+5.6. Het kader voor risicobeheer
---+89. In assessing the institution’s risk management framework, competent authorities should assess …
---+90. Competent authorities should assess whether the institution has in place a well-documented new …
---+91. In assessing the institution’s ICAAP and ILAAP frameworks, competent authorities should assess …
---+92. These assessments should contribute to the determination of P2R and to the assessment of …
---+93. In assessing the institution’s stress testing, competent authorities should assess …
---+94. Competent authorities should perform a qualitative assessment of the institution’s stress …
---+95. Competent authorities should assess the extent to which stress testing is embedded in the …
---+96. When assessing the stress testing programme, the results of stress tests and proposed …
---+97. Competent authorities should assess the results of stress tests and whether the institution is …
---+98. In the assessment of stress test results, competent authorities should also consider all known …

5.6. Het kader voor risicobeheer

89.Bij de beoordeling van het kader voor risicobeheer van de instelling dienen de bevoegde autoriteiten na te gaan of de instelling voldoet aan de EBA-richtsnoeren inzake interne governance, de DORA- en andere EBA-richtsnoeren die zijn vastgesteld krachtens artikel 74, lid 3, van Richtlijn 2013/36/EU betreffende regelingen, processen en mechanismen voor interne governance. In dit verband dienen de bevoegde autoriteiten onder meer na te gaan of:

a. de instelling een passend kader voor risicobeheer en passende risicobeheerprocessen heeft opgezet, waaronder een passende en geïmplementeerde risicostrategie, een risicobereidheid – met inbegrip van een beleid inzake het beheer van risico’s van derden –, ICAAP- en ILAAP-kaders, alsmede capaciteiten en resultaten op het gebied van stresstests;
b. in voorkomend geval het groepsbrede kader voor risicobeheer alle wezenlijke risico’s dekt, ongeacht of het risico voortvloeit uit entiteiten die niet aan consolidatie onderhevig zijn, en het een volledig beeld opstelt van alle risico’s waaraan de instelling blootstaat of kan worden blootgesteld;
c. het leidinggevend orgaan de eindverantwoordelijkheid draagt voor de risicostrategie, de risicobereidheid en het kader voor risicobeheer en zorgt voor passende sturing en toezicht;
d. de instelling, en in voorkomend geval de consoliderende instelling, een passende risicostrategie en risicobereidheid heeft vastgelegd en geïmplementeerd, die alle wezenlijke risico’s van de instelling bestrijken, risicolimieten en -toleranties bevatten en een afspiegeling vormen van de financiële middelen van de instelling;
e. het kader voor risicobeheer voorziet in adequate procedures voor het identificeren, meten, beperken en monitoren van risico’s, en aangeeft in hoeverre dit kader is geïntegreerd in de algemene strategie van de instelling en hoe het deze beïnvloedt;
f. de besluitvormingsprocessen duidelijk, transparant en naar behoren gedocumenteerd zijn, en rekening houden met de relevante risico-overwegingen, en of het beleid en wijzigingen daarin op de juiste wijze en tijdig worden gecommuniceerd;
g. er passende en consistente verbanden zijn tussen de bedrijfsstrategie, de risicostrategie, de strategie voor digitale operationele veerkracht, het kader voor risicobereidheid en risicobeheer en de kaders voor kapitaal- en liquiditeitsbeheer, alsook het plan van de instelling om ESG-risico’s aan te pakken overeenkomstig artikel 76, lid 2, van Richtlijn 2013/36/EU.

90.Bevoegde autoriteiten beoordelen of een instelling beschikt over een duidelijk gedocumenteerd beleid voor de goedkeuring van nieuwe producten. In dit beleid, dat door het leidinggevend orgaan wordt goedgekeurd, wordt ingegaan op de ontwikkeling van nieuwe markten, producten en diensten, en op ingrijpende wijzigingen aan bestaande markten, inclusief buitengewone transacties. De bevoegde autoriteiten dienen ook na te gaan of de functies op het gebied van risicobeheer en naleving op passende wijze worden betrokken bij de beoordeling en goedkeuring van nieuwe producten of ingrijpende wijzigingen in bestaande producten, waarbij goedkeuringen afhankelijk worden gesteld van de toereikendheid van de desbetreffende controles.

Icaap- en Ilaap-kaders

91.Bij de beoordeling van de Icaap- en Ilaap-kaders van de instelling beoordelen bevoegde autoriteiten de naleving door de instelling van de EBA-richtsnoeren inzake Icaap- en Ilaap-informatie²² . De beoordeling van de ICAAP- en ILAAP-kaders van de instelling moet een periodieke evaluatie van het ICAAP en het ILAAP omvatten en tot doel hebben de deugdelijkheid, doeltreffendheid en volledigheid ervan vast te stellen. In dit verband moeten de bevoegde autoriteiten:

a. beoordelen hoe het Icaap en het Ilaap zijn geïntegreerd in het totale risicobeheer en de strategische beheerspraktijken van de instelling, met inbegrip van kapitaal- en liquiditeitsplanning, en in hoeverre deze op de toekomst zijn gericht;
b. nagaan of het Icaap en het Ilaap geschikt zijn om een toereikend niveau van intern kapitaal en liquiditeit te beoordelen en te handhaven ter dekking van de risico’s van de instelling en om verantwoorde bedrijfsbeslissingen te nemen (bijvoorbeeld met betrekking tot de toewijzing van kapitaal in het kader van het bedrijfsplan), ook onder stressomstandigheden;
c. beoordelen of het Icaap en het Ilaap op alle niveaus binnen de instelling zijn geïntegreerd in de besluitvormings- en beheerprocessen (bijvoorbeeld bij het vaststellen van limieten en het meten van prestaties);
d. verifiëren of de Icaap- en Ilaap-kaders aan regelmatig toezicht door het leidinggevend orgaan worden onderworpen, waaronder de goedkeuring van deze kaders en de uitkomsten ervan;
e. beoordelen of het Icaap en het Ilaap op consistente en evenredige wijze ten uitvoer worden gelegd in alle bedrijfsonderdelen en juridische entiteiten van de instelling en of zij alle wezenlijke risico’s bestrijken waaraan de instelling is of kan worden blootgesteld;
f. de naleving beoordelen van daarmee verband houdende wet- en regelgeving en nagaan of in het kader van het Icaap van de instelling opkomende risico’s en/of weinig waarschijnlijke risico’s met een grote impact worden geïdentificeerd, waaronder ICT-risico’s, milieurisico’s en geopolitieke onzekerheden;
g. beoordelen of afwijkingen van de standaard Icaap en Ilaap van de instelling voor een of meer juridische entiteiten of bedrijfsonderdelen gerechtvaardigd zijn.

92.Deze beoordelingen worden mede gebruikt voor de vaststelling van P2R en voor de beoordeling van de toereikendheid van het kapitaal zoals uiteengezet in titel 7, evenals voor de beoordeling van de toereikendheid van de liquiditeit en financiering zoals uiteengezet in titel 8.

Beoordeling van de stresstests van de instellingen

93.Bij de beoordeling van de stresstests van de instelling beoordelen bevoegde autoriteiten of de instelling de EBA-richtsnoeren inzake stresstests naleeft²³ alsook de EBA-richtsnoeren inzake milieuscenarioanalyse met het oog op de integratie van milieurisico’s. Deze beoordeling omvat de evaluatie van het stresstestprogramma van de instelling, waarbij rekening wordt gehouden met de omvang en interne organisatie van instellingen en de aard, schaal en complexiteit van hun activiteiten.

94.Bevoegde autoriteiten voeren een kwalitatieve beoordeling van het stresstestprogramma van de instelling uit, evenals een kwantitatieve beoordeling van de resultaten van de stresstests. Bevoegde autoriteiten houden rekening met de resultaten van de kwalitatieve en kwantitatieve beoordelingen, in combinatie met de resultaten van stresstests voor toezichtdoeleinden (zie titel 11), ten behoeve van de beoordeling van de toereikendheid van het kapitaal en de liquiditeit van de instelling en om de gepaste reactie van de toezichthouder op de vastgestelde afwijkingen te bepalen. Als de beoordeling van de stresstests tekortkomingen in de governance en instellingsbrede risicobeheersing van de instelling aan het licht brengt, dienen de bevoegde autoriteiten deze in aanmerking te nemen bij de beoordeling van deze gebieden. Bovendien kunnen de resultaten van de stresstests van een instelling worden gebruikt voor de beoordeling van de kapitaalplanning van de instelling en voor de kwantificering van de liquiditeitsvereisten voor de beoordeling van de liquiditeitstoereikendheid.

95.De bevoegde autoriteiten dienen te beoordelen in hoeverre stresstests zijn geïntegreerd in het kader voor risicobeheer van de instelling, met inbegrip van de wijze waarop bij het vaststellen van de risicobereidheid en de risicolimieten van de instelling rekening wordt gehouden met stresstests. Bovendien moeten de bevoegde autoriteiten nagaan in hoeverre de directie en het leidinggevend orgaan van de instelling bij het stresstestprogramma betrokken zijn, met inbegrip van de daarmee samenhangende interne rapportage, en in hoeverre de stresstests en de resultaten daarvan in de besluitvormingsprocessen zijn geïntegreerd.

96.Bij de beoordeling van het stresstestprogramma, resultaten van stresstests en voorgestelde beheersmaatregelen houden bevoegde autoriteiten zowel rekening met individuele als met systeembrede perspectieven. De bevoegde autoriteiten dienen na te gaan of beheersmaatregelen in crisissituaties haalbaar zijn, waarbij zij onder meer moeten beoordelen of de termijnen voor de uitvoering van de maatregelen realistisch zijn, en rekening moeten houden met de specifieke kenmerken van de instelling. Bij de beoordeling van stresstestprogramma’s van grensoverschrijdende groepen dienen de bevoegde autoriteiten rekening te houden met mogelijke belemmeringen voor de overdraagbaarheid van kapitaal en liquiditeit binnen groepen en voor de werking van eventuele regelingen voor financiële ondersteuning binnen de groep, die zich in crisissituaties kunnen voordoen.

97.Bevoegde autoriteiten moeten de resultaten van stresstests beoordelen²⁴ en of de instelling in staat is om het toepasselijke TSCR te allen tijde in stand te houden in een ongunstig scenario, en of ze een reeks van beheersmaatregelen heeft geïdentificeerd om mogelijke inbreuken op het TSCR aan te pakken. Bevoegde autoriteiten houden ook rekening met de impact van stresstests op de hefboomratio van een instelling, evenals met in aanmerking komende passiva in het kader van minimumvereisten voor in aanmerking komende passiva (MREL) waarnaar wordt verwezen in Richtlijn 2014/59/EU.

98.Bij de beoordeling van de resultaten van stresstests houden bevoegde autoriteiten ook rekening met alle gekende toekomstige wijzigingen aan de wetgeving die een impact hebben op de instelling binnen het bereik en de tijdhorizon van de stresstest.

²² EBA-richtsnoeren inzake verzamelde Icaap- en Ilaap-informatie met het oog op het SREP (EBA/GL/2016/10).

²³ EBA-richtsnoeren inzake stresstesten (EBA/GL/2018/04).

²⁴ Voor de toepassing van deze paragraaf omvatten stresstests geen omgekeerde stresstests.

1. Overzicht

Titel	Regelgeving
89. In assessing the institution’s risk management framework, competent authorities should assess …	In assessing the institution’s risk management framework, competent authorities should assess institution’s compliance with the EBA Guidelines on Internal Governance, the DORA and other EBA Guidelines issued pursuant to Article 74(3) of Directive 2013/36/EU on internal governance arrangements, processes and mechanisms. In this context, competent authorities should consider inter alia whether: a. the institution has established an appropriate risk management framework and risk management processes, encompassing an appropriate and implemented risk strategy, risk appetite, including a third-party risk management policy, ICAAP and ILAAP frameworks and stress testing capabilities and results; b. where applicable, the group-wide risk management framework covers all material risks regardless of whether the risk arises from entities not subject to consolidation and establishes a comprehensive view on all risks the institution is or might be exposed to; c. the management body has the ultimate responsibility for the risk strategy, risk appetite and risk management framework and provides appropriate direction and oversight; d. the institution, and where applicable the consolidating institution, has documented and implemented an appropriate risk strategy and risk appetite, which cover all the institution’s material risks, contain risk limits and tolerances, and reflect the instit ution’s financial resources; e. the risk management framework establishes adequate procedures for risk identification, measurement, mitigation and monitoring and the extent to which it is embedded in, and how it influences, the overall strategy of the institution; f. the decision-making processes are clear, transparent and adequately documented, and take into account the appropriate risk considerations, and whether policies and amendments to policies are communicated in a proper and timely manner; g. there are appropriate and consistent links between the business strategy, risk strategy, digital operational resilience strategy, risk appetite and risk management framework, and the capital and liquidity management frameworks, as well as the institution’s plan to address ESG risks in accordance with Article 76(2) of Directive 2013/36/EU.
90. Competent authorities should assess whether the institution has in place a well-documented new …	Competent authorities should assess whether the institution has in place a well-documented new product approval policy, approved by the management body, that addresses the development of new markets, products and services, and significant changes to existing ones, including exceptional transactions. Competent authorities should also consider whether the risk management and compliance functions are appropriately involved in the assessment and approval of new products or significant changes to existing ones, with approvals linked to the adequacy of the respective controls. ICAAP and ILAAP frameworks
91. In assessing the institution’s ICAAP and ILAAP frameworks, competent authorities should assess …	In assessing the institution’s ICAAP and ILAAP frameworks, competent authorities should assess institution’s compliance with the EBA Guidelines on ICAAP and ILAAP information³¹ . The assessment of the institution’s ICAAP and ILAAP frameworks should encompass periodic review of the ICAAP and ILAAP and determine their soundness, effectiveness and comprehensiveness. In this regard, competent authorities should: a. assess how ICAAP and ILAAP are integrated into the institution’s overall risk management and strategic management practices, including capital and liquidity planning, as well as the extent of their forward-looking nature; b. consider the appropriateness of the ICAAP and ILAAP to assess and maintain an adequate level of internal capital and liquidity to cover the institution’s risks and to take sound business decisions (e.g. in relation to allocating capital under the business plan), including under stressed conditions; c. assess whether the ICAAP and ILAAP are embedded into the decision-making and management processes at all levels in the institution (e.g. limit setting, performance measurement); d. verify whether the ICAAP and ILAAP frameworks are subject to regular oversight by the management body, including the approval of these frameworks and their outcomes; e. assess whether the ICAAP and ILAAP are consistently and proportionately implemented in all the institution’s business lines and legal entities and cover all material risks to which the institution is or might be exposed to; f. assess compliance with related legal and regulatory requirements and also consider whether institution’s ICAAP identifies emerging risks and/or low -probability, high-impact risks, including ICT risks, environmental risks and geopolitical uncertainties; g. assess whether any deviations from the institution’s standard ICAAP or ILAAP for one or more of its legal entities or business lines are justified. ³¹ EBA Guidelines on ICAAP and ILAAP information collected for SREP purposes (EBA/GL/2016/10).
92. These assessments should contribute to the determination of P2R and to the assessment of …	These assessments should contribute to the determination of P2R and to the assessment of capital adequacy as outlined in Title 7, as well as to the evaluation of liquidity and funding adequacy as outlined in Title 8. Assessment of institution’s stress testing
93. In assessing the institution’s stress testing, competent authorities should assess …	In assessing the institution’s stress testing, competent authorities should assess institution’s compliance with the EBA Guidelines on stress testing³² and the EBA Guidelines on environmental scenario analysis for the integration of environmental risks. This assessment encompasses the review of the institution’s stress testing programme, taking into account the size and internal organisation, and the nature, scale and complexity of the activities of the institution. ³² EBA Guidelines on stress testing (EBA/GL/2018/04).
94. Competent authorities should perform a qualitative assessment of the institution’s stress …	Competent authorities should perform a qualitative assessment of the institution’s stress testing programme, as well as a quantitative assessment of the results of stress tests. Competent authorities should consider the outcomes of qualitative and quantitative assessments together with the results of supervisory stress tests (see Title 11) for the purposes of assessing capital and liquidity adequacy and determining the appropriate supervisory response to the deficiencies identified. If the stress testing review identifies deficiencies in the institution’s governance and institution-wide controls, these should be considered by competent authorities in the assessment of these areas. Furthermore, the results of an institution’s stress tests can be used for the assessment of the institution’s capital planning, and in the quantification of liquidity requirements for the assessment of liquidity adequacy.
95. Competent authorities should assess the extent to which stress testing is embedded in the …	Competent authorities should assess the extent to which stress testing is embedded in the institution’s risk management framework, including how stress testing is considered in the processes of setting up the institution’s risk appetite and limits. Furthermore, competent authorities should assess the involvement of institution’s senior management and management body in the stress testing programme, including the related internal reporting, and the degree of integration of stress testing and its outcomes into the decision-making processes.
96. When assessing the stress testing programme, the results of stress tests and proposed …	When assessing the stress testing programme, the results of stress tests and proposed management actions, competent authorities should consider both idiosyncratic and system-wide perspectives. Competent authorities should consider the feasibility of management actions in stress situations, including whether the timelines for the implementation of the actions are realistic and consider the idiosyncrasies of the institution. For the review of stress testing programmes of cross-border groups, competent authorities should take into account potential barriers to the transferability of capital and liquidity within groups and the functioning of any intra-group financial support arrangements, which may arise in stressed conditions.
97. Competent authorities should assess the results of stress tests and whether the institution is …	Competent authorities should assess the results of stress tests³³ and whether the institution is able to maintain the applicable TSCR, at all times, in an adverse scenario and if it has identified a set of management actions to address any potential breaches of the TSCR. Competent authorities should also consider the impact of stress tests on the institution’s leverage ratio, as well as its eligible liabilities held for the purposes of minimum requirements for eligible liabilities (MREL) as referred to in Directive 2014/59/EU. ³³ For the purposes of this paragraph, stress tests do not extend to reverse stress tests.
98. In the assessment of stress test results, competent authorities should also consider all known …	In the assessment of stress test results, competent authorities should also consider all known future regulatory changes affecting the institution within the scope and the time horizon of the stress test exercise.

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

Eisen
Bron	Eis

3. Gerelateerde standaarden

Standaarden
Bron	Eis

EBA -
EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.