richtlijn 2013/36/EU;
• h. rapportages van derden (bijv. auditrapporten, rapporten van aandelen-/kredietanalisten);
• i. andere relevante macroprudentiële of financiële stabiliteitenstudies/onderzoeken (bijv. van het Internationaal Monetair Fonds (IMF), macroprudentiële autoriteiten en instellingen, Europese instellingen).

¹⁶ Overeenkomstig de AML/CFT-richtsnoeren inzake samenwerking van EBA (EBA/GL/2021/15).

Beoordelingsgebieden

61.Overeenkomstig het in titel 2 beschreven model van toezichtinspanning richten bevoegde autoriteiten hun analyse op de belangrijkste beoordelingsgebieden voor het bedrijfsmodel van de instelling. De reikwijdte en diepgang van de BMA kunnen worden aangepast aan het aantal en de aard van de toezichtbeoordelingen die reeds bij die instelling zijn uitgevoerd. Deze beoordeling moet de bevoegde autoriteiten in ieder geval in staat stellen zich een oordeel te vormen over de levensvatbaarheid en duurzaamheid van het algehele bedrijfsmodel van de instelling.

62.De bevoegde autoriteiten dienen zich een oordeel te vormen over de mate waarin de wijzigingen in het bedrijfsmodel van de instelling van wezenlijk belang zijn ten opzichte van de vorige toezichtbeoordeling, teneinde te kunnen bepalen wat de reikwijdte en diepgang van hun beoordeling zullen zijn en in hoeverre de vorige toezichtbeoordeling als uitgangspunt voor de nieuwe beoordeling kan dienen. Bij het vormen van een dergelijk oordeel dienen de bevoegde autoriteiten met name na te gaan of er relevante veranderingen hebben plaatsgevonden op de volgende gebieden binnen de instelling:

• a. het eerder bekendgemaakte en beoordeelde strategische plan;
• b. de structuur en samenstelling van de balans, met inbegrip van veranderingen in de bronnen van winst en de concentratie daarvan, de groei van de activa, veranderingen in de structuur van de passiva of verschuivingen in de relevante financiële en risico-indicatoren, en rekening houdend met de resultaten van de in titel 3 beschreven monitoring van indicatoren;
• c. governance en activiteiten, waaronder overnames, fusies of afstotingen van andere entiteiten, het opstarten of beëindigen van bedrijfsonderdelen of geografische markten en wijzigingen in de IT-infrastructuur.

Vaststelling van de belangrijkste bedrijfsonderdelen

63.Bevoegde autoriteiten voeren een materialiteitsbeoordeling uit van de bedrijfsonderdelen van de instelling om te bepalen op welke gebieden de BMA zich vooral moet richten. Bij het uitvoeren van deze beoordeling houden bevoegde autoriteiten rekening met het volgende:

• a. de relevantie van de bedrijfsonderdelen in termen van het genereren van winst/verlies, met inbegrip van de geografische gebieden, dochterondernemingen/bijkantoren en productlijnen die het meest materieel zijn op basis van hun bijdrage aan de totale inkomsten/kosten in de winst-en-verliesrekening, het risico (bijv. op basis van het TREA of andere risicometingen) en/of organisatorische/wettelijke prioriteiten (bijv. specifieke verplichtingen voor banken in de publieke sector om specifieke producten aan te bieden);
• b. eerdere bevindingen van het toezicht, waaronder die welke voortvloeien uit inspecties ter plaatse – voor zover deze bevindingen aanwijzingen kunnen geven over bedrijfsonderdelen die nader onderzoek vereisen –, alsmede bevindingen en constateringen in interne of externe auditrapporten – of de interne auditfunctie specifieke kwesties heeft vastgesteld met betrekking tot de duurzaamheid of levensvatbaarheid van bepaalde bedrijfsonderdelen;
• c. uitkomsten van thematische toetsingen door de toezichthouder – of bij een sectorbrede analyse gemeenschappelijke onderliggende problemen zijn geconstateerd die aanleiding zijn voor een aanvullende instellingsspecifieke analyse;
• d. belang van strategische plannen – of er bedrijfsactiviteiten zijn die de instelling aanzienlijk wil laten groeien of inkrimpen;
• e. vergelijkingen met soortgelijke bedrijven – of een bedrijfsactiviteit atypisch presteert (een uitbijter is) vergeleken met soortgelijke bedrijven, dergelijke informatie beschikbaar is voor de bevoegde autoriteiten. Om relevante vergelijkbare instellingen voor de BMA te identificeren, dienen de bevoegde autoriteiten rekening te houden met concurrerende producten of bedrijfsonderdelen die zich op dezelfde winstbronnen of klanten richten, de regelgevingskaders en geopolitieke risico’s van de locatie waar de activiteiten plaatsvinden, alsmede met andere factoren die relevant zijn voor de sector waarin de instelling actief is.

64.De bevoegde autoriteiten dienen een analyse uit te voeren van de kwantitatieve kenmerken van het huidige bedrijfsmodel van de instelling om te beoordelen in hoeverre deze in staat is om op korte, middellange en lange termijn aanvaardbare winsten te genereren, rekening houdend met de risicobereidheid van de instelling en haar financierings- en kapitaalstructuren. Tot de gebieden die door bevoegde autoriteiten worden geanalyseerd, behoren:

• a. factoren die de winstgevendheid beïnvloeden, met inbegrip van trends, de bevoegde autoriteiten beoordelen de onderliggende winstgevendheid van de instelling, na bijzondere en eenmalige posten), de onderverdeling van inkomstenstromen, de onderverdeling van kosten en kostentoewijzing, voorzieningen voor bijzondere waardevermindering en belangrijke kengetallen (bijv. netto-rentemarge, kosten/opbrengsten, waardevermindering van kredieten en risicokosten). Deze beoordeling kan worden aangevuld met een analyse van de relevante, voor risico gecorrigeerde winstgevendheidsindicatoren (bijvoorbeeld het rendement op toegewezen kapitaal (ROAC), of het voor risico gecorrigeerde rendement op kapitaal (RAROC), voor zover deze beschikbaar zijn en als betrouwbaar worden beschouwd;
• b. de balans, met inbegrip van trends: bevoegde autoriteiten beoordelen de mix van activa en passiva, de financieringsstructuur, de verandering in het totaal van risicoposten (TREA) en het eigen vermogen, evenals belangrijke kengetallen (bijv. rendement op eigen vermogen, Core tier 1, financieringskloof), evenals concentraties in de winst-en-verliesrekening en op de balans met betrekking tot klanten, sectoren en geografische gebieden;
• c. risicobereidheid en tolerantieniveaus: bevoegde autoriteiten beoordelen de formele grenzen die de instelling heeft gesteld per type risico en de mate waarin deze worden nageleefd, om zo inzicht te krijgen in de risico’s die de instelling bereid is te nemen om haar financiële prestatie te versterken en om operationele veerkracht zeker te stellen. Hierin moet ook de impacttolerantie voor ICT-verstoringen worden opgenomen.

65.Bevoegde autoriteiten voeren een analyse uit van kwalitatieve kenmerken van het actuele bedrijfsmodel van de instelling om inzicht te krijgen in haar succesfactoren en belangrijkste afhankelijkheden. Tot de gebieden die door bevoegde autoriteiten worden geanalyseerd, behoren:

• a. de bedrijfsomgeving, door de toekomstige omgeving waarin de instelling actief is te beoordelen op basis van haar belangrijkste of wezenlijke geografische en zakelijke blootstellingen. In het kader van deze beoordeling dienen de bevoegde autoriteiten inzicht te verwerven in de belangrijkste macro-economische variabelen, markttrends, het concurrentielandschap en andere relevante ontwikkelingen (zoals wijzigingen in de regelgeving en wetgeving);
• b. belangrijke interne en externe afhankelijkheden: bevoegde autoriteiten bepalen de belangrijkste exogene en endogene factoren die het succes van het bedrijfsmodel beïnvloeden; rekening houdend met de daarmee verbonden governance en interne controlemaatregelen;
• c. franchise en gebieden waarop concurrentievoordelen bestaan, bevoegde autoriteiten beoordelen de reputatie van de instelling en de sterkte van de relaties met klanten, leveranciers en partners, en gaan na of er gebieden zijn waarop de instelling een concurrentievoordeel heeft ten opzichte van gelijksoortige instellingen;
• d. ICT-ondersteuning, bevoegde autoriteiten beoordelen in hoeverre de ICT en de bedrijfsvoering op elkaar zijn afgestemd wat betreft strategie, doelstellingen, activiteiten, middelen en functies, en door na te gaan of eventuele ICT-gerelateerde kwesties van invloed kunnen zijn op de bedrijfsstrategie en -doelstellingen van de instelling.

66.Bevoegde autoriteiten dienen de analyse aan te vullen door een toekomstgerichte (zowel kwantitatieve en kwalitatieve) analyse van de financiële prognoses en strategische plannen van de instelling uit te voeren om inzicht te krijgen in de onderliggende aannames en afhankelijkheden, de aannemelijkheid en het risico van haar bedrijfsstrategie. Tot de gebieden die door bevoegde autoriteiten worden geanalyseerd, behoren:

• a. algehele strategie en succesfactoren: bevoegde autoriteiten kijken naar de belangrijkste kwantitatieve en kwalitatieve doelen van het management, evenals de kloof tussen het beoogde bedrijfsmodel – na de uitvoering – en het huidige model;
• b. verwachte financiële prestatie: bevoegde autoriteiten bepalen de aannemelijkheid en consistentie van de aannames van de instelling die ten grondslag liggen aan haar strategie en prognoses;
• c. uitvoeringscapaciteiten: bevoegde autoriteiten bepalen de uitvoeringscapaciteiten op basis van de mate waarin het management in het verleden strategieën heeft uitgevoerd en prognoses heeft gehaald. Bij het beoordelen van de uitvoeringscapaciteiten houden bevoegde autoriteiten ook rekening met het vermogen om gebruik te maken van concurrentievoordelen en succesfactoren bij de bedrijfsvoering en op effectieve wijze rendement te genereren. In het kader van deze beoordeling moeten de bevoegde autoriteiten rekening houden met het volgende:
• i. de geschiktheid van het kader voor kostentoewijzing – in de zin dat het de winstgevendheid van bedrijfsonderdelen/eenheden adequaat weergeeft;
• ii. het kader voor de prijsbepaling van overdracht van fondsen – met het oog op een adequate vaststelling van de nettowinstcomponent voor elk bedrijfsonderdeel/eenheid, product en klant;
• iii. het kader voor de prijsbepaling van leningen — in termen van adequate governance van het proces voor de prijsbepaling van leningen, prijsbepalingsmethode, passende aandacht voor alle componenten van de prijsbepaling van leningen, en ex-post monitoring van de winstgevendheid en rapportage van beslissingen inzake prijsbepaling van producten;
• iv. het kader voor de omzetverdeling tussen in de Unie gevestigde instellingen die deel uitmaken van groepen uit derde landen, en andere entiteiten van die groep die buiten de Unie zijn gevestigd en niet door de EU-moederonderneming worden geconsolideerd – met het oog op een billijke verdeling van de winst en het verlies tussen entiteiten of bedrijfsonderdelen die bij de levenscyclus van transacties betrokken zijn, en op adequate governance.

67.In hun analyse kijken de bevoegde autoriteiten naar eventuele indicaties dat het bedrijfsmodel en activiteiten aanleiding geven tot verhoogde ML/TF-risico’s, waaronder activiteiten met crypto-activa of het aantrekken van deposito’s of de vestiging of het gebruik van juridische entiteiten in derde landen met een hoog risico, zoals vastgesteld overeenkomstig artikel 9 van Richtlijn (EU) 2015/849. Indien deze indicaties aanwezig zijn, worden deze aangevuld met een kwantitatieve analyse, die zich met name richt op de materialiteit van de inkomsten en de opbrengsten van activiteiten die worden uitgevoerd in dergelijke derde landen met een hoog risico, de concentraties van blootstellingen aan cliënten waarvoor de instelling verscherpt cliëntenonderzoek toepast, zoals uiteengezet in hoofdstuk II, afdeling 3 van Richtlijn 2015/849. Bevoegde autoriteiten wisselen informatie uit met de AML/CFT-toezichthouder over deze indicaties, zoals uiteengezet in paragraaf 59.

68.De bevoegde autoriteiten dienen de veerkracht van het bedrijfsmodel van de instelling ten opzichte van externe schokken te beoordelen, evenals het aanpassingsvermogen ervan aan structurele veranderingen, met name wat betreft het vermogen om deze schokken op te vangen en zich aan te passen aan exogene factoren die de bedrijfs- en strategische doelstellingen in gevaar zouden kunnen brengen. Tot de gebieden die door bevoegde autoriteiten worden geanalyseerd, behoren:

• a. klimaatgerelateerde en andere milieurisico’s, door het effect ervan op de huidige en toekomstige bedrijfsomgeving en bedrijfsstrategie van de instelling te beoordelen, de blootstelling van de instelling aan materiële transitie- en fysieke risico’s, alsmede de ontwikkeling en uitvoering van een plan voor het monitoren en aanpakken van de financiële risico’s die voortvloeien uit ESG-factoren, met inbegrip van de risico’s die voortvloeien uit het overgangsproces naar regelgevingsdoelstellingen, met name klimaatgerelateerde doelstellingen die van toepassing zijn in het rechtsgebied/de rechtsgebieden waar de instelling actief is;
• b. digitalisering, door het gebruik en de mate van acceptatie van nieuwe technologieën te beoordelen, evenals de impact daarvan op de bedrijfsstrategie en het bedrijfsplan van de instelling, de uitvoeringscapaciteiten en de kostenbeheersing, en op het genereren van inkomsten;
• c. operationele veerkracht, door de aanpak van de instelling op het gebied van operationele veerkracht en de manier waarop het leidinggevend orgaan hiermee rekening houdt in het kader van de bedrijfsstrategie te evalueren;
• d. geopolitieke risico's, door de bron van geopolitieke onzekerheden en de opneming daarvan in de bedrijfsstrategie te beoordelen, evenals de financiële gevolgen daarvan voor de huidige en toekomstige winstgevendheid van de instelling, waarbij ook rekening wordt gehouden met het vermogen van de instelling om dergelijke onzekerheden te weerstaan, bijvoorbeeld door middel van haar geografische en bedrijfsprofieldiversificatie;
• e. activiteiten met betrekking tot crypto-activa, indien van toepassing, door het verlenen van diensten met crypto-activa door de instelling te beoordelen en eventuele andere activiteiten die verband houden met crypto-activa;

69.Op basis van de uitgevoerde analyse dienen de bevoegde autoriteiten zich een oordeel te vormen of hun standpunt bij te stellen met betrekking tot de volgende elementen:

• a. belangrijke kwetsbaarheden waaraan het bedrijfsmodel en de strategie van de instelling haar blootstellen of zouden kunnen blootstellen, zoals buitensporige concentraties of het nemen van te grote risico’s, gebrekkige strategische sturing van de winstgevendheid en uitvoeringscapaciteiten;
• b. levensvatbaarheid van het actuele bedrijfsmodel van de instelling, zoals gedefinieerd in paragraaf 56, gezien haar kwantitatieve prestaties, risicobereidheid, financieringsstructuur, belangrijkste succesfactoren en afhankelijkheden, en bedrijfsomgeving;
• c. de duurzaamheid van de strategie van de instelling, zoals omschreven in paragraaf 56, op basis van de aannemelijkheid van haar strategisch plan en financiële prognoses, en rekening houdend met de beoordeling door de toezichthouder van de verwachte financiële prestaties, de algemene strategie, de mate van operationele veerkracht en de uitvoeringscapaciteiten. De bevoegde autoriteiten dienen ook rekening te houden met het vermogen van de instelling om haar veerkracht op middellange tot lange termijn ten aanzien van milieurisico’s te waarborgen, door uit te gaan van een tijdshorizon van ten minste tien jaar, onder meer door de door de instelling uitgevoerde analyses van de veerkracht van het bedrijfsmodel op milieugebied te beoordelen, in overeenstemming met de EBA-richtlijnen inzake milieuscenarioanalyse¹⁷ ;

¹⁷ EBA/GL/2025/04

70.Op basis van de beoordeling van de levensvatbaarheid en duurzaamheid, en van eventuele risico’s en kwetsbaarheden voor de instelling, dienen de bevoegde autoriteiten zich een oordeel te vormen over het bedrijfsmodel van de instelling. Dit beeld wordt verwoord in een samenvatting van bevindingen die vergezeld gaat van een levensvatbaarheidsscore op basis van de in tabel 2 genoemde overwegingen.

Tabel 2. Overwegingen van de toezichthouder voor het toekennen van een score aan een bedrijfsmodel

Score Standpunt van de Overwegingen toezichthouder

71.De onderstaande tabel bevat een niet-uitputtende lijst van toezichtmaatregelen die bevoegde autoriteiten kunnen nemen in geval van vastgestelde tekortkomingen in het bedrijfsmodel van de instelling. De bevoegde autoriteiten dienen de aard van de toezichtmaatregel te bepalen op basis van de doeltreffendheid ervan voor de specifieke vastgestelde tekortkoming.

72.Bevoegde autoriteiten kunnen aanvullende toezichtmaatregelen (waaronder kwantitatieve maatregelen overeenkomstig artikel 104, lid 1, punt a), van Richtlijn 2013/36/EU) of een combinatie daarvan toepassen indien deze passender worden geacht om de vastgestelde tekortkomingen aan te pakken.

Tabel 3. Een mogelijke en niet-uitputtende lijst van toezichtmaatregelen die voortvloeien uit de BMA

Mogelijke toezichtmaatregelen voor bevoegde autoriteiten overeenkomstig artikel 104, lid 1, punten b), d), e), f), m) en n), van Richtlijn 2013/36/EU – Bevoegde autoriteiten kunnen van de instelling verlangen dat zij: A. het in het beleid veronderstelde financiële plan aanpassen, indien dit niet wordt ondersteund door interne kapitaalplanning of geloofwaardige aannames; B. wijzigingen in organisatiestructuren doorvoeren, en functies voor risicobeheer en -beheersing en regelingen versterken om te helpen bij de uitvoering van het bedrijfsmodel of -beleid; C. wijzigingen in en versterking van IT-systemen doorvoeren om te helpen bij de uitvoering van het bedrijfsmodel of de bedrijfsstrategie; D. wijzigingen aanbrengen in het bedrijfsmodel of de bedrijfsstrategie; E. het risico dat inherent is aan de producten die zij ontwikkelen of distribueren, verminderen, onder meer door aanpassingen te eisen in de risico’s die inherent zijn aan bepaalde productaanbiedingen; en/of door verbeteringen te eisen in de governance en controlemaatregelen voor productontwikkeling en - onderhoud; D. het risico dat inherent is aan haar systemen verminderen, onder meer door verbeteringen aan de systemen te eisen, of door meer te investeren of de implementatie van nieuwe systemen te versnellen; en/of door verbeteringen te eisen in de governance en controlemaatregelen voor de ontwikkeling en het onderhoud van systemen; G. het aan hun activiteiten verbonden risico verminderen, met inbegrip van uitbestede activiteiten, en daarbij eisen dat bepaalde activiteiten worden aangepast of teruggeschroefd om het daaraan verbonden risico te verminderen; en/of te eisen dat de governance en controlemaatregelen en het toezicht op uitbestede activiteiten worden verbeterd; H. ESG-risico’s, met name milieurisico’s, beperken door aanpassingen in haar bedrijfsstrategie, waarvoor een aanscherping van de doelstellingen, maatregelen en acties die zijn opgenomen in het plan dat de instelling overeenkomstig artikel 76, lid 2, van Richtlijn 2013/36/EU moet opstellen, zou kunnen worden gevraagd.