5. Titel 5. Beoordeling van de interne governance en instellingsbrede risicobeheersing

73.Bij de beoordeling van de interne governance en de instellingsbrede controles beoordelen bevoegde autoriteiten onder meer of de instelling voldoet aan de in paragraaf 12 bedoelde rechtshandelingen die afzonderlijk op de EBA-website worden gepubliceerd.

74.Bevoegde autoriteiten beoordelen of de regelingen voor interne governance van een instelling al dan niet toereikend zijn, rekening houdend met de aard, schaal en complexiteit van het risicoprofiel dat inherent is aan het bedrijfsmodel en de activiteiten van de instelling. Bevoegde autoriteiten stellen vast in hoeverre de instelling de toepasselijke de wettelijke en regelgevingsvereisten voor regelingen voor een deugdelijke interne governance naleeft, inclusief zoals vermeld in de vorige paragraaf, en stellen eventuele tekortkomingen daarin vast. Bevoegde autoriteiten stellen vast of de slechte regelingen voor interne governance en de potentiële impact daarvan op het risicoprofiel, de operationele veerkracht en de houdbaarheid van de instelling wezenlijke risico’s inhouden. In dit verband dienen de volgende gebieden te worden beoordeeld, met inachtneming van het evenredigheidsbeginsel en de toezichtinspanning zoals uiteengezet in Titel 2:

• a. de organisatiestructuur, het leidinggevend orgaan en de comités;
• b. risicocultuur en gedragsregels;
• c. beloningsbeleid en beloningspraktijken;
• d. interne controlefuncties;
• e. kader voor risicobeheer;
• f. ICT-systemen, aggregatie van risico-data en rapportage over het risico;
• g. ML/TF-risico’s en prudentiële bezorgdheden;
• h. governance voor herstelplanning.

75.Bevoegde autoriteiten dienen bij de beoordeling van de gebieden die onder de punten a) tot en met f) van de vorige paragraaf vallen, rekening te houden met ESG-risico’s en prioriteit te geven aan ecologische transitie- en fysieke risico’s.

76.De beoordeling van interne governance dient als input voor de beoordeling van het risicobeheer en de risicobeheersing in de titels 6 en 8, en de beoordeling van het Icaap en Ilaap in de SREP-kapitaalbeoordeling (titel 7) en de SREP-liquiditeits- en financieringsbeoordeling (titel 8). Op dezelfde wijze dient een analyse per afzonderlijk risico van Icaap-berekeningen/kapitaalschattingen die worden getoetst overeenkomstig titel 7, evenals eventueel daar geconstateerde tekortkomingen, als input voor de beoordeling van het algehele Icaap-kader in deze titel.

77.Als onderdeel van de algehele beoordeling van de interne governance en instellingsbrede risicobeheersing, dienen de bevoegde autoriteiten te beoordelen in hoeverre de instelling in staat is om de geconstateerde tekortkomingen en/of de door de bevoegde autoriteiten geuite twijfels van de toezichthouder effectief en tijdig te verhelpen. Bij deze beoordeling gaan bevoegde autoriteiten na of uit de staat van dienst van de instelling blijkt dat zij in staat en van plan is om problemen en/of vastgestelde tekortkomingen vanuit het oogpunt van de toezichthouder op doeltreffende en tijdige wijze aan te pakken, en of hiermee al rekening is gehouden bij de beoordeling van andere SREP-gebieden. Daartoe dienen de bevoegde autoriteiten de beoordeling van de volgende elementen als uitgangspunt te nemen:

• a. de rol van het leidinggevend orgaan bij (i) het beoordelen van de doeltreffendheid van de regelingen voor governance van de instelling, met name wat betreft de corrigerende maatregelen, en (ii) het nemen van passende maatregelen om twijfels van de toezichthouder en/of tekortkomingen aan te pakken (doeltreffende reactie op twijfels van de toezichthouder);
• b. de risicocultuur binnen de instelling;
• c. de toereikendheid en tijdigheid van de met de bevoegde autoriteit verstrekte en uitgewisselde informatie;
• d. de kwaliteit van de interne rapportage over corrigerende maatregelen aan het leidinggevend orgaan, de directie en de interne controlefuncties;
• e. de rol van interne controlefuncties bij de evaluatie van de toereikendheid en doeltreffendheid van de genomen corrigerende maatregelen.

78.Bij het beoordelen van interne governance en instellingsbrede risicobeheersing op het niveau van dochterondernemingen, beoordelen bevoegde autoriteiten naast de in deze titel genoemde elementen ook of groepsbrede beleidslijnen en procedures op het niveau van de dochterondernemingen consistent ten uitvoer worden gelegd en of bedrijven uit de groep gepaste maatregelen hebben ondernomen om te garanderen dat hun activiteiten alle geldende wetten en voorschriften naleven.

79.Bij het beoordelen van de organisatiestructuur, het leidinggevend orgaan en de comités van de instelling beoordelen bevoegde autoriteiten of de instelling voldoet aan de artikelen 74, 88 en 91 van Richtlijn 2013/36/EU, de EBA-richtsnoeren inzake interne governance¹⁸ en de gezamenlijke ESMA- en EBA-richtsnoeren voor het beoordelen van de geschiktheid van leden van het leidinggevend orgaan en medewerkers met een sleutelfunctie¹⁹ . In het kader van de beoordeling van de organisatie- en operationele structuur van de instelling en, indien van toepassing, die van de groep, houden bevoegde autoriteiten onder meer rekening met de vraag of:

• a. het op passende en duidelijke wijze is opgezet, met duidelijk afgebakende, transparante en consistente verantwoordelijkheden, ook voor het leidinggevend orgaan en zijn comités;
• b. het is afgestemd op de omvang en de complexiteit van het bedrijf en de bedrijfsactiviteiten;
• c. het transparant is voor belanghebbenden, waaronder personeel en aandeelhouders.

80. In het kader van de beoordeling van het leidinggevend orgaan van de instelling kijken bevoegde autoriteiten onder meer of:

• a. het leidinggevend orgaan de juridische, organisatorische en operationele structuur van de instelling kent en begrijpt (‘ken je structuur’) en de daarmee samenhangende risico’s, met inbegrip van passend toezicht;
• b. het leidinggevend orgaan van het moederbedrijf van de instelling, waar van toepassing, inzicht heeft in zowel de organisatie van de groep als de rollen van zijn verschillende entiteiten, evenals in hun onderlinge verbanden en relaties;
• c. het leidinggevend orgaan in zijn geheel een goed inzicht heeft in het bedrijfsmodel en de activiteiten van de instelling en op de hoogte blijft van voldoende kennis en vaardigheden met betrekking tot relevante risico’s, waaronder ICT-risico’s, ESG-risico’s en andere opkomende risico’s, door middel van regelmatige opleiding;
• d. de instelling een beleid heeft ter bevordering van diversiteit en inclusie in het leidinggevend orgaan en deze regelmatig beoordeelt, onder meer op basis van het genderevenwicht, en of de samenstelling, het functioneren en de opvolgingsplanning van de raad van bestuur doeltreffende besluitvorming ondersteunen en de doelstellingen van de instelling op het gebied van diversiteit en inclusie weerspiegelen;
• e. er een doeltreffende interactie is tussen de leden van het leidinggevend orgaan, onder meer tussen zijn leidinggevende en toezichthoudende functies;
• f. elk lid van het leidinggevend orgaan onafhankelijk handelt, voldoende tijd aan zijn taken besteedt en naar behoren op de hoogte is van de risicosituatie van de instelling;
• g. het leidinggevend orgaan in het kader van zijn toezichthoudende functie, waar van toepassing, risico-, audit-, benoemings- en beloningscomités heeft ingesteld, en of deze comités hun taken vervullen zoals voorgeschreven door het toepasselijke wettelijke en regelgevende kader.

81.Bij het toetsen van de samenstelling en het functioneren van het leidinggevend orgaan en de comités van de instelling houden bevoegde autoriteiten ook rekening met relevante bevindingen uit de geschiktheidsbeoordelingen van de leden van het leidinggevend orgaan en medewerkers met een sleutelfunctie van de instelling, uitgevoerd door de instelling of, indien relevant, door de bevoegde autoriteiten. Bevoegde autoriteiten toetsen het resultaat van het proces van de instelling om medewerkers met een sleutelfunctie te identificeren en beoordelen het niveau van individuele verantwoording door rekening te houden met de individuele verklaringen betreffende de rollen en plichten van alle leden van het leidinggevend orgaan in zijn bestuursfunctie, directie en medewerkers met een sleutelfunctie, samen met het in kaart brengen van taken, met inbegrip van details van de rapportagelijnen, verantwoordelijkheidslijnen en de personen die deel uitmaken van de regelingen voor governance van de instelling, en hun taken.

¹⁸ EBA/GL/2021/05

¹⁹ EBA/GL/2021/06

82.Bij de beoordeling van de risicocultuur en gedragsregels van de instelling beoordelen bevoegde autoriteiten of de instelling de EBA-richtsnoeren inzake interne governance naleeft. In dit verband dienen de bevoegde autoriteiten onder meer na te gaan of:

• a. de instelling beschikt over consistente bedrijfswaarden en een degelijke risicocultuur, die (i) worden ondersteund door doeltreffende en robuuste beleidsregels en procedures, communicatie en opleiding voor al het personeel, met inbegrip van een gedragscode en een passend kader voor het beheer van belangenconflicten en meldingsmechanismen om verantwoord en ethisch gedrag te bevorderen en blootstellingen aan verbonden partijen te monitoren en te beheren, en (ii) een klimaat van open communicatie en effectieve kritische reflectie bevorderen;
• b. het leidinggevend orgaan, de directie en medewerkers met een sleutelfunctie zich inzetten voor het bevorderen van een sterke risico- en bedrijfscultuur en verantwoorde gedragsregels;
• c. er binnen de hele instelling blijk is van een sterk risicobewustzijn;
• d. de instelling risicobewustzijn integreert in haar besluitvormingsprocessen, met inbegrip van een passende toewijzing van de verantwoordelijkheid voor risico’s.

83.De bevoegde autoriteiten dienen te beoordelen of de instelling beschikt over een passend kader voor het identificeren, documenteren en beheren van transacties met verbonden partijen, met inbegrip van een goedkeuringsproces, risicolimieten, voorwaarden op basis van het arm’s length-beginsel, en mechanismen voor monitoring en rapportage. De bevoegde autoriteiten moeten ook het niveau van het toezicht door het leidinggevend orgaan beoordelen.

84.Bij de beoordeling van het beloningsbeleid en de beloningspraktijken van de instelling beoordelen bevoegde autoriteiten of de instelling de artikelen 74, 92 en 94 van Richtlijn 2013/36/EU, Gedelegeerde Verordening (EU) 2021/923 en de EBA-richtsnoeren betreffende een degelijk beloningsbeleid²⁰ naleeft. In dit verband dienen de bevoegde autoriteiten onder meer na te gaan of:

• a. de instelling een passend en genderneutraal beloningsbeleid en gepaste beloningspraktijken voor al het personeel heeft ingevoerd, dat door het leidinggevend orgaan is goedgekeurd, regelmatig wordt getoetst en gecontroleerd, en of dit beleid in overeenstemming is met de toepasselijke wet- en regelgeving;
• b. de interne controlefuncties betrokken zijn bij het opstellen van het beloningsbeleid en erop toezien dat dit beleid naar behoren wordt geëvalueerd, gecontroleerd en bijgewerkt;
• c. het beloningsbeleid en de beloningspraktijken een deugdelijk en doeltreffend risicobeheer bevorderen, onder meer door rekening te houden met de risicobereidheid van de instelling ten aanzien van ESG-risico’s, en in overeenstemming zijn met de bedrijfs- en risicostrategieën, de risicocultuur en bedrijfswaarden van de instelling, de langetermijnbelangen van de instelling en de maatregelen genomen om belangenconflicten te vermijden, en het nemen van buitensporige risico’s niet aanmoedigt;
• d. de instelling alle medewerkers wier activiteiten een wezenlijke invloed hebben op haar risicoprofiel op de juiste wijze heeft geïdentificeerd, in overeenstemming met de toepasselijke wet- en regelgeving;
• e. de verhouding tussen de variabele en de vaste beloning passend is, en het variabele beloningsgedeelte voor het aangewezen personeel niet meer dan 100 % bedraagt van het vaste beloningsgedeelte (of 200 % met goedkeuring van de aandeelhouders);
• f. de instelling de vaste en variabele componenten op de juiste wijze heeft verdeeld, zonder gebruik te maken van constructies of praktijken om de beloningsvoorschriften te omzeilen;
• g. variabele beloning is gebaseerd op prestaties (rekening houdend met zowel financiële als niet-financiële criteria) en of de instelling zich houdt aan de daarmee samenhangende wettelijke en regelgevende vereisten inzake uitstel- en aanhoudperioden, uitbetaling in instrumenten en terugvordering- en malusclausules.

²⁰ EBA/GL/2021/04

85.Bij de beoordeling van de interne-controlefuncties van de instelling beoordelen bevoegde autoriteiten of de instelling de EBA-richtsnoeren inzake interne governance en de relevante bepalingen van Verordening (EU) 2022/2554 (DORA) naleeft²¹ . In dit verband dienen de bevoegde autoriteiten onder meer na te gaan of:

• a. de instelling beschikt over een passend intern risicobeheersingskader dat alle gebieden bestrijkt, in overeenstemming met het model van de "drie verdedigingslinies”, met inbegrip van goed functionerende, doeltreffende en onafhankelijke functies op het gebied van risicobeheer, compliance en interne audit;
• b. de hoofden van de interne controlefuncties (i) zijn aangesteld op een passend hiërarchisch niveau dat hen de nodige bevoegdheden en het nodige aanzien verschaft om hun verantwoordelijkheden te vervullen, (ii) rechtstreekse toegang hebben tot het leidinggevend orgaan in zijn toezichthoudende functie en rechtstreeks aan dit orgaan kunnen rapporteren, en (iii) beschikken over alle middelen die nodig zijn om hun taken uit te voeren;
• c. de instelling beschikt over een toereikend vastgelegd intern controlebeleid dat daadwerkelijk wordt toegepast, alsmede over een duidelijke verdeling van verantwoordelijkheden voor de uitvoering van het kader, scheiding van taken, deugdelijke administratieve en boekhoudkundige procedures en robuuste rapportageregelingen.

86.De bevoegde autoriteiten dienen te beoordelen of de risicobeheerfunctie de gehele instelling bestrijkt, een holistisch beeld heeft van alle risico’s, in een vroeg stadium actief betrokken is bij de uitwerking van de risicostrategie van de instelling en toeziet op de effectieve uitvoering daarvan. Bevoegde autoriteiten bepalen ook of de risicobeheerfunctie het leidinggevend orgaan volledige, actuele en relevante risicogerelateerde informatie verstrekt op basis waarvan de risicobereidheid en de daaraan gerelateerde risicolimieten van de instelling kunnen worden vastgesteld. De bevoegde autoriteiten dienen tevens rekening te houden met de beoordeling door de risicobeheerfunctie van de robuustheid en duurzaamheid van de risicostrategie en de risicobereidheid, alsmede met de betrokkenheid van deze functie bij de evaluatie van de gevolgen van wezenlijke wijzigingen of uitzonderlijke transacties voor het totale risico van de instelling en de groep (indien van toepassing).

87.De bevoegde autoriteiten dienen te beoordelen of de nalevingsfunctie de nalevingsrisico’s die voortvloeien uit het niet naleven van toepasselijke wettelijke en regelgevende vereisten, contractuele verplichtingen of interne regels en gedragscodes – met inbegrip van ethische regels

• – daadwerkelijk beoordeelt en beperkt, en ervoor zorgt dat bij alle wezenlijke beslissingen op het gebied van risicobeheer op adequate wijze rekening wordt gehouden met deze risico’s.

88.Bevoegde autoriteiten beoordelen of de interne auditfunctie op onafhankelijke wijze, in overeenstemming met het auditplan en het gedetailleerde werkprogramma, een objectieve zekerheid biedt over de geschiktheid en doeltreffendheid van het beleid, de procedures en de interne controles van de instelling en over de naleving van alle activiteiten van de instelling, met inbegrip van activiteiten die worden verricht door externe dienstverleners, van de wettelijke en regelgevingsvereisten. Waar van toepassing dienen de bevoegde autoriteiten te beoordelen of de groepsbrede interne auditfunctie onafhankelijk is, een groepsbreed, op risico’s gebaseerd auditplan heeft, en beschikt over voldoende middelen en rechtstreeks rapporteert aan het leidinggevend orgaan van het moederbedrijf.

²¹ DORA - Verordening (EU) nr. 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele veerkracht voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PB L 333 van 27.12.2022, blz. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

89.Bij de beoordeling van het kader voor risicobeheer van de instelling dienen de bevoegde autoriteiten na te gaan of de instelling voldoet aan de EBA-richtsnoeren inzake interne governance, de DORA- en andere EBA-richtsnoeren die zijn vastgesteld krachtens artikel 74, lid 3, van Richtlijn 2013/36/EU betreffende regelingen, processen en mechanismen voor interne governance. In dit verband dienen de bevoegde autoriteiten onder meer na te gaan of:

• a. de instelling een passend kader voor risicobeheer en passende risicobeheerprocessen heeft opgezet, waaronder een passende en geïmplementeerde risicostrategie, een risicobereidheid – met inbegrip van een beleid inzake het beheer van risico’s van derden –, ICAAP- en ILAAP-kaders, alsmede capaciteiten en resultaten op het gebied van stresstests;
• b. in voorkomend geval het groepsbrede kader voor risicobeheer alle wezenlijke risico’s dekt, ongeacht of het risico voortvloeit uit entiteiten die niet aan consolidatie onderhevig zijn, en het een volledig beeld opstelt van alle risico’s waaraan de instelling blootstaat of kan worden blootgesteld;
• c. het leidinggevend orgaan de eindverantwoordelijkheid draagt voor de risicostrategie, de risicobereidheid en het kader voor risicobeheer en zorgt voor passende sturing en toezicht;
• d. de instelling, en in voorkomend geval de consoliderende instelling, een passende risicostrategie en risicobereidheid heeft vastgelegd en geïmplementeerd, die alle wezenlijke risico’s van de instelling bestrijken, risicolimieten en -toleranties bevatten en een afspiegeling vormen van de financiële middelen van de instelling;
• e. het kader voor risicobeheer voorziet in adequate procedures voor het identificeren, meten, beperken en monitoren van risico’s, en aangeeft in hoeverre dit kader is geïntegreerd in de algemene strategie van de instelling en hoe het deze beïnvloedt;
• f. de besluitvormingsprocessen duidelijk, transparant en naar behoren gedocumenteerd zijn, en rekening houden met de relevante risico-overwegingen, en of het beleid en wijzigingen daarin op de juiste wijze en tijdig worden gecommuniceerd;
• g. er passende en consistente verbanden zijn tussen de bedrijfsstrategie, de risicostrategie, de strategie voor digitale operationele veerkracht, het kader voor risicobereidheid en risicobeheer en de kaders voor kapitaal- en liquiditeitsbeheer, alsook het plan van de instelling om ESG-risico’s aan te pakken overeenkomstig artikel 76, lid 2, van Richtlijn 2013/36/EU.

90.Bevoegde autoriteiten beoordelen of een instelling beschikt over een duidelijk gedocumenteerd beleid voor de goedkeuring van nieuwe producten. In dit beleid, dat door het leidinggevend orgaan wordt goedgekeurd, wordt ingegaan op de ontwikkeling van nieuwe markten, producten en diensten, en op ingrijpende wijzigingen aan bestaande markten, inclusief buitengewone transacties. De bevoegde autoriteiten dienen ook na te gaan of de functies op het gebied van risicobeheer en naleving op passende wijze worden betrokken bij de beoordeling en goedkeuring van nieuwe producten of ingrijpende wijzigingen in bestaande producten, waarbij goedkeuringen afhankelijk worden gesteld van de toereikendheid van de desbetreffende controles.

Icaap- en Ilaap-kaders

91.Bij de beoordeling van de Icaap- en Ilaap-kaders van de instelling beoordelen bevoegde autoriteiten de naleving door de instelling van de EBA-richtsnoeren inzake Icaap- en Ilaap-informatie²² . De beoordeling van de ICAAP- en ILAAP-kaders van de instelling moet een periodieke evaluatie van het ICAAP en het ILAAP omvatten en tot doel hebben de deugdelijkheid, doeltreffendheid en volledigheid ervan vast te stellen. In dit verband moeten de bevoegde autoriteiten:

• a. beoordelen hoe het Icaap en het Ilaap zijn geïntegreerd in het totale risicobeheer en de strategische beheerspraktijken van de instelling, met inbegrip van kapitaal- en liquiditeitsplanning, en in hoeverre deze op de toekomst zijn gericht;
• b. nagaan of het Icaap en het Ilaap geschikt zijn om een toereikend niveau van intern kapitaal en liquiditeit te beoordelen en te handhaven ter dekking van de risico’s van de instelling en om verantwoorde bedrijfsbeslissingen te nemen (bijvoorbeeld met betrekking tot de toewijzing van kapitaal in het kader van het bedrijfsplan), ook onder stressomstandigheden;
• c. beoordelen of het Icaap en het Ilaap op alle niveaus binnen de instelling zijn geïntegreerd in de besluitvormings- en beheerprocessen (bijvoorbeeld bij het vaststellen van limieten en het meten van prestaties);
• d. verifiëren of de Icaap- en Ilaap-kaders aan regelmatig toezicht door het leidinggevend orgaan worden onderworpen, waaronder de goedkeuring van deze kaders en de uitkomsten ervan;
• e. beoordelen of het Icaap en het Ilaap op consistente en evenredige wijze ten uitvoer worden gelegd in alle bedrijfsonderdelen en juridische entiteiten van de instelling en of zij alle wezenlijke risico’s bestrijken waaraan de instelling is of kan worden blootgesteld;
• f. de naleving beoordelen van daarmee verband houdende wet- en regelgeving en nagaan of in het kader van het Icaap van de instelling opkomende risico’s en/of weinig waarschijnlijke risico’s met een grote impact worden geïdentificeerd, waaronder ICT-risico’s, milieurisico’s en geopolitieke onzekerheden;
• g. beoordelen of afwijkingen van de standaard Icaap en Ilaap van de instelling voor een of meer juridische entiteiten of bedrijfsonderdelen gerechtvaardigd zijn.

92.Deze beoordelingen worden mede gebruikt voor de vaststelling van P2R en voor de beoordeling van de toereikendheid van het kapitaal zoals uiteengezet in titel 7, evenals voor de beoordeling van de toereikendheid van de liquiditeit en financiering zoals uiteengezet in titel 8.

Beoordeling van de stresstests van de instellingen

93.Bij de beoordeling van de stresstests van de instelling beoordelen bevoegde autoriteiten of de instelling de EBA-richtsnoeren inzake stresstests naleeft²³ alsook de EBA-richtsnoeren inzake milieuscenarioanalyse met het oog op de integratie van milieurisico’s. Deze beoordeling omvat de evaluatie van het stresstestprogramma van de instelling, waarbij rekening wordt gehouden met de omvang en interne organisatie van instellingen en de aard, schaal en complexiteit van hun activiteiten.

94.Bevoegde autoriteiten voeren een kwalitatieve beoordeling van het stresstestprogramma van de instelling uit, evenals een kwantitatieve beoordeling van de resultaten van de stresstests. Bevoegde autoriteiten houden rekening met de resultaten van de kwalitatieve en kwantitatieve beoordelingen, in combinatie met de resultaten van stresstests voor toezichtdoeleinden (zie titel 11), ten behoeve van de beoordeling van de toereikendheid van het kapitaal en de liquiditeit van de instelling en om de gepaste reactie van de toezichthouder op de vastgestelde afwijkingen te bepalen. Als de beoordeling van de stresstests tekortkomingen in de governance en instellingsbrede risicobeheersing van de instelling aan het licht brengt, dienen de bevoegde autoriteiten deze in aanmerking te nemen bij de beoordeling van deze gebieden. Bovendien kunnen de resultaten van de stresstests van een instelling worden gebruikt voor de beoordeling van de kapitaalplanning van de instelling en voor de kwantificering van de liquiditeitsvereisten voor de beoordeling van de liquiditeitstoereikendheid.

95.De bevoegde autoriteiten dienen te beoordelen in hoeverre stresstests zijn geïntegreerd in het kader voor risicobeheer van de instelling, met inbegrip van de wijze waarop bij het vaststellen van de risicobereidheid en de risicolimieten van de instelling rekening wordt gehouden met stresstests. Bovendien moeten de bevoegde autoriteiten nagaan in hoeverre de directie en het leidinggevend orgaan van de instelling bij het stresstestprogramma betrokken zijn, met inbegrip van de daarmee samenhangende interne rapportage, en in hoeverre de stresstests en de resultaten daarvan in de besluitvormingsprocessen zijn geïntegreerd.

96.Bij de beoordeling van het stresstestprogramma, resultaten van stresstests en voorgestelde beheersmaatregelen houden bevoegde autoriteiten zowel rekening met individuele als met systeembrede perspectieven. De bevoegde autoriteiten dienen na te gaan of beheersmaatregelen in crisissituaties haalbaar zijn, waarbij zij onder meer moeten beoordelen of de termijnen voor de uitvoering van de maatregelen realistisch zijn, en rekening moeten houden met de specifieke kenmerken van de instelling. Bij de beoordeling van stresstestprogramma’s van grensoverschrijdende groepen dienen de bevoegde autoriteiten rekening te houden met mogelijke belemmeringen voor de overdraagbaarheid van kapitaal en liquiditeit binnen groepen en voor de werking van eventuele regelingen voor financiële ondersteuning binnen de groep, die zich in crisissituaties kunnen voordoen.

97.Bevoegde autoriteiten moeten de resultaten van stresstests beoordelen²⁴ en of de instelling in staat is om het toepasselijke TSCR te allen tijde in stand te houden in een ongunstig scenario, en of ze een reeks van beheersmaatregelen heeft geïdentificeerd om mogelijke inbreuken op het TSCR aan te pakken. Bevoegde autoriteiten houden ook rekening met de impact van stresstests op de hefboomratio van een instelling, evenals met in aanmerking komende passiva in het kader van minimumvereisten voor in aanmerking komende passiva (MREL) waarnaar wordt verwezen in Richtlijn 2014/59/EU.

98.Bij de beoordeling van de resultaten van stresstests houden bevoegde autoriteiten ook rekening met alle gekende toekomstige wijzigingen aan de wetgeving die een impact hebben op de instelling binnen het bereik en de tijdhorizon van de stresstest.

²² EBA-richtsnoeren inzake verzamelde Icaap- en Ilaap-informatie met het oog op het SREP (EBA/GL/2016/10).

²³ EBA-richtsnoeren inzake stresstesten (EBA/GL/2018/04).

²⁴ Voor de toepassing van deze paragraaf omvatten stresstests geen omgekeerde stresstests.

99. De bevoegde autoriteiten dienen te beoordelen of de ICT-systemen van de instelling betrouwbaar, veerkrachtig en toereikend zijn om de omvang, samenstelling en kwaliteit van de blootstellingen te meten, te beoordelen en te rapporteren voor alle risicotypes, producten en tegenpartijen van de instelling, en of deze systemen de mogelijkheden voor de aggregatie van risico-data zowel in normale omstandigheden als in crisissituaties volledig ondersteunen.

100. Bevoegde autoriteiten dienen na te gaan of de instelling passende capaciteiten op het gebied van aggregatie van risico-data en rapportage over het risico ontwikkelt en in stand houdt, die in overeenstemming zijn met haar risicoprofiel en systeemrelevantie. Bij het beoordelen van de capaciteiten van de instelling op het gebied van aggregatie van risico-data en rapportage over het risico dienen bevoegde autoriteiten rekening te houden met de BCBS 239-beginselen voor doeltreffende aggregatie van risicodata en rapportage over het risico²⁵ voor onder toezicht staande instellingen die binnen het toepassingsgebied van deze beginselen vallen. De bevoegde autoriteiten moeten met name beoordelen of de instelling in staat is om voor de gehele instelling nauwkeurige, consistente, volledige en betrouwbare risicodata en -rapportages te genereren, waarin alle wezenlijke risico’s zijn opgenomen en die een juist beeld geven van het risicoprofiel en de kapitaal- en liquiditeitsbehoeften van de instelling, en of deze gegevens op tijdige en flexibele wijze kunnen worden samengevoegd en ter beschikking gesteld aan het leidinggevend orgaan en de directie. De bevoegde autoriteiten moeten, waar van toepassing, beoordelen of de instelling een doeltreffend groepsbreed managementinformatie- en - rapportagesysteem heeft ingesteld voor alle bedrijfsactiviteiten en rechtspersonen, en of deze informatie en rapportages tijdig beschikbaar zijn voor het leidinggevend orgaan van het moederbedrijf van de instelling.

101. De bevoegde autoriteiten dienen vast te stellen of het leidinggevend orgaan van de instelling het kader voor de aggregatie van risicodata en de rapportage over het risico van de instelling goedkeurt en toeziet op de effectieve uitvoering daarvan, met inbegrip van de inzet van voldoende middelen ter ondersteuning van deze inspanningen. Bevoegde autoriteiten beoordelen ook of de capaciteiten en praktijken van de instelling op het gebied van de aggregatie van risicodata en rapportage over het risico onafhankelijk worden gevalideerd in overeenstemming met het intern kader voor risicobeheersing van de instelling.

²⁵ Bazels Comité voor bankentoezicht, Principles for effective risk data aggregation and risk reporting (BCBS 239).

102. Bij het analyseren van het kader voor interne governance en instellingsbrede risicobeheersing, houden bevoegde autoriteiten ook rekening met de beoordelingen die zij hebben ontvangen van AML/CFT-toezichthouders, en evalueren zij of die aanleiding geven tot prudentiële bezorgdheden. Wanneer daarentegen de beoordeling van de bevoegde autoriteit wijst op tekortkomingen in de interne risicobeheersing en het governance-kader van een instelling en de instellingsbrede risicobeheersing aanleiding geeft tot prudentiële bezorgdheden met betrekking tot het ML/TF-risico, en risico's van niet-uitvoering en ontwijking van gerichte financiële sancties, delen bevoegde autoriteiten de uitkomst van die beoordeling met AML/CFT-toezichthouders.

103. De bevoegde autoriteiten dienen te beoordelen of het algemene kader voor interne governance en risicobeheer van de instelling ook het beheer omvat van de ML/TF-risico’s, alsmede de risico’s van niet-naleving en ontwijking van gerichte financiële sancties.

104. De bevoegde autoriteiten dienen vanuit prudentieel oogpunt te beoordelen of de taken en verantwoordelijkheden van het leidinggevend orgaan met betrekking tot het AML/CFT-kader worden nageleefd. Bevoegde autoriteiten houden rekening met eventuele aanvullende informatie van de AML/CFT-toezichthouders na hun beoordeling overeenkomstig de EBA-richtsnoeren inzake gedragslijnen en procedures met betrekking tot nalevingsbeheer en de rol en verantwoordelijkheden van de AML/CFT-nalevingsfunctionaris²⁶ .

²⁶ EBA/GL/2022/05

105. Voor het beoordelen van de interne governance en instellingsbrede risicobeheersing bekijken bevoegde autoriteiten bevindingen en tekortkomingen die zijn vastgesteld bij de beoordeling van de governance voor herstelplanning die werd uitgevoerd overeenkomstig de artikelen 6 en 8 van Richtlijn 2014/59/EU.

106. Op dezelfde wijze dienen bevindingen vastgesteld bij de beoordeling van de SREP-elementen, met inbegrip van regelingen voor interne governance en instellingsbrede risicobeheersing, als input voor de beoordeling van herstelplannen van de instelling.

107. Na de voorgaande beoordeling vormen bevoegde autoriteiten zich een beeld van de

bevindingen die vergezeld gaat van een levensvatbaarheidsscore op basis van de in tabel 4 genoemde overwegingen. Tabel 4. Overwegingen van de toezichthouder voor de toewijzing van een score voor interne governance en instellingsbrede risicobeheersing

Score Standpunt van de toezichthouder Overwegingen

108. De onderstaande tabel bevat een niet-uitputtende lijst van toezichtmaatregelen die bevoegde autoriteiten kunnen nemen in geval van vastgestelde tekortkomingen in de interne governance en instellingsbrede risicobeheersing van de instelling. De bevoegde autoriteiten dienen de aard van de toezichtmaatregel te bepalen op basis van de doeltreffendheid ervan voor de specifieke vastgestelde tekortkoming. De bevoegde autoriteiten kunnen aanvullende toezichtmaatregelen toepassen, of een combinatie daarvan met de in de onderstaande tabel genoemde maatregelen, indien deze geschikter worden geacht om de vastgestelde tekortkomingen aan te pakken. Bij

herstelmaatregelen in overweging te nemen die zijn vastgelegd in artikel 50 van de DORA.

Tabel 5 Mogelijke en niet-uitputtende lijst van toezichtsmaatregelen die voortvloeien uit de beoordeling van de interne governance en de instellingsbrede risicobeheersing van de instelling Mogelijke toezichtmaatregelen voor bevoegde autoriteiten overeenkomstig artikel 104, lid 1, punten b), d), e), f), g), j), l), m) en n), van Richtlijn 2013/36/EU en artikel 50 van Verordening (EU) 2022/2554 – Bevoegde autoriteiten kunnen van de instelling verlangen dat zij: A. het leidinggevend orgaan of de comités daarvan een grotere rol geven en hun betrokkenheid versterken; B. actieplannen met corrigerende maatregelen ontwikkelen en uitvoeren om tekortkomingen aan te pakken; C. interne risicobeheersingen versterken; D. het interne governancekader verbeteren; E. de meldingsmechanismen en het toezicht verbeteren; F. de variabele beloning beperken; G. nalevingsbeheersystemen implementeren; H. aanvullende of frequentere rapportagevereisten hebben; I. specifieke regelingen, processen, mechanismen en strategieën versterken; J. de stresstests opnieuw uitvoeren op basis van aangepaste aannames; K. de regelingen op het gebied van governance en risicobeheer met betrekking tot ESG-risico’s, en met name milieurisico’s, verbeteren.