+5.10. Samenvatting van de bevindingen, toekenning van scores en toezichtmaatregelen
---+107. Following the above assessment, competent authorities should form a view on the adequacy of …
---+108. The table below presents a non-exhaustive list of supervisory measures that competent …

5.10. Samenvatting van de bevindingen, toekenning van scores en toezichtmaatregelen

107. Na de voorgaande beoordeling vormen bevoegde autoriteiten zich een beeld van de

toereikendheid van de regelingen van de instellingsbrede risicobeheersing. Dit beeldinstellingvoor interne governance en van de wordt verwoord in een samenvatting van

bevindingen die vergezeld gaat van een levensvatbaarheidsscore op basis van de in tabel 4 genoemde overwegingen. Tabel 4. Overwegingen van de toezichthouder voor de toewijzing van een score voor interne governance en instellingsbrede risicobeheersing

Score Standpunt van de toezichthouder Overwegingen

Tekortkomingen in de regelingen voor interne governance en instellingsbrede risicobeheersing 1 leveren een laag risico op voor de      De instelling heeft een robuuste en transparante organisatiestructuur met duidelijke verantwoordelijkheden, waarin het nemen van risico gescheiden is van de risicobeheers- en risicobeheersingsfuncties. De samenstelling en de werking van het leidinggevend orgaan zijn passend. De tijdsbesteding van leden van het leidinggevend orgaan is passend en zij leven de beperking van het aantal bestuursfuncties na. De instelling beschikt over een gezonde risicocultuur en gedragsregels, waaronder een beheer van belangenconflicten en processen voor klokkenluiders. De instelling heeft een diversiteitsbeleid vastgesteld dat een diverse samenstelling van het leidinggevend orgaan aanmoedigt en de gestelde doelen naleeft. Het beloningsbeleid is in overeenstemming met de risicostrategie en de langetermijnbelangen van de instelling. Het kader en de processen voor risicobeheer, waaronder het Icaap, het Ilaap, NPAP, het kader voor stresstests, de kapitaalplanning en de
levensvatbaarheid van de instelling.     liquiditeitsplanning, zijn passend. Het kader voor interne risicobeheersing en de interne risicobeheersing zelf zijn passend. De functies voor intern risicobeheer, naleving en audit zijn onafhankelijk, werken doeltreffend, beschikken over voldoende middelen, en de interne auditfunctie werkt doeltreffend overeenkomstig algemeen aanvaarde internationale normen en vereisten. De ICT-systemen, de aggregatie van risicodata en de rapportage over het risico zijn toereikend. De integratie van ESG-risico’s in het kader voor interne governance en risicobeheer is passend. Het kader voor governance voor herstelplanning is passend. De instelling gaat snel in op vastgestelde tekortkomingen en/of twijfels van bevoegde autoriteiten en lost deze op korte termijn doeltreffend op, met bevredigende resultaten. Bovendien brengt de instelling gedurende dit hele proces proactief verslag uit en houdt zij de bevoegde autoriteiten op de hoogte.
Score Standpunt van de toezichthouder     Overwegingen De instelling heeft een grotendeels robuuste en transparante organisatiestructuur met duidelijke verantwoordelijkheden, waarin het nemen van risico gescheiden is van de risicobeheers- en risicobeheersingsfuncties. De samenstelling en de werking van het leidinggevend orgaan zijn voor het grootste deel passend. De tijdsbesteding van leden van het leidinggevend orgaan is in grote mate passend en, waar relevant, leven zij de beperking van het aantal bestuursfuncties na. De instelling beschikt over een grotendeels gezonde risicocultuur en gedragsregels, waaronder beheer van belangenconflicten en processen voor klokkenluiders. De instelling heeft een diversiteitsbeleid vastgesteld dat een diverse samenstelling van het leidinggevend orgaan aanmoedigt en in grote mate de gestelde doelen naleeft, of heeft gepaste maatregelen ten uitvoer gelegd om de in het beleid gedefinieerde doelen te realiseren. Het beloningsbeleid is grotendeels in
Tekortkomingen in de regelingen voor interne governance en instellingsbrede risicobeheersing 2 leveren een laag tot middelgroot risico op voor de levensvatbaarheid van de instelling.      overeenstemming met de risicostrategie en de langetermijnbelangen van de instelling. Het kader en de processen voor risicobeheer, waaronder het Icaap, het Ilaap, NPAP, het kader voor stresstests, de kapitaalplanning en de liquiditeitsplanning, zijn grotendeels passend. Het kader voor interne risicobeheersing en de interne risicobeheersing zelf zijn grotendeels passend. De functies voor intern risicobeheer, naleving en audit zijn onafhankelijk en hun activiteiten zijn in grote mate doeltreffend. ICT-systemen, de aggregatie van risicodata en de rapportage over het risico zijn grotendeels toereikend. De integratie van ESG-risico’s in het kader voor interne governance en risicobeheer is grotendeels passend. Het kader voor governance voor herstelplanning is grotendeels passend. De instelling is in staat de meeste door de bevoegde autoriteiten vastgestelde tekortkomingen en/of geuite twijfels toereikend aan te pakken binnen een aanvaardbare termijn en – waar van toepassing – voldoet aan de rapportagevereisten die de bevoegde autoriteiten met betrekking tot deze tekortkomingen hebben vastgesteld.
Score Standpunt van de toezichthouder     Overwegingen De organisatiestructuur van de instelling en de verantwoordelijkheden zijn niet volledig transparant en het nemen van risico's is niet volledig gescheiden van de risicobeheer- en risicobeheersingsfuncties. Er zijn twijfels over de geschiktheid van de samenstelling en het functioneren van het leidinggevend orgaan. Er zijn twijfels over de gepaste tijdsbesteding van het lid van het leidinggevend orgaan en, waar relevant, leven zij de beperking van het aantal bestuursfuncties niet na. Er zijn twijfels over de geschiktheid van de risicocultuur en de gedragsregels, waaronder het beheer van belangenconflicten en/of processen voor klokkenluiders. De instelling heeft geen diversiteitsbeleid ingesteld en heeft geen maatregelen geïmplementeerd om een passend diversiteitsniveau binnen het leidinggevend orgaan te realiseren. Er wordt gevreesd dat het beloningsbeleid mogelijk niet is uitgelijnd met de risicostrategie en de langetermijnbelangen van de instelling.
Tekortkomingen in de regelingen voor interne governance en 3 instellingsbrede risicobeheersing leveren een middelgroot tot hoog risico op voor de levensvatbaarheid van de instelling.      Er zijn twijfels over de geschiktheid van het kader en de processen voor risicobeheer, waaronder het Icaap, het Ilaap, het NPAP, het kader voor stresstests, de kapitaalplanning en/of de liquiditeitsplanning. Er zijn twijfels over de geschiktheid van het kader voor interne risicobeheersing en de interne risicobeheersing zelf. Er zijn twijfels over de onafhankelijkheid en de doeltreffende werking van de functies voor intern risicobeheer, naleving en audit. Er bestaan twijfels over de geschiktheid van ICT-systemen, de aggregatie van risicodata en de rapportage over het risico. Er bestaan twijfels over de vraag of de integratie van ESG-risico’s in het kader voor interne governance en risicobeheer wel gepast is. Er werd geoordeeld dat het kader voor governance voor herstelplanning potentieel wezenlijke tekortkomingen vertoont en/of dat er wezenlijke obstakels bestaan voor de tenuitvoerlegging ervan, en de twijfels van de toezichthouder werden niet volledig weggewerkt. De instelling staat voor aanzienlijke uitdagingen of toont weinig bereidheid om de door de bevoegde autoriteiten vastgestelde tekortkomingen en/of geuite twijfels toereikend aan te pakken, wat betreft de kwaliteit van de corrigerende maatregelen en/of het tijdschema voor de
Score Standpunt van de toezichthouder     Overwegingen uitvoering daarvan, hetgeen erop zou kunnen wijzen dat de kwestie naar een hoger niveau moet worden doorverwezen. De instelling ondervindt ook moeilijkheden bij het rapporteren over de stand van zaken met betrekking tot de herstelmaatregelen aan de bevoegde autoriteiten. De organisatiestructuur en de verantwoordelijkheden van de instelling zijn niet transparant, en het nemen van risico’s is niet gescheiden van de risicobeheers- en risicobeheersingsfuncties. De samenstelling en het functioneren van het leidinggevend orgaan zijn niet passend. De tijdsbesteding van leden van het leidinggevend orgaan volstaat niet en, waar relevant, leven zij de beperkingen op het aantal bestuursfuncties niet na. De risicocultuur en gedragsregels, waaronder het beheer van belangenconflicten en/of de processen voor klokkenluiders zijn niet passend. De instelling heeft geen diversiteitsbeleid ingesteld, het leidinggevend orgaan is niet divers en de instelling heeft geen maatregelen geïmplementeerd om een gepast diversiteitsniveau te realiseren. Het beloningsbeleid is niet uitgelijnd met de
Tekortkomingen in de regelingen voor interne governance en 4 instellingsbrede risicobeheersing leveren een hoog risico op voor de levensvatbaarheid van de instelling.      risicostrategie en de langetermijnbelangen van de instelling. Het kader en de processen voor risicobeheer, waaronder het Icaap, het Ilaap, het NPAP, het kader voor stresstests, de kapitaalplanning en de liquiditeitsplanning, zijn niet passend. De functies voor risicobeheer, naleving en/of interne audit zijn niet onafhankelijk, werken niet doeltreffend en/of de interne auditfunctie werkt niet overeenkomstig algemeen aanvaarde internationale normen en vereisten. Het kader voor interne risicobeheersing en de interne risicobeheersing zelf zijn niet passend. De ICT-systemen, de aggregatie van risico-data en de rapportage over het risico zijn ontoereikend. De integratie van ESG-risico’s in het interne governance- en risicobeheerkader is niet gepast. Er werd geoordeeld dat het kader voor governance voor herstelplanning wezenlijke tekortkomingen vertoont en/of dat er wezenlijke obstakels bestaan voor de tenuitvoerlegging ervan, en de twijfels van de toezichthouder werden niet volledig weggewerkt. De instelling is niet in staat of niet van plan om de door de bevoegde autoriteiten vastgestelde tekortkomingen en/of geuite twijfels toereikend
Score Standpunt van de toezichthouderOverwegingen aan te pakken, en beschikt niet over de capaciteit om deze binnen een aanvaardbare termijn te verhelpen, nadat de kwestie door de bevoegde autoriteiten is geëscaleerd. De instelling ondervindt ook ernstige moeilijkheden bij het rapporteren over de stand van zaken met betrekking tot de herstelmaatregelen aan de bevoegde autoriteiten.

108. De onderstaande tabel bevat een niet-uitputtende lijst van toezichtmaatregelen die bevoegde autoriteiten kunnen nemen in geval van vastgestelde tekortkomingen in de interne governance en instellingsbrede risicobeheersing van de instelling. De bevoegde autoriteiten dienen de aard van de toezichtmaatregel te bepalen op basis van de doeltreffendheid ervan voor de specifieke vastgestelde tekortkoming. De bevoegde autoriteiten kunnen aanvullende toezichtmaatregelen toepassen, of een combinatie daarvan met de in de onderstaande tabel genoemde maatregelen, indien deze geschikter worden geacht om de vastgestelde tekortkomingen aan te pakken. Bij

inbreuken op de DORA dienen de bevoegdeautoriteiten de toepasselijke corrigerende en

herstelmaatregelen in overweging te nemen die zijn vastgelegd in artikel 50 van de DORA.

Tabel 5 Mogelijke en niet-uitputtende lijst van toezichtsmaatregelen die voortvloeien uit de beoordeling van de interne governance en de instellingsbrede risicobeheersing van de instelling Mogelijke toezichtmaatregelen voor bevoegde autoriteiten overeenkomstig artikel 104, lid 1, punten b), d), e), f), g), j), l), m) en n), van Richtlijn 2013/36/EU en artikel 50 van Verordening (EU) 2022/2554 – Bevoegde autoriteiten kunnen van de instelling verlangen dat zij: A. het leidinggevend orgaan of de comités daarvan een grotere rol geven en hun betrokkenheid versterken; B. actieplannen met corrigerende maatregelen ontwikkelen en uitvoeren om tekortkomingen aan te pakken; C. interne risicobeheersingen versterken; D. het interne governancekader verbeteren; E. de meldingsmechanismen en het toezicht verbeteren; F. de variabele beloning beperken; G. nalevingsbeheersystemen implementeren; H. aanvullende of frequentere rapportagevereisten hebben; I. specifieke regelingen, processen, mechanismen en strategieën versterken; J. de stresstests opnieuw uitvoeren op basis van aangepaste aannames; K. de regelingen op het gebied van governance en risicobeheer met betrekking tot ESG-risico’s, en met name milieurisico’s, verbeteren.

1. Overzicht

,
107. Following the above assessment, competent authorities should form a view on the adequacy of …

Following the above assessment, competent authorities should form a view on the adequacy of the institution’s internal governance arrangements and institution-wide controls. This view should be reflected in a summary of findings, accompanied by a viability score based on the considerations specified in table 4.

Table 4. Supervisory considerations for assigning a score for internal governance and institution-wide controls

Score Supervisory view Considerations

Deficiencies in internal governance and institution-wide control 1 arrangements pose a low level of risk to the viability of the institution.• • • • • •The institution has a robust and transparent organisational structure with clear responsibilities and separation of risk-taking from risk management and control functions. The composition and functioning of the management body are appropriate. The time commitment of the management body members is appropriate and they comply with the limitation on the number of directorships, where relevant. There is a sound risk culture and business conduct, including management of conflicts of interest and whistleblowing processes. The institution has adopted a diversity policy that fosters a diverse management body composition and complies with the targets set. The remuneration policy is in line with the institution’s risk strategy and long -term interests.
Score Supervisory view• • • • • • • • • •Considerations The risk management framework and risk management processes, including the ICAAP, ILAAP, NPAP, stress testing framework, capital planning and liquidity planning, are appropriate. The internal control framework and internal controls are appropriate. The risk management, compliance and internal audit functions are independent, operate effectively, have sufficient resources, and the internal audit function operates in accordance with established international standards and requirements. ICT systems, risk data aggregation and risk reporting are appropriate. The integration of ESG risks into the internal governance and risk management framework is appropriate. The recovery planning governance framework is appropriate. The institution addresses swiftly identified deficiencies and/or concerns expressed by competent authorities and effectively remediates them within a short timeframe providing satisfactory outcomes. Additionally, the institution proactively reports and informs the competent authorities throughout this process. The institution has a largely robust and transparent organisational structure with clear responsibilities and separation of risk-taking from risk management and control functions. The composition and functioning of the management body are largely appropriate. The time commitment of the management body members is largely appropriate, and, where relevant, they comply with the
Deficiencies in internal governance and institution-wide control 2 arrangements pose a medium-low level of risk to the viability of the institution.• • •limitation on the number of directorships. There is a largely sound risk culture and business conduct, including management of conflicts of interest and whistleblowing processes. The institution has adopted a diversity policy that fosters a diverse management body composition, and largely complies with the targets set or has implemented appropriate measures to achieve the targets set in the policy. The remuneration policy is largely in line with the institution’s risk strategy and long -term interests.
Score Supervisory view• • • • • • • • • •Considerations The risk management framework and risk management processes, including the ICAAP, ILAAP, NPAP, stress testing framework, capital planning and liquidity planning, are largely appropriate. The internal control framework and internal controls are largely appropriate. The risk management, compliance and internal audit functions are independent and their operations are largely effective. ICT systems, risk data aggregation and risk reporting are largely appropriate. The integration of ESG risks into the internal governance and risk management framework is largely appropriate. The recovery planning governance framework is largely appropriate. The institution is able to adequately address most of the deficiencies identified and/or concerns expressed by competent authorities, within an acceptable timeframe and – where applicable – complies with the reporting requirements set by the competent authorities in relation to these deficiencies. The institution’s organisational structure and responsibilities are not fully transparent and risk-taking is not fully separated from risk management and control functions. There are doubts about the appropriateness of the composition and functioning of the management body. There are doubts about the appropriate time commitment of the management body member and where relevant they do not comply with the limitation on the number of
Deficiencies in internal governance and institution-wide control 3 arrangements pose a medium-high level of risk to the viability of the institution.• • • •directorships. There are doubts about the appropriateness of the risk culture and business conduct, including management of conflicts of interest and/or whistleblowing processes. The institution has not adopted a diversity policy and has not implemented measures to achieve an appropriate level of diversity within the management body. There are concerns that the remuneration policy may not be aligned with the institution’s risk strategy and long -term interests. There are doubts about the appropriateness of the risk management framework and risk management processes, including the ICAAP,
Score Supervisory view• • • • • • • • •Considerations ILAAP, NPAP, stress testing framework, capital planning and/or liquidity planning. There are doubts about the appropriateness of the internal control framework and internal controls. There are doubts about the independence and effective operation of the risk management, compliance and internal audit functions. There are doubts about the appropriateness of ICT systems, risk data aggregation and risk reporting. There are doubts about the appropriateness of the integration of ESG risks into the internal governance and risk management framework. The recovery planning governance framework was assessed as potentially having material deficiencies and/or having material impediments to its effective implementation and supervisory concerns have not been fully addressed. The institution faces significant challenges or demonstrates limited intention to adequately address the deficiencies identified and/or concerns expressed by competent authorities, in terms of the quality of the remediation actions and/or the timeframe for their implementation, which might indicate the need for escalation. The institution also has challenges in reporting on its remediation status to competent authorities. The institution’s organisational structure and responsibilities are not transparent and risk-taking is not separated from risk management and control functions. The composition and functioning of the management body are inappropriate. The time commitment of the management
Deficiencies in internal governance and institution-wide control 4 arrangements pose a high level of risk to the viability of the institution.• •body members is insufficient, and, where relevant, they do not comply with the limitation on the number of directorships. The risk culture and business conduct, including management of conflicts of interest and/or whistleblowing processes are inappropriate. The institution has not adopted a diversity policy, the management body is not diverse and the institution has not implemented measures to aim for an appropriate level of diversity.
Score Supervisory view• • • • • • • •Considerations The remuneration policy is not aligned with the institution’s risk strategy and long -term interests. The risk management framework and the risk management processes, including the ICAAP, ILAAP, NPAP, stress testing framework, capital planning and/or liquidity planning, are inappropriate. The risk management, compliance and/or internal audit functions are not independent, not operating effectively and/or the internal audit function is not operating in accordance with established international standards and requirements. The internal control framework and internal controls are inappropriate. The ICT systems, risk data aggregation and risk reporting are inappropriate. The integration of ESG risks into the internal governance and risk management framework is inappropriate. The recovery planning governance framework was assessed as having material deficiencies and/or having material impediments to its effective implementation and supervisory concerns have not been fully addressed. The institution is unable or does not intend to adequately address deficiencies identified and/or concerns expressed by competent authorities and lacks the capability to remedy them within an acceptable timeframe, following escalation from competent authorities. The institution also has severe challenges in reporting on its remediation status to competent authorities.
108. The table below presents a non-exhaustive list of supervisory measures that competent …

The table below presents a non-exhaustive list of supervisory measures that competent authorities may take in case of identified deficiencies in institution’s internal governance and institution-wide controls. Competent authorities should decide on the type of supervisory measure based on its effectiveness towards the specific identified deficiency. Competent authorities may apply additional supervisory measures or a combination of these with the ones listed in the table below, if these are deemed more appropriate to address the identified deficiencies. For breaches of DORA, competent authorities should consider the applicable corrective and remedial measures provided in Article 50 of DORA. Table 5. Potential and non- exhaustive list of supervisory measures stemming from the assessment of institution’s internal governance and institution-wide controls Potential supervisory measures for competent authorities in accordance with Article 104(1) points (b), (d), (e), (f), (g), (j), (l, (m), and (n) of Directive 2013/36/EU and Article 50 of Regulation (EU) 2022/2554 – Competent authorities may require the institution to: A. enhance and have a more active involvement of the management body or its committees; B. develop and implement corrective action plans to address deficiencies; C. strengthen internal controls; D. improve the internal governance framework; E. enhance reporting mechanisms and oversight; F. limit variable remuneration; G. implement compliance management systems; H. have additional or more frequent reporting requirements; I. reinforce specific arrangements, processes, mechanisms and strategies; J. reperform stress tests using modified assumptions; K. enhance governance and risk management arrangements applied to ESG risks, in particular environmental risks.

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

Eisen

3. Gerelateerde standaarden

Standaarden
  • EBA -

    EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

    DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.