6. Titel 6. Beoordeling van de risico’s voor het kapitaal

109. Bevoegde autoriteiten beoordelen de risico’s voor het kapitaal die zijn geïdentificeerd als wezenlijk voor de instelling en kennen hier scores aan toe.

van afzonderlijke risico’s en van risicobeheer en risicobeheersing. Hierbij wordt niet naar volledigheid gestreefd. Bevoegde autoriteiten houden dus de ruimte om aanvullende criteria te hanteren die zij op basis van hun ervaring en de specifieke kenmerken van de instelling relevant achten.

111. Deze titel geeft bevoegde autoriteiten richtsnoeren voor het beoordelen en toekennen van scores aan de volgende risico’s voor het kapitaal:

• a. krediet- en tegenpartijrisico;
• b. marktrisico;
• c. operationeel risico;
• d. uit activiteiten buiten de handelsportefeuille voortvloeiend renterisico (IRRBB).

112. Ook wordt binnen elk van de hiervoor genoemde risicocategorieën een reeks subcategorieën geïdentificeerd waarmee rekening dient te worden gehouden bij de beoordeling van risico’s voor het kapitaal. Deze subcategorieën kunnen afhankelijk van hun belang voor een specifieke instelling afzonderlijk worden beoordeeld en van een score worden voorzien. De bijlagen I tot en met IV bevatten niet-uitputtende lijsten van subcategorieën voor kredietrisico, marktrisico, operationeel risico en IRRBB die bevoegde autoriteiten in voorkomend geval in aanmerking dienen te nemen.

113. Het besluit over het belang van de subcategorieën wordt door de toezichthouder naar eigen inzicht genomen. Wat het valutaleningenrisico betreft wordt het belang, in het licht van de aanbeveling van de ESRB inzake kredietverlening in vreemde valuta²⁷ , echter bepaald met inachtneming van de volgende drempel: in vreemde valuta’s luidende leningen aan ongedekte kredietnemers maken ten minste 10 % van alle leningen van een instelling uit (alle leningen aan niet-financiële vennootschappen en huishoudens), waarbij deze leningen ten minste 25 % van de totale activa van de instelling uitmaken. 114. Bevoegde autoriteiten beoordelen ook andere risico’s die worden geïdentificeerd als wezenlijk voor een specifieke instelling maar niet hierboven zijn genoemd (bijv. pensioenrisico, strategische en zakelijke risico’s, instaprisico, intra- en interrisicoconcentraties). De volgende informatie kan nuttig zijn bij het identificatieproces:

• a. factoren van het TREA;
• b. risico’s die zijn geïdentificeerd in het Icaap van de instelling;
• c. risico’s die voortvloeien uit het bedrijfsmodel van de instelling (met inbegrip van risico’s die zijn geïdentificeerd door andere instellingen met een vergelijkbaar bedrijfsmodel);
• d. informatie die is verkregen uit het monitoren van sleutelindicatoren;
• e. bevindingen en constateringen in interne of externe auditrapporten;
• f. aanbevelingen en richtsnoeren van EBA, evenals waarschuwingen en aanbevelingen van macroprudentiële autoriteiten of het ESRB.

plannen van de intensiteit van hun toezichtactiviteiten met betrekking tot de beoordeling van een specifiek risico.

116. Voor krediet-, markt- en operationeel risico verifiëren bevoegde autoriteiten of de instelling voldoet aan de aan de in paragraaf 12 bedoelde rechtshandelingen die afzonderlijk op de EBA-

beoordeling echter groter, zodat deze meer dan alleen de minimumvereisten betreft. Hierdoor kunnen bevoegde autoriteiten zich een volledig beeld van de risico’s voor het kapitaal vormen.

117. Bij het beoordelen van de risico’s voor het kapitaal kijken bevoegde autoriteiten ook naar de potentiële impact van het financieringskostenrisico volgens de methode uit titel 8, en beslissen zij over de noodzaak van maatregelen om dit risico te beperken.

118. Bij de toepassing van de in deze titel uiteengezette methoden identificeren bevoegde autoriteiten relevante kwantitatieve indicatoren en andere gegevens, die ook zouden kunnen worden gebruikt voor het monitoren van sleutelindicatoren als uiteengezet in titel 3 en dient, waar passend, ook rekening te houden met de interne risicomaatregelen van instellingen.

119. Ten aanzien van elk materieel risico voeren bevoegde autoriteiten een beoordeling uit en drukken zij in de risicoscore het volgende uit:

• a. inherent risico (risicoblootstellingen);
• b. de kwaliteit en doeltreffendheid van risicobeheer en risicobeheersing.

120. Figuur 2 bevat een stroomschema van deze beoordeling.

Figuur 2. Stroomschema beoordeling risico’s voor het kapitaal

121. Bij de uitvoering van de beoordelingen maken bevoegde autoriteiten gebruik van beschikbare informatiebronnen, waaronder wettelijk verplichte verslaglegging, interne gegevens en verslagen van de instelling (bijv. verslag van interne audit, risicobeheerrapporten, informatie uit het Icaap), rapporten van inspecties ter plaatse en externe rapporten (bijv. berichten van de instelling aan beleggers, ratingbureaus). De bevoegde autoriteiten dienen gebruik te maken van ad-hocrapportage wanneer dit strikt noodzakelijk en evenredig is voor de uitvoering van hun toezichttaken en wanneer de informatie niet duplicerend of anderszins beschikbaar is,

andere vergelijkbare groepen zijn dan die welke zijn vastgesteld voor de BMA of voor andere analyses.

122. Bij de beoordeling van risico’s voor het kapitaal evalueren bevoegde autoriteiten ook de nauwkeurigheid en prudentie van de berekening van het minimaal vereiste eigen vermogen om situaties te identificeren waarin bij de berekening van het minimale eigen vermogen mogelijk het werkelijke risiconiveau wordt onderschat. Deze beoordeling wordt gebruikt voor de bepaling van de P2R als bepaald in paragraaf 7.2.3.

123. De uitkomst van de beoordeling van elk wezenlijk risico wordt vastgelegd in een samenvatting van bevindingen waarin een uitleg wordt gegeven over de belangrijkste risicofactoren, plus een risicoscore, zoals vermeld in de volgende hoofdstukken.

²⁷ Aanbeveling van het Europees Comité voor systeemrisico’s inzake kredietverlening in vreemde valuta van 21 september 2011 (ESRB/2011/1) (PB 342 van 22.11.2011, blz.1).

6.2.1. Algemene overwegingen

124. Bij de beoordeling van het kader voor kredietrisicobeheer dienen de bevoegde autoriteiten na te gaan of de instelling voldoet aan de wetgevingsbesluiten die afzonderlijk op de website van de EBA zijn gepubliceerd, zoals bedoeld in paragraaf 12. 125. Bevoegde autoriteiten beoordelen het kredietrisico dat voortvloeit uit alle posities in de niet-handelsportefeuille (met inbegrip van posten buiten de balanstelling). Zij beoordelen ook het tegenpartijkredietrisico en het afwikkelingsrisico, die zowel onder de niet-handelsportefeuille als de handelsportefeuille zouden kunnen vallen. Om een dergelijke beoordeling uit te voeren, moeten de bevoegde autoriteiten rekening houden met alle componenten die potentiële kredietverliezen bepalen, en met name met:

• a. de waarschijnlijkheid van een kredietgebeurtenis (d.w.z. in gebreke blijven) of hiermee samenhangende kredietgebeurtenissen, hoofdzakelijk met betrekking tot de kredietnemers en hun vermogen tot het aflossen van relevante verplichtingen;
• b. de omvang van posities die aan kredietrisico onderhevig zijn;

gebreke blijven.

126. Bevoegde autoriteiten houden rekening met de mogelijkheid dat deze componenten in de loop van de tijd verslechteren en ongunstiger uitpakken dan verwacht.

127. Bevoegde autoriteiten beoordelen het effect van ESG-risico’s op het inherente kredietrisico en de toereikendheid van de kredietrisicobeheersing in verband met ESG-risico’s, waarbij prioriteit wordt gegeven aan milieurisico’s. De bevoegde autoriteiten dienen met name rekening te houden met de ecologische transitie en fysieke risico’s bij de beoordeling van het kredietconcentratierisico en het vastgoedrisico, alsook bij de beoordeling van het kredietrisico in specifieke portefeuilles of blootstellingscategorieën die worden beschouwd als wezenlijk blootgesteld aan milieurisico’s.

kredietverleningsproces rekening wordt gehouden met ML/TF-risico’s, met inbegrip van of de instelling over systemen en controles beschikt die waarborgen dat vermogen dat wordt gebruikt voor het terugbetalen van leningen afkomstig is uit legale bronnen.

6.2.2. Beoordeling van het inherente kredietrisico

Identificatie van wezenlijke bronnen van kredietrisico

129. Bevoegde autoriteiten moeten het kredietrisico beoordelen, zowel vanuit het huidige als vanuit het toekomstige perspectief, mits combinatie van de analyse van het kredietrisico van de huidige portefeuille met de beoordeling van de kredietrisicostrategie, risicobereidheid en - limieten van de instelling (mogelijk als onderdeel van de bredere beoordeling van de strategie, uitgevoerd als onderdeel van de BMA). Bevoegde autoriteiten houden ook rekening met de wijze waarop de verwachte macro-economische ontwikkelingen en de macro-economische ontwikkelingen in crisissituaties deze elementen kunnen beïnvloeden.

130. Om het inherente kredietrisico van een instelling te beoordelen, stellen bevoegde autoriteiten eerst vast wat haar blootstelling aan kredietrisico is. Om dit te bereiken en een consistente identificatie te waarborgen van de bronnen van kredietrisico waaraan de instelling is of kan worden blootgesteld, dienen zij de volgende informatiebronnen in aanmerking te nemen:

• a. wettelijk verplichte rapportagesjablonen, zoals COREP en FINREP, rekening houdend met de relevante wettelijke blootstellingscategorieën op basis van de door de instelling gevolgde benadering van eigenvermogensvereisten (d.w.z. gestandaardiseerd of IRB);
• b. inzichten verkregen uit de beoordeling van andere SREP-elementen (zoals de BMA) en uit eerdere toezichtactiviteiten;
• c. vergelijkingen van de positie van de instelling met die van soortgelijke instellingen, indien beschikbaar. Met name voor instellingen die de op interne ratings gebaseerde benadering hanteren, houden bevoegde autoriteiten rekening met het resultaat van de toezichthoudende benchmarkexercitie uitgevoerd in overeenstemming met artikel 78 van Richtlijn 2013/36/EU.

131. De bevoegde autoriteiten moeten hun beoordeling voornamelijk richten op de belangrijkste geïdentificeerde bronnen van kredietrisico en daarbij vanuit prudentieel oogpunt het belang ervan voor de instelling evalueren. Bij deze beoordeling dienen zij rekening te houden met de volgende elementen:

• a. de kredietrisicostrategie en -bereidheid en relevante limieten;
• b. het bedrag van de blootstellingswaarde voor de in aanmerking genomen portefeuille, vergeleken met de totale blootstellingswaarde van kredietposities, met inbegrip van de groei ervan in de loop van de tijd;
• c. het bedrag van eigenvermogensvereiste voor kredietrisico voor de betrokken portefeuille vergeleken met de totale eigenvermogensvereiste, met inbegrip van de groei daarvan in de loop van de tijd;
• d. indien relevant, het interne kapitaal dat door de instelling is toegewezen voor kredietrisico voor de betrokken portefeuille vergeleken met het totale interne kapitaal;
• e. de samenstelling en de kwaliteit van de kredietgerelateerde posten binnen en buiten de balanstelling van de instelling in de renderende (met inbegrip van respijtblootstelling) en niet-renderende portefeuille, inclusief het niveau en de verandering in de tijd van bijzondere waardeverminderingen en afschrijvingen en van de wanbetalingsgraden van de kredietportefeuille.

132. De bevoegde autoriteiten dienen het belang van het risico te beoordelen in relatie tot de huidige portefeuille, alsook vanuit een historisch en toekomstgericht perspectief (eerdere veranderingen in deze cijfers en prognoses, voor zover beschikbaar).

133. Als aanvullende bron van informatie voor de materialiteitsbeoordeling moeten de bevoegde autoriteiten, indien beschikbaar en passend, rekening houden met de door de instelling gebruikte interne kredietrisicoparameters. Dit omvat onder meer het beoordelen of deze methoden geschikt zijn om de kredietrisicoposities in verschillende portefeuilles nauwkeurig te kwantificeren, waarbij bijzondere aandacht wordt besteed aan de gegevens uit het jaarverslag dat wordt opgesteld door de validatiefunctie van de instelling, en meer in het bijzonder aan de resultaten van backtesting – dat wil zeggen, het vergelijken van geschatte parameters met waargenomen resultaten, zoals uitgevoerd door de instelling. De bevoegde autoriteiten moeten de nadruk leggen op portefeuilles waarbij de geschatte parameters de waargenomen resultaten te laag hebben ingeschat.

134. Bevoegde autoriteiten moeten ook rekening houden met de resultaten van stresstests die de instelling heeft uitgevoerd teneinde eerder niet-geïdentificeerde bronnen van kredietrisico op te sporen, bijvoorbeeld als gevolg van veranderingen in de kredietkwaliteit, kredietconcentraties, de waarde van zekerheden en de kredietblootstelling tijdens een periode van stress.

135. Op basis van de in de voorgaande paragrafen uitgevoerde materialiteitsbeoordeling, alsmede de omvang en complexiteit van het kredietrisico en de kredietportefeuille van de instelling, dienen de bevoegde autoriteiten het relevante detailniveau voor de beoordeling te kiezen.

De aard, omvang en samenstelling van de kredietportefeuille van de instelling (in en buiten de balanstelling)

136. Bevoegde autoriteiten beoordelen de aard van de kredietpositie (d.w.z. de soorten kredietnemers en posities) en analyseren de samenstelling van de kredietportefeuille van de instelling. Bij het uitvoeren van deze beoordeling nemen bevoegde autoriteiten ook in aanmerking hoe de aard van de kredietrisicoblootstelling de omvang van de blootstelling kan beïnvloeden (bijv. kredietlijnen/onbenutte vastgelegde bedragen die worden opgenomen door kredietnemers, denominatie in vreemde valuta’s), rekening houdend met de wettelijke mogelijkheid voor de instelling om eenzijdig niet-opgenomen bedragen van vastgelegde kredietfaciliteiten te annuleren.

137. Voor het beoordelen van de aard van het kredietrisico houden bevoegde autoriteiten ten minste rekening met de volgende subcategorieën van kredietrisico door een meer

worden geacht voor de instelling²⁸ :

• a. kredietconcentratierisico;
• b. tegenpartijkredietrisico en afwikkelings- en leveringsrisico;
• c. landenrisico;
• d. kredietrisico uit securitisaties;
• e. valutaleningenrisico;
• f. vastgoedrisico;
• g. aandelenrisico in de beleggingsportefeuille;
• h. verwateringsrisico;
• i. modelrisico voor wettelijk goedgekeurde modellen.

138. In het geval dat gespecialiseerde kredietposities wezenlijk worden geacht, beoordelen bevoegde autoriteiten dergelijke posities los van andere kredietverleningsactiviteiten omdat het risico van dergelijke posities vooral is gelegen in de winstgevendheid van het gefinancierde actief of project (bijv. zakelijk onroerend goed, energiecentrale, transport, grondstoffen) en niet zozeer in de kredietnemer (die in de meeste gevallen een special purpose vehicle (SPV) is). Bij deze beoordeling dienen de bevoegde autoriteiten rekening te houden met:

• a. de winstgevendheid van de projecten en de voorzichtigheid van de aannames die ten grondslag liggen aan de bedrijfsplannen (met inbegrip van het kredietrisico van de belangrijkste cliënten);
• b. de impact van veranderingen in de regelgeving, met name voor gesubsidieerde sectoren, op toekomstige kasstromen;
• c. waar relevant, de impact van veranderingen van de marktvraag en het bestaan van een markt voor de potentiële toekomstige verkoop van het gefinancierde object;
• d. het bestaan van een consortium of van andere leningverstrekkers die het kredietrisico delen;
• e. eventuele vormen van garantstelling door de sponsoren;
• f. de potentiële toename van het concentratierisico dat deze activiteiten met zich mee kunnen brengen.

Kredietkwaliteit van de portefeuille

139. Bevoegde autoriteiten besteden bij de beoordeling van de kredietkwaliteit van de portefeuille bijzondere aandacht aan de toereikendheid van de indeling van kredietposities en beoordelen de impact van een potentiële verkeerde indeling, met de daarop volgende vertraging in het aanleggen van voorzieningen voor en het erkennen van verliezen door de instelling.

140. De bevoegde autoriteiten dienen een analyse uit te voeren om onderscheid te maken tussen de categorieën "renderend“, "niet-renderend“ en "respijtblootstelling“, waarbij zowel het aantal debiteuren als de desbetreffende bedragen/volumes in aanmerking worden genomen. Bevoegde autoriteiten beoordelen de algehele kredietkwaliteit op portefeuilleniveau en de verschillende kwaliteitsklassen binnen elk van de hiervoor genoemde categorieën teneinde het totale kredietrisico van de instelling te bepalen. Als onderdeel van deze beoordeling analyseren bevoegde autoriteiten het wanbetalings- en het migratierisico per

loop van de tijd, en bekijken zij of werkelijke kredietkwaliteit van de portefeuille in overeenstemming is met de vermelde risicobereidheid, en stellen zij redenen vast voor eventuele afwijkingen.

instelling, vanaf de initiëring tot en met de monitoring en het beheer van elke categorie blootstellingen. Bevoegde autoriteiten maken bij deze analyse waar passend en mogelijk gebruik van de vergelijking van vergelijkbare groepen (peer groups) en benchmarkportefeuilles (d.w.z. portefeuilles van kredietnemers die groepen instellingen gemeenschappelijk hebben). Bij deze analyse dient rekening te worden gehouden met:

• a. indicatoren voor de kwaliteit van de activa, historische trends en groeipercentages per type kredietnemer, sector en product, de verdeling van kredietnemers over kredietkwaliteitscategorieën, historische migratiepercentages tussen kredietkwaliteitscategorieën, achterstalligheids- en wanbetalingspercentages voor verschillende termijnen;
• b. de percentages aan niet-renderende vorderingen en de dekkingsgraad per portefeuille,

wordt gehouden met de relevante instroom en uitstroom uit elke relevante portefeuille, de verdeling van de vorderingen over de verschillende categorieën niet-renderende vorderingen (d.w.z. achterstallig, dubieus), het niveau en de ontwikkeling in de tijd van

invorderingspercentages en de duur van het invorderingsproces, in beslag genomen activa en de ontwikkeling daarvan in de tijd, alsmede de tijd die is verstreken sinds de vorderingen als niet-renderend werden aangemerkt.

142. De bevoegde autoriteiten dienen te beoordelen of de hoogte van de voorzieningen voor verliezen op leningen en de aanpassingen van de kredietwaardering passend zijn voor de kwaliteit van de blootstellingen en, indien van toepassing, voor het niveau van garanties, waarbij zij met name moeten nagaan of de hoogte van de voorzieningen voor kredietverliezen in overeenstemming is met het risiconiveau in verschillende portefeuilles, in de loop van de tijd en in vergelijking met vergelijkbare instellingen, alsmede met relevante macro-economische ontwikkelingen, en of de aanpassingen van de kredietwaardering op de waarden in de derivatenmarkt de kredietwaardigheid van de relevante tegenpartijen weerspiegelen. Bevoegde autoriteiten voeren, waar zij dat nodig achten, inspecties ter plekke uit of maken gebruik van andere passende toezichtmaatregelen om te beoordelen of het niveau van de voorzieningen voor verliezen op leningen en van de risicodekking toereikend is, bijvoorbeeld door een steekproef van leningen te beoordelen. Bevoegde autoriteiten houden bij dergelijke beoordeling ook rekening met eventuele bevindingen van interne en externe auditors, waar deze beschikbaar zijn.

instelling ook rekening met de resultaten van stresstests die de instelling heeft uitgevoerd teneinde eerder niet-geïdentificeerde bronnen van kredietrisico op te sporen, bijvoorbeeld als gevolg van veranderingen in de kredietkwaliteit, kredietconcentraties, de waarde van zekerheden en de kredietblootstelling tijdens een periode van stress.

Kader van het niveau en de kwaliteit van de kredietrisicolimitering

144. Bevoegde autoriteiten kijken naar het niveau en de kwaliteit van garanties (waaronder kredietderivaten) en van beschikbare zekerheden die kredietverliezen in het geval van kredietgebeurtenissen zouden beperken, ook wanneer deze voor de berekening van het eigen vermogen niet worden geaccepteerd als in aanmerking komende risicolimiteringstechnieken. Bij het uitvoeren van een dergelijke beoordeling dienen de bevoegde autoriteiten rekening te houden met:

• a. de dekking die zekerheden en garanties bieden per portefeuille, type kredietnemer, rating, bedrijfstak en andere relevante aspecten;
• b. waarden van zekerheden, voor renderende en niet-renderende blootstellingen;
• c. historische invorderingspercentages per type en omvang van de zekerheden en garanties.

145. Bevoegde autoriteiten beoordelen ook het belang van het restrisico (zoals bedoeld in artikel 80 van Richtlijn 2013/36/EU), en met name de toereikendheid en afdwingbaarheid van zekerheidsovereenkomsten en garanties, het tijdstip en de mogelijkheid van het uitwinnen van zekerheden en het uitvoering geven aan garanties binnen het nationale wettelijke kader, de liquiditeit en volatiliteit van als zekerheid verstrekte activa, en de terug te winnen waarde van zekerheden bij eventuele dwangmaatregelen in verband met kredieten. Bevoegde autoriteiten beoordelen ook de concentratie van garanten en zekerheden, evenals de correlatie met de kredietwaardigheid van kredietnemers (wrong-way risico) en de potentiële impact in termen van de doeltreffendheid van de bescherming.

ESG-factoren

146. Bij het beoordelen van de impact van ESG-risico’s, en met name milieurisico’s, op het inherente kredietrisico, dienen de bevoegde autoriteiten ernaar te streven rekening te houden met de specifieke kenmerken van deze risico’s, zoals hun toekomstgerichte karakter en de uiteenlopende effecten over verschillende tijdshorizonnen, waarbij zij de onzekerheden in verband met langetermijnprognoses onderkennen en tegelijkertijd hun vermogen ontwikkelen om deze kenmerken in hun beoordeling mee te nemen.

6.2.3. Beoordeling van het kader voor kredietrisicobeheer en -risicobeheersing

147. Teneinde een compleet inzicht te krijgen in het kredietrisicoprofiel van de instelling dienen de bevoegde autoriteiten ook het kader voor kredietrisicobeheer en -risicobeheersing van de

kredietrisicoposities. Bij deze beoordeling dienen de bevoegde autoriteiten ook rekening te houden met de uitkomsten van de beoordeling van andere SREP-elementen (zoals de BMA en de governance-elementen). Voor instellingen die onderworpen zijn aan de toepassing van de NPE-(reductie)strategieën en de daarmee verbonden governance en operationele sturing, beoordelen bevoegde autoriteiten ook of instellingen aan specifieke vereisten voldoen die worden uiteengezet in de relevante EBA-richtsnoeren voor dergelijke strategieën en de operationalisering daarvan, ook voor wat betreft het naleven van de verplichtingen inzake consumentenbescherming. Kredietrisicostrategie en -bereidheid

148. Bevoegde autoriteiten beoordelen of de instelling een gedegen, duidelijk geformuleerde en gedocumenteerde kredietrisicobereidheid, -strategie en -limieten heeft die zijn goedgekeurd door het leidinggevend orgaan. Voor deze beoordeling houden bevoegde autoriteiten, naast andere factoren, rekening met de rol van het leidinggevend orgaan bij het bepalen, goedkeuren en evalueren van de kredietrisicostrategie en -bereidheid, de correcte uitvoering van deze strategie door de directie en de geschiktheid ervan voor de instelling gezien haar bedrijfsmodel, totale risicobereidheid, huidige en toekomstige marktomgeving en financiële toestand.

Kader voor organisatorische en interne controle

149. Bevoegde autoriteiten beoordelen of de instelling een passend organisatiekader en governanceregelingen heeft om een doeltreffende blootstelling, meting en beheersing en een doeltreffend beheer van het kredietrisico mogelijk te maken, met (zowel kwalitatief als kwantitatief) voldoende personele en technische middelen om de vereiste taken uit te voeren. Zij moeten met name nagaan of het leidinggevend orgaan en de directie van de instelling inzicht hebben in de aannames die ten grondslag liggen aan het systeem voor de meting van het kredietrisico. Bij deze beoordeling dienen de bevoegde autoriteiten rekening te houden met de toereikendheid van de verantwoordelijkheidsstructuur, alsmede met de vaardigheden en ervaring van het personeel bij het uitvoeren van hun taken op het gebied van het aangaan, meten, monitoren en rapporteren van kredietrisico’s, met inbegrip van het beheer van NPE’s, en in het bijzonder de afwikkeling van NPE’s, en ten slotte met het bestaan van een duidelijke scheiding tussen risiconemers en risicobeheerders.

150. De bevoegde autoriteiten dienen te beoordelen of de instelling beschikt over een passend beleid en passende procedures voor het verlenen van krediet, het identificeren, meten,

kredietrisicostrategie van de instelling en alle belangrijke bedrijfsactiviteiten en processen bestrijken. Hieronder valt onder meer de beoordeling of dit beleid duidelijk is vastgelegd, gecommuniceerd en consistent wordt toegepast binnen de instelling en de bankgroep waartoe deze behoort. Bij deze beoordeling moeten de bevoegde autoriteiten nagaan of het leidinggevend orgaan deze beleidslijnen goedkeurt en deze regelmatig bespreekt en evalueert, in overeenstemming met de risicostrategieën, en of de directie verantwoordelijk is voor het opstellen en uitvoeren van de beleidslijnen en procedures, zoals vastgesteld door het leidinggevend orgaan.

151. Bevoegde autoriteiten beoordelen of de instelling een passend beleid heeft voor de identificatie, het verwerven van inzicht, de meting, de monitoring en de rapportage van kredietrisico, in lijn met de omvang en complexiteit van de instelling. Wat dit betreft gaan bevoegde autoriteiten na of de data-infrastructuur van de instelling toereikend is en of analysetechnieken geschikt zijn om de instelling in staat te stellen om hun kredietrisico

kredietrisico dat inherent is aan alle activiteiten in en buiten de balanstelling (waar relevant op groepsniveau) op te sporen, te meten en regelmatig te monitoren.

152. Bevoegde autoriteiten beoordelen of het leidinggevend orgaan en de directie van de instelling de aannames begrijpen die ten grondslag liggen aan het systeem voor de meting van krediet en of zij zich bewust zijn van de mate van relevant modelrisico. Zij dienen te beoordelen of de instelling stresstests heeft uitgevoerd om inzicht te krijgen in de gevolgen van ongunstige gebeurtenissen voor haar kredietrisicoposities en voor de toereikendheid van haar voorzieningen voor kredietrisico’s, waarbij zij rekening moeten houden met de frequentie van de stresstests, de geïdentificeerde relevante risicofactoren, de aannames die ten grondslag liggen aan het crisisscenario, en het interne gebruik van de resultaten van de stresstests voor kapitaalplanning en kredietrisicostrategieën.

153. Bevoegde autoriteiten beoordelen of de instelling een continue en doeltreffende monitoring van kredietrisicoblootstellingen (met inbegrip van kredietconcentratie) heeft vastgesteld en ten uitvoer gelegd in de gehele instelling, onder meer middels specifieke indicatoren en relevante triggers, zodat op doeltreffende wijze wordt voorzien in vroegtijdige waarschuwingen. Bevoegde autoriteiten beoordelen of de instelling regelmatige rapportering van kredietrisicoblootstellingen, waaronder de uitkomsten van stresstests, aan het leidinggevend orgaan, de directie en de relevante kredietrisicobeheerders heeft ingevoerd.

154. Bevoegde autoriteiten beoordelen of de instelling een sterk en omvattend intern kader voor risicobeheersing en goede waarborgen voor kredietrisicolimitering heeft, in lijn met haar kredietrisicostrategie en risicobereidheid. Voor deze beoordeling besteden bevoegde

risicobeheersingsfuncties van de instelling (met inbegrip van alle geconsolideerde entiteiten, geografische locaties en kredietactiviteiten), aan het bestaan van operationele limieten en andere praktijken die erop gericht zijn de kredietrisicoblootstellingen binnen voor de instelling aanvaardbare niveaus te houden in overeenstemming met haar risicobereidheid en -limieten. Daartoe dienen de bevoegde autoriteiten in het bijzonder na te gaan of de instelling over passende interne controles en werkwijzen beschikt om te waarborgen dat inbreuken op (of afwijkingen van) het beleid, de procedures en de limieten tijdig worden gemeld aan het juiste managementniveau, zodat maatregelen kunnen worden genomen; dit omvat ook controles om de risico’s op witwassen en terrorismefinanciering waaraan de instelling als gevolg van haar kredietverleningsactiviteiten is blootgesteld, in kaart te brengen, te beoordelen en te beheersen.

155. Bij het uitvoeren van deze beoordeling moeten de bevoegde autoriteiten nagaan of het limietenstelsel adequaat is voor de complexiteit van de instelling, evenals haar capaciteit om

beoordeeld of de vastgestelde limieten absoluut zijn of dat hiervan mag worden afgeweken. In dat laatste geval dient in het beleid van de instelling duidelijk te zijn omschreven gedurende welke periode en onder welke specifieke omstandigheden dergelijke afwijkingen mogelijk zijn. Bovendien moeten de bevoegde autoriteiten beoordelen of de bestaande procedures toereikend zijn om kredietbeheerders op de hoogte te houden van de actuele limieten, en of deze limieten regelmatig worden herzien en aangepast (bijvoorbeeld om ze in overeenstemming te houden met strategische wijzigingen).

156. De bevoegde autoriteiten beoordelen ook de functionaliteit van de interne auditfunctie wat betreft de toereikendheid, reikwijdte en frequentie van interne audits van het kader voor kredietrisicobeheer. Deze audits moeten een beeld geven van de belangrijkste elementen van het kader voor kredietrisicobeheer, -meting en -beheersing binnen de gehele instelling, alsmede van de mate waarin het interne beleid en de interne procedures voldoen aan de relevante externe regelgeving en van eventuele afwijkingen daarvan.

157. Voor instellingen die een interne rating-gebaseerde benadering hanteren voor de bepaling van de minimale eigenvermogensvereisten voor kredietrisico, beoordelen bevoegde autoriteiten ook of het interne validatieproces deugdelijk is en erin slaagt kritisch te kijken naar aannames van modellen en eventuele potentiële tekortkomingen te identificeren met betrekking tot het kredietrisicobeheersysteem. Deze beoordeling dient – voor zover beschikbaar – te worden gebaseerd op de informatie die voortvloeit uit reeds uitgevoerde toezichtactiviteiten met betrekking tot interne modellen (zoals inspecties ter plaatse), rekening houdend met de toezichtpraktijken die nader worden beschreven in het EBA-handboek voor toezicht voor de validatie van op interne ratings gebaseerde systemen²⁹ .

6.2.4. Samenvatting van de bevindingen, toekenning van scores en toezichtmaatregelen

158. Na de voorgaande beoordeling vormen bevoegde autoriteiten zich een beeld van het krediet- en tegenpartijrisico van de instelling. Dit beeld dient te worden verwoord in een samenvatting van bevindingen die vergezeld gaat van een levensvatbaarheidsscore op basis van de in tabel 6 genoemde overwegingen. In het geval dat de bevoegde autoriteit op basis van het grote belang van bepaalde risicosubcategorieën besluit deze subcategorieën afzonderlijk te beoordelen en een score te geven, past zij daarbij naar analogie voor zover mogelijk de leidraad van deze tabel toe.

Tabel 6 Overwegingen van de toezichthouder voor het toekennen van een score voor krediet- en tegenpartijrisico

159. De onderstaande tabel bevat een niet-uitputtende lijst van toezichtmaatregelen die bevoegde autoriteiten kunnen nemen in geval van vastgestelde tekortkomingen in het kader van het beheer van krediet- en tegenpartijrisico's van de instelling. De bevoegde autoriteiten dienen de aard van de maatregel te bepalen op basis van de doeltreffendheid ervan voor de specifieke vastgestelde tekortkoming. Bevoegde autoriteiten kunnen aanvullende toezichtmaatregelen (waaronder kwantitatieve maatregelen overeenkomstig artikel 104, lid 1, punt a), van Richtlijn 2013/36/EU) of een combinatie daarvan toepassen indien deze passender worden geacht om de vastgestelde tekortkomingen aan te pakken.

Tabel 7. Mogelijke en niet-uitputtende toezichtmaatregelen met betrekking tot krediet- en tegenpartijrisico’s Mogelijke toezichtmaatregelen voor bevoegde autoriteiten overeenkomstig artikel 104, lid 1, punten b), d), e), f), j), l), m) en n), van Richtlijn 2013/36/EU – Bevoegde autoriteiten kunnen van de instelling verlangen dat zij: A. het leidinggevend orgaan of diens comités actiever bij relevante besluiten omtrent kredietverlening betrekken; B. systemen voor het meten van kredietrisico’s verbeteren; C. controles op kredietprocessen, zoals de verlening, het monitoren en verhalen van krediet verbeteren; Mogelijke toezichtmaatregelen voor bevoegde autoriteiten overeenkomstig artikel 104, lid 1, punten b), d), e), f), j), l), m) en n), van Richtlijn 2013/36/EU – Bevoegde autoriteiten kunnen van de instelling verlangen dat zij: D. het beheer, de beoordeling en de monitoring van zekerheden versterken; E. de kwaliteit en frequentie van rapportage over kredietrisico’s aan het leidinggevend orgaan en de directie verhogen; F. een specifiek voorzieningenbeleid voeren en – wanneer dat op grond van boekhoudregels en - voorschriften is toegestaan – de voorzieningen uitbreiden; G. interne risicoparameters en/of risicogewichten waarmee risicoposten voor specifieke producten, sectoren of typen debiteuren worden berekend aanpassen; H. de waarde van de zekerheden sterker verminderen; I. grote risicoblootstellingen of andere bronnen van concentratierisico’s voor kredieten beperken; J. de kredietverleningscriteria voor alle of sommige categorieën producten of debiteuren aanscherpen; K. haar blootstelling aan specifieke soorten faciliteiten (bijv. hypotheken, exportfinanciering, zakelijk onroerend goed, securitisaties), debiteurencategorieën, sectoren, landen, enz. verminderen of daarvoor bescherming verkrijgen; L. een passende strategie doorvoeren waarmee het bedrag of aandeel in niet-renderende blootstellingen wordt verlaagd; M. het kredietrisicobeheer met betrekking tot ESG-risico’s, met name milieurisico’s, verbeteren, eventueel op basis van een of meer van de hierboven genoemde maatregelen.

²⁸ Zie bijlage I voor een niet-uitputtende opsomming van de subcategorieën van kredietrisico’s en nadere informatie over de beoordeling daarvan.

²⁹ EBA/REP/2023/29.

6.3.1. Algemene overwegingen

160. Bij de beoordeling van het kader voor marktrisicobeheer dienen de bevoegde autoriteiten na te gaan of de instelling onder meer voldoet aan de wetgevingsbesluiten die afzonderlijk op de website van de EBA zijn gepubliceerd, zoals bedoeld in paragraaf 12.

161. In deze richtsnoeren omvatten verwijzingen naar “marktrisico” alle volgende risico’s, die door de bevoegde autoriteiten moeten worden beoordeeld:

• a. het marktrisico dat voortvloeit uit alle posities in en buiten de balanstelling die onderhevig zijn aan verliezen als gevolg van schommelingen in marktprijzen, d.w.z. risico’s in posities in de handelsportefeuille, alsmede het valutarisico en het grondstoffenrisico in de niet-handelsportefeuille;
• b. het risico op verliezen als gevolg van schommelingen in de CVA-bedragen naar aanleiding

invloed zijn op de reële waarde van derivatentransacties en, indien van toepassing, van effectenfinancieringstransacties (SFT’s);

• c. het risico dat verbonden is aan de waardering van tegen reële waarde gewaardeerde instrumenten in de zin van artikel 105 van Verordening (EU) 575/2013.

162. Bevoegde autoriteiten kunnen een minder gedetailleerde analyse uitvoeren voor instellingen die voldoen aan de voorwaarden van kleine handelsportefeuilles, zoals uiteengezet in

blootstellingen moet de beoordeling zich richten op de toereikendheid van de risicobeheersings- en governancestructuur en op de kwaliteit en doeltreffendheid van de systemen en beheersingsmaatregelen.

163. Bevoegde autoriteiten houden rekening met het effect van ESG-risico’s op het inherente marktrisico en met de toereikendheid van het kader voor marktrisicobeheer en de

milieurisico’s.

6.3.2. Beoordeling van het inherente marktrisico

164. Via de beoordeling van het inherente marktrisico stellen bevoegde autoriteiten vast wat de belangrijkste factoren van de blootstelling van de instelling aan risico’s zijn en schatten zij het risico in van een significante prudentiële impact op de instelling. Om een dergelijk inzicht te verkrijgen, moeten de bevoegde autoriteiten eerst vaststellen aan welke marktrisico’s de instelling is of kan worden blootgesteld, en hun aandacht richten op de subcategorieën en factoren die voor de instelling als het meest relevant worden beschouwd.

165. Ter ondersteuning van deze analyse dienen de bevoegde autoriteiten ten minste rekening te houden met de producten, activiteiten en bedrijfsonderdelen van de instelling. Zij vergelijken de eigenvermogensvereisten voor markt- en CVA-risico en de extra waarderingsaanpassing die

instelling aan die risico’s heeft toegewezen, vergelijken met het totale interne kapitaal. Zij kunnen ook rekening houden met het relatieve gewicht van marktrisicoposities in termen van totale activa, het relatieve gewicht van nettowinsten op marktrisicoposities ten opzichte van

Tevens dient rekening te worden gehouden met de strategie van de instelling ten aanzien van de marktactiviteiten en de daarmee samenhangende risicobereidheid. Bij het beoordelen van marktactiviteiten dienen de bevoegde autoriteiten rekening te houden met de risico’s die

handelsportefeuille kunnen omvatten.

Aard en samenstelling van de risicoactiveiten van de instelling

166. De eerste stap bij het beoordelen van de aard van het inherente marktrisico van een instelling is het op consistente en alomvattende wijze in kaart brengen van haar marktrisicoposities. De bevoegde autoriteiten dienen gebruik te maken van beschikbare rapportagesjablonen voor regelgevingsdoeleinden, zoals COREP en FINREP, interne rapportages, inzichten die zijn

toezichtsactiviteiten, en vergelijkingen met vergelijkbare instellingen, voor zover beschikbaar.

167. De bevoegde autoriteiten moeten hun beoordeling voornamelijk baseren op de belangrijkste geïdentificeerde bronnen van risico en daarbij vanuit prudentieel oogpunt het belang ervan voor de instelling evalueren. Bevoegde autoriteiten kijken voor de beoordeling van de aard van het marktrisico ten minste naar de volgende subcategorieën³⁰ :

• a. renterisico (handelsportefeuille);
• b. creditspread voor niet-securitisatie, creditspread voor securitisatie (handelsportefeuille);
• c. aandelenrisico (handelsportefeuille);
• d. migratierisico (voor transacties waarop een wanbetalingsrisicotoeslag van toepassing is)³¹ ;
• e. wanbetalingsrisico (voor activiteiten waarop een wanbetalingsrisicotoeslag van toepassing is);
• f. valutarisico, met inbegrip van vertaalrisico’s (zowel in de handelsportefeuille als in de niet-handelsportefeuille);
• g. grondstoffenrisico (handels- en bankportefeuille);
• h. CVA-risico (handels- en bankportefeuille);

handelsportefeuille en de niet-handelsportefeuille).

168. De bevoegde autoriteiten dienen tevens rekening te houden met:

• a. de complexiteit van financiële producten (bijv. producten die zijn gewaardeerd met behulp van mark-to-model-technieken, producten met niet-deltarisico’s en basisrisico’s). De bevoegde autoriteit kan dit beoordelen door als indicator gebruik te maken van de toeslag die voortvloeit uit restrisico's overeenkomstig artikel 325u van Verordening 575/2013/EU;
• b. de liquiditeit van de blootstelling van de instelling. De bevoegde autoriteit kan dit doen door te beoordelen of de instelling is blootgesteld aan subcategorieën met hoge

Verordening 575/2013/EU;

• c. de concentratie van het marktrisico op specifieke ondernemingen, sectoren, economieën en risicoklassen;
• d. de uitvoering van specifieke marktactiviteiten waarvan het risico mogelijk niet volledig

instellingen. Het kan hierbij onder meer gaan om de interne VaR of het verwachte tekort die/dat niet wordt gebruikt in de berekening van het eigenvermogensvereiste of gevoeligheden van het marktrisico voor verschillende risicofactoren en potentiële verliezen.

170. Bevoegde autoriteiten beoordelen ook het vermogen van de instelling om zich een volledig beeld te vormen van de mate van marktconcentratierisico waaraan zij is blootgesteld, hetzij door blootstellingen aan één risicofactor, hetzij door blootstellingen aan meerdere met elkaar samenhangende risicofactoren, waarbij zij bijzondere aandacht besteden aan concentraties in complexe en illiquide producten. Zij dienen de eigen beoordeling door de onderneming van concentraties en illiquide posities te toetsen. De bevoegde autoriteiten moeten van instellingen verlangen dat zij de blootstelling aan een bepaalde CTP verminderen in geval van

opnieuw in beeld brengen overeenkomstig artikel 7, onder a), van Verordening 648/2012.

171. Bij het bepalen of P2R moet worden opgelegd voor het marktrisico waaraan de instelling is blootgesteld, dienen de bevoegde autoriteiten, overeenkomstig paragraaf 300, te beoordelen of de Pijler 1-methodologie het risico adequaat weergeeft, waarbij zij rekening moeten houden met het volgende:

• a. Instellingen die de alternatieve gestandaardiseerde benadering hanteren, zijn krachtens Pijler 1 verplicht een toeslag (residueel risicotoeslag) te berekenen voor de risico’s die inherent zijn aan complexe financiële producten en die niet voldoende tot uiting komen in de op gevoeligheid gebaseerde methode en de toerekening voor het wanbetalingsrisico;
• b. Instellingen die de interne-modelbenadering of de alternatieve interne-modelbenadering hanteren, zijn verplicht alle wezenlijke risico’s in die interne modellen in kaart te brengen;
• c. de risicogewichten uit de alternatieve gestandaardiseerde benadering, de maatstaven voor het verwachte tekort als bedoeld in artikel 325bb van Verordening 575/2013/EU en de

houden met de liquiditeit van de posities in overeenstemming met de liquiditeitshorizon als bedoeld in tabel 2 van artikel 325bd van Verordening 575/2013/EU.

172. De bevoegde autoriteiten dienen, in het kader van marktrisicoposities en de bijbehorende bestuursregelingen, alle transfer pricing-regelingen in kaart te brengen en te analyseren tussen in de Unie gevestigde instellingen die deel uitmaken van een groep uit een derde land, en andere entiteiten van die groep die buiten de Unie zijn gevestigd en niet door de EU-moederonderneming in de geconsolideerde jaarrekening zijn opgenomen. De analyse dient de volgende gegevens te bevatten:

• a. een kwantitatief element om het belang van de transfer pricing-regelingen te bepalen in verhouding tot de totale winst- en verliesrekening van de handelsportefeuille en het eigen vermogen van de instelling;
• b. een kwalitatieve component om te beoordelen of het effect van deze regelingen transparant is voor de raad van bestuur van de instelling en op passende wijze tot uiting komt in de governance van het risicobeheer;
• c. een kwalitatief onderdeel om te beoordelen hoe de transfer pricing-regeling de zakelijke beslissingen van de instelling beïnvloedt, met inbegrip van de manier waarop de dynamiek van de transfer pricing-regeling mogelijk van invloed is op de beslissingen van de front-office-afdelingen, en de mogelijke belangenconflicten die de regeling kan veroorzaken. 173. De bevoegde autoriteiten moeten het belang van de transfer pricing in de context van

pricing die aan de volgende voorwaarden voldoen:

• a. zij hebben betrekking op ten minste één entiteit van de groep die buiten de Unie is gevestigd en waarvoor het hoogste consolidatieniveau zich buiten de Unie bevindt;
• b. zij zijn gebaseerd op een methode voor het bepalen van de winst uit transacties (transaction profit method, TPM) – of een vergelijkbare praktijk die economisch gelijkwaardig zou zijn – volgens welke de winsten en verliezen met betrekking tot posities die het eigendom zijn van meerdere entiteiten, worden verdeeld over die entiteiten op basis van de marginale bijdrage “m” van elke entiteit aan de kernmaatstaven die in de prijsregeling zijn vastgelegd.

174. Voor instellingen die vallen onder paragraaf 173, punt a), waarbij de winsten en verliezen die als gevolg van transfer pricing-regelingen op basis van transactiewinstmethoden zijn

gegenereerde winst- en verliesrekening) en dit risico niet of niet volledig door P1R wordt gedekt, dienen de bevoegde autoriteiten:

• a. dit risico in aanmerking te nemen voor de bepaling van P2R;
• b. rekening te houden met de resultaten van de in paragraaf 172 genoemde componenten,

kapitaalvereisten voor marktrisico’s van de portefeuille waarvan de winsten en verliezen worden gebruikt om het aan de instelling over te dragen bedrag te bepalen, evenals met potentiële tekortkomingen in de desbetreffende governanceregelingen;

• c. P2R vaststellen die de marktrisico’s die niet onder P1R vallen en die voortvloeien uit de

gebruikmaken van de in bijlage V vastgestelde berekeningsmethode of van een alternatieve methode die een nauwkeurige meting oplevert van het risico dat niet onder P1R valt en waarmee het daaruit voortvloeiende P2R wordt vastgesteld, waarbij de methode in bijlage V als referentie wordt gehanteerd.

Waarschijnlijkheidsanalyse en stresstests

175. Bevoegde autoriteiten analyseren de historische winstgevendheid van marktactiviteiten, met inbegrip van de volatiliteit van de winsten, om een beter inzicht te verwerven in het risicoprofiel voor marktrisico van de instelling. Deze analyse kan zowel op portefeuilleniveau worden uitgevoerd als worden uitgesplitst per bedrijfsonderdeel, activaklasse of handelsafdeling, afhankelijk van de materialiteit en complexiteit van de blootstellingen van de instelling (zoals blijkt uit de BMA of andere toezichtinformatie).

176. Bevoegde autoriteiten maken onderscheid tussen inkomsten uit handel en andere inkomsten (zoals commissies, aan cliënten gefactureerde kosten, enz.) enerzijds en gerealiseerde en niet-gerealiseerde winsten/verliezen anderzijds. 177. Voor activaklassen en/of -posities die aanzienlijke winsten of verliezen opleveren, beoordelen

instelling aangegane risico (bijv. VaR/nettowinst op voor handel bestemde financiële activa en passiva) teneinde mogelijke inconsistenties te identificeren en te analyseren. Waar mogelijk vergelijken bevoegde autoriteiten de cijfers van de instelling met haar prestaties in het verleden en met vergelijkbare groepen.

178. Bevoegde autoriteiten beoordelen of een instelling adequate stresstests heeft ingevoerd als aanvulling op haar systeem voor risicometing. Hiertoe houden zij rekening met de volgende elementen:

• a. de frequentie van de stresstests;
• b. of relevante risicofactoren worden geïdentificeerd (bijv. illiquiditeit / prijsverschillen, geconcentreerde posities, “one-way”-markten);
• c. onderliggende aannames van het stressscenario;
• d. intern gebruik van de uitkomsten van stresstests voor kapitaalplanning en marktrisicostrategieën.

6.3.3. Beoordeling van het kader voor marktrisicobeheer en -risicobeheersing

overeenstemming met het risicoprofiel van de instelling, dienen de bevoegde autoriteiten ook het kader voor risicobeheer en -risicobeheersing van de instelling te beoordelen en na te gaan of dit toereikend is in het licht van de inherente risicoblootstellingen. Voor deze beoordeling gebruikt de bevoegde autoriteit de paragrafen in dit hoofdstuk, en maakt zij daarbij gebruik van de volgende factoren:

• a. de uitkomsten van de beoordeling van andere SREP-elementen (zoals de BMA en de governancegebieden);
• b. het resultaat van de beoordeling als bedoeld in artikel 325c van Verordening 575/2013/EU voor instellingen die de alternatieve standaardbenadering gebruiken, en het resultaat van de beoordeling die is uitgevoerd overeenkomstig Gedelegeerde Verordening (EU) 2024/1085, met name met betrekking tot de vereisten als bedoeld in de artikelen 104b, 325bi en 325bj van Verordening 575/2013/EU.

180. De bevoegde autoriteiten beoordelen ook het beleid en de procedures van instellingen voor de toewijzing van de posities aan de handelsportefeuille en de bankportefeuille, zoals beschreven in titel 1 van hoofdstuk 3 van Verordening 575/2013/EU.

Marktrisicostrategie en risicobereidheid

181. Bevoegde autoriteiten beoordelen of instellingen een gedegen, duidelijk geformuleerde en gedocumenteerde risicobereidheid, -strategie en -limieten heeft die zijn goedgekeurd door hun leidinggevend orgaan. Voor deze beoordeling houden bevoegde autoriteiten onder meer rekening met de rol van het leidinggevend orgaan bij het bepalen, goedkeuren en evalueren

leidinggevend orgaan en de geschiktheid ervan voor de instelling gezien haar bedrijfsmodel, haar algehele risicobereidheid, haar huidige en toekomstige marktomgeving en haar financiële toestand.

Kader voor organisatorische en interne controle

182. Bevoegde autoriteiten beoordelen of de instelling een passend organisatiekader heeft om doeltreffende identificatie, begrip, meting, monitoring en beheersing van het marktrisico mogelijk te maken, met (zowel kwalitatief als kwantitatief) voldoende personele en technische middelen om de vereiste taken uit te voeren. Voor deze beoordeling houden bevoegde autoriteiten rekening met de toereikendheid van de verantwoordelijkheidsstructuren voor het

structuren de gehele instelling bestrijken, het bestaan van een duidelijke scheiding tussen de front-office en de back-office en tussen de risicobepalende en de risicobeheersingsfuncties, alsmede de vaardigheden en deskundigheid van het betrokken personeel.

183. De bevoegde autoriteiten dienen te beoordelen of de instelling beschikt over een duidelijk gedefinieerd beleid en procedures voor het identificeren, beheren, meten en beheersen van marktrisico’s, en of deze degelijk en in overeenstemming zijn met de risicostrategie van de instelling en alle belangrijke bedrijfsactiviteiten en processen bestrijken. Hieronder valt de beoordeling of dit beleid en de procedures duidelijk zijn vastgelegd, gecommuniceerd en consistent worden toegepast binnen de instelling.

regelgevingsdoeleinden moeten worden opgenomen/uit de handelsportefeuille worden uitgesloten, het beleid inzake interne afdekkingen en de procedures voor nieuwe marktactiviteiten en/of producten.

185. Bevoegde autoriteiten beoordelen of de instelling een passend kader heeft voor het identificeren, begrijpen en meten van marktrisico, in overeenstemming met de omvang en

relevante wetgeving en regelgeving.

186. Bevoegde autoriteiten beoordelen of instellingen over een toereikend kader voor monitoring en rapportage van marktrisico’s beschikken dat waarborgt dat waar nodig snel actie wordt ondernomen op het juiste niveau van de directie of het leidinggevend orgaan in het geval van inbreuken. Het monitoringsysteem dient specifieke indicatoren en relevante triggers te omvatten, zodat op doeltreffende wijze wordt voorzien in vroegtijdige waarschuwingen, en moet het leidinggevend orgaan en de directie informeren over de huidige blootstellingen en maatregelen in vergelijking met de beleidslimieten.

187. Bevoegde autoriteiten beoordelen of de instelling sterke en omvattende limietenstelsels en een intern kader voor risicobeheersing met goede waarborgen voor kredietrisicolimitering

marktactiviteiten), aan het bestaan van bedrijfslimieten (met inbegrip van individuele limieten op het niveau van afzonderlijke desks of bedrijfsonderdelen, die dagelijks moeten worden bewaakt) en andere praktijken die erop gericht zijn de blootstellingen aan marktrisico binnen

risicobereidheid en -limieten.

188. De bevoegde autoriteiten moeten tevens beoordelen of het interne validatieproces deugdelijk en doeltreffend is om de aannames van het model kritisch te toetsen en eventuele tekortkomingen in het systeem voor het beheer van marktrisico’s op te sporen. Voor instellingen die een interne benadering hanteren voor het bepalen van de minimale eigenvermogensvereisten voor marktrisico, dient deze beoordeling – voor zover beschikbaar

toezichtactiviteiten met betrekking tot interne modellen (zoals inspecties ter plaatse).

189. De bevoegde autoriteiten dienen tevens de werking van de interne-auditfunctie te beoordelen wat betreft de toereikendheid, de reikwijdte en de frequentie van interne audits van het kader voor het beheer van marktrisico’s. Dit moet een beeld geven van de belangrijkste elementen van het kader voor risicobeheer, -meting en -beheersing binnen de gehele instelling, alsmede van de mate waarin het interne beleid en de interne procedures voldoen aan de relevante externe regelgeving en van eventuele afwijkingen daarvan.

toezichtmaatregelen

190. Na de voorgaande beoordeling vormen bevoegde autoriteiten zich een beeld van het marktrisico van de instelling. Dit beeld wordt verwoord in een samenvatting van bevindingen die vergezeld gaat van een score op basis van de in tabel 8 genoemde overwegingen. In het

risicosubcategorieën besluit deze subcategorieën afzonderlijk te beoordelen en een score te geven, past zij daarbij naar analogie voor zover mogelijk de leidraad van deze tabel toe.

Tabel 8. Overwegingen van de toezichthouder voor het toekennen van een score voor marktrisico

Standpunt van de Overwegingen betreffende Risicoscore adequaat risicobeheer en toezichthouder inherent risico

Standpunt van de Overwegingen betreffende Risicoscore adequaat risicobeheer en toezichthouder inherent risico

Standpunt van de Overwegingen betreffende Risicoscore adequaat risicobeheer en toezichthouder inherent risico

191. De onderstaande tabel bevat een niet-uitputtende lijst van toezichtmaatregelen die bevoegde autoriteiten kunnen nemen in geval van vastgestelde tekortkomingen in het marktrisicobeheerkader van de instelling. De bevoegde autoriteiten dienen de aard van de maatregel te bepalen op basis van de doeltreffendheid ervan voor de specifieke vastgestelde tekortkoming. Bevoegde autoriteiten kunnen andere toezichtmaatregelen (waaronder

Richtlijn 2013/36/EU) of een combinatie daarvan toepassen indien deze passender worden geacht om de vastgestelde tekortkomingen aan te pakken.

Tabel 9. Mogelijke en niet-uitputtende toezichtmaatregelen met betrekking tot marktrisico Mogelijke toezichtmaatregelen voor bevoegde autoriteiten overeenkomstig artikel 104, lid 1, punten b), d), e), f), j), l), m) en n), van Richtlijn 2013/36/EU – Bevoegde autoriteiten kunnen van de instelling verlangen dat zij: A. de kwaliteit en frequentie van de rapportage over het marktrisico aan het leidinggevend orgaan en de directie van de instelling vergroten; B. de prestatie van de interne werkwijzen van de instelling of van zijn backtesten of stresstestcapaciteit verbeteren; C. regelmatiger en meer diepgaande interne audits van de marktactiviteit uitvoeren; D. de investeringen in bepaalde producten beperken wanneer het beleid en de procedures van de instelling niet waarborgen dat het risico dat uit deze producten voortvloeit, adequaat wordt gedekt en beheerst;

voorzichtige waarderingen die voldoen aan de normen van Verordening (EU) nr. 575/2013; F. het niveau van het inherente marktrisico verlagen (bijv. door afdekking of verkoop van activa of toename van via centrale tegenpartijen (CTP’s) afgewikkelde derivaten) wanneer significante tekortkomingen in de meet- of controlesystemen van de instelling zijn vastgesteld; G. een plan presenteren om haar blootstelling aan noodlijdende activa en/of illiquide posities geleidelijk te verminderen.

³⁰ Zie bijlage II voor een niet-uitputtende opsomming van de subcategorieën van marktrisico’s.

³¹ Migratierisico wordt behandeld als onderdeel van het creditspreadrisico in het kader van de fundamentele toetsing van de handelsportefeuille.

6.4.1. Algemene overwegingen

autoriteiten na te gaan of de instelling onder meer voldoet aan de wetgevingsbesluiten die afzonderlijk op de website van de EBA zijn gepubliceerd, zoals bedoeld in paragraaf 12.

193. Bevoegde autoriteiten beoordelen het operationeel risico in alle bedrijfsonderdelen en activiteiten van de instelling, rekening houdend met de uitkomsten van de beoordeling van de regelingen voor interne governance en instellingsbrede risicobeheersing zoals beschreven in titel 5. Bij deze beoordeling bepalen bevoegde autoriteiten hoe operationeel risico zich kan voordoen, waarbij zij ook rekening houden met de dataset met verliesgegevens van de instelling en de potentiële effecten van andere gerelateerde risico’s (bv. grensgebonden kredietgerelateerde en marktgerelateerde operationele risico’s).

194. Bevoegde autoriteiten beoordelen het belang van het operationele risico dat voortvloeit uit derde dienstverleners, met inbegrip van de concentratie (op entiteit- en, indien relevant, op groepsniveau) op een of meer diensten die worden verleend door één derde dienstverlener (direct of indirect via onderaannemingsketens) of een beperkt aantal derde aanbieders die de kritieke of belangrijke functies van de instelling ondersteunen, en of deze van invloed kunnen zijn op de operationele veerkracht, prestaties en risicobeheersing van de instelling. Bij deze beoordeling houden bevoegde autoriteiten rekening met de mate waarin andere instellingen een beroep doen op dezelfde externe dienstverleners, wanneer die instellingen over dergelijke informatie beschikken.

195. Bij de beoordeling van operationele risico’s dienen de bevoegde autoriteiten, overeenkomstig de DORA, de ICT-risico’s te beoordelen, evenals de mogelijke gevolgen daarvan voor de kritieke of belangrijke functies van de instelling, met inbegrip van eventuele financiële, reputatie-, regelgevings- en strategische gevolgen voor de instelling.

196. Bevoegde autoriteiten beoordelen of de instelling een passende aanpak inzake operationele veerkracht hanteert om verstoringen te weerstaan, zich eraan aan te passen en ervan te herstellen wanneer deze zich voordoen, en of dit adequaat en consistent is afgestemd op het bestaande kader voor risicobeheer, bedrijfscontinuïteitsplannen en beheer door derden.

197. Bij de beoordeling van het operationele risico beoordelen bevoegde autoriteiten, indien van toepassing, of de beleidslijnen en procedures van de instelling de operationele risico’s en de ondersteunende technologie van de instelling identificeren, evalueren en op passende wijze beheren.

198. De bevoegde autoriteiten dienen het reputatierisico samen met het operationele risico te beoordelen, aangezien het inherent verband houdt met gebeurtenissen op het gebied van het operationele risico. De uitkomst van de beoordeling van het reputatierisico mag echter niet

toepassing, worden beschouwd als onderdeel van de BMA en/of de liquiditeitsrisicobeoordeling, aangezien de belangrijkste gevolgen ervan het vertrouwen van beleggers, deposanten of deelnemers aan de interbancaire markt in de instelling kunnen ondermijnen.

199. De bevoegde autoriteiten dienen de impact van ESG-risico’s op de inherente operationele en reputatierisico’s te beoordelen, evenals de toereikendheid van de beheersingsmaatregelen voor operationele en reputatierisico’s die verband houden met ESG-risico’s, waarbij prioriteit moet worden gegeven aan ecologische transitie en fysieke risico’s. Met name moeten de bevoegde autoriteiten bij de beoordeling van juridische risico’s en reputatierisico’s rekening houden met milieurisico’s en risico’s op greenwashing. 6.4.2. Beoordeling van het inherente operationele risico

200. De bevoegde autoriteiten dienen een grondig inzicht te verwerven in de inherente operationele risicoposities van de instelling en moeten beoordelen hoe groot de prudentiële impact van dit risico voor de instelling is, evenals de gevolgen voor haar vermogen om kritieke of belangrijke functies te vervullen in geval van verstoring.

201. Ter ondersteuning van deze beoordeling houden bevoegde autoriteiten rekening met het eigenvermogensvereiste voor het operationeel risico ten opzichte van het totale eigenvermogensvereiste en, indien van toepassing, het interne kapitaal dat door de instelling voor het operationeel risico is toegewezen ten opzichte van het totale interne kapitaal. Bovendien moeten de bevoegde autoriteiten gebruikmaken van de kennis die is opgedaan bij de beoordeling van andere SREP-onderdelen (met name uit titel 4 en titel 5), uit de vergelijking met soortgelijke instellingen, uit andere toezichtactiviteiten – waaronder de inbreng van de toezichthouders op het gebied van de bestrijding van witwassen en de financiering van terrorisme (AML/CFT) en de markttoezichtautoriteiten – en uit andere relevante informatiebronnen.

202. De bevoegde autoriteiten dienen ten minste rekening te houden met de belangrijkste operationele risicofactoren en mogelijke verstorende scenario’s, en deze, indien van toepassing, te analyseren per bedrijfsonderdeel, rechtspersoon, regio en categorie van gebeurtenissen (afhankelijk van de beschikbaarheid van gegevens), en de positie van de instelling te vergelijken met die van soortgelijke instellingen. Deze factoren moeten ten minste betrekking hebben op de belangrijkste strategie van de instelling inzake operationeel risico en de risicobereidheid op het gebied van operationeel risico, de bedrijfsomgeving (met inbegrip van geografische aanwezigheid, ICT-activiteiten en distributiekanalen), recente belangrijke

systemen en andere ICT-gerelateerde aspecten zoals bedoeld in hoofdstuk 6.4.2.3, proceswijzigingen, overeenkomsten met derden, kwesties inzake naleving van regelgeving, bedrijfsambities en beloningsregelingen, alsmede andere belangrijke factoren die het operationeel risico beïnvloeden.

Aard en betekenis van de blootstellingen aan operationeel risico

203. Bevoegde autoriteiten bepalen de aard van blootstellingen aan operationeel risico door blootstellingen aan de belangrijkste factoren van operationeel risico te analyseren en zo een toekomstgerichte visie op prospectief operationeel risico te ontwikkelen. Voor deze analyse moeten de bevoegde autoriteiten:

• a. mogelijk rekening houden met het bedrijfsmodel, de bedrijfsonderdelen, producten, processen en geografische locaties die relevant zijn voor de instelling, de beoordeling van afhankelijkheden en blootstellingen aan het operationele risico van primaire risicodeterminanten (bijv. processen, mensen, systemen en externe factoren) en interacties van risicodeterminanten, door gebruik te maken van de zelfbeoordeling van het risico van de instelling, de analyse van vergelijkbare situaties, gegevens en openbare databases en/of consortiumdatabanken, indien beschikbaar en relevant;
• b. rekening houden met zowel de frequentie als de ernst van de evenementen waaraan de instelling is blootgesteld, en maken zij onderscheid tussen gebeurtenissen die zeer ernstige verliezen veroorzaken en gebeurtenissen die zeer frequent optreden. Op basis van dit onderscheid beoordelen bevoegde autoriteiten de trends van uit het operationeel risico voortvloeiende verliezen en de concentratie daarvan; en
• c. gebruik maken van scenarioanalyses en rekening houden met geplande bedrijfsactiviteiten en prospectieve analyses van operationele risico’s die door de instelling worden uitgevoerd, indien beschikbaar, rekening houdend met eventuele corrigerende maatregelen en reeds uitgevoerde en doeltreffende mitigatiemaatregelen.

204. Na de identificatie en analyse van de belangrijkste bronnen en oorzaken van operationeel risico moeten de bevoegde autoriteiten zich richten op die factoren die de meest wezenlijke potentiële gevolgen voor de instelling kunnen hebben.

205. Een belangrijke informatiebron waarmee bevoegde autoriteiten rekening moeten houden, is de dataset met verlies- en gebeurtenisgegevens van de instelling, aangezien deze waardevolle inzichten kan bieden in de ontwikkeling van het operationele risicoprofiel van de instelling. De bevoegde autoriteiten dienen de volledigheid, nauwkeurigheid en kwaliteit van de verliesgegevens periodiek te beoordelen. Een andere informatiebron zouden de registraties

cyberdreigingen (overeenkomstig artikel 17, lid 2, van de DORA) en de geïdentificeerde bronnen van ICT-risico’s (overeenkomstig artikel 8, lid 2, van de DORA).

Beoordeling van subcategorieën van operationeel risico

206. Bevoegde autoriteiten richten hun beoordeling op die subcategorieën die significant worden geacht voor de instelling. Bevoegde autoriteiten gebruiken ook de mening van hun deskundigen om significante subcategorieën te identificeren, op basis van alle beschikbare interne en externe informatiebronnen. Bevoegde autoriteiten besteden bij hun beoordeling bijzondere aandacht aan de volgende aspecten van operationeel risico³² :

• a. juridisch risico;
• b. modelrisico;
• c. ICT-risico.

6.4.2.1. Juridisch risico

207. De bevoegde autoriteiten dienen bij de beoordeling van de relevantie en de omvang van de blootstellingen van de instelling aan juridische risico’s rekening te houden met het volgende:

• a. misleidende verkopen van producten of diensten;
• b. belangenconflicten bij het uitvoeren van activiteiten;
• c. manipulatie van benchmark-rentetarieven, wisselkoersen of andere financiële instrumenten of indices;
• d. barrières voor het omzetten van financiële producten tijdens hun looptijd en/of voor het overstappen naar andere leveranciers van financiële diensten;
• e. automatische verlengingen van producten of boetes bij opzeggen; en/of
• f. afhandeling van klachten van klanten;
• g. schending van nationale en internationale regels en voorschriften (belastingregels, interne fraude of interne diefstal, regels tegen witwaspraktijken, regels tegen terrorisme en economische sancties);
• h. risico’s op gerechtelijke procedures in verband met ESG, met name op het gebied van milieu en greenwashing.

208. De bevoegde autoriteiten dienen na te gaan of de instelling mogelijk te maken krijgt met kosten, boetes, sancties of schadevergoedingen als gevolg van gerechtelijke procedures, en moeten daarbij rekening houden met het aantal klachten en de inhoud daarvan. De resultaten van de Titel 4-beoordeling moeten ook worden benut, in combinatie met een grondige analyse van het stimuleringsbeleid, om diepgaand inzicht te verkrijgen in de oorzaken van mogelijk wangedrag. In deze context houden bevoegde autoriteiten ook rekening met de vraag of de instelling beschikt over adequate en effectieve systemen en processen om beperkende maatregelen (bijv. sancties) uit te voeren en na te leven, waaronder het beoordelen van de naleving door de instelling van de EBA-richtsnoeren inzake interne beleidslijnen, procedures en risicobeheersing³³ .

209. Bevoegde autoriteiten hanteren echter een toekomstgerichte benadering, waarbij ze ook aandacht besteden aan de mogelijke impact van ontwikkelingen in de regelgeving en de activiteit van relevante autoriteiten met betrekking tot consumentenbescherming en de levering van financiële diensten in het algemeen.

6.4.2.2. Modelrisico

210. In het kader van het operationele risico beoordelen bevoegde autoriteiten het modelrisico, in het bijzonder met betrekking tot interne niet-regelgevingsmodellen (bijv. AI-modellen,

modellen, herstelopties).

211. Voor de beoordeling van het modelrisico nemen bevoegde autoriteiten de volgende factoren in aanmerking:

• a. in hoeverre en voor welke doeleinden de instelling modellen voor besluitvorming gebruikt en naar het zakelijk belang van dergelijke besluiten. De bevoegde autoriteiten dienen vast te stellen voor welke bedrijfsactiviteit(en) de instelling in aanzienlijke mate gebruik maakt van modellen, en de mogelijke gevolgen van het modelrisico te beoordelen door middel van onder meer gevoeligheids- en scenarioanalyses of stresstests; en
• b. de deugdelijkheid van de controlemechanismen (wat betreft methoden, frequentie, follow-up, enz.), met inbegrip van een goedkeuringsproces voor modellen, regelmatig uitgevoerde beoordelingen en de mate waarin de instelling zich bewust is van tekortkomingen in de modellen of van ontwikkelingen op de markt en in de bedrijfswereld.

212. Wanneer modellen worden gebruikt voor besluitvorming (bijvoorbeeld bij de prijsbepaling van producten, AI-modellen, de beoordeling van financiële instrumenten of het opstellen van

validatieproces en/of modelbeoordelingsproces bestaat om modelrisico’s (met uitzondering van regelgevingsmodellen) te identificeren en te beperken.

213. Bevoegde autoriteiten houden bij het uitvoeren van de modelrisicobeoordeling rekening met de beoordeling van andere risico’s voor het kapitaal en risico’s voor de liquiditeit en de financiering, met name wat betreft de toereikendheid van methoden die worden gebruikt voor risicometing, prijsbepaling en waardebepaling van activa en/of passiva. De resultaten van een dergelijke beoordeling beïnvloeden de bevindingen inzake operationeel risico.

6.4.2.3. ICT-risico – Beoordeling van het inherente ICT-risico

Identificatie van wezenlijke ICT-risico’s

214. In overeenstemming met de DORA dienen de bevoegde autoriteiten de identificatie, classificatie en documentatie door de instelling te beoordelen van alle door ICT ondersteunde bedrijfsfuncties, rollen en verantwoordelijkheden, de informatieactiva³⁴ en ICT-activa³⁵ die deze functies ondersteunen, alsmede hun rol en onderlinge afhankelijkheden met betrekking tot ICT-risico’s. Deze beoordeling moet bevoegde autoriteiten helpen een grondig inzicht te ontwikkelen in de inherente blootstellingen van de instelling aan ICT-risico's (ICT-risicoprofiel), het wezenlijke inherente ICT-risico vast te stellen en zich een oordeel te vormen over de prudentiële impact ervan. Daartoe dienen de bevoegde autoriteiten, voor zover relevant en van toepassing, ten minste het volgende in overweging te nemen:

• a. verslag over de beoordeling van het kader voor ICT-risicobeheer (overeenkomstig artikel 6, lid 5, van de DORA);
• b. bronnen van ICT-risico’s, met name de blootstelling aan risico’s ten opzichte van en afkomstig van andere financiële instellingen, zoals door de instelling vastgesteld overeenkomstig artikel 8, lid 2, van de DORA;
• c. gemelde ernstige ICT-incidenten (overeenkomstig artikel 19, lid 1, van de DORA), met inbegrip van de ontwikkeling van de totale jaarlijkse kosten en verliezen als gevolg van ernstige ICT-incidenten (overeenkomstig artikel 11, lid 10, van de DORA);
• d. resultaten van de tests die zijn gepland in het kader van het programma voor het testen van de digitale operationele veerkracht (overeenkomstig artikel 24 van de DORA), met inbegrip van een samenvatting van de bevindingen van de op bedreigingen gebaseerde penetratietests (TLPT) en de bijbehorende herstelmaatregelen (overeenkomstig artikel 26, lid 6, van de DORA);
• e. informatieregister (overeenkomstig artikel 28, lid 3, van de DORA), met inbegrip van de

dienstverleners binnen de groep, per type ICT-diensten en/of ICT-systemen;

• f. aanbevelingen en adviezen van de hoofdtoezichthouders (overeenkomstig artikel 40, lid 3, en artikel 42, lid 7, van de DORA) en daarmee verband houdende reacties, verslagen en informatie van kritieke externe ICT-dienstverleners (overeenkomstig artikel 35, lid 1, onder c), artikel 42, lid 1, en artikel 48, lid 2, van de DORA);
• g. de complexiteit van ICT-systemen en de resultaten van de ICT-risicobeoordeling van verouderde ICT-systemen (overeenkomstig artikel 8, lid 7, van de DORA);
• h. risicobeoordeling van ingrijpende wijzigingen (overeenkomstig artikel 8, lid 3, van de DORA);
• i. niveau van invoering en integratie van innovatieve ICT-oplossingen;
• j. locaties, te weten de regio’s of landen, van datacentra en gevoelige aangewezen gebieden, ook wanneer contractuele ICT-diensten worden geleverd door derde ICT-dienstverleners, waaronder locaties waar gegevens worden verwerkt en opgeslagen;
• k. eventuele daarmee verband houdende wezenlijke tekortkomingen of zwakke punten die zijn vastgesteld in het kader van titel 5;
• l. zelfbeoordelingen van ICT-risico’s en -beheersingsmaatregelen (indien opgenomen in de Icaap-informatie);
• m. informatie over het beheer van ICT-risico's die wordt ingediend bij het leidinggevend orgaan van de instelling;
• n. bevindingen van interne en externe ICT-audits;
• o. externe bedreigingsomgeving, met inbegrip van informatie over bedreigingen en kwetsbaarheden.

Toetsing van ICT-systemen en ICT-diensten

215. De bevoegde autoriteiten dienen de relevante documentatie, methodologie en processen van de instelling te beoordelen en zich een oordeel te vormen over de vraag of de instelling de ICT-systemen en ICT-diensten die kritieke of belangrijke functies ondersteunen, op de juiste wijze heeft geïdentificeerd. Daartoe dienen de bevoegde autoriteiten het volgende in overweging te nemen:

instelling aangewezen cruciale informatieactiva en ICT-activa (overeenkomstig artikel 8 van de DORA);

• b. belangrijke processen die afhankelijk zijn van derde aanbieders van ICT-diensten, waaronder onderlinge verbindingen met derde aanbieders van ICT-diensten die kritieke of belangrijke functies ondersteunen, zoals vastgesteld door de instelling (overeenkomstig artikel 8, lid 5, van de DORA).

Identificatie en inventarisatie van wezenlijke ICT-risico’s voor ICT-systemen en ICT-diensten die cruciale of belangrijke functies ondersteunen

216.Na de beoordeling van de afhankelijkheid van de instelling van informatie- en ICT-middelen, het ICT-risicoprofiel, de ICT-systemen en de ICT-diensten, dienen de bevoegde autoriteiten zich een oordeel te vormen over de wezenlijke ICT-risico’s die een aanzienlijke prudentiële impact kunnen hebben op de ICT-systemen en -diensten van de instelling die kritieke of belangrijke functies ondersteunen, en die een aanzienlijke impact kunnen hebben op het vermogen van de instelling om onder verstorende omstandigheden te blijven functioneren. Daartoe dienen de bevoegde autoriteiten het volgende in overweging te nemen:

• a. financiële schade, waaronder mogelijke schadevergoedingen aan klanten, juridische en herstelkosten, contractuele schadevergoedingen, kosten en gederfde inkomsten;
• b. mogelijke verstoring van de bedrijfsactiviteiten, rekening houdend (maar niet beperkt tot) het kritieke karakter van de betrokken diensten, met inbegrip van de transacties en activiteiten van de instelling (met inbegrip van afhankelijkheid van derden), het aantal cliënten en/of financiële tegenpartijen en/of bijkantoren en werknemers dat mogelijk wordt getroffen;
• c. mogelijk gegevensverlies;
• d. potentiële reputatie-impact;
• e. mogelijke gevolgen op regelgevingsgebied, waaronder de mogelijkheid van openbare berisping, boetes of zelfs wijziging van vergunningen;
• f. potentiële strategische impact op de instelling;
• g. potentiële geografische spreiding.

217. De bevoegde autoriteiten dienen vervolgens het vastgestelde wezenlijke ICT-risico in te delen in de ICT-risicocategorieën zoals uiteengezet in bijlage III. Van instellingen wordt verwacht dat zij hun eigen indeling handhaven in plaats van de indeling in de bijlage te gebruiken.

6.4.3. Beoordeling van het kader voor operationeel risicobeheer en - risicobeheersing

218. Bevoegde autoriteiten beoordelen het kader en de regelingen die de instelling heeft ingevoerd voor het beheren en beheersen van het operationele risico, rekening houdend met de

risicobeheersing zoals besproken in titel 5, aangezien dit van invloed zal zijn op de blootstellingen van de instelling aan operationeel risico. Met betrekking tot het ML/TF-risico houdt de bevoegde autoriteit rekening met de door de AML/CFT-toezichthouder verstrekte beoordeling. De strategie en de bereidheid inzake het operationele risico

219. De bevoegde autoriteiten dienen te beoordelen of de instelling beschikt over een degelijke, duidelijk geformuleerde en gedocumenteerde strategie inzake operationele risico’s en een door het leidinggevend orgaan goedgekeurd risicobereidheidsniveau, waarin de aard, de soorten en de omvang van de operationele risico’s worden beschreven die de instelling bereid is te aanvaarden. Bij deze beoordeling dienen de bevoegde autoriteiten onder meer rekening te houden met de rol van het leidinggevend orgaan bij het vaststellen, goedkeuren, uitvoeren en herzien van de strategie en de risicobereidheid inzake operationele risico’s (met inbegrip van de risicobereidheid op het gebied van ICT en de strategie voor digitale operationele veerkracht), alsmede met de toereikende reikwijdte en geschiktheid van de strategie in het licht van de aard en het belang van het operationele risicoprofiel van de instelling.

Kader voor organisatorische en interne controle

220. De bevoegde autoriteiten dienen te beoordelen of de instelling voldoet aan artikel 323 van Verordening (EU) nr. 575/2013. Bij deze beoordeling dienen de bevoegde autoriteiten de degelijkheid en doeltreffendheid te evalueren van het organisatiekader en de governanceregelingen die een doeltreffend beheer, meting en beheersing van operationele risico’s mogelijk maken, waarbij voldoende personele en technische middelen beschikbaar zijn om de vereiste taken uit te voeren. De bevoegde autoriteiten dienen er rekening mee te houden of er duidelijke verantwoordelijkheidslijnen zijn voor de identificatie, evaluatie, limitering, monitoring en rapportage van het operationele risico, en of het model van de drie verdedigingslinies wordt nageleefd.

221. Bevoegde autoriteiten beoordelen of de instelling een sterk kader voor risicobeheersing en goede waarborgen voor de limitering van haar operationele risico heeft, inclusief passend beleid en passende procedures, waaronder ook het restrisico valt, en of deze in overeenstemming zijn met de bereidheid en strategie van de instelling voor het beheer van het operationele risico en alle belangrijke activiteiten en processen beslaan. Hieronder valt

gecommuniceerd en consistent worden toegepast binnen de instelling.

222. De bevoegde autoriteiten dienen tevens de werking van de interne-auditfunctie te beoordelen wat betreft de toereikendheid, de reikwijdte en de frequentie van interne audits van het kader voor het beheer van operationele risico’s.

Bedrijfscontinuïteit, reactie en herstel

223. Bevoegde autoriteiten beoordelen of de instelling voldoet aan i) de EBA-richtsnoeren inzake interne governance met betrekking tot het algemene bedrijfscontinuïteitsbeheer en aan ii) de

224. De bevoegde autoriteiten dienen te beoordelen of de instelling een doeltreffend

herstelplannen die ten minste haar kritieke of belangrijke functies bestrijken, met inbegrip van die welke aan externe dienstverleners zijn uitbesteed, en of deze plannen rekening houden met een reeks ernstige maar aannemelijke scenario’s waarvoor de instelling kwetsbaar kan zijn. De bevoegde autoriteiten moeten ook beoordelen of het bedrijfscontinuïteitsbeleid van de instelling passende respons- en herstelmaatregelen mogelijk maakt voor elk soort incident.

225. De bevoegde autoriteiten dienen vast te stellen of het bedrijfscontinuïteitsbeheer van de instelling het volgende omvat:

• a. bedrijfseffectbeoordeling (Business Impact Analysis, BIA);
• b. passende herstelstrategieën waarin belangrijke interne en externe afhankelijkheden zijn opgenomen en duidelijke herstelprioriteiten en veerkrachtniveaus zijn vastgesteld;
• c. uitgebreide en flexibele plannen voor het omgaan met aannemelijke verstorende scenario’s, die worden vastgesteld op basis van de beoordeling van de BIA en in coördinatie met interne en externe belanghebbenden;
• d. plannen waarin noodstrategieën en procedures voor respons en herstel worden vastgelegd;
• e. doeltreffende tests van de ontwikkeling en operationele doeltreffendheid van de plannen;
• f. bewustzijn van bedrijfscontinuïteitsbeheer en trainingsprogramma’s;
• g. communicatieplannen voor het informeren van het management en alle relevante belanghebbenden, alsmede documentatie inzake crisisbeheer, maatregelen en, indien van toepassing, een crisisbeheersingsfunctie (overeenkomstig artikel 11, lid 7, van de DORA).

226. De bevoegde autoriteiten dienen vast te stellen of de plannen van de instelling betreffende bedrijfscontinuïteitsbeheer, reactie en herstel:

• a. rollen en verantwoordelijkheden vaststellen, inclusief duidelijke richtlijnen inzake mogelijke opvolging, en het interne besluitvormingsproces vastleggen, samen met een omschrijving van de voorwaarden waaronder dit proces in gang wordt gezet;
• b. worden herzien om ervoor te zorgen dat de noodstrategieën in overeenstemming blijven met de huidige activiteiten, risico’s en bedreigingen, het niveau van veerkracht en de doelstellingen en prioriteiten inzake herstel;
• c. prioriteit geven aan maatregelen voor bedrijfscontinuïteit op basis van een op risico gebaseerde aanpak;
• d. regelmatig worden getest om ervoor te zorgen dat de hersteldoelstellingen en -termijnen kunnen worden gehaald; en
• e. diensten testen die door externe dienstverleners worden geleverd; 227. Bevoegde autoriteiten beoordelen ook of de testresultaten worden gedocumenteerd en aan het leidinggevend orgaan worden gerapporteerd.

Beoordeling van het kader voor ICT-risicobeheer

228. Bevoegde autoriteiten beoordelen de naleving door de instelling van de DORA en de EBA-richtsnoeren inzake interne governance met betrekking tot de interne governance en organisatie van het ICT-risicobeheer. Bevoegde autoriteiten moeten zich een beeld vormen van de vraag of het leidinggevend orgaan van de instelling algemeen verantwoordelijk is voor het beheer van ICT-risico's en of het de uitvoering van alle ICT-gerelateerde regelingen naar behoren definieert, goedkeurt en controleert. De bevoegde autoriteiten dienen na te gaan of de leden van het leidinggevend orgaan over voldoende kennis en vaardigheden beschikken om ICT-risico’s en de gevolgen daarvan voor de bedrijfsvoering van de instelling te begrijpen en te beoordelen.

229. De bevoegde autoriteiten dienen te beoordelen in hoeverre de rollen en verantwoordelijkheden voor alle ICT-gerelateerde functies en de vastgestelde governanceregelingen zijn verankerd en geïntegreerd in het interne risicobeheersings- en governancekader van de instelling, teneinde ICT-risico’s te beheersen. Daartoe beoordelen bevoegde autoriteiten of de instelling de verantwoordelijkheid voor het beheer van en het toezicht op ICT-risico effectief heeft toegewezen aan een onafhankelijke controlefunctie die directe toegang heeft en rechtstreeks aan het leidinggevend orgaan in zijn toezichthoudende functie kan rapporteren, en beoordelen zij of de instelling het volgende aantoont:

• a. duidelijke communicatie, toewijzing en integratie van rollen en verantwoordelijkheden in alle ICT-gerelateerde functies, met inbegrip van door ICT ondersteunde bedrijfsfuncties en processen;
• b. voldoende en passende begrotingsmiddelen om te zorgen voor digitale operationele veerkracht wat betreft alle soorten middelen, met inbegrip van relevante bewustmakingsprogramma’s, opleidingen en ICT-vaardigheden voor alle medewerkers (overeenkomstig artikel 5, lid 2, onder g), van de DORA);
• c. toereikende opvolging en reactie door het leidinggevend orgaan op kritieke ICT-auditbevindingen en bevindingen die zijn gemeld op grond van artikel 13, lid 5, van de DORA.

230. De bevoegde autoriteiten dienen zich grondig op de hoogte te stellen van het kader voor het ICT-risicobeheer van de instelling en te beoordelen of de instelling beschikt over toereikende en passende strategieën, beleidslijnen, procedures, ICT-protocollen en instrumenten, met inbegrip van tolerantieniveaus, om de wezenlijke ICT-risico’s effectief, efficiënt en volledig aan te pakken, in overeenstemming met de DORA. Daartoe dienen de bevoegde autoriteiten, indien van toepassing, het volgende in overweging te nemen:

• a. de geschiktheid en doeltreffendheid van het beleid³⁶ , de processen en de procedures van de instelling op het gebied van ICT-risicobeheer, waaronder onder meer het beheer van externe ICT-partijen, de opsporing van en reactie op ICT-gerelateerde incidenten, het beheer van ICT-beoordelingen, versleuteling en cryptografie, de beveiliging van ICT-activiteiten, netwerkbeveiliging en toegangscontrole, en of deze zijn goedgekeurd door het leidinggevend orgaan en aan alle relevante belanghebbenden zijn meegedeeld (overeenkomstig artikel 14 van de DORA);
• b. de geschiktheid van het risicotolerantieniveau van de instelling voor ICT-risico’s en de impacttolerantie voor ICT-verstoringen (overeenkomstig artikel 6, lid 8, punt b), van de DORA);
• c. de geschiktheid en uitvoering van de strategie van de instelling voor digitale operationele veerkracht, met inbegrip van de afstemming ervan op de bedrijfsstrategie;
• d. de samenhang van de strategie inzake ICT-risico’s van derde aanbieders, met inbegrip van de multi-vendorstrategie, indien beschikbaar, met de algemene bedrijfsstrategie en het kader voor ICT-risicobeheer;
• e. het restrisico dat voortvloeit uit de door de instelling vastgestelde risico's met betrekking tot contractuele regelingen voor het gebruik van ICT-diensten ter ondersteuning van kritieke of belangrijke functies;
• f. het restrisico dat voortvloeit uit de door de instelling vastgestelde risico’s in verband met ICT-projecten die van invloed zijn op kritieke of belangrijke functies en die aan het leidinggevend orgaan worden gemeld, en in verband met de verwerving, ontwikkeling en het onderhoud van ICT-systemen en ICT-veranderingen;
• g. de degelijkheid en volledigheid van het testprogramma voor digitale operationele veerkracht;
• h. de trend en omvang van belangrijke ICT-gerelateerde incidenten en bevindingen die aan

artikel 13, lid 5, van de DORA;

• i. ICT-risicobeheersingsmaatregelen die specifiek zijn voor het geïdentificeerde wezenlijke ICT-risico;
• j. de tijdige rapportage over aspecten van het ICT-risicobeheer aan het leidinggevend orgaan en de directie;
• k. de reikwijdte en bevindingen van de interne audit.

231. Bij de beoordeling van het ICT-risicobeheer moeten de bevoegde autoriteiten bijzondere aandacht besteden aan het beheer van ICT-risico’s in verband met derde partijen, met inbegrip van de mate waarin de instelling afhankelijk is van externe ICT-dienstverleners. Daartoe moeten bevoegde autoriteiten zorgen voor nauwe samenwerking met de hoofdtoezichthouders van kritieke derde aanbieders van ICT-diensten (lead overseers of critical ICT third party providers - CTPP’s), overeenkomstig de gemeenschappelijke richtsnoeren van de ESAs³⁷ , ingeval de te beoordelen instelling ICT-diensten ontvangt van een CTPP. De bevoegde autoriteiten dienen tevens de doeltreffendheid te beoordelen van de door de instelling ingestelde specifieke functie, of van het aangewezen lid van de directie, met betrekking tot het toezicht op ICT-overeenkomsten met derden.

232. Bevoegde autoriteiten beoordelen of de interne auditfunctie effectief is en over voldoende kennis, vaardigheden en deskundigheid beschikt om het kader voor ICT-risicobeheer van de auditinstantie te controleren, door na te gaan of:

• a. het kader voor ICT-risicobeheer wordt getoetst met de vereiste kwaliteit, focus en frequentie, en in verhouding is tot het ICT-risicoprofiel van de instelling;
• b. het auditplan audits omvat van de wezenlijke ICT-risico’s die door de instelling zijn vastgesteld, met inbegrip van onafhankelijke evaluaties van de ICT-respons- en herstelplannen;
• c. de kritieke bevindingen van de ICT-audit tijdig worden geverifieerd en verholpen, onder meer door verantwoording af te leggen aan het leidinggevend orgaan;
• d. de bevindingen van ICT-audits, inclusief de overeengekomen maatregelen, formeel worden opgevolgd en de voortgangsrapportages periodiek worden beoordeeld door de directie en/of de auditcommissie.

6.4.4. Beoordeling van het reputatierisico

233. De bevoegde autoriteiten dienen het reputatierisico waaraan de instelling is blootgesteld te beoordelen, waarbij zij gebruikmaken van de inzichten die zijn verkregen uit titel 4 tot en met titel 6.2. Bedoelde beoordeling richt zich ook op het algehele kader voor het beheer van het reputatierisico, waarbij wordt gewaarborgd dat de instelling in staat is om eventuele reputatiekwesties doeltreffend te beheren. Bij deze beoordeling moeten de bevoegde autoriteiten voorkomen dat aspecten die al in het kader van de beoordeling van het juridische risico (hoofdstuk 6.4.2.1) in aanmerking zijn genomen, dubbel worden geteld.

234. Bij het beoordelen van de relevantie van reputatierisico’s dienen de bevoegde autoriteiten rekening te houden met de omvang van de instelling, alsmede met de aard, omvang en complexiteit van haar diensten, activiteiten en transacties (bijvoorbeeld beursgenoteerde aandelen of schuldinstrumenten of deelname aan interbancaire markten).

235. Bevoegde autoriteiten kijken naar zowel interne als externe factoren of gebeurtenissen die aanleiding kunnen geven tot zorg over de reputatie van de instelling, met uitzondering van gebeurtenissen die leiden tot juridische procedures. Voor instellingen van categorie 1 en categorie 2 dienen de bevoegde autoriteiten bij hun beoordeling rekening te houden met alle onderstaande indicatoren:

• a. negatieve berichtgeving in de media en op sociale media, en initiatieven van consumentenorganisaties die het imago en de reputatie van de instelling bij het publiek zouden kunnen schaden;
• b. het aantal klachten van klanten en de veranderingen daarin, of het plotselinge verlies van klanten of investeerders;

kwalificerend aandelenbelang hebben;

• e. betrokkenheid bij of activiteiten in sectoren of rechtsgebieden die in hoge mate blootstaan aan witwassen en terrorismefinanciering, of met personen die vanuit het oogpunt van witwassen en terrorismefinanciering een hoog risico vormen;
• f. betrokkenheid of activiteit in sectoren of rechtsgebieden en/of met tegenpartijen die in hoge mate zijn blootgesteld aan wezenlijke kwesties of openbare controverses die verband houden met ESG-factoren, met inbegrip van, maar niet noodzakelijkerwijs beperkt tot milieufactoren;
• g. de reputatieschade van ICT-gerelateerde incidenten zoals die door de instelling worden geregistreerd overeenkomstig Gedelegeerde Verordening (EU) 2024/1772 van de Commissie³⁸ ;

veranderingen in de aandelenkoers gedurende het jaar).

236. Bevoegde autoriteiten beoordelen het belang van de blootstelling van de instelling aan reputatierisico en de manier waarop dit is verbonden met de andere risico’s door met behulp van de relevante risicobeoordelingen (waaronder van andere toezichthoudende instanties) eventuele secundaire effecten in beide richtingen te identificeren.

237. In het kader van de analyse van het operationeel risico, houden bevoegde autoriteiten rekening met de relevantie en het belang van de blootstellingen van de instelling aan het ML/TF-risico vanuit prudentieel oogpunt, als onderdeel van het wettelijke risico binnen het operationele risico. Daarbij maken bevoegde autoriteiten gebruik van de relevante input die zij ontvangen van AML/CFT-toezichthouders, in aanvulling op hun eigen bevindingen uit lopend toezicht en evalueren zij of die aanleiding geven voor prudentiële zorgen met betrekking tot het ML/TF-risico. 238. Bevoegde autoriteiten houden in het achterhoofd dat iedere instelling kan worden blootgesteld aan het ML/TF-risico, ongeacht de omvang of de financiële gezondheid van de instelling. Derhalve wordt ook voldoende aandacht besteed aan instellingen die als financieel gezond worden gezien en wel een goede reputatie kunnen hebben, maar desalniettemin toch specifiek doelwit kunnen zijn van witwassen en financiering van terrorisme. Ook verdienen de instellingen die heel goed slagen in het aantrekken van nieuwe klanten / het vergroten van hun marktaandeel – vooral met behulp van onconventionele distributiekanalen – aandacht, aangezien dit in verband kan worden gebracht met zwakke controles van nieuwe klanten.

239. Bevoegde autoriteiten delen met AML/CFT-toezichthouders relevante informatie over problemen rond operationeel risico die aanleiding kunnen zijn voor ML/TF-risico’s, risico’s van niet-naleving en ontwijking van gerichte financiële sancties en -zorgen, zoals gebreken in het ICT-systeem van de instelling of in het interne risicobeheersingskader.

240. Bevoegde autoriteiten beoordelen of de instelling over toereikende afspraken, strategieën, processen en mechanismen voor het beheer van het reputatierisico beschikt. Bevoegde autoriteiten houden met name rekening met de vraag of:

• a. de instelling beschikt over een formeel beleid en formele processen voor de identificatie, het beheer en de monitoring van dit risico, inclusief een robuuste gedragscode, en of dit beleid en deze processen evenredig zijn met de omvang hiervan en de relevantie ervan in het systeem;
• b. de instelling dit risico op een voorzichtige manier aanpakt, onder meer door passende maatstaven en monitoringinstrumenten in te voeren, rekening te houden met mogelijke reputatieproblemen in noodplannen, relevante opleidingen en bewustmakingssessies te organiseren en gebruik te maken van de opgedane ervaringen;
• c. de instelling gebruikmaakt van stresstests of scenario-analyses om eventuele secundaire effecten van reputatierisico (bijv. liquiditeits- en financieringskosten, securisatietransacties, toegang tot correspondentbankdiensten, enz.) te beoordelen;
• d. de instelling handelt om haar merk te beschermen door middel van instrumenten om media/sociale media te monitoren, met protocollen om onjuiste informatie en negatieve publiciteit aan te pakken en door snelle communicatiecampagnes te voeren;
• e. de instelling aandacht besteedt aan de potentiële impact van haar strategie en bedrijfsplannen, en meer in het algemeen van haar gedrag, op haar reputatie.

6.4.5. Operationele veerkracht

241. De bevoegde autoriteiten dienen zich een alomvattend beeld te vormen van het vermogen van de instelling om kritieke of belangrijke functies te vervullen in geval van verstoringen (mate van operationele veerkracht), een resultaat dat wordt bevorderd door een doeltreffend beheer van operationele risico’s, waarbij rekening wordt gehouden met de omvang, het bedrijfsmodel en het algemene risicoprofiel van de instelling. Daartoe maken bevoegde autoriteiten gebruik van hun bestaande beoordelingen van het beheer van het operationele risico, de bedrijfscontinuïteit, de veranderingsbeheercapaciteiten, diensten van derden en de ICT waarop de instelling vertrouwt om holistisch te evalueren of deze elementen collectief de operationele veerkracht van de instelling ondersteunen. Bevoegde autoriteiten dienen ook na te gaan of de instelling haar kader voor risicobeheer, bedrijfscontinuïteitsplannen, beheer door derden (dit is reeds beoordeeld in het kader van de DORA- en EBA-richtsnoeren die zijn uitgebracht op grond van artikel 74, lid 3, van Richtlijn 2013/36/EU inzake regelingen, processen en mechanismen voor interne governance) en herstel- en afwikkelingskaders op een consistente en gecoördineerde manier ten uitvoer legt. Bovendien moeten de bevoegde autoriteiten nagaan of de instelling de interne en externe onderlinge verbanden en onderlinge afhankelijkheden die nodig zijn voor de uitvoering van haar kritieke of belangrijke functies, voldoende in kaart heeft gebracht.

242. De bevoegde autoriteiten dienen rekening te houden met de aandacht die het leidinggevend orgaan en de directie besteden aan het vermogen van de instelling om te reageren op verstoringen en zich daarvan te herstellen, uitgaande van de veronderstelling dat er storingen zullen optreden. Daartoe moeten de bevoegde autoriteiten nagaan of:

• a. het leidinggevend orgaan een actieve rol speelt bij het bevorderen van een breed begrip van de aanpak op het gebied van operationele veerkracht binnen de instelling en bij het toezicht op de doeltreffendheid van die aanpak;

gerapporteerd over de voortdurende operationele veerkracht van de instelling, met name wanneer belangrijke geconstateerde tekortkomingen van invloed kunnen zijn op de uitvoering van de kritieke of belangrijke functies van de instelling.

6.4.6. Samenvatting van de bevindingen, toekenning van scores en toezichtmaatregelen

243. Na de voorgaande beoordeling vormen bevoegde autoriteiten zich een beeld van het operationele risico van de instelling. Dit beeld wordt verwoord in een samenvatting van bevindingen die vergezeld gaat van een score op basis van de in tabel 10 genoemde overwegingen. In het geval dat de bevoegde autoriteit op basis van het grote belang van bepaalde risicosubcategorieën besluit deze subcategorieën afzonderlijk te beoordelen en een score te geven, past zij daarbij naar analogie voor zover mogelijk de leidraad van deze tabel toe.

Tabel 10. Overwegingen van de toezichthouder voor het toekennen van een score voor operationeel risico Standpunt van de Overwegingen betreffende Overwegingen voor adequaat Risicoscore toezichthouder inherent risico risicobeheer en risicobeheersing

Standpunt van de Overwegingen betreffende Overwegingen voor adequaat Risicoscore toezichthouder inherent risico risicobeheer en risicobeheersing

Standpunt van de Overwegingen betreffende Overwegingen voor adequaat Risicoscore toezichthouder inherent risico risicobeheer en risicobeheersing

Standpunt van de Overwegingen betreffende Overwegingen voor adequaat Risicoscore toezichthouder inherent risico risicobeheer en risicobeheersing

Standpunt van de Overwegingen betreffende Overwegingen voor adequaat Risicoscore toezichthouder inherent risico risicobeheer en risicobeheersing

244. De onderstaande tabel bevat een niet-uitputtende lijst van toezichtmaatregelen die bevoegde autoriteiten kunnen nemen in geval van vastgestelde tekortkomingen in het kader voor het beheer van operationele risico’s en de operationele veerkracht van de instelling (rekening houdend met de nauwe verwevenheid van de operationele veerkracht en het beheer van operationele risico’s). De bevoegde autoriteiten dienen de aard van de maatregel te bepalen op basis van de doeltreffendheid ervan voor de specifieke vastgestelde tekortkoming. Bevoegde autoriteiten kunnen aanvullende toezichtmaatregelen (waaronder kwantitatieve maatregelen overeenkomstig artikel 104, lid 1, punt a), van Richtlijn 2013/36/EU) of een combinatie daarvan met de in de onderstaande tabel vermelde maatregelen, toepassen indien deze passender worden geacht om de vastgestelde tekortkomingen aan te pakken. Bij inbreuken op de DORA dienen de bevoegde autoriteiten de toepasselijke corrigerende en herstelmaatregelen in overweging te nemen die zijn vastgelegd in artikel 50 van de DORA.

Tabel 11. Een mogelijke en niet-uitputtende lijst van toezichtmaatregelen die voortvloeien uit de beoordeling van het operationele risico en de operationele veerkracht Potentiële toezichtmaatregelen voor bevoegde autoriteiten overeenkomstig artikel 104, lid 1, punten b), d), e), f), j), l), m) en n), van Richtlijn 2013/36/EU en artikel 50 van Verordening (EU) 2022/2554 – bevoegde autoriteiten kunnen de instelling verplichten: A. het leidinggevend orgaan of diens comités actiever bij besluiten omtrent het beheer van operationeel risico te betrekken; B. systemen voor het meten van operationele risico’s te verbeteren; C. de beheersing van operationele processen te versterken, waaronder identificatie, monitoring, respons en herstel; D. het kader voor operationele governance te verbeteren; E. de rapportage over operationele risico’s aan het leidinggevend orgaan en de directie te verbeteren; F. actieplannen met corrigerende maatregelen te ontwikkelen en uit te voeren om tekortkomingen aan te pakken; G. bepaalde regelingen met derden te beperken, in het bijzonder voor kritieke of belangrijke functies; H. tot het verbeteren van stresstests en scenarioanalyses met betrekking tot operationele risico’s; I. om strengere operationele maatregelen door te voeren; J. de bedrijfscontinuïteits-, respons- en herstelplannen te versterken; K. het operationele risicobeheer met betrekking tot ESG-risico’s, met name milieurisico’s, te verbeteren, eventueel op basis van een of meer van de hierboven genoemde maatregelen.

³² Zie bijlage III voor een niet-uitputtende opsomming van de subcategorieën van operationele risico’s.

³³ EBA-richtsnoeren inzake interne beleidslijnen, procedures en controles ter waarborging van de uitvoering van beperkende maatregelen van de Unie en de lidstaten (EBA/GL/2024/14)

³⁴ Artikel 3, lid 6, van Verordening (EU) 2022/2554

³⁵ Artikel 3, lid 7, van Verordening (EU) 2022/2554

³⁶ Overeenkomstig de DORA moeten deze ten minste het volgende omvatten: het informatiebeveiligingsbeleid, het beleid inzake back-ups, het beleid inzake ICT-middelenbeheer, het beleid inzake versleuteling en cryptografische maatregelen, het beleid inzake het beheer van cryptografische sleutels, het beleid inzake ICT-projectbeheer, het beleid inzake de aanschaf, ontwikkeling en het onderhoud van ICT-systemen, het personeelsbeleid, het beleid inzake fysieke en omgevingsbeveiliging, het beleid inzake het beheer van ICT-gerelateerde incidenten, en het beleid inzake het gebruik van ICT-diensten ter ondersteuning van kritieke of belangrijke functies die worden geleverd door externe ICT-dienstverleners.

³⁷ Gemeenschappelijke richtsnoeren van de Europese toezichthoudende autoriteiten (ETA’s) betreffende samenwerking op het gebied van oversight en informatie-uitwisseling tussen de Europese toezichthoudende autoriteiten en de bevoegde autoriteiten in het kader van Verordening (EU) 2022/2554 (JC/2024/36).

³⁸ Gedelegeerde Verordening (EU) 2024/1772 van de Commissie van 13 maart 2024 tot aanvulling van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad met technische reguleringsnormen tot vaststelling van de criteria voor de classificatie van ICT-gerelateerde incidenten en cyberdreigingen, tot vaststelling van materialiteitsdrempels en tot nadere bepaling van de details van verslagen over ernstige incidenten, C/2024/1519 (PB L, 2024/1772 van 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

6.5.1. Algemene overwegingen

245. Bij de beoordeling van het inherente renterisico dat voortvloeit uit rentegevoelige posities uit niet-handelsgerelateerde activiteiten op en buiten de balans (gewoonlijk aangeduid als renterisico in de niet-handelsportefeuille, of IRRBB) en het creditspread risico dat voortvloeit uit posities in de niet-handelsportefeuille (gewoonlijk aangeduid als CSRBB), alsmede de toereikendheid van het interne controlekader, dienen de bevoegde autoriteiten onder meer te beoordelen of de instelling voldoet aan de rechtshandelingen die afzonderlijk op de website van de EBA zijn gepubliceerd, zoals bedoeld in paragraaf 12.

246. De bevoegde autoriteiten dienen het IRRBB te beoordelen, met inbegrip van de afdekkingen voor deze posities, ongeacht de opname en waardering ervan, en ongeacht de opname en waardering van verliezen en winsten voor boekhoudkundige doeleinden.

247. Bevoegde autoriteiten beoordelen de relevantie en materialiteit van ten minste de volgende subcategorieën³⁹ bij het beoordelen van IRRBB: hiaatrisico, basisrisico en optierisico.

248. De beoordeling van IRRBB moet worden onderscheiden van de beoordeling van CSRBB die de bevoegde autoriteiten ook overeenkomstig hoofdstuk 6.5.3 dienen uit te voeren. Bevoegde autoriteiten houden met name rekening met de vraag of de interne systemen van de

nettorenteopbrengst adequaat beoordelen en monitoren (inclusief wijzigingen in de marktwaarde) en CSRBB op passende wijze definiëren en de reikwijdte ervan vaststellen⁴⁰ .

249. Op basis van de algehele beoordeling van het inherente risico van IRRBB en het risicobeheer en -beheersing met betrekking tot IRRBB en CSRBB, dienen de bevoegde autoriteiten zich een oordeel te vormen over het IRRBB en het CSRBB, wat moet resulteren in een gecombineerde score aan de hand van de criteria die in tabel 12 zijn uiteengezet. De uitkomst van de beoordeling van elk afzonderlijk risico wordt vastgelegd in een samenvatting van bevindingen, met een uitleg wordt gegeven van de belangrijkste risicofactoren.

6.5.2. IRRBB

6.5.2.1. Beoordeling van het inherente IRRBB

250. Bevoegde autoriteiten bepalen door middel van de beoordeling van het inherente IRRBB-niveau wat de belangrijkste factoren zijn van het IRRBB waaraan de instelling blootstaat. Op die manier beoordelen zij ook de omvang van de potentiële prudentiële impact van dit risico voor de instelling.

Voorlopige beoordeling

251. Om de reikwijdte van de IRRBB-beoordeling te bepalen, stellen bevoegde autoriteiten eerst vast aan welke bronnen van IRRBB de instelling is of kan worden blootgesteld, en of er aanzienlijke veranderingen hebben plaatsgevonden. Daartoe maken bevoegde autoriteiten gebruik van de kennis die zij hebben verworven op basis van informatie over het Icaap en het Ilaap ingezameld voor SREP-doeleinden, bij de rapportering over IRRBB, bij de beoordeling van andere SREP-elementen, bij de vergelijking van de positie van de instelling met die van vergelijkbare instellingen en bij eventuele andere toezichtactiviteiten. Als onderdeel hiervan kijken bevoegde autoriteiten naar de governance van het renterisico van de instelling, met inbegrip van haar belangrijkste IRRBB-strategie en haar risicobereidheid met betrekking tot IRRBB, en het niveau van het interne kapitaal dat de instelling aan IRRBB heeft toegewezen.

Aard en samenstelling van het renterisicoprofiel van de instelling

252. Bevoegde autoriteiten vormen zich een duidelijk beeld van de manier waarop veranderingen van rentes een negatieve impact op de netto rente-inkomsten (en, waar relevant, op de winst) en de economische waarde van de instelling (de actuele waarde van verwachte kasstromen) kunnen hebben, om een beeld te krijgen van de mogelijke bedreiging van de toereikendheid van het kapitaal op korte en langere termijn.

253. Daartoe dienen de bevoegde autoriteiten de structuur en kenmerken van de activa, passiva en buitenbalansposities van de instelling te analyseren en zich daarover een duidelijk beeld te vormen, met inbegrip van de gevoeligheid daarvan voor veranderingen in rentetarieven, looptijden en herprijzingsdata, alsmede het aandeel van producten en posities met onzekere looptijden (bijvoorbeeld met ingebouwde opties of vervroegde aflossingsmogelijkheden) en eventuele daarmee samenhangende gedragsveronderstellingen.

254. Daarnaast dienen de bevoegde autoriteiten de afdekkingsstrategie van de instelling te beoordelen, evenals de mate waarin sprake kan zijn van een natuurlijke afdekking (waarbij ook rekening moet worden gehouden met de robuustheid van de modellen voor de herwaardering van looptijden voor posten met een onbepaalde looptijd), het aantal derivaten dat voor afdekkingsdoeleinden wordt gebruikt en of de derivaten de gevoeligheid in EVE, NII of andere door de instelling intern gehanteerde maatstaven kunnen verminderen.

255. De bevoegde autoriteiten dienen ook aandacht te besteden aan eventuele concentraties (bijvoorbeeld in de krediet- of obligatieportefeuilles) wat betreft de looptijd bij herprijzing of in producten met automatische of gedragsgebonden optionaliteit, niet-renderende posities en de aard van het IRRBB dat is ingebed in instrumenten die tegen reële waarde worden gewaardeerd, met inbegrip van minder liquide instrumenten zoals activa en passiva van niveau 3. 256. Bij de analyse van de impact op de rendementen van de instellingen, moeten bevoegde autoriteiten weten in hoeverre de rendementen van de instelling afhangen van rentegevoelige posities en hoe verschillende veranderingen in de rentetarieven de nettorente-inkomsten van de instelling beïnvloeden, ze moeten ook de effecten van veranderingen in de marktwaarde van instrumenten bepalen die, afhankelijk van de boekhoudkundige verwerking, ofwel opgenomen zijn in de winst-en-verliesrekening (W&V) ofwel rechtstreeks in het aandelenkapitaal (bijvoorbeeld via niet-gerealiseerd kapitaal).

257. Bij de analyse van de impact op de economische waarde en winst van de instelling kijken bevoegde autoriteiten eerst naar de resultaten van de uitschietertest voor toezichtdoeleinden als bedoeld in artikel 98, lid 5, van Richtlijn 2013/36/EU, en nader aangeduid in de gedelegeerde verordening 2024/856/EU, om een eerste benchmark te krijgen ten opzichte waarvan zij kunnen vergelijken welke gevolgen veranderingen van de rentetarieven hebben voor de instelling. Bij deze beoordeling besteden bevoegde autoriteiten bijzondere aandacht aan de gevoeligheid van kasstromen voor herprijzing, zowel qua timing als qua bedrag, en voor veranderingen in de onderliggende sleutelaannames (in het bijzonder voor cliëntaccounts zonder specifieke herprijzingsdata, cliëntaccounts met ingebouwde keuzen voor de cliënt en/of aandelenkapitaal).

258. Wanneer een instelling op basis van de uitschietertests voor toezichtdoeleinden voor nettorente-inkomsten als uitschieter wordt aangemerkt, dienen de bevoegde autoriteiten te overwegen aanvullende dimensies te analyseren ter aanvulling van de beoordeling, indien dit passend wordt geacht (bijvoorbeeld gelet op het bedrijfsmodel van de instelling). Andere aspecten waarmee rekening moet worden gehouden, zijn onder meer veranderingen in de marktwaarde van instrumenten tegen reële waarde, de afweging van de meest ongunstige prognoses voor de netto-rentebaten tegen de huidige gerealiseerde netto-rentebaten en tegen de administratieve kosten/overheadkosten en de nettoprovisies/vergoedingen, teneinde de verwerkte verliezen/winsten als gevolg van waargenomen veranderingen in de rentetarieven en de marktomstandigheden in kaart te brengen.

259. Bevoegde autoriteiten besteden ook aandacht aan de gevoeligheid van kasstromen voor veranderingen in de waardering van instrumenten tegen reële waarde buiten de handelsportefeuille, inclusief rentederivaten gebruikt voor de afdekking van instrumenten die buiten de handelsportefeuille vallen (bijv. impact van veranderingen in de waardering tegen marktwaarde in instrumenten tegen reële waarde op W&V, efficiëntie van dekkingsrekeningen).

260. Naast het gebruik van de uitschietertest voor toezichtdoeleinden als bedoeld in artikel 98, lid 5, van Richtlijn 2013/36/EU, en nader aangeduid in de gedelegeerde verordening (EU) 2024/856, kunnen bevoegde autoriteiten van instellingen verlangen dat instellingen rekening houden met andere renteschokscenario’s.

261. Bij hun kwantitatieve beoordeling dienen de bevoegde autoriteiten ook rekening te houden met de resultaten van de interne of gestandaardiseerde methoden die de instelling hanteert voor het meten van het IRRBB; daarbij dienen de bevoegde autoriteiten, voor instellingen die in verschillende valuta’s actief zijn, ook de impact te beoordelen van de economische waarde en de winstcijfers die voortvloeien uit de verschillende valuta’s, en, wanneer een interne methode wordt toegepast, de benaderingen die de instellingen hanteren voor de aggregatie over deze valuta’s heen. Via de analyse van deze methoden verwerven bevoegde autoriteiten een diepgaander inzicht in de belangrijkste risicofactoren die ten grondslag liggen aan het IRRBB-profiel van de instelling.

262. Bij het analyseren van de resultaten van zowel de impact van de uitschietertests voor toezichtdoeleinden als de interne methoden van de instelling, kijken bevoegde autoriteiten zowel naar de cijfers op een bepaald tijdstip als naar de historische trends. Deze rentetarieven worden vergeleken met die van vergelijkbare instellingen en met de algemene marktsituatie.

Schokscenario’s en stresstests

263. Bevoegde autoriteiten beoordelen de resultaten van de renteschokscenario’s voor continue beheer en ook de IRRBB-stresstests die de instelling heeft uitgevoerd als onderdeel van haar continue interne beheersproces en houden hier rekening mee. In dit verband dienen bevoegde autoriteiten op de hoogte te zijn van de belangrijkste bronnen van de IRRBB van de instelling en met name van het effect van veranderingen in gedragsaannames zoals op NMD.

264. Indien bij de toetsing van de uitkomsten van de schokscenario’s en stresstests van de instelling specifieke accumulaties van herprijzing/vervaldata op verschillende punten op de curve aan het licht komen of het vermoeden hiervan ontstaat, kunnen bevoegde autoriteiten een aanvullende analyse eisen.

6.5.2.2 Beoordeling van het kader voor IRRBB-beheersing en controle

265. Om een volledig inzicht te verwerven in het renterisicoprofiel van de instelling in de niet-handelsportefeuille, toetsen bevoegde autoriteiten de governance en het kader voor haar renteposities.

IRRBB-strategie en risicobereidheid

266. Bevoegde autoriteiten beoordelen of de instelling beschikt over een goede, duidelijk geformuleerde en gedocumenteerde IRRBB-strategie en risicobereidheid die is goedgekeurd door het leidinggevend orgaan. Voor deze beoordeling houden bevoegde autoriteiten onder meer rekening met de rol van het leidinggevend orgaan bij het bepalen, goedkeuren en evalueren van de IRRBB-strategie en -bereidheid, de goede uitvoering van deze strategie door de directie en de geschiktheid ervan voor de instelling gezien haar bedrijfsmodel, haar marktomgeving en rol in het financiële systeem en toereikendheid van het kapitaal.

Kader voor organisatorische en interne controle

267. Bevoegde autoriteiten beoordelen of de instelling een passend organisatiekader en duidelijk toegewezen verantwoordelijkheden heeft voor beheers-, meet-, monitoring- en beheersingsfuncties voor IRRBB, met voldoende menselijke en technische middelen. Bij deze beoordeling dienen de bevoegde autoriteiten rekening te houden met de toereikendheid van de verantwoordelijkheidsstructuren voor het algemene beheer van IRRBB, en voor het vaststellen, monitoren, beheersen en rapporteren van IRRBB, met inbegrip van de onafhankelijkheid van de IRRBB-controleafdeling.

268. Bevoegde autoriteiten beoordelen of de instelling een duidelijk gedefinieerd beleid en duidelijk gedefinieerde procedures voor het IRRBB-beheer heeft die in overeenstemming zijn met haar IRRBB-strategie en -risicobereidheid, en of deze regelmatig goedgekeurd en herzien worden door het leidinggevend orgaan. Het beleid dient duidelijk te worden geformaliseerd en op consistente wijze te worden gecommuniceerd en toegepast binnen de gehele instelling en bij alle bankgroepen. De bevoegde autoriteiten dienen na te gaan of in het beleid de procedures zijn vastgelegd voor de ontwikkeling van nieuwe producten en voor belangrijke afdekkings- of risicobeheersmaatregelen, waarbij zij ervoor moeten zorgen dat deze maatregelen aan passende procedures en controles worden onderworpen voordat zij worden uitgevoerd en dat de instelling een analyse heeft uitgevoerd van de mogelijke gevolgen daarvan voor haar algehele risicoprofiel.

269. Bevoegde autoriteiten beoordelen of de instelling een passend kader heeft voor het identificeren van, het verwerven van inzicht in en het meten en opvolgen van IRRBB, in lijn met het niveau, de complexiteit en het risico van posities buiten de handelsportefeuille en de omvang en complexiteit van de instelling. De beoordeling omvat interne modellen, zoals deze die betrekking hebben op cliëntgedrag (bijvoorbeeld modellen over de stabiliteit van deposito’s en vervroegde afbetalingen van leningen). Bij deze beoordeling moeten de bevoegde autoriteiten nagaan of de risicomanagers en het hoger management van de instelling inzicht hebben in de aannames die ten grondslag liggen aan de meetsystemen en of zij zich bewust zijn van de omvang van het modelrisico dat inherent is aan de risicomeettechnieken van de instelling.

270. Daarnaast moeten zij overwegen of de informatiesystemen en meettechnieken het management in staat stellen het inherente IRRBB te meten van alle wezenlijke posities in en buiten de balanstelling (waar relevant op groepsniveau), met inbegrip van interne afdekkingen, in concentraties in maturiteiten en tegenpartijen, in de niet-handelsportefeuille; Het IRRBB-kader moet regelmatig worden geëvalueerd om de doeltreffendheid ervan te beoordelen. De bevoegde autoriteiten dienen interne beoordelingen en evaluaties te vergelijken met de informatie uit COREP.

271. Bevoegde autoriteiten beoordelen hoe de instelling het gedrag van deposito’s zonder vaste looptijd (non-maturity deposits – NMD’s) modelleert, met inbegrip van de vraag of hierbij

renteherzieningsgedrag van de NMD. De bevoegde autoriteiten dienen voor deze beoordeling geschikte analytische instrumenten te gebruiken, waarbij zij rekening houden met het bedrijfsmodel van de instelling. Relevante benaderingen zijn onder meer het beoordelen van de wijze waarop de instelling NMD’s segmenteert aan de hand van risicofactoren die verband

enerzijds en toekomstgerichte benaderingen en deskundig oordeel anderzijds, en moeten zij nagaan wat de gevolgen voor de NII en de EVE zouden zijn als de aannames inzake gedrag zouden worden aangepast.

272. Bevoegde autoriteiten moeten overwegen of de risicometingssystemen van de instelling rekening houden met alle wezenlijke vormen van renterisico waaraan de instelling blootstaat (bijvoorbeeld hiaatrisico, basisrisico en optierisico). Het IMS moet correct worden gekalibreerd, onafhankelijk worden gevalideerd, aan backtesting worden onderworpen en met de nodige regelmaat worden geëvalueerd. Bevoegde autoriteiten moeten beoordelen of het IMS wordt ondersteund door documentatie, rekening houdend met de aard, schaal en complexiteit van het IRRBB dat inherent is aan het bedrijfsmodel en de activiteiten van de instelling.

273. Bevoegde autoriteiten beoordelen of de instelling over een passend kader voor monitoring en rapportage van IRRBB beschikt dat waarborgt dat, waar nodig, snel actie wordt ondernomen

monitoringsysteem dient specifieke indicatoren en relevante triggers te omvatten, zodat op doeltreffende wijze wordt voorzien in vroegtijdige waarschuwingen (bijv. voor overtredingen van IRRBB-limieten). De bevoegde autoriteiten dienen na te gaan of de afdeling voor beheer en controle de resultaten van het toezicht regelmatig rapporteert aan het leidinggevend orgaan en de directie, met een frequentie die in verhouding staat tot de omvang, de complexiteit en het niveau van de IRRBB-posities.

274. Bevoegde autoriteiten beoordelen of de instelling een sterk en omvattend kader voor risicobeheersing en goede waarborgen voor de limitering van haar blootstellingen aan IRRBB heeft, in lijn met haar risicobeheerstrategie en risicobereidheid, waaronder een passend

omvatten. Bevoegde autoriteiten beoordelen de functionaliteit van de interne-auditfunctie, waaronder de vraag of de beoordelingen ervan voldoende frequent worden uitgevoerd, en of deze de belangrijkste elementen van het IRRBB-kader bestrijken.

6.5.3. CSRBB

6.5.3.1. Beoordeling van het inherente CSRBB

275. Bevoegde autoriteiten bepalen door middel van de beoordeling van het inherente CSRBB-niveau wat de belangrijkste factoren zijn van het CSRBB waaraan de instelling blootstaat. Op die manier beoordelen zij ook de omvang van de potentiële prudentiële impact van dit risico voor de instelling. 276. Om de reikwijdte van de CSRBB-beoordeling te bepalen, stellen bevoegde autoriteiten eerst

aanzienlijke veranderingen hebben plaatsgevonden. Als onderdeel hiervan kijken bevoegde autoriteiten naar de governance van de instelling betreffende het creditspread-risico, met inbegrip van haar belangrijkste CSRBB-strategie en haar risicobereidheid met betrekking tot CSRBB, en de behandeling van CSRBB binnen de Icaap-context.

277. Bevoegde autoriteiten vormen zich een duidelijk beeld van de manier waarop veranderingen in creditspreads een negatieve impact op de netto rente-inkomsten (en, waar relevant, op de winst) en de economische waarde van de instelling, om een beeld te krijgen van de mogelijke bedreiging van de toereikendheid van het kapitaal op korte en langere termijn. Daartoe dienen de bevoegde autoriteiten na te gaan welke aanpak de instelling hanteert om zich een duidelijk

buitenbalansposities, en hoe deze factoren het niveau en de richting van het CSRBB beïnvloeden.

278. Bij de analyse van de impact op de rendementen van de instellingen, moeten bevoegde autoriteiten rekening houden met de impact van creditspreadgevoelige posities op het rendement van de instelling, de impact van de veranderingen in creditspreads op de nettorentebaten van de instelling, en de effecten van veranderingen in de marktwaarde van instrumenten – afhankelijk van de behandeling van de rekening – die ofwel in de winst-en-

gerealiseerde resultaten) worden weergegeven.

279. Bevoegde autoriteiten houden waar gepast ook rekening met de resultaten van de methoden van de instelling voor de CSRBB-meting. Via de analyse van deze methoden verwerven bevoegde autoriteiten een diepgaander inzicht in de belangrijkste risicofactoren die ten grondslag liggen aan het CSRBB-profiel van de instelling.

6.5.3.2. Beoordeling van het kader voor CSRBB-risicobeheer en -risicobeheersing

280. Om een volledig inzicht te verwerven in het creditspread risicoprofiel van de instelling in de niet-handelsportefeuille, toetsen bevoegde autoriteiten de governance en het kader voor haar renteposities.

281. De evaluatie van het beleid van de instelling inzake CSRBB moet de volgende elementen omvatten:

• a. de CSRBB-strategie en -bereidheid van de instelling;
• b. het organisatorische kader van de instelling en de verdeling van verantwoordelijkheden met betrekking tot de beheer-, meet-, toezicht- en controlefuncties op het gebied van CSRBB;
• c. het beleid en de procedures van de instelling voor het beheer van CSRBB. 282. Voor de beoordeling van deze gebieden dienen de bevoegde autoriteiten hoofdstuk 6.5.2.2 te raadplegen, dat betrekking heeft op de beoordeling van het kader voor beheersing en controle met betrekking tot IRRBB; de daarin opgenomen beginselen zijn ook van toepassing op de beoordeling van het CSRBB-beheer.

283. Bij het analyseren van de reikwijdte van de activa en passiva die onder de CSRBB-beoordeling vallen, zoals ook vastgelegd in de methodologieën van de instelling, dienen de bevoegde autoriteiten te beoordelen of een eventuele uitsluiting van instrumenten uit de betreffende reikwijdte uitsluitend plaatsvindt bij het ontbreken van gevoeligheid voor creditspread-risico en of deze uitsluiting naar behoren is gedocumenteerd en gemotiveerd, zoals vereist in paragraaf 124 van de EBA-richtlijnen inzake IRRBB en CSRBB⁴¹ . Factoren waarmee rekening moet worden gehouden, zijn onder meer:

• a. of de instelling alle tegen reële waarde gewaardeerde activa en passiva omvat;
• b. of de instelling alle activa en passiva omvat waarvan het creditspread-risico kan worden afgeleid uit een directe/indirecte of zelfs gemodelleerde marktprijs, ongeacht de boekhoudkundige behandeling ervan;
• c. de mogelijke relevantie van creditspreads in de prijsstellingspraktijk van de instelling voor verschillende activa en passiva (bijvoorbeeld door middel van expliciete verwijzingen naar waargenomen marktprijzen of door een meer indirecte relevantie);
• d. eventuele verschillen die de instelling hanteert tussen de berekeningsgrenzen voor EVE en NII bij de waardering van CSRBB (bijvoorbeeld vanwege de tijdshorizon van de NII of om andere redenen).

284. Om de manier waarop de instelling de CSRBB meet te analyseren, dienen de bevoegde autoriteiten, waar van toepassing, na te gaan welke schokscenario’s de instelling in aanmerking neemt, en hoe en waarom de schokken per balanspost kunnen verschillen.

285. De bevoegde autoriteiten dienen na te gaan of de idiosyncratische spread niet wordt meegenomen in de berekening van de CSRBB door de instelling, of dat deze alleen om redenen van evenredigheid wordt meegenomen, ongeacht de SREP-indeling van de instelling, mits gewaarborgd is dat de maatregelen tot conservatievere resultaten leiden.

286. Bevoegde autoriteiten beoordelen of de instelling een passend kader heeft voor het identificeren van, het verwerven van inzicht in en het meten en opvolgen van CSRBB, in lijn met het niveau, de complexiteit en het risico van posities buiten de handelsportefeuille en de omvang en complexiteit van de instelling. Zij moeten overwegen of de informatiesystemen en meettechnieken het management in staat stellen het inherente CSRBB te meten van alle wezenlijke posities in en buiten de balanstelling (waar relevant op groepsniveau) in de niet-handelsportefeuille. Het CSRBB-kader moet regelmatig worden getoetst en er moet regelmatig worden geëvalueerd in hoeverre het doeltreffend is. In dit verband dienen de bevoegde autoriteiten te beoordelen of belangrijke meetaannames ten minste eenmaal per jaar worden getoetst, en vaker wanneer de marktomstandigheden snel veranderen.

287. De bevoegde autoriteiten dienen na te gaan of de interne meetsystemen (IMS) van de instelling rekening houden met alle bronnen van CSRBB die relevant zijn voor het bedrijfsmodel van de instelling. Het IMS moet correct worden gekalibreerd, onafhankelijk worden gevalideerd, aan backtesting worden onderworpen en met de nodige regelmaat worden geëvalueerd. Bevoegde autoriteiten moeten beoordelen of het IMS wordt ondersteund door documentatie, rekening houdend met de aard, schaal en complexiteit van het CSRBB dat inherent is aan het bedrijfsmodel en de activiteiten van de instelling.

288. Bevoegde autoriteiten beoordelen of de instelling over een passend kader voor monitoring en rapportage van CSRBB beschikt dat waarborgt dat, waar nodig, snel actie wordt ondernomen op het juiste niveau van de directie of het leidinggevend orgaan van de instelling. De bevoegde autoriteiten dienen na te gaan of de afdeling voor beheer en controle de resultaten van het toezicht regelmatig rapporteert aan het leidinggevend orgaan en de directie, met een frequentie die in verhouding staat tot de omvang, de complexiteit en het niveau van de CSRBB-posities.

289. Bevoegde autoriteiten beoordelen of de instelling een sterk en omvattend kader voor risicobeheersing en goede waarborgen voor de limitering van aanzienlijke blootstellingen aan CSRBB heeft, in lijn met haar risicobeheerstrategie en risicobereidheid. De interne controlefunctie dient alle geconsolideerde entiteiten, alle geografische locaties en alle financiële activiteiten te omvatten. Bevoegde autoriteiten beoordelen de functionaliteit van de interne-auditfunctie, waaronder de vraag of de beoordelingen ervan voldoende frequent worden uitgevoerd, en of deze de belangrijkste elementen van het CRSBB-kader bestrijken.

6.5.4. Samenvatting van de bevindingen, toekenning van scores en toezichtmaatregelen

290. Na de voorgaande beoordelingen vormen bevoegde autoriteiten zich een beeld van het IRRBB en CSRBB van de instelling. Dit beeld wordt verwoord in een samenvatting van bevindingen waaraan scores worden toegevoegd op basis van de in tabel 12 genoemde overwegingen. Indien de bevoegde autoriteit op basis van het grote belang van bepaalde risicosubcategorieën besluit deze subcategorieën afzonderlijk te beoordelen en een score te geven, past zij daarbij naar analogie voor zover mogelijk de leidraad van deze tabel toe.

Tabel 12. Overwegingen van de toezichthouder voor het toekennen van een IRRBB- en CSRBB-score

Risicoscore toezichthouder inherent risico risicobeheer en risicobeheersing Er is een laag risico

291. De onderstaande tabel bevat een niet-uitputtende lijst van toezichtmaatregelen die bevoegde autoriteiten kunnen nemen in geval van vastgestelde tekortkomingen in het kader van het IRRBB- en CSRBB-beheer van de instelling. De bevoegde autoriteiten dienen de aard van de maatregel te bepalen op basis van de doeltreffendheid ervan voor de specifieke vastgestelde tekortkoming. Bevoegde autoriteiten kunnen aanvullende toezichtmaatregelen (waaronder kwantitatieve maatregelen overeenkomstig artikel 104, lid 1, punt a), van Richtlijn 2013/36/EU) of een combinatie daarvan toepassen indien deze passender worden geacht om de vastgestelde tekortkomingen aan te pakken.

Tabel 13. Potentiële en niet-uitputtende toezichtmaatregelen voor IRRBB en CSRBB Mogelijke toezichtmaatregelen voor bevoegde autoriteiten overeenkomstig artikel 104, lid 1, punten b), d), e), f), j) en l) en Artikel 84, lid 3, van Richtlijn 2013/36/EU – Bevoegde autoriteiten kunnen van de instelling verlangen dat zij: A. hun capaciteit om stresstesten uit te voeren verbeteren; B. vaker informatie over het IRRBB-beheer aan het leidinggevend orgaan en de directie van de instelling verstrekken. C. variaties op interne limieten toepassen om het risico te verminderen dat inherent is aan activiteiten, producten en systemen; D. zorgen voor aanvullende of frequentere rapportage van de IRRBB-posities van de instellingen; E. de gestandaardiseerde IRRBB-methodologie gebruiken; F. andere aannames voor modellering en parameters specificeren dan die welke zijn geïdentificeerd in de technische reguleringsnormen van de EBA RTS (overeenkomstig artikel 98, lid 5, laatste alinea, van Richtlijn 2013/36/EU).

³⁹ Zie bijlage IV voor een niet-limitatieve uitsplitsing van IRRBB-subcategorieën.

⁴⁰ Ook rekening houdend met de richtsnoeren in EBA/2022/14.

⁴¹ Richtlijnen vastgesteld op grond van artikel 84, lid 6, van Richtlijn 2013/36/EU, waarin criteria worden vastgesteld voor de identificatie, beoordeling, het beheer en de beperking van de risico’s die voortvloeien uit mogelijke renteschommelingen, alsmede voor de beoordeling en monitoring van het creditspread-risico, met betrekking tot de activiteiten van instellingen buiten de handelsportefeuille (EBA/GL/2022/14).