6.4. Beoordeling van operationeel risico

6.4.1. Algemene overwegingen

192. Bij de beoordeling van het

kader

voor operationeel risicobeheer dienen de bevoegde

autoriteiten na te gaan of de instelling onder meer voldoet aan de wetgevingsbesluiten die afzonderlijk op de website van de EBA zijn gepubliceerd, zoals bedoeld in paragraaf 12.

193. Bevoegde autoriteiten beoordelen het operationeel risico in alle bedrijfsonderdelen en activiteiten van de instelling, rekening houdend met de uitkomsten van de beoordeling van de regelingen voor interne governance en instellingsbrede risicobeheersing zoals beschreven in titel 5. Bij deze beoordeling bepalen bevoegde autoriteiten hoe operationeel risico zich kan voordoen, waarbij zij ook rekening houden met de dataset met verliesgegevens van de instelling en de potentiële effecten van andere gerelateerde risico’s (bv. grensgebonden kredietgerelateerde en marktgerelateerde operationele risico’s).

194. Bevoegde autoriteiten beoordelen het belang van het operationele risico dat voortvloeit uit derde dienstverleners, met inbegrip van de concentratie (op entiteit- en, indien relevant, op groepsniveau) op een of meer diensten die worden verleend door één derde dienstverlener (direct of indirect via onderaannemingsketens) of een beperkt aantal derde aanbieders die de kritieke of belangrijke functies van de instelling ondersteunen, en of deze van invloed kunnen zijn op de operationele veerkracht, prestaties en risicobeheersing van de instelling. Bij deze beoordeling houden bevoegde autoriteiten rekening met de mate waarin andere instellingen een beroep doen op dezelfde externe dienstverleners, wanneer die instellingen over dergelijke informatie beschikken.

195. Bij de beoordeling van operationele risico’s dienen de bevoegde autoriteiten, overeenkomstig de DORA, de ICT-risico’s te beoordelen, evenals de mogelijke gevolgen daarvan voor de kritieke of belangrijke functies van de instelling, met inbegrip van eventuele financiële, reputatie-, regelgevings- en strategische gevolgen voor de instelling.

196. Bevoegde autoriteiten beoordelen of de instelling een passende aanpak inzake operationele veerkracht hanteert om verstoringen te weerstaan, zich eraan aan te passen en ervan te herstellen wanneer deze zich voordoen, en of dit adequaat en consistent is afgestemd op het bestaande kader voor risicobeheer, bedrijfscontinuïteitsplannen en beheer door derden.

197. Bij de beoordeling van het operationele risico beoordelen bevoegde autoriteiten, indien van toepassing, of de beleidslijnen en procedures van de instelling de operationele risico’s en de ondersteunende technologie van de instelling identificeren, evalueren en op passende wijze beheren.

198. De bevoegde autoriteiten dienen het reputatierisico samen met het operationele risico te beoordelen, aangezien het inherent verband houdt met gebeurtenissen op het gebied van het operationele risico. De uitkomst van de beoordeling van het reputatierisico mag echter niet

worden meegenomen in de

score

voor het operationele risico, maar moet, indien van

toepassing, worden beschouwd als onderdeel van de BMA en/of de liquiditeitsrisicobeoordeling, aangezien de belangrijkste gevolgen ervan het vertrouwen van beleggers, deposanten of deelnemers aan de interbancaire markt in de instelling kunnen ondermijnen.

199. De bevoegde autoriteiten dienen de impact van ESG-risico’s op de inherente operationele en reputatierisico’s te beoordelen, evenals de toereikendheid van de beheersingsmaatregelen voor operationele en reputatierisico’s die verband houden met ESG-risico’s, waarbij prioriteit moet worden gegeven aan ecologische transitie en fysieke risico’s. Met name moeten de bevoegde autoriteiten bij de beoordeling van juridische risico’s en reputatierisico’s rekening houden met milieurisico’s en risico’s op greenwashing. 6.4.2. Beoordeling van het inherente operationele risico

200. De bevoegde autoriteiten dienen een grondig inzicht te verwerven in de inherente operationele risicoposities van de instelling en moeten beoordelen hoe groot de prudentiële impact van dit risico voor de instelling is, evenals de gevolgen voor haar vermogen om kritieke of belangrijke functies te vervullen in geval van verstoring.

201. Ter ondersteuning van deze beoordeling houden bevoegde autoriteiten rekening met het eigenvermogensvereiste voor het operationeel risico ten opzichte van het totale eigenvermogensvereiste en, indien van toepassing, het interne kapitaal dat door de instelling voor het operationeel risico is toegewezen ten opzichte van het totale interne kapitaal. Bovendien moeten de bevoegde autoriteiten gebruikmaken van de kennis die is opgedaan bij de beoordeling van andere SREP-onderdelen (met name uit titel 4 en titel 5), uit de vergelijking met soortgelijke instellingen, uit andere toezichtactiviteiten – waaronder de inbreng van de toezichthouders op het gebied van de bestrijding van witwassen en de financiering van terrorisme (AML/CFT) en de markttoezichtautoriteiten – en uit andere relevante informatiebronnen.

202. De bevoegde autoriteiten dienen ten minste rekening te houden met de belangrijkste operationele risicofactoren en mogelijke verstorende scenario’s, en deze, indien van toepassing, te analyseren per bedrijfsonderdeel, rechtspersoon, regio en categorie van gebeurtenissen (afhankelijk van de beschikbaarheid van gegevens), en de positie van de instelling te vergelijken met die van soortgelijke instellingen. Deze factoren moeten ten minste betrekking hebben op de belangrijkste strategie van de instelling inzake operationeel risico en de risicobereidheid op het gebied van operationeel risico, de bedrijfsomgeving (met inbegrip van geografische aanwezigheid, ICT-activiteiten en distributiekanalen), recente belangrijke

bedrijfsgebeurtenissen (zoals

fusies,

overnames, afstotingen en herstructureringen), ICT-

systemen en andere ICT-gerelateerde aspecten zoals bedoeld in hoofdstuk 6.4.2.3, proceswijzigingen, overeenkomsten met derden, kwesties inzake naleving van regelgeving, bedrijfsambities en beloningsregelingen, alsmede andere belangrijke factoren die het operationeel risico beïnvloeden.

Aard en betekenis van de blootstellingen aan operationeel risico

203. Bevoegde autoriteiten bepalen de aard van blootstellingen aan operationeel risico door blootstellingen aan de belangrijkste factoren van operationeel risico te analyseren en zo een toekomstgerichte visie op prospectief operationeel risico te ontwikkelen. Voor deze analyse moeten de bevoegde autoriteiten:

a. mogelijk rekening houden met het bedrijfsmodel, de bedrijfsonderdelen, producten, processen en geografische locaties die relevant zijn voor de instelling, de beoordeling van afhankelijkheden en blootstellingen aan het operationele risico van primaire risicodeterminanten (bijv. processen, mensen, systemen en externe factoren) en interacties van risicodeterminanten, door gebruik te maken van de zelfbeoordeling van het risico van de instelling, de analyse van vergelijkbare situaties, gegevens en openbare databases en/of consortiumdatabanken, indien beschikbaar en relevant;
b. rekening houden met zowel de frequentie als de ernst van de evenementen waaraan de instelling is blootgesteld, en maken zij onderscheid tussen gebeurtenissen die zeer ernstige verliezen veroorzaken en gebeurtenissen die zeer frequent optreden. Op basis van dit onderscheid beoordelen bevoegde autoriteiten de trends van uit het operationeel risico voortvloeiende verliezen en de concentratie daarvan; en
c. gebruik maken van scenarioanalyses en rekening houden met geplande bedrijfsactiviteiten en prospectieve analyses van operationele risico’s die door de instelling worden uitgevoerd, indien beschikbaar, rekening houdend met eventuele corrigerende maatregelen en reeds uitgevoerde en doeltreffende mitigatiemaatregelen.

204. Na de identificatie en analyse van de belangrijkste bronnen en oorzaken van operationeel risico moeten de bevoegde autoriteiten zich richten op die factoren die de meest wezenlijke potentiële gevolgen voor de instelling kunnen hebben.

205. Een belangrijke informatiebron waarmee bevoegde autoriteiten rekening moeten houden, is de dataset met verlies- en gebeurtenisgegevens van de instelling, aangezien deze waardevolle inzichten kan bieden in de ontwikkeling van het operationele risicoprofiel van de instelling. De bevoegde autoriteiten dienen de volledigheid, nauwkeurigheid en kwaliteit van de verliesgegevens periodiek te beoordelen. Een andere informatiebron zouden de registraties

van de instelling moeten zijn

van alle ICT-gerelateerde incidenten en significante

cyberdreigingen (overeenkomstig artikel 17, lid 2, van de DORA) en de geïdentificeerde bronnen van ICT-risico’s (overeenkomstig artikel 8, lid 2, van de DORA).

Beoordeling van subcategorieën van operationeel risico

206. Bevoegde autoriteiten richten hun beoordeling op die subcategorieën die significant worden geacht voor de instelling. Bevoegde autoriteiten gebruiken ook de mening van hun deskundigen om significante subcategorieën te identificeren, op basis van alle beschikbare interne en externe informatiebronnen. Bevoegde autoriteiten besteden bij hun beoordeling bijzondere aandacht aan de volgende aspecten van operationeel risico³² :

a. juridisch risico;
b. modelrisico;
c. ICT-risico.

6.4.2.1. Juridisch risico

207. De bevoegde autoriteiten dienen bij de beoordeling van de relevantie en de omvang van de blootstellingen van de instelling aan juridische risico’s rekening te houden met het volgende:

a. misleidende verkopen van producten of diensten;
b. belangenconflicten bij het uitvoeren van activiteiten;
c. manipulatie van benchmark-rentetarieven, wisselkoersen of andere financiële instrumenten of indices;
d. barrières voor het omzetten van financiële producten tijdens hun looptijd en/of voor het overstappen naar andere leveranciers van financiële diensten;
e. automatische verlengingen van producten of boetes bij opzeggen; en/of
f. afhandeling van klachten van klanten;
g. schending van nationale en internationale regels en voorschriften (belastingregels, interne fraude of interne diefstal, regels tegen witwaspraktijken, regels tegen terrorisme en economische sancties);
h. risico’s op gerechtelijke procedures in verband met ESG, met name op het gebied van milieu en greenwashing.

208. De bevoegde autoriteiten dienen na te gaan of de instelling mogelijk te maken krijgt met kosten, boetes, sancties of schadevergoedingen als gevolg van gerechtelijke procedures, en moeten daarbij rekening houden met het aantal klachten en de inhoud daarvan. De resultaten van de Titel 4-beoordeling moeten ook worden benut, in combinatie met een grondige analyse van het stimuleringsbeleid, om diepgaand inzicht te verkrijgen in de oorzaken van mogelijk wangedrag. In deze context houden bevoegde autoriteiten ook rekening met de vraag of de instelling beschikt over adequate en effectieve systemen en processen om beperkende maatregelen (bijv. sancties) uit te voeren en na te leven, waaronder het beoordelen van de naleving door de instelling van de EBA-richtsnoeren inzake interne beleidslijnen, procedures en risicobeheersing³³ .

209. Bevoegde autoriteiten hanteren echter een toekomstgerichte benadering, waarbij ze ook aandacht besteden aan de mogelijke impact van ontwikkelingen in de regelgeving en de activiteit van relevante autoriteiten met betrekking tot consumentenbescherming en de levering van financiële diensten in het algemeen.

6.4.2.2. Modelrisico

210. In het kader van het operationele risico beoordelen bevoegde autoriteiten het modelrisico, in het bijzonder met betrekking tot interne niet-regelgevingsmodellen (bijv. AI-modellen,

prijsstelling van producten,

vaststelling

en monitoring van risicolimieten, Icaap-/Ilaap-

modellen, herstelopties).

211. Voor de beoordeling van het modelrisico nemen bevoegde autoriteiten de volgende factoren in aanmerking:

a. in hoeverre en voor welke doeleinden de instelling modellen voor besluitvorming gebruikt en naar het zakelijk belang van dergelijke besluiten. De bevoegde autoriteiten dienen vast te stellen voor welke bedrijfsactiviteit(en) de instelling in aanzienlijke mate gebruik maakt van modellen, en de mogelijke gevolgen van het modelrisico te beoordelen door middel van onder meer gevoeligheids- en scenarioanalyses of stresstests; en
b. de deugdelijkheid van de controlemechanismen (wat betreft methoden, frequentie, follow-up, enz.), met inbegrip van een goedkeuringsproces voor modellen, regelmatig uitgevoerde beoordelingen en de mate waarin de instelling zich bewust is van tekortkomingen in de modellen of van ontwikkelingen op de markt en in de bedrijfswereld.

212. Wanneer modellen worden gebruikt voor besluitvorming (bijvoorbeeld bij de prijsbepaling van producten, AI-modellen, de beoordeling van financiële instrumenten of het opstellen van

klantprofielen), moeten de

bevoegde

autoriteiten nagaan of er een degelijk intern

validatieproces en/of modelbeoordelingsproces bestaat om modelrisico’s (met uitzondering van regelgevingsmodellen) te identificeren en te beperken.

213. Bevoegde autoriteiten houden bij het uitvoeren van de modelrisicobeoordeling rekening met de beoordeling van andere risico’s voor het kapitaal en risico’s voor de liquiditeit en de financiering, met name wat betreft de toereikendheid van methoden die worden gebruikt voor risicometing, prijsbepaling en waardebepaling van activa en/of passiva. De resultaten van een dergelijke beoordeling beïnvloeden de bevindingen inzake operationeel risico.

6.4.2.3. ICT-risico – Beoordeling van het inherente ICT-risico

Identificatie van wezenlijke ICT-risico’s

214. In overeenstemming met de DORA dienen de bevoegde autoriteiten de identificatie, classificatie en documentatie door de instelling te beoordelen van alle door ICT ondersteunde bedrijfsfuncties, rollen en verantwoordelijkheden, de informatieactiva³⁴ en ICT-activa³⁵ die deze functies ondersteunen, alsmede hun rol en onderlinge afhankelijkheden met betrekking tot ICT-risico’s. Deze beoordeling moet bevoegde autoriteiten helpen een grondig inzicht te ontwikkelen in de inherente blootstellingen van de instelling aan ICT-risico's (ICT-risicoprofiel), het wezenlijke inherente ICT-risico vast te stellen en zich een oordeel te vormen over de prudentiële impact ervan. Daartoe dienen de bevoegde autoriteiten, voor zover relevant en van toepassing, ten minste het volgende in overweging te nemen:

a. verslag over de beoordeling van het kader voor ICT-risicobeheer (overeenkomstig artikel 6, lid 5, van de DORA);
b. bronnen van ICT-risico’s, met name de blootstelling aan risico’s ten opzichte van en afkomstig van andere financiële instellingen, zoals door de instelling vastgesteld overeenkomstig artikel 8, lid 2, van de DORA;
c. gemelde ernstige ICT-incidenten (overeenkomstig artikel 19, lid 1, van de DORA), met inbegrip van de ontwikkeling van de totale jaarlijkse kosten en verliezen als gevolg van ernstige ICT-incidenten (overeenkomstig artikel 11, lid 10, van de DORA);
d. resultaten van de tests die zijn gepland in het kader van het programma voor het testen van de digitale operationele veerkracht (overeenkomstig artikel 24 van de DORA), met inbegrip van een samenvatting van de bevindingen van de op bedreigingen gebaseerde penetratietests (TLPT) en de bijbehorende herstelmaatregelen (overeenkomstig artikel 26, lid 6, van de DORA);
e. informatieregister (overeenkomstig artikel 28, lid 3, van de DORA), met inbegrip van de

mate van concentratie

bij

externe ICT-dienstverleners, met inbegrip van ICT-

dienstverleners binnen de groep, per type ICT-diensten en/of ICT-systemen;

f. aanbevelingen en adviezen van de hoofdtoezichthouders (overeenkomstig artikel 40, lid 3, en artikel 42, lid 7, van de DORA) en daarmee verband houdende reacties, verslagen en informatie van kritieke externe ICT-dienstverleners (overeenkomstig artikel 35, lid 1, onder c), artikel 42, lid 1, en artikel 48, lid 2, van de DORA);
g. de complexiteit van ICT-systemen en de resultaten van de ICT-risicobeoordeling van verouderde ICT-systemen (overeenkomstig artikel 8, lid 7, van de DORA);
h. risicobeoordeling van ingrijpende wijzigingen (overeenkomstig artikel 8, lid 3, van de DORA);
i. niveau van invoering en integratie van innovatieve ICT-oplossingen;
j. locaties, te weten de regio’s of landen, van datacentra en gevoelige aangewezen gebieden, ook wanneer contractuele ICT-diensten worden geleverd door derde ICT-dienstverleners, waaronder locaties waar gegevens worden verwerkt en opgeslagen;
k. eventuele daarmee verband houdende wezenlijke tekortkomingen of zwakke punten die zijn vastgesteld in het kader van titel 5;
l. zelfbeoordelingen van ICT-risico’s en -beheersingsmaatregelen (indien opgenomen in de Icaap-informatie);
m. informatie over het beheer van ICT-risico's die wordt ingediend bij het leidinggevend orgaan van de instelling;
n. bevindingen van interne en externe ICT-audits;
o. externe bedreigingsomgeving, met inbegrip van informatie over bedreigingen en kwetsbaarheden.

Toetsing van ICT-systemen en ICT-diensten

215. De bevoegde autoriteiten dienen de relevante documentatie, methodologie en processen van de instelling te beoordelen en zich een oordeel te vormen over de vraag of de instelling de ICT-systemen en ICT-diensten die kritieke of belangrijke functies ondersteunen, op de juiste wijze heeft geïdentificeerd. Daartoe dienen de bevoegde autoriteiten het volgende in overweging te nemen:

a. ICT-systemen die cruciale

of belangrijke

functies ondersteunen, alsmede de door de

instelling aangewezen cruciale informatieactiva en ICT-activa (overeenkomstig artikel 8 van de DORA);

b. belangrijke processen die afhankelijk zijn van derde aanbieders van ICT-diensten, waaronder onderlinge verbindingen met derde aanbieders van ICT-diensten die kritieke of belangrijke functies ondersteunen, zoals vastgesteld door de instelling (overeenkomstig artikel 8, lid 5, van de DORA).

Identificatie en inventarisatie van wezenlijke ICT-risico’s voor ICT-systemen en ICT-diensten die cruciale of belangrijke functies ondersteunen

216.Na de beoordeling van de afhankelijkheid van de instelling van informatie- en ICT-middelen, het ICT-risicoprofiel, de ICT-systemen en de ICT-diensten, dienen de bevoegde autoriteiten zich een oordeel te vormen over de wezenlijke ICT-risico’s die een aanzienlijke prudentiële impact kunnen hebben op de ICT-systemen en -diensten van de instelling die kritieke of belangrijke functies ondersteunen, en die een aanzienlijke impact kunnen hebben op het vermogen van de instelling om onder verstorende omstandigheden te blijven functioneren. Daartoe dienen de bevoegde autoriteiten het volgende in overweging te nemen:

a. financiële schade, waaronder mogelijke schadevergoedingen aan klanten, juridische en herstelkosten, contractuele schadevergoedingen, kosten en gederfde inkomsten;
b. mogelijke verstoring van de bedrijfsactiviteiten, rekening houdend (maar niet beperkt tot) het kritieke karakter van de betrokken diensten, met inbegrip van de transacties en activiteiten van de instelling (met inbegrip van afhankelijkheid van derden), het aantal cliënten en/of financiële tegenpartijen en/of bijkantoren en werknemers dat mogelijk wordt getroffen;
c. mogelijk gegevensverlies;
d. potentiële reputatie-impact;
e. mogelijke gevolgen op regelgevingsgebied, waaronder de mogelijkheid van openbare berisping, boetes of zelfs wijziging van vergunningen;
f. potentiële strategische impact op de instelling;
g. potentiële geografische spreiding.

217. De bevoegde autoriteiten dienen vervolgens het vastgestelde wezenlijke ICT-risico in te delen in de ICT-risicocategorieën zoals uiteengezet in bijlage III. Van instellingen wordt verwacht dat zij hun eigen indeling handhaven in plaats van de indeling in de bijlage te gebruiken.

6.4.3. Beoordeling van het kader voor operationeel risicobeheer en - risicobeheersing

218. Bevoegde autoriteiten beoordelen het kader en de regelingen die de instelling heeft ingevoerd voor het beheren en beheersen van het operationele risico, rekening houdend met de

resultaten van de analyse

van

het algemene kader voor risicobeheer en interne

risicobeheersing zoals besproken in titel 5, aangezien dit van invloed zal zijn op de blootstellingen van de instelling aan operationeel risico. Met betrekking tot het ML/TF-risico houdt de bevoegde autoriteit rekening met de door de AML/CFT-toezichthouder verstrekte beoordeling. De strategie en de bereidheid inzake het operationele risico

219. De bevoegde autoriteiten dienen te beoordelen of de instelling beschikt over een degelijke, duidelijk geformuleerde en gedocumenteerde strategie inzake operationele risico’s en een door het leidinggevend orgaan goedgekeurd risicobereidheidsniveau, waarin de aard, de soorten en de omvang van de operationele risico’s worden beschreven die de instelling bereid is te aanvaarden. Bij deze beoordeling dienen de bevoegde autoriteiten onder meer rekening te houden met de rol van het leidinggevend orgaan bij het vaststellen, goedkeuren, uitvoeren en herzien van de strategie en de risicobereidheid inzake operationele risico’s (met inbegrip van de risicobereidheid op het gebied van ICT en de strategie voor digitale operationele veerkracht), alsmede met de toereikende reikwijdte en geschiktheid van de strategie in het licht van de aard en het belang van het operationele risicoprofiel van de instelling.

Kader voor organisatorische en interne controle

220. De bevoegde autoriteiten dienen te beoordelen of de instelling voldoet aan artikel 323 van Verordening (EU) nr. 575/2013. Bij deze beoordeling dienen de bevoegde autoriteiten de degelijkheid en doeltreffendheid te evalueren van het organisatiekader en de governanceregelingen die een doeltreffend beheer, meting en beheersing van operationele risico’s mogelijk maken, waarbij voldoende personele en technische middelen beschikbaar zijn om de vereiste taken uit te voeren. De bevoegde autoriteiten dienen er rekening mee te houden of er duidelijke verantwoordelijkheidslijnen zijn voor de identificatie, evaluatie, limitering, monitoring en rapportage van het operationele risico, en of het model van de drie verdedigingslinies wordt nageleefd.

221. Bevoegde autoriteiten beoordelen of de instelling een sterk kader voor risicobeheersing en goede waarborgen voor de limitering van haar operationele risico heeft, inclusief passend beleid en passende procedures, waaronder ook het restrisico valt, en of deze in overeenstemming zijn met de bereidheid en strategie van de instelling voor het beheer van het operationele risico en alle belangrijke activiteiten en processen beslaan. Hieronder valt

onder meer de beoordeling

dit beleid en de procedures duidelijk zijn vastgelegd,

gecommuniceerd en consistent worden toegepast binnen de instelling.

222. De bevoegde autoriteiten dienen tevens de werking van de interne-auditfunctie te beoordelen wat betreft de toereikendheid, de reikwijdte en de frequentie van interne audits van het kader voor het beheer van operationele risico’s.

Bedrijfscontinuïteit, reactie en herstel

223. Bevoegde autoriteiten beoordelen of de instelling voldoet aan i) de EBA-richtsnoeren inzake interne governance met betrekking tot het algemene bedrijfscontinuïteitsbeheer en aan ii) de

DORA met betrekking tot herstelplannen. In dit bedrijfscontinuïteitsbeleid op	het verband het	ICT-bedrijfscontinuïteitsbeleid en de ICT-respons- en bepalen bevoegde autoriteiten of het gebied van ICT en de ICT-respons- en herstelplannen
integraal deel uitmaken van herstelplan van de instelling.	het	algemene bedrijfscontinuïteitsbeleid en het respons- en

224. De bevoegde autoriteiten dienen te beoordelen of de instelling een doeltreffend

bedrijfscontinuïteitsbeheer heeft

opgezet, met geteste bedrijfscontinuïteits-, respons- en

herstelplannen die ten minste haar kritieke of belangrijke functies bestrijken, met inbegrip van die welke aan externe dienstverleners zijn uitbesteed, en of deze plannen rekening houden met een reeks ernstige maar aannemelijke scenario’s waarvoor de instelling kwetsbaar kan zijn. De bevoegde autoriteiten moeten ook beoordelen of het bedrijfscontinuïteitsbeleid van de instelling passende respons- en herstelmaatregelen mogelijk maakt voor elk soort incident.

225. De bevoegde autoriteiten dienen vast te stellen of het bedrijfscontinuïteitsbeheer van de instelling het volgende omvat:

a. bedrijfseffectbeoordeling (Business Impact Analysis, BIA);
b. passende herstelstrategieën waarin belangrijke interne en externe afhankelijkheden zijn opgenomen en duidelijke herstelprioriteiten en veerkrachtniveaus zijn vastgesteld;
c. uitgebreide en flexibele plannen voor het omgaan met aannemelijke verstorende scenario’s, die worden vastgesteld op basis van de beoordeling van de BIA en in coördinatie met interne en externe belanghebbenden;
d. plannen waarin noodstrategieën en procedures voor respons en herstel worden vastgelegd;
e. doeltreffende tests van de ontwikkeling en operationele doeltreffendheid van de plannen;
f. bewustzijn van bedrijfscontinuïteitsbeheer en trainingsprogramma’s;
g. communicatieplannen voor het informeren van het management en alle relevante belanghebbenden, alsmede documentatie inzake crisisbeheer, maatregelen en, indien van toepassing, een crisisbeheersingsfunctie (overeenkomstig artikel 11, lid 7, van de DORA).

226. De bevoegde autoriteiten dienen vast te stellen of de plannen van de instelling betreffende bedrijfscontinuïteitsbeheer, reactie en herstel:

a. rollen en verantwoordelijkheden vaststellen, inclusief duidelijke richtlijnen inzake mogelijke opvolging, en het interne besluitvormingsproces vastleggen, samen met een omschrijving van de voorwaarden waaronder dit proces in gang wordt gezet;
b. worden herzien om ervoor te zorgen dat de noodstrategieën in overeenstemming blijven met de huidige activiteiten, risico’s en bedreigingen, het niveau van veerkracht en de doelstellingen en prioriteiten inzake herstel;
c. prioriteit geven aan maatregelen voor bedrijfscontinuïteit op basis van een op risico gebaseerde aanpak;
d. regelmatig worden getest om ervoor te zorgen dat de hersteldoelstellingen en -termijnen kunnen worden gehaald; en
e. diensten testen die door externe dienstverleners worden geleverd; 227. Bevoegde autoriteiten beoordelen ook of de testresultaten worden gedocumenteerd en aan het leidinggevend orgaan worden gerapporteerd.

Beoordeling van het kader voor ICT-risicobeheer

228. Bevoegde autoriteiten beoordelen de naleving door de instelling van de DORA en de EBA-richtsnoeren inzake interne governance met betrekking tot de interne governance en organisatie van het ICT-risicobeheer. Bevoegde autoriteiten moeten zich een beeld vormen van de vraag of het leidinggevend orgaan van de instelling algemeen verantwoordelijk is voor het beheer van ICT-risico's en of het de uitvoering van alle ICT-gerelateerde regelingen naar behoren definieert, goedkeurt en controleert. De bevoegde autoriteiten dienen na te gaan of de leden van het leidinggevend orgaan over voldoende kennis en vaardigheden beschikken om ICT-risico’s en de gevolgen daarvan voor de bedrijfsvoering van de instelling te begrijpen en te beoordelen.

229. De bevoegde autoriteiten dienen te beoordelen in hoeverre de rollen en verantwoordelijkheden voor alle ICT-gerelateerde functies en de vastgestelde governanceregelingen zijn verankerd en geïntegreerd in het interne risicobeheersings- en governancekader van de instelling, teneinde ICT-risico’s te beheersen. Daartoe beoordelen bevoegde autoriteiten of de instelling de verantwoordelijkheid voor het beheer van en het toezicht op ICT-risico effectief heeft toegewezen aan een onafhankelijke controlefunctie die directe toegang heeft en rechtstreeks aan het leidinggevend orgaan in zijn toezichthoudende functie kan rapporteren, en beoordelen zij of de instelling het volgende aantoont:

a. duidelijke communicatie, toewijzing en integratie van rollen en verantwoordelijkheden in alle ICT-gerelateerde functies, met inbegrip van door ICT ondersteunde bedrijfsfuncties en processen;
b. voldoende en passende begrotingsmiddelen om te zorgen voor digitale operationele veerkracht wat betreft alle soorten middelen, met inbegrip van relevante bewustmakingsprogramma’s, opleidingen en ICT-vaardigheden voor alle medewerkers (overeenkomstig artikel 5, lid 2, onder g), van de DORA);
c. toereikende opvolging en reactie door het leidinggevend orgaan op kritieke ICT-auditbevindingen en bevindingen die zijn gemeld op grond van artikel 13, lid 5, van de DORA.

230. De bevoegde autoriteiten dienen zich grondig op de hoogte te stellen van het kader voor het ICT-risicobeheer van de instelling en te beoordelen of de instelling beschikt over toereikende en passende strategieën, beleidslijnen, procedures, ICT-protocollen en instrumenten, met inbegrip van tolerantieniveaus, om de wezenlijke ICT-risico’s effectief, efficiënt en volledig aan te pakken, in overeenstemming met de DORA. Daartoe dienen de bevoegde autoriteiten, indien van toepassing, het volgende in overweging te nemen:

a. de geschiktheid en doeltreffendheid van het beleid³⁶ , de processen en de procedures van de instelling op het gebied van ICT-risicobeheer, waaronder onder meer het beheer van externe ICT-partijen, de opsporing van en reactie op ICT-gerelateerde incidenten, het beheer van ICT-beoordelingen, versleuteling en cryptografie, de beveiliging van ICT-activiteiten, netwerkbeveiliging en toegangscontrole, en of deze zijn goedgekeurd door het leidinggevend orgaan en aan alle relevante belanghebbenden zijn meegedeeld (overeenkomstig artikel 14 van de DORA);
b. de geschiktheid van het risicotolerantieniveau van de instelling voor ICT-risico’s en de impacttolerantie voor ICT-verstoringen (overeenkomstig artikel 6, lid 8, punt b), van de DORA);
c. de geschiktheid en uitvoering van de strategie van de instelling voor digitale operationele veerkracht, met inbegrip van de afstemming ervan op de bedrijfsstrategie;
d. de samenhang van de strategie inzake ICT-risico’s van derde aanbieders, met inbegrip van de multi-vendorstrategie, indien beschikbaar, met de algemene bedrijfsstrategie en het kader voor ICT-risicobeheer;
e. het restrisico dat voortvloeit uit de door de instelling vastgestelde risico's met betrekking tot contractuele regelingen voor het gebruik van ICT-diensten ter ondersteuning van kritieke of belangrijke functies;
f. het restrisico dat voortvloeit uit de door de instelling vastgestelde risico’s in verband met ICT-projecten die van invloed zijn op kritieke of belangrijke functies en die aan het leidinggevend orgaan worden gemeld, en in verband met de verwerving, ontwikkeling en het onderhoud van ICT-systemen en ICT-veranderingen;
g. de degelijkheid en volledigheid van het testprogramma voor digitale operationele veerkracht;
h. de trend en omvang van belangrijke ICT-gerelateerde incidenten en bevindingen die aan

het leidinggevend orgaan

worden

gemeld overeenkomstig artikel 17, lid 3, punt e), en

artikel 13, lid 5, van de DORA;

i. ICT-risicobeheersingsmaatregelen die specifiek zijn voor het geïdentificeerde wezenlijke ICT-risico;
j. de tijdige rapportage over aspecten van het ICT-risicobeheer aan het leidinggevend orgaan en de directie;
k. de reikwijdte en bevindingen van de interne audit.

231. Bij de beoordeling van het ICT-risicobeheer moeten de bevoegde autoriteiten bijzondere aandacht besteden aan het beheer van ICT-risico’s in verband met derde partijen, met inbegrip van de mate waarin de instelling afhankelijk is van externe ICT-dienstverleners. Daartoe moeten bevoegde autoriteiten zorgen voor nauwe samenwerking met de hoofdtoezichthouders van kritieke derde aanbieders van ICT-diensten (lead overseers of critical ICT third party providers - CTPP’s), overeenkomstig de gemeenschappelijke richtsnoeren van de ESAs³⁷ , ingeval de te beoordelen instelling ICT-diensten ontvangt van een CTPP. De bevoegde autoriteiten dienen tevens de doeltreffendheid te beoordelen van de door de instelling ingestelde specifieke functie, of van het aangewezen lid van de directie, met betrekking tot het toezicht op ICT-overeenkomsten met derden.

232. Bevoegde autoriteiten beoordelen of de interne auditfunctie effectief is en over voldoende kennis, vaardigheden en deskundigheid beschikt om het kader voor ICT-risicobeheer van de auditinstantie te controleren, door na te gaan of:

a. het kader voor ICT-risicobeheer wordt getoetst met de vereiste kwaliteit, focus en frequentie, en in verhouding is tot het ICT-risicoprofiel van de instelling;
b. het auditplan audits omvat van de wezenlijke ICT-risico’s die door de instelling zijn vastgesteld, met inbegrip van onafhankelijke evaluaties van de ICT-respons- en herstelplannen;
c. de kritieke bevindingen van de ICT-audit tijdig worden geverifieerd en verholpen, onder meer door verantwoording af te leggen aan het leidinggevend orgaan;
d. de bevindingen van ICT-audits, inclusief de overeengekomen maatregelen, formeel worden opgevolgd en de voortgangsrapportages periodiek worden beoordeeld door de directie en/of de auditcommissie.

6.4.4. Beoordeling van het reputatierisico

233. De bevoegde autoriteiten dienen het reputatierisico waaraan de instelling is blootgesteld te beoordelen, waarbij zij gebruikmaken van de inzichten die zijn verkregen uit titel 4 tot en met titel 6.2. Bedoelde beoordeling richt zich ook op het algehele kader voor het beheer van het reputatierisico, waarbij wordt gewaarborgd dat de instelling in staat is om eventuele reputatiekwesties doeltreffend te beheren. Bij deze beoordeling moeten de bevoegde autoriteiten voorkomen dat aspecten die al in het kader van de beoordeling van het juridische risico (hoofdstuk 6.4.2.1) in aanmerking zijn genomen, dubbel worden geteld.

234. Bij het beoordelen van de relevantie van reputatierisico’s dienen de bevoegde autoriteiten rekening te houden met de omvang van de instelling, alsmede met de aard, omvang en complexiteit van haar diensten, activiteiten en transacties (bijvoorbeeld beursgenoteerde aandelen of schuldinstrumenten of deelname aan interbancaire markten).

235. Bevoegde autoriteiten kijken naar zowel interne als externe factoren of gebeurtenissen die aanleiding kunnen geven tot zorg over de reputatie van de instelling, met uitzondering van gebeurtenissen die leiden tot juridische procedures. Voor instellingen van categorie 1 en categorie 2 dienen de bevoegde autoriteiten bij hun beoordeling rekening te houden met alle onderstaande indicatoren:

a. negatieve berichtgeving in de media en op sociale media, en initiatieven van consumentenorganisaties die het imago en de reputatie van de instelling bij het publiek zouden kunnen schaden;
b. het aantal klachten van klanten en de veranderingen daarin, of het plotselinge verlies van klanten of investeerders;

c. negatieve gebeurtenissen associëren met de gehele financiële	bij	vergelijkbare instellingen die het publiek zou kunnen sector of een groep instellingen;
d. de reputatie van personen	die	betrokken zijn bij het bestuur van de instelling of die een

kwalificerend aandelenbelang hebben;

e. betrokkenheid bij of activiteiten in sectoren of rechtsgebieden die in hoge mate blootstaan aan witwassen en terrorismefinanciering, of met personen die vanuit het oogpunt van witwassen en terrorismefinanciering een hoog risico vormen;
f. betrokkenheid of activiteit in sectoren of rechtsgebieden en/of met tegenpartijen die in hoge mate zijn blootgesteld aan wezenlijke kwesties of openbare controverses die verband houden met ESG-factoren, met inbegrip van, maar niet noodzakelijkerwijs beperkt tot milieufactoren;
g. de reputatieschade van ICT-gerelateerde incidenten zoals die door de instelling worden geregistreerd overeenkomstig Gedelegeerde Verordening (EU) 2024/1772 van de Commissie³⁸ ;

h. andere “markt”-indicatoren,

indien beschikbaar (bijv. verlagingen van ratings of

veranderingen in de aandelenkoers gedurende het jaar).

236. Bevoegde autoriteiten beoordelen het belang van de blootstelling van de instelling aan reputatierisico en de manier waarop dit is verbonden met de andere risico’s door met behulp van de relevante risicobeoordelingen (waaronder van andere toezichthoudende instanties) eventuele secundaire effecten in beide richtingen te identificeren.

237. In het kader van de analyse van het operationeel risico, houden bevoegde autoriteiten rekening met de relevantie en het belang van de blootstellingen van de instelling aan het ML/TF-risico vanuit prudentieel oogpunt, als onderdeel van het wettelijke risico binnen het operationele risico. Daarbij maken bevoegde autoriteiten gebruik van de relevante input die zij ontvangen van AML/CFT-toezichthouders, in aanvulling op hun eigen bevindingen uit lopend toezicht en evalueren zij of die aanleiding geven voor prudentiële zorgen met betrekking tot het ML/TF-risico. 238. Bevoegde autoriteiten houden in het achterhoofd dat iedere instelling kan worden blootgesteld aan het ML/TF-risico, ongeacht de omvang of de financiële gezondheid van de instelling. Derhalve wordt ook voldoende aandacht besteed aan instellingen die als financieel gezond worden gezien en wel een goede reputatie kunnen hebben, maar desalniettemin toch specifiek doelwit kunnen zijn van witwassen en financiering van terrorisme. Ook verdienen de instellingen die heel goed slagen in het aantrekken van nieuwe klanten / het vergroten van hun marktaandeel – vooral met behulp van onconventionele distributiekanalen – aandacht, aangezien dit in verband kan worden gebracht met zwakke controles van nieuwe klanten.

239. Bevoegde autoriteiten delen met AML/CFT-toezichthouders relevante informatie over problemen rond operationeel risico die aanleiding kunnen zijn voor ML/TF-risico’s, risico’s van niet-naleving en ontwijking van gerichte financiële sancties en -zorgen, zoals gebreken in het ICT-systeem van de instelling of in het interne risicobeheersingskader.

240. Bevoegde autoriteiten beoordelen of de instelling over toereikende afspraken, strategieën, processen en mechanismen voor het beheer van het reputatierisico beschikt. Bevoegde autoriteiten houden met name rekening met de vraag of:

a. de instelling beschikt over een formeel beleid en formele processen voor de identificatie, het beheer en de monitoring van dit risico, inclusief een robuuste gedragscode, en of dit beleid en deze processen evenredig zijn met de omvang hiervan en de relevantie ervan in het systeem;
b. de instelling dit risico op een voorzichtige manier aanpakt, onder meer door passende maatstaven en monitoringinstrumenten in te voeren, rekening te houden met mogelijke reputatieproblemen in noodplannen, relevante opleidingen en bewustmakingssessies te organiseren en gebruik te maken van de opgedane ervaringen;
c. de instelling gebruikmaakt van stresstests of scenario-analyses om eventuele secundaire effecten van reputatierisico (bijv. liquiditeits- en financieringskosten, securisatietransacties, toegang tot correspondentbankdiensten, enz.) te beoordelen;
d. de instelling handelt om haar merk te beschermen door middel van instrumenten om media/sociale media te monitoren, met protocollen om onjuiste informatie en negatieve publiciteit aan te pakken en door snelle communicatiecampagnes te voeren;
e. de instelling aandacht besteedt aan de potentiële impact van haar strategie en bedrijfsplannen, en meer in het algemeen van haar gedrag, op haar reputatie.

6.4.5. Operationele veerkracht

241. De bevoegde autoriteiten dienen zich een alomvattend beeld te vormen van het vermogen van de instelling om kritieke of belangrijke functies te vervullen in geval van verstoringen (mate van operationele veerkracht), een resultaat dat wordt bevorderd door een doeltreffend beheer van operationele risico’s, waarbij rekening wordt gehouden met de omvang, het bedrijfsmodel en het algemene risicoprofiel van de instelling. Daartoe maken bevoegde autoriteiten gebruik van hun bestaande beoordelingen van het beheer van het operationele risico, de bedrijfscontinuïteit, de veranderingsbeheercapaciteiten, diensten van derden en de ICT waarop de instelling vertrouwt om holistisch te evalueren of deze elementen collectief de operationele veerkracht van de instelling ondersteunen. Bevoegde autoriteiten dienen ook na te gaan of de instelling haar kader voor risicobeheer, bedrijfscontinuïteitsplannen, beheer door derden (dit is reeds beoordeeld in het kader van de DORA- en EBA-richtsnoeren die zijn uitgebracht op grond van artikel 74, lid 3, van Richtlijn 2013/36/EU inzake regelingen, processen en mechanismen voor interne governance) en herstel- en afwikkelingskaders op een consistente en gecoördineerde manier ten uitvoer legt. Bovendien moeten de bevoegde autoriteiten nagaan of de instelling de interne en externe onderlinge verbanden en onderlinge afhankelijkheden die nodig zijn voor de uitvoering van haar kritieke of belangrijke functies, voldoende in kaart heeft gebracht.

242. De bevoegde autoriteiten dienen rekening te houden met de aandacht die het leidinggevend orgaan en de directie besteden aan het vermogen van de instelling om te reageren op verstoringen en zich daarvan te herstellen, uitgaande van de veronderstelling dat er storingen zullen optreden. Daartoe moeten de bevoegde autoriteiten nagaan of:

a. het leidinggevend orgaan een actieve rol speelt bij het bevorderen van een breed begrip van de aanpak op het gebied van operationele veerkracht binnen de instelling en bij het toezicht op de doeltreffendheid van die aanpak;

b. ter ondersteuning van het

oversight van het leidinggevend orgaan tijdig wordt

gerapporteerd over de voortdurende operationele veerkracht van de instelling, met name wanneer belangrijke geconstateerde tekortkomingen van invloed kunnen zijn op de uitvoering van de kritieke of belangrijke functies van de instelling.

6.4.6. Samenvatting van de bevindingen, toekenning van scores en toezichtmaatregelen

243. Na de voorgaande beoordeling vormen bevoegde autoriteiten zich een beeld van het operationele risico van de instelling. Dit beeld wordt verwoord in een samenvatting van bevindingen die vergezeld gaat van een score op basis van de in tabel 10 genoemde overwegingen. In het geval dat de bevoegde autoriteit op basis van het grote belang van bepaalde risicosubcategorieën besluit deze subcategorieën afzonderlijk te beoordelen en een score te geven, past zij daarbij naar analogie voor zover mogelijk de leidraad van deze tabel toe.

Tabel 10. Overwegingen van de toezichthouder voor het toekennen van een score voor operationeel risico Standpunt van de Overwegingen betreffende Overwegingen voor adequaat Risicoscore toezichthouder inherent risico risicobeheer en risicobeheersing

Er is een laag risico op een significante prudentiële impact 1 op de instelling, gezien het niveau van inherent risico en het risicobeheer

 

De blootstellingen aan  Het beleid en de strategie operationele risico’s van de instelling voor betreffen slechts een operationeel risico is in gering aantal categorieën overeenstemming met haar met hoge algehele risicostrategie en frequentie/geringe ernst. risicobereidheid. De blootstelling aan  Het organisatiekader voor operationeel risico is niet operationeel risico is wezenlijk/uiterst laag, robuust, met duidelijke

Standpunt van de Overwegingen betreffende Overwegingen voor adequaat Risicoscore toezichthouder inherent risico risicobeheer en risicobeheersing

en de risicobeheersing.	    	zoals blijkt uit de verantwoordelijkheden en scenarioanalyse en uit de een duidelijke scheiding van vergelijking met de taken tussen degenen die verliezen van risico aangaan en de functies gelijksoortige voor risicobeheer en - instellingen. beheersing. Het niveau van de bruto  Het kader voor operationeel verliezen (voor verhaal en risico omvat alle relevante inclusief verliezen op risico’s. kredietportefeuilles  Het operationele risico veroorzaakt door wordt op passende wijze operationeel risico) die gemeten, gemonitord en door de instelling in de gerapporteerd. afgelopen jaren is  Er is een deugdelijk kader gevoeld is niet voor de beheersing van het wezenlijk/zeer laag of is operationele risico. afgenomen.  Het ICT-risicobeheer en de Geen noemenswaardige beheersingsmaatregelen ICT-risico’s, een voldoen aan de vereisten van eenvoudige, de " ” zoals vastgelegd in de veerkrachtige en flexibele DORA. ICT-architectuur en geen  Het kader voor het beheer wezenlijke of zeer geringe van risico’s van derden is ICT-risico’s. degelijk en doeltreffend, en Het niveau van gaat gepaard met passende concentratierisico ten contractuele afspraken. aanzien van derde  Doeltreffend en degelijk dienstverleners is laag, bedrijfscontinuïteitsbeheer, met eenvoudige met inbegrip van geteste onderaannemingsketens. bedrijfscontinuïteits-, De dreigingsintensiteit respons- en herstelplannen. die zou kunnen leiden tot ernstige operationele verstoringen (waaronder ICT-gerelateerde incidenten) van kritieke of belangrijke functies is laag. De blootstellingen aan
Er is een laag tot gemiddeld risico op een significante		operationeel risico betreffen voornamelijk categorieën met hoge frequentie/geringe ernst.
prudentiële impact 2 op gezien de instelling, het niveau		De blootstelling aan operationeel gering tot gemiddeld, risico is
van inherent risico en het risicobeheer en de risicobeheersing.		zoals blijkt uit de scenarioanalyse en uit de vergelijking met de verliezen van gelijksoortige instellingen.

Standpunt van de Overwegingen betreffende Overwegingen voor adequaat Risicoscore toezichthouder inherent risico risicobeheer en risicobeheersing

Er is een gemiddeld tot hoog risico op een significante	     	Het niveau van de verliezen die de instelling in recente jaren heeft geleden is laag tot gemiddeld, of zal naar verwachting vanaf een lager historisch niveau stijgen dan wel vanaf een hoger historisch niveau dalen. Lage blootstellingen aan ICT-risico’s, matig complexe/gedeeltelijk beperkte ICT-architectuur en lage/gemiddelde ICT-risico’s. Het niveau van concentratierisico ten aanzien van derde dienstverleners is gemiddeld, met matige onderaannemingsketens. De dreigingsintensiteit die zou kunnen leiden tot ernstige operationele verstoringen (waaronder ICT-gerelateerde incidenten) van kritieke of belangrijke functies is gemiddeld. De blootstellingen aan operationeel risico  De consistentie tussen het betreffen enkele operationeelrisicobeleid en - categorieën met lage strategie van de instelling en frequentie/grote ernst. haar algehele strategie en De blootstelling aan risicotolerantie is operationeel risico is onvoldoende ontwikkeld of gemiddeld tot hoog, zoals zelfs ontoereikend. blijkt uit de  Het organisatiekader voor
prudentiële impact 3 op gezien de instelling, het niveau		scenarioanalyse en uit de het operationele risico is vergelijking verliezen van met de  onvoldoende Het kader voor robuust. operationeel
van inherent risico en het risicobeheer en de risicobeheersing.		gelijksoortige risico omvat niet alle instellingen. relevante risico’s. Het niveau van de  Het operationele risico verliezen die de instelling wordt niet op passende wijze in de afgelopen paar jaar gemeten, gemonitord en heeft geleden, is gerapporteerd. gemiddeld tot hoog, of  Er is een zwak zal naar verwachting beheersingskader voor het vanaf een lager historisch operationele risico. niveau stijgen dan wel

Standpunt van de Overwegingen betreffende Overwegingen voor adequaat Risicoscore toezichthouder inherent risico risicobeheer en risicobeheersing

Er is een hoog risico op een significante prudentiële impact op de instelling, gezien het niveau 4 van inherent risico en het risicobeheer	     	vanaf een hoger  Het ICT-risicobeheer en de historisch niveau dalen. beheersingsmaatregelen Aanwijzingen voor voldoen niet aan de mogelijke aanzienlijke vereisten die in de DORA zijn ICT-risico’s, een vastgelegd. complexe/starre/gefragm  Het kader voor het beheer enteerde ICT-architectuur van risico’s van derden is en gemiddelde/hoge ICT- onvolledig/zwak, en gaat risico’s. gepaard met ontoereikende Het niveau van contractuele afspraken. concentratierisico ten  Ontoereikend aanzien van derde bedrijfscontinuïteitsbeheer, dienstverleners is hoog, waaronder met matige tot onbetrouwbare/ondoeltreffe lange/complexe nde/onvolledige onderaannemingsketens. bedrijfscontinuïteits-, De dreigingsintensiteit respons- en herstelplannen. die zou kunnen leiden tot ernstige operationele verstoringen (waaronder ICT-gerelateerde incidenten) van kritieke of belangrijke functies is hoog. De blootstellingen aan operationeel risico betreffen alle belangrijke categorieën. De blootstelling aan operationeel risico is hoog en neemt toe, zoals blijkt uit de scenarioanalyse en de vergelijking met de verliezen van gelijksoortige instellingen. Het niveau van de verliezen die de instelling in de afgelopen paar jaar
en de risicobeheersing.	 	heeft geleden, is hoog, of het risico is significant gestegen. Meerdere aanwijzingen voor significante blootstellingen aan ICT-risico's, zeer complexe/fragiele ICT-architectuur en hoge ICT-risico's. Het niveau van concentratierisico ten

Standpunt van de Overwegingen betreffende Overwegingen voor adequaat Risicoscore toezichthouder inherent risico risicobeheer en risicobeheersing



aanzien van derde dienstverleners is zeer hoog/ernstig, met lange/complexe onderaannemingsketens. De dreigingsintensiteit die zou kunnen leiden tot ernstige operationele verstoringen (waaronder ICT-gerelateerde incidenten) van kritieke of belangrijke functies is zeer hoog/ernstig.

244. De onderstaande tabel bevat een niet-uitputtende lijst van toezichtmaatregelen die bevoegde autoriteiten kunnen nemen in geval van vastgestelde tekortkomingen in het kader voor het beheer van operationele risico’s en de operationele veerkracht van de instelling (rekening houdend met de nauwe verwevenheid van de operationele veerkracht en het beheer van operationele risico’s). De bevoegde autoriteiten dienen de aard van de maatregel te bepalen op basis van de doeltreffendheid ervan voor de specifieke vastgestelde tekortkoming. Bevoegde autoriteiten kunnen aanvullende toezichtmaatregelen (waaronder kwantitatieve maatregelen overeenkomstig artikel 104, lid 1, punt a), van Richtlijn 2013/36/EU) of een combinatie daarvan met de in de onderstaande tabel vermelde maatregelen, toepassen indien deze passender worden geacht om de vastgestelde tekortkomingen aan te pakken. Bij inbreuken op de DORA dienen de bevoegde autoriteiten de toepasselijke corrigerende en herstelmaatregelen in overweging te nemen die zijn vastgelegd in artikel 50 van de DORA.

Tabel 11. Een mogelijke en niet-uitputtende lijst van toezichtmaatregelen die voortvloeien uit de beoordeling van het operationele risico en de operationele veerkracht Potentiële toezichtmaatregelen voor bevoegde autoriteiten overeenkomstig artikel 104, lid 1, punten b), d), e), f), j), l), m) en n), van Richtlijn 2013/36/EU en artikel 50 van Verordening (EU) 2022/2554 – bevoegde autoriteiten kunnen de instelling verplichten: A. het leidinggevend orgaan of diens comités actiever bij besluiten omtrent het beheer van operationeel risico te betrekken; B. systemen voor het meten van operationele risico’s te verbeteren; C. de beheersing van operationele processen te versterken, waaronder identificatie, monitoring, respons en herstel; D. het kader voor operationele governance te verbeteren; E. de rapportage over operationele risico’s aan het leidinggevend orgaan en de directie te verbeteren; F. actieplannen met corrigerende maatregelen te ontwikkelen en uit te voeren om tekortkomingen aan te pakken; G. bepaalde regelingen met derden te beperken, in het bijzonder voor kritieke of belangrijke functies; H. tot het verbeteren van stresstests en scenarioanalyses met betrekking tot operationele risico’s; I. om strengere operationele maatregelen door te voeren; J. de bedrijfscontinuïteits-, respons- en herstelplannen te versterken; K. het operationele risicobeheer met betrekking tot ESG-risico’s, met name milieurisico’s, te verbeteren, eventueel op basis van een of meer van de hierboven genoemde maatregelen.

³² Zie bijlage III voor een niet-uitputtende opsomming van de subcategorieën van operationele risico’s.

³³ EBA-richtsnoeren inzake interne beleidslijnen, procedures en controles ter waarborging van de uitvoering van beperkende maatregelen van de Unie en de lidstaten (EBA/GL/2024/14)

³⁴ Artikel 3, lid 6, van Verordening (EU) 2022/2554

³⁵ Artikel 3, lid 7, van Verordening (EU) 2022/2554

³⁶ Overeenkomstig de DORA moeten deze ten minste het volgende omvatten: het informatiebeveiligingsbeleid, het beleid inzake back-ups, het beleid inzake ICT-middelenbeheer, het beleid inzake versleuteling en cryptografische maatregelen, het beleid inzake het beheer van cryptografische sleutels, het beleid inzake ICT-projectbeheer, het beleid inzake de aanschaf, ontwikkeling en het onderhoud van ICT-systemen, het personeelsbeleid, het beleid inzake fysieke en omgevingsbeveiliging, het beleid inzake het beheer van ICT-gerelateerde incidenten, en het beleid inzake het gebruik van ICT-diensten ter ondersteuning van kritieke of belangrijke functies die worden geleverd door externe ICT-dienstverleners.

³⁷ Gemeenschappelijke richtsnoeren van de Europese toezichthoudende autoriteiten (ETA’s) betreffende samenwerking op het gebied van oversight en informatie-uitwisseling tussen de Europese toezichthoudende autoriteiten en de bevoegde autoriteiten in het kader van Verordening (EU) 2022/2554 (JC/2024/36).

³⁸ Gedelegeerde Verordening (EU) 2024/1772 van de Commissie van 13 maart 2024 tot aanvulling van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad met technische reguleringsnormen tot vaststelling van de criteria voor de classificatie van ICT-gerelateerde incidenten en cyberdreigingen, tot vaststelling van materialiteitsdrempels en tot nadere bepaling van de details van verslagen over ernstige incidenten, C/2024/1519 (PB L, 2024/1772 van 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

1. Overzicht

192. When assessing the operational risk management framework, competent authorities should …

When assessing the operational risk management framework, competent authorities should evaluate inter alia the compliance of the institution with the legal acts published separately on the EBA website as referred to in paragraph 12.

193. Competent authorities should assess operational risk throughout all the business lines and …

Competent authorities should assess operational risk throughout all the business lines and operations of the institution, taking into account findings from the assessment of internal governance arrangements and institution-wide controls as specified in Title 5. In conducting this assessment, competent authorities should determine how operational risk may materialise, also considering the loss data set of the institution and potential impacts from other related risks (e.g. boundary credit-related and market-related operational risk).

194. Competent authorities should assess the materiality of operational risk arising from …

Competent authorities should assess the materiality of operational risk arising from third-party service providers, including concentration (at entity and where relevant at group level) on one or more services provided by a single third-party service provider (directly or indirectly through subcontracting chains) or a limited number of third-party providers supporting institution’s critical or important functions, and whether these could affect the institution’s operational resilience, performance and risk management. When carrying out this assessment, competent authorities should take into account the extent to which the same third-party service providers are relied upon by other institutions, where such information is available to them.

195. When assessing operational risk, competent authorities should assess ICT risk, pursuant to …

When assessing operational risk, competent authorities should assess ICT risk, pursuant to DORA, and its potential impact on the institution’s critical or important functions, including any potential financial, reputational, regulatory and strategic impact to the institution.

196. Competent authorities should assess whether the institution has an adequate operational …

Competent authorities should assess whether the institution has an adequate operational resilience approach to be able to withstand, adapt to and recover from disruptions when they materialise and whether this has been adequately and consistently aligned with the existing risk management framework, business continuity plans and third-party management.

197. When assessing operational risk, competent authorities should assess, if applicable, whether …

When assessing operational risk, competent authorities should assess, if applicable, whether the institution’s policies and procedures identify, evaluate and manage appropriately the operational risks arising from crypto-assets activities and their supporting technology.

198. Competent authorities should assess reputational risk jointly with operational risk as it is …

Competent authorities should assess reputational risk jointly with operational risk as it is inherently linked to operational risk events. However, the outcome of reputational risk assessment should not be reflected in the scoring of operational risk but, where relevant, should be considered as part of the BMA and/or the liquidity risk assessment, as its main effects can deteriorate investors’, depositors’ or interbank-market participants’ confidence to the institution.

199. Competent authorities should assess the impact of ESG risks on the inherent operational and …

Competent authorities should assess the impact of ESG risks on the inherent operational and reputational risks as well as the adequacy of the operational risk and reputational risk controls related to ESG risks, giving priority to environmental physical and transition risks. In particular, competent authorities should consider environmental risks and greenwashing risks when carrying out the assessment of legal risk and reputational risk.

6.4.2. Assessment of inherent operational risk

200. Competent authorities should develop a thorough understanding of the institution’s inherent …

Competent authorities should develop a thorough understanding of the institution’s inherent operational risk exposures and evaluate the significance of the prudential impact of this risk for the institution as well as the impact on its ability to deliver critical or important functions through disruption.

201. To support this assessment, competent authorities should consider the own funds requirement …

To support this assessment, competent authorities should consider the own funds requirement for operational risk compared to the total own funds requirement, and where relevant the internal capital allocated for operational risk by the institution compared to the total internal capital. Moreover, competent authorities should leverage the knowledge gained from the assessment of other SREP elements (in particular from Title 4 and Title 5), from the comparison with peers, from any other supervisory activities including the input from the AML/CFT supervisors and market surveillance authorities and from other relevant information sources.

202. Competent authorities should consider at minimum key operational risk factors, potential …

Competent authorities should consider at minimum key operational risk factors, potential disruptive scenarios, and where relevant, analyse them by business line, legal entity, geography, and event type category (subject to data availability) and benchmark the institution’s position against its peers. These factors should at least cover the institution’s main strategy for operational risk and operational risk appetite, business environment (including geographical presence, ICT operations, and distribution channels), recent significant corporate events (such as mergers, acquisitions, disposals and restructuring), ICT systems and other ICT-related aspects as per section 6.4.2.3, process changes, third-party arrangements, regulatory compliance issues, business ambitions and incentive schemes and other key operational risk drivers.

Nature and significance of operational risk exposures

203. Competent authorities should determine the nature of operational risk exposures by analysing …

Competent authorities should determine the nature of operational risk exposures by analysing exposures to the main sources and drivers of operational risk to form a forward-looking view on prospective operational risk. For this analysis, competent authorities:

a. may consider the operating model, business lines, products, processes and geographies relevant to the institution, assessment of dependencies and operational risk exposures to primary risk drivers (e.g. processes, people, systems and external factors) and interactions of risk drivers, leveraging the institution’s self-risk assessment, peer analysis, data and public and/or consortium databases, if available and relevant;
b. should consider both the frequency and the severity of the events to which the institution is exposed and distinguish those causing high-severity losses and those occurring with high frequencies. Based on this distinction, competent authorities should assess the trends of operational risk losses and their concentration; and
c. should leverage scenario analyses and consider planned business operations and prospective operational risk analyses performed by the institution, where available, taking into account any corrective measures and mitigation actions already implemented and effective.

204. Following the identification and analysis of the major sources and drivers of operational …

Following the identification and analysis of the major sources and drivers of operational risk, competent authorities should focus on those with the most material potential impact to the institution.

205. A primary source of information competent authorities should consider it is the institution’s …

A primary source of information competent authorities should consider it is the institution’s loss and event data set as it can provide valuable insights on the evolution of the institution’s operational risk profile. Competent authorities should periodically assess the comprehensiveness, accuracy and quality of the loss data. Another source of information should be the institution’s records of all ICT-related incidents and significant cyber threats (as per Article 17(2) of DORA) and the identified sources of ICT risk (as per Article 8(2) of DORA).

Assessment of operational risk sub-categories

206. Competent authorities should focus the assessment of operational risk sub-categories to those …

Competent authorities should focus the assessment of operational risk sub-categories to those which are considered material to the institution. Competent authorities should also apply their expert judgement to identify significant sub-categories, based on all available internal and external information sources. In conducting the assessment, competent authorities should always pay attention to the following aspects of operational risk⁴¹ :

a. legal risk;
b. model risk;
c. ICT risk.

6.4.2.1. Legal risk

⁴¹ Please refer to Annex III for a non-exhaustive breakdown of operational risk sub-categories.

207. Competent authorities should consider the following when assessing the relevance and …

Competent authorities should consider the following when assessing the relevance and significance of the institution’s exposures to legal risk:

a. mis-selling of products or services;
b. conflicts of interest in conducting business;
c. manipulation of benchmark interest rates, foreign exchange rates or any other financial instruments or indices;
d. barriers to switching financial products during their lifetime and/or to switching financial service providers;
e. automatic renewals of products or exit penalties; and/or
f. customer complaints processing;
g. violation of national and international rules and regulations (tax rules, internal fraud or internal theft, anti-money laundering rules, anti-terrorism rules and economic sanctions);
h. ESG-related, in particular environment-related and greenwashing-related, litigation exposures.

208. Competent authorities should consider whether the institution may occur any expenses, fines …

Competent authorities should consider whether the institution may occur any expenses, fines, penalties or punitive damages from legal proceedings and the number and content of complaints. The outcomes of the Title 4 assessment should be also leveraged, along with scrutinising the incentive policies, to obtain high-level insights into sources of potential misconduct. In this context, competent authorities should also consider whether the institution has in place adequate and effective systems and processes to implement and comply with restrictive measures (e.g. sanctions), including assessing institution’s compliance with the EBA Guidelines on internal policies, procedures and controls⁴² .

⁴² EBA Guidelines on internal policies, procedures and controls to ensure the implementation of Union and national restrictive measures (EBA/GL/2024/14)

209. However, the competent authority should apply a forward-looking approach, also considering the …

However, the competent authority should apply a forward-looking approach, also considering the possible impact of regulatory developments and the activity of relevant authorities in respect of consumer protection and the supply of financial services in general.

6.4.2.2. Model risk

210. Under the operational risk, competent authorities should assess model risk, with specific …

Under the operational risk, competent authorities should assess model risk, with specific regard to internal non-regulatory models (e.g. AI models, product pricing, setting and monitoring risk limits, ICAAP/ILAAP models, recovery options).

211. For the assessment of model risk, competent authorities should consider: a. to what extent and …

For the assessment of model risk, competent authorities should consider:

a. to what extent and for which purposes the institution uses models to make decisions and the business significance of such decisions. Competent authorities should determine the business/activity for which the institution makes significant use of models and assess the potential impact of model risk through, amongst others, sensitivity and scenario analyses or stress testing; and
b. the soundness of control mechanisms (in terms of methods, frequency, follow-up, etc.), including a model approval process, regular reviews performed and the institution’s level of awareness of model deficiencies or market and business developments.

212. When models are used for decision-making purposes (e.g. product pricing, AI models, evaluation …

When models are used for decision-making purposes (e.g. product pricing, AI models, evaluation of financial instruments, client profiling), competent authorities should assess whether there is a sound internal validation process and/or model-review process to identify and mitigate model risk (other than regulatory models).

213. When conducting the model risk assessment, competent authorities should consider the …

When conducting the model risk assessment, competent authorities should consider the assessment of other risks to capital and risks to liquidity and funding, in particular with respect to the adequacy of methodologies used for measuring risk, pricing and evaluating assets and/or liabilities. The results of such an assessment should inform the findings on operational risk.

6.4.2.3. ICT risk - Assessment of inherent ICT risk

Identification of material ICT risks

214. In line with DORA, competent authorities should review the institution’s identification …

In line with DORA, competent authorities should review the institution’s identification, classification and documentation of all ICT supported business functions, roles and responsibilities, the information assets⁴³ and ICT assets⁴⁴ supporting those functions, and their roles and dependencies in relation to ICT risk. This review should assist competent authorities to develop a thorough understanding of the institution’s inherent ICT risk exposures (ICT risk profile), identify its material inherent ICT risk and form an opinion on its prudential impact. For this purpose, competent authorities should consider at least the following, where relevant and applicable:

a. report on the review of ICT risk management framework (as per Article 6(5) of DORA);
b. sources of ICT risk, in particular the risk exposure to and from other financial entities, identified by the institution under Article 8(2) of DORA;
c. major ICT-related incidents reported (as per Article 19(1) of DORA), including the trend of aggregated annual costs and losses caused by major ICT-related incidents (as per Article 11(10) of DORA);
d. outcomes of the tests envisaged in the digital operational resilience testing programme (as per Article 24 of DORA)), including summary of the threat-led penetration testing (TLPT) findings and related remediation plans (as per Article 26(6) of DORA);
e. register of information (as per Article 28(3) of DORA), including degree of concentration on ICT third-party service providers, including ICT intra-group providers, per type of ICT services and/or ICT systems;
f. recommendations and opinions from the Lead Overseers (as per Article 40(3) and Article 42(7) of DORA) and related responses, reports and information from critical ICT third-party service providers (as per Article 35(1)(c), Article 42(1) and Article 48(2) of DORA);
g. level of complexity of ICT systems and results of ICT risk assessment on legacy ICT systems (as per Article 8(7) of DORA);
h. risk assessment on major changes (as per Article 8(3) of DORA);
i. level of adoption and integration of innovative ICT solutions;
j. locations, namely the regions or countries, of data centres and sensitive designated areas, including where contractual ICT services are provided by ICT third-party service providers, also covering data processing and storage location;
k. any related material deficiencies or weaknesses identified under Title 5;
l. ICT risk and controls self-assessments (if provided in the ICAAP information);
m. ICT risk-related management information submitted to the institution’s management body;
n. ICT-related internal and external audit findings;
o. external threat environment, including threat and vulnerability intelligence.

Review of ICT systems and ICT services

⁴³ Article 3(6) of Regulation (EU) 2022/2554

⁴⁴ Article 3(7) of Regulation (EU) 2022/2554

215. Competent authorities should review the institution’s relevant documentation, methodology and …

Competent authorities should review the institution’s relevant documentation, methodology and processes, and form an opinion on whether the institution has appropriately identified the ICT systems and ICT services that support critical or important functions. For this purpose, competent authorities should consider:

a. ICT systems supporting critical or important functions as well as the critical information assets and ICT assets identified by the institution (as per Article 8 of DORA);
b. key processes dependent on ICT third-party service providers, including interconnections with ICT third-party service providers that support critical or important functions, identified by the institution (as per Article 8.5 of DORA).

Identification and mapping of material ICT risks to ICT systems and ICT services that support critical or importance functions

216.Following the review of the institution’s dependency on information assets and ICT assets, ICT risk profile, ICT systems and ICT services, competent authorities should form an opinion on the material ICT risks that can have a significant prudential impact on the institution’s ICT systems and services that support critical or important functions and a significant impact on its ability to operate under disruption. For this purpose, competent authorities should consider:

a. financial loss, including potential customer compensation, legal and remediation costs, contractual damages, costs and lost revenue;
b. potential for business disruption, considering (but not limited to) the criticality of the services affected, including institution’s transactions and operations (including third-party dependencies), the number of clients and/or financial counterparts and/or branches and employees potentially affected;
c. potential data losses;
d. potential reputational impact;
e. potential regulatory impact, including the potential for public censure, fines or even variation of permissions;
f. potential strategic impact on the institution;
g. potential geographical spread.

217. Competent authorities should then map the identified material ICT risk into the ICT risk …

Competent authorities should then map the identified material ICT risk into the ICT risk categories set out in Annex III. Institutions are expected to maintain their own categorisation rather than using the one set out in the Annex.

6.4.3. Assessment of operational risk management and control framework

218. Competent authorities should assess the framework and arrangements the institution has in …

Competent authorities should assess the framework and arrangements the institution has in place to manage and control operational risk taking into account the outcome of the analysis of the overall risk management and internal control framework addressed in Title 5, as this will influence the institution’s operational risk exposures. Regarding ML/TF risk, the competent authority should take into account the assessment provided by the AML/CFT supervisor.

Operational risk strategy and appetite

219. Competent authorities should assess whether the institution has a sound, clearly formulated …

Competent authorities should assess whether the institution has a sound, clearly formulated and documented operational risk strategy and appetite level approved by the management body, which outlines the nature, types and levels of operational risk the institution is willing to assume. For this assessment, among other factors, competent authorities should take into account the role of the management body in setting, approving, implementing and reviewing the operational risk strategy and appetite (including ICT risk appetite and digital operational resilience strategy), the strategy’s sufficient coverage and appropriateness with respect to the nature and materiality of the institution’s operational risk profile.

Organisational and internal control framework

220. Competent authorities should assess the institution’s compliance with Article 323 of the …

Competent authorities should assess the institution’s compliance with Article 323 of the Regulation (EU) No 575/2013. In this assessment, competent authorities should evaluate the soundness and effectiveness of the organisational framework and governance arrangements to enable effective operational risk management, measurement and control, with sufficient human and technical resources to carry out the required tasks. Competent authorities should take into account whether clear lines of responsibility are in place for the identification, evaluation, mitigation, monitoring and reporting of operational risk as well as adherence to the three lines of defence model.

221. Competent authorities should assess whether the institution has a strong control framework and …

Competent authorities should assess whether the institution has a strong control framework and sound safeguards to mitigate its operational risk, including appropriate policies and procedures, covering also residual risk, and whether these are consistent with the institution’s operational risk management appetite and strategy and cover all the key operations and processes. This includes, amongst others, the assessment of whether these policies and procedures are clearly formalised, communicated and applied consistently across the institution.

222. Competent authorities should also assess the functionality of the internal audit function in …

Competent authorities should also assess the functionality of the internal audit function in terms of adequacy, scope and frequency of internal audits on the operational risk management framework.

Business continuity, response and recovery

223. Competent authorities should assess the institution’s compliance with the (i) EBA Guidelines …

Competent authorities should assess the institution’s compliance with the (i) EBA Guidelines on Internal Governance in relation to the overall business continuity management and with the (ii) DORA in relation to the ICT business continuity policy and ICT response and recovery plans. In this regard, competent authorities should determine whether ICT business continuity policy and ICT response and recovery plans form an integral part of the institution’s overall business continuity policy and response and recovery plan.

224. Competent authorities should assess whether the institution has established effective business …

Competent authorities should assess whether the institution has established effective business continuity management with tested business continuity, response and recovery plans covering at least its critical or important functions, including those contracted to third-party providers, and whether these consider a range of severe but plausible scenarios to which the institution may be vulnerable. Competent authorities should also assess whether the institution’s business continuity policy enables appropriate response and recovery measures to any type of incident.

225. Competent authorities should determine whether the institution’s business continuity …

Competent authorities should determine whether the institution’s business continuity management includes:

a. Business Impact Analysis (BIA);
b. appropriate recovery strategies incorporating key internal and external dependencies and clearly defined recovery priorities and resilience levels;
c. comprehensive and flexible plans to deal with plausible disruptive scenarios, which are established based on the BIA and in coordination with internal and external stakeholders;
d. plans that establish contingency strategies and response and recovery procedures;
e. effective testing of the design and operational effectiveness of the plans;
f. BCM awareness and training programmes;
g. communications plans for informing management and all relevant stakeholders, and crisis-management documentation, measures and a crisis management function where applicable (as per Article 11(7) of DORA).

226. Competent authorities should assess whether the institution’s business continuity, response …

Competent authorities should assess whether the institution’s business continuity, response and recovery plans:

a. establish roles and responsibilities, including clear guidance on potential succession, and set out the internal decision-making process along with definition of activation triggers;
b. are reviewed to ensure contingency strategies remain consistent with current operations, risks and threats, resilience levels, and recovery objectives and priorities;
c. prioritise business continuity actions using risk-based approach;
d. are tested regularly to ensure that recovery objectives and timeframes can be met; and
e. are inclusive of the testing of services provided by third-party service providers, where applicable;

227. Competent authorities should also assess whether testing results are documented and reported …

Competent authorities should also assess whether testing results are documented and reported to the management body.

Assessment of ICT risk management framework

228. Competent authorities should assess the institution’s compliance with the DORA and the EBA …

Competent authorities should assess the institution’s compliance with the DORA and the EBA Guidelines on Internal Governance in relation to the internal governance and organisation of the management of ICT risk. Competent authorities should form a view on whether the institution’s management body is held overall accountable for managing ICT risk and appropriately defines, approves and oversees the implementation of all ICT-related arrangements. Competent authorities should consider whether the members of the management body possess sufficient knowledge and skills to understand and assess ICT risk and its impact on the institution’s operations.

229. Competent authorities should assess how the roles and responsibilities for all ICT-related …

Competent authorities should assess how the roles and responsibilities for all ICT-related functions and the established governance arrangements are embedded and integrated in the institution’s internal control and governance framework to manage ICT risk. For this purpose, competent authorities should consider whether the institution has effectively assigned the responsibility for managing and overseeing ICT risk to an independent control function that has direct access and can report directly to the management body in its supervisory function, and assess whether the institution demonstrates:

a. clear communication, allocation and integration of roles and responsibilities in all ICT-related functions, including ICT supported business functions, and processes;
b. sufficient and appropriate budget to fulfil digital operational resilience in terms of all types of resources, including relevant awareness programmes, training, and ICT skills for all staff (as per Article 5(2)(g) of DORA);
c. adequate follow-up and response by the management body on critical ICT audit findings and findings reported under Article 13(5) of DORA.

230. Competent authorities should develop a thorough understanding of the institution’s ICT risk …

Competent authorities should develop a thorough understanding of the institution’s ICT risk management framework and assess whether the institution has in place sufficient and appropriate strategies, policies, procedures, ICT protocols and tools, including tolerance levels, to address effectively, efficiently and comprehensively the material ICT risk in line with DORA. For this purpose, competent authorities should consider, where applicable:

a. appropriateness and effectiveness of institution’s ICT risk management policies⁴⁵ , processes and procedures, covering inter alia ICT third-party management, ICT-related incident detection and response, ICT assess management, encryption and cryptography, ICT operations security, network security, access control, and whether these have been approved by the management body and communicated to all relevant stakeholders (as per Article 14 of DORA);
b. appropriateness of institution’s risk tolerance level of ICT risk and the impact tolerance for ICT disruptions (as per Article 6(8)(b) of DORA);
c. appropriateness and implementation of the institution’s digital operational resilience strategy, including its alignment with the business strategy;
d. consistency of the strategy on ICT third-party risk, including the ICT multi-vendor strategy, where available, with the overall business strategy and ICT risk management framework;
e. residual risk from the institution’s identified risks in respect to contractual arrangements on the use of ICT services supporting critical or important functions;
f. residual risk from the institution’s identified risks on ICT projects impacting critical or important functions reported to the management body, and also on ICT systems acquisitions, development and maintenance and ICT changes;
g. soundness and comprehensiveness of digital operational resilience testing programme;
h. trend and magnitude of major ICT-related incidents and findings reported to the management body as per Article 17(3)(e) and Article 13(5) of DORA;
i. ICT risk controls specific for the identified material ICT risk;
j. timely reporting of ICT risk management aspects to the management body and senior management;
k. internal audit coverage and findings.

⁴⁵ In accordance with DORA, these should include at least the information security policy, backup policies, ICT asset management policy, encryption and cryptographic controls policy, cryptographic key management policy, ICT project management policy, acquisition, development, and maintenance of ICT systems policy, human resources policy, physical and environmental security policy, ICT-related incident management policy, policy on the use of ICT services supporting critical or important functions provided by ICT third-party service providers.

231. When assessing ICT risk management, competent authorities should pay particular attention to …

When assessing ICT risk management, competent authorities should pay particular attention to ICT third-party risk management, including the institution’s concentration level to ICT third-party service providers. For this purpose, competent authorities should ensure close cooperation with the Lead Overseers of critical ICT third-party providers (CTPPs), in accordance with the ESAs’ Joint Guidelines⁴⁶ , in case the institution under assessment receives ICT services from a CTPP. Competent authorities should also review the effectiveness of the dedicated role established by the institution, or the designated member of senior management, on the monitoring of ICT third-party arrangements.

⁴⁶ ESAs’ Joint Guidelines on the oversight cooperation and information exchange between the ESAs and the competent authorities under Regulation (EU) 2022/2554 (JC/2024/36).

232. Competent authorities should consider whether the internal audit function is effective and …

Competent authorities should consider whether the internal audit function is effective and possesses sufficient knowledge, skills and expertise to audit institution’s ICT risk management framework, by reviewing whether:

a. the ICT risk management framework is audited with the required quality, focus and frequency, and is commensurate to the ICT risk profile of the institution;
b. the audit plan includes audits on the material ICT risks identified by the institution, including independent reviews of ICT response and recovery plans;
c. critical ICT audit findings are timely verified and remediated, including reporting to the management body;
d. ICT audit findings, including agreed actions, are formally followed up and progress reports periodically reviewed by the senior management and/or the audit committee.

6.4.4. Assessment of reputational risk

233. Competent authorities should assess the reputational risk to which the institution is exposed …

Competent authorities should assess the reputational risk to which the institution is exposed by leveraging the understanding gained from Title 4 to Title 6.2. Such an assessment should also focus on the overall reputational risk framework, ensuring the ability of the institution to effectively manage any reputation events. For this assessment, competent authorities should avoid double counting aspects already considered under the assessment of legal risk (section 6.4.2.1).

234. When assessing the relevance of reputational risk, competent authorities should consider the …

When assessing the relevance of reputational risk, competent authorities should consider the size of the institution as well as the nature, scale and complexity of their services, activities and operations (for example, listed equities or debts or participation in interbank markets).

235. Competent authorities should consider both internal and external factors or events that might …

Competent authorities should consider both internal and external factors or events that might give rise to reputational concerns, excluding events that result in legal proceedings. For Category 1 and Category 2 institutions, competent authorities should consider all the following indicators in their assessment:

a. negative media/social media coverage and consumer-association initiatives that could deteriorate the public perception and reputation of the institution;
b. the number of and changes in customer complaints or sudden loss of customers or investors;
c. negative events relating to the institution’s peers that the public could associate with the whole financial sector or a group of institutions;
d. the reputation of individuals involved in the management of the institution or with qualifying shareholdings;
e. involvement or operation in sectors or jurisdictions highly exposed to ML/TF or with individuals associated with high risk from an ML/TF perspective;
f. involvement or operation in sectors or jurisdictions and/or with counterparties highly exposed to material issues or public controversies related to ESG factors, including but not necessarily limited to environmental factors;
g. the reputational impact of ICT-related incidents as recorded by the institution in accordance to the Commission Delegated Regulation (EU) 2024/1772⁴⁷ ;
h. other ‘market’ indicators, if available (e.g. rating downgrades or changes in the share price throughout the year).

⁴⁷ Commission Delegated Regulation (EU) 2024/1772 of 13 March 2024 supplementing Regulation (EU) 2022/2554 of the European Parliament and of the Council with regard to regulatory technical standards specifying the criteria for the classification of ICT-related incidents and cyber threats, setting out materiality thresholds and specifying the details of reports of major incidents, C/2024/1519 (OJL, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

236. Competent authorities should assess the significance of the institution’s reputational risk …

Competent authorities should assess the significance of the institution’s reputational risk exposure and its interconnectedness with the other risks by leveraging the relevant risk assessments (including from other supervisory authorities) to identify any possible secondary effects in either direction.

237. In the context of the operational risk analysis, competent authorities should take into …

In the context of the operational risk analysis, competent authorities should take into account the relevance and significance of the institution’s exposures to ML/TF risk from a prudential perspective under the scope of operational risk. In this respect, competent authorities should use the relevant input received from AML/CFT supervisors to supplement their findings from ongoing supervision and evaluate whether they give rise to prudential concerns related to ML/TF risk.

238. Competent authorities should bear in mind that any institution can be exposed to ML/TF risk …

Competent authorities should bear in mind that any institution can be exposed to ML/TF risk regardless of the institution’s size or financial soundness. Therefore, sufficient attention should also be paid to institutions that are perceived to be financially sound and may have a good reputation given that these institutions might be specifically targeted for ML/TF purposes. Attention should also be paid to institutions that are very successful in attracting new customers/expanding market share – especially by using non-traditional distribution channels

- since this could be related to weak customer due diligence controls at the onboarding phase.

239. Competent authorities should share relevant information on operational risk issues identified …

Competent authorities should share relevant information on operational risk issues identified that can give rise to ML/TF risks, risks of non-implementation and evasion of targeted financial sanctions and concerns such as deficiencies in the institutions’ ICT system or internal control framework with AML/CFT supervisors.

240. Competent authorities should assess whether the institution has implemented adequate …

Competent authorities should assess whether the institution has implemented adequate arrangements, strategies, processes and mechanisms to manage reputational risk. In particular, competent authorities should take into account whether:

a. the institution has formalised policies and processes in place for the identification, management and monitoring of this risk, including a robust code of conduct, and whether these policies and processes are proportionate to its size and its relevance in the system;
b. the institution addresses this risk in a precautionary manner, including putting in place appropriate metrics and monitoring tools, coverage of potential reputation issues in contingency plans, conducting relevant training and awareness sessions and leveraging lessons learned;
c. the institution conducts stress testing or scenario analysis to assess any secondary effects of reputational risk (e.g. liquidity and funding costs, securitisation transactions, access to correspondent banking service);
d. the institution acts to protect its brand through tools to monitor media/social media, protocols to address misinformation and adverse publicity as well as prompt communication campaigns;
e. the institution considers the potential impact of its strategy and business plans, and more generally of its behaviour, on its reputation.

6.4.5. Operational resilience

241. Competent authorities should form a holistic view on the ability of the institution to deliver …

Competent authorities should form a holistic view on the ability of the institution to deliver critical or important functions through disruption (level of operational resilience), an outcome that benefits from the effective management of operational risk, taking into account the institution’s size, business model and overall risk profile. For this purpose, competent authorities should leverage on their existing assessments on operational risk management, business continuity, change management capabilities, third-party services and the ICT upon which the institution relies to holistically evaluate whether these elements collectively support the institution’s operational resilience. Competent authorities should also consider whether the institution implements its risk management framework, business continuity plans, third-party management (already assessed in the context of DORA and EBA Guidelines issued pursuant to Article 74(3) of Directive 2013/36/EU on internal governance arrangements, processes and mechanisms) and recovery and resolution frameworks in a consistent and coordinated manner. Moreover, competent authorities should consider whether the institution has sufficiently mapped the internal and external interconnections and interdependencies that are needed to deliver its critical or important functions.

242. Competent authorities should consider the attention given by the management body and senior …

Competent authorities should consider the attention given by the management body and senior management on the institution’s ability to respond to and recover from disruptions under the assumption that failures will occur. For this purpose, competent authorities should consider whether:

a. the management body takes an active role in establishing a broad understanding of the operational resilience approach across the institution and in monitoring the effectiveness of the institution’s operational resilience approach;
b. timely reporting on the institution’s ongoing operational resilience is provided in support of the management body’s oversight, particularly when major identified deficiencies could affect the delivery of the institution’s critical or important functions.

6.4.6. Summary of findings, scoring and supervisory measures

243. Following the above assessment, competent authorities should form a view on the institution’s …

Following the above assessment, competent authorities should form a view on the institution’s operational risk. This view should be reflected in a summary of findings, accompanied by a risk score based on the considerations specified in table 10. Where, based on the materiality of certain risk sub-categories, the competent authority decides to assess and score them

individually, the guidance analogy.

provided in this table should be

applied,

as far as possible, by

Table 10. Supervisory considerations for assigning an operational risk score

Risk Supervisory score view	• •	Considerations in relation to inherent risk Operational risk exposures are • limited to a few high-frequency/low-severity impact categories. The significance of the exposure to operational risk is •	Considerations adequate There is consistency the institution’s policy and overall strategy appetite. The organisational	in relation to management and controls between operational risk strategy and its and risk framework
There risk significant of is a low		not shown compared peers. material/very by scenario with the low, analysis losses as of and	for with clear between operational clear separation	risk-takers responsibilities risk of tasks is and robust and a
prudential impact on the 1 institution considering the	•	The level of gross losses (before recoveries and including losses on operational credit portfolio risk) experienced caused by •	management functions. Operational includes all	and control relevant risk framework risks.
level of inherent risk and the management	•	by the institution in recent • years has been not material/very low or has decreased No significant from ICT a risk higher level. •	Operational monitoring systems are The control	risk measurement, and reporting appropriate. framework for
and controls.	•	exposures, simple/resilient/agile ICT • architecture and no material/very low ICT risks. The level of concentration risk towards third-party service • providers is low, with simple subcontracting chains.	operational ICT risk management controls are respect to out in DORA. Third-party framework effective, Considerations	risk is sound. and adequate with the requirements set risk management is sound and along with in relation to
Risk Supervisory score view	• • •	Considerations in relation to inherent risk The threat intensity that could result into major operational disruption (including ICT- • related incidents) of critical or important functions is low. Operational risk exposures are mainly in high-frequency/low-severity impact categories. The significance of the exposure to operational risk is low to medium, as shown by scenario analysis and compared	adequate appropriate arrangements. Effective continuity including continuity, recovery	management and controls contractual and sound business management, tested business response and plans.
There is a medium-low risk of significant prudential	•	with the losses of peers. The level of gross losses experienced by the institution in recent years has been low to medium, or is expected to increase from a lower historic
impact on the 2 institution considering the level of inherent risk and the management and controls.	• • •	level or decrease from a higher historic level. Low ICT risk exposures, moderately complex/partially constrained ICT architecture and low/medium ICT risks. The level of concentration risk towards third-party service providers is medium, with moderate subcontracting chains. The threat intensity that could result into major operational disruption (including ICT-related incidents) of critical or important functions is medium.
There medium-high risk significant of is a	• •	Operational extend frequency/high-severity categories. The significance to some risk low- of exposures the impact •	The institution’s policy overall appetite consistency and strategy	is strategy not operational sufficiently and between and risk its risk the
prudential impact on the 3 institution considering the level of inherent risk and the management	•	exposure to operational risk is medium to high, as shown by • scenario analysis and compared with the losses of peers. The level of gross losses • experienced by the institution in recent years has been medium to increase to high, from a or lower is expected •	developed The organisational for operational sufficiently Operational does not risks. Operational	or even inadequate. framework risk is not robust. risk framework include all relevant risk measurement,
and controls.		historic level or decrease from a higher historic level.	monitoring systems are Considerations	and reporting inappropriate. in relation to
Risk Supervisory score view	• • • • •	Considerations in relation to inherent risk Indications of possible • significant ICT risk exposures, complex/rigid/fragmented ICT • architecture and medium/high ICT risks. The level of concentration risk towards third-party service • providers is high, with moderate to long/complex subcontracting chains. The threat intensity that could • result into major operational disruption (including ICT-related incidents) of critical or important functions is high. Operational risk exposures extend to all main categories. The significance of the exposure to operational risk is high and increasing, as shown by scenario analysis and	adequate The control operational ICT risk management controls are respect to out in DORA. Third-party framework along with contractual Inadequate management, unreliable/ineffective/incomple te business and recovery	management and controls framework for risk is tenuous. and not compliant with the requirements set risk management is incomplete/weak, inadequate arrangements. business continuity including continuity, response plans.
There is a high risk of	•	compared with the losses of peers. The level of gross losses
significant prudential impact on the institution 4 considering the level of inherent risk and the management and controls.	• • •	experienced by the institution over the last few years has been high, or risk has significantly increased. Multiple indications of significant ICT risk exposures, highly complex/fragile ICT architecture and high ICT risks. The level of concentration risk towards third-party service providers is very high/severe, with long/complex subcontracting chains. The threat intensity that could result into major operational disruption (including ICT-related incidents) of critical or important functions is very high/severe.

244. The table below presents a non-exhaustive list of supervisory measures that competent …

The table below presents a non-exhaustive list of supervisory measures that competent authorities may take in case of identified deficiencies in the institution’s operational risk management framework and operational resilience (taking into account the close interconnection of operational resilience and operational risk management). Competent authorities should decide on the type of the measure based on its effectiveness to the specific identified deficiency. Competent authorities may apply additional supervisory measures (including quantitative measures in accordance with Article 104(1)(a) of the Directive 2013/36/EU) or a combination of these with the ones listed in the table below, if these are deemed more appropriate to address the identified deficiencies. For breaches of DORA, the competent authorities should consider the applicable corrective and remedial measures provided in Article 50 of DORA.

Table 11. Potential and non-exhaustive list of supervisory measures stemming from the assessment of operational risk and operational resilience Potential supervisory measures for competent authorities in accordance with Article 104(1), points (b), (d), (e), (f), (j), (l), (m), and (n) of Directive 2013/36/EU and Article 50 of Regulation (EU) 2022/2554 – Competent authorities may require the institution to: A. involve the management body or its committees more actively in operational risk management decisions; B. improve operational risk measurement systems; C. strengthen controls on operational processes, including identification, monitoring, response and recovery; D. improve the operational governance framework; E. enhance operational risk reporting to the management body and senior management; F. develop and implement corrective action plans to address deficiencies; G. limit certain third-party arrangements, in particular for critical or important functions; H. enhance stress testing and scenario analysis of operational risk; I. implement stronger operational measures; J. enhance business continuity, response and recovery plans; K. enhance operational risk management related to ESG risks, in particular environmental risks, potentially based on one or several actions listed above.

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

Eisen
Bron	Eis

3. Gerelateerde standaarden

Standaarden
Bron	Eis

EBA -
EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.