9 Risicocultuur

Een solide, zorgvuldige en consistente risicocultuur dient een belangrijk element te zijn van doeltreffend risicobeheer van instellingen en dient instellingen in staat te stellen gedegen en geïnformeerde besluiten te nemen.

Instellingen dienen een geïntegreerde en organisatiebrede risicocultuur te ontwikkelen die berust op volledig inzicht in en een holistisch perspectief op de risico’s die zij lopen en de manier waarop zij deze risico’s beheren met inachtneming van de risicobereidheid van de instelling.

Instellingen dienen een risicocultuur te ontwikkelen aan de hand van beleid, communicatie en opleiding van personeel inzake de activiteiten, de strategie en het risicoprofiel van instellingen, en hun communicatie en personeelsopleiding af te stemmen op de verantwoordelijkheden van het personeel als het gaat om het nemen en beheren van risico’s.

Personeelsleden dienen zich volledig bewust te zijn van hun verantwoordelijkheden op het gebied van risicobeheer. Risicobeheer behoort niet uitsluitend een taak van risicospecialisten of werknemers in een interne controlefunctie te zijn. De verantwoordelijkheid voor het dagelijks risicobeheer in overeenstemming met het beleid, de procedures en controles van de instelling, rekening houdend met de risicobereidheid en -draagkracht van de instelling dient in hoofdzaak bij de bedrijfseenheden te berusten, waarbij het leidinggevend orgaan toezicht uitoefent.

Een sterke risicocultuur dient het volgende te omvatten, zonder daartoe beperkt te zijn:

• a. Toon aan de top: het leidinggevend orgaan is verantwoordelijk voor het vaststellen en communiceren van de kernwaarden en verwachtingen van de instelling. De leden dienen deze waarden in hun gedrag tot uiting te brengen. Het bestuur van instellingen, waaronder de medewerkers met een sleutelfunctie, dient bij te dragen aan de interne communicatie van kernwaarden en verwachtingen naar het personeel. Personeelsleden dienen in overeenstemming met alle toepasselijke wet- en regelgeving te handelen en direct melding te doen van waargenomen niet-naleving binnen of buiten de instelling (bijv. aan de bevoegde autoriteit middels een klokkenluidersprocedure). Het leidinggevend orgaan dient voortdurend de risicocultuur van de instelling te bevorderen, bewaken en beoordelen; rekening te houden met het effect van de risicocultuur op de financiële stabiliteit, het risicoprofiel en de solide governance van de instelling; en waar nodig wijzigingen door te voeren.
• b. Verantwoording: relevante personeelsleden op alle niveaus dienen de kernwaarden van de instelling en, voor zover noodzakelijk voor hun functie, haar risicobereidheid en risicodraagkracht te kennen en te begrijpen. Zij dienen in staat te zijn om hun functies uit te oefenen en zich ervan bewust te zijn dat ze verantwoording dienen af te leggen voor hun acties ten aanzien van het risicogedrag van de instelling.
• c. Doeltreffende communicatie en kritiek: een goede risicocultuur dient een klimaat van open communicatie en het daadwerkelijk ter discussie stellen van zaken waarin besluitvormingsprocessen de aanzet vormen tot een brede reeks standpunten, te bevorderen, de gelegenheid te bieden bestaande praktijken te toetsen, een constructieve kritische houding onder het personeel aan te wakkeren, en een open en constructieve betrokkenheid in de hele organisatie te bevorderen.
• d. Stimulansen: passende stimulansen dienen een essentiële rol te spelen in het afstemmen van risicogedrag op het risicoprofiel van de instelling en haar langetermijnbelangen²⁷ .

²⁷ Zie ook de EBA-richtsnoeren betreffende een beheerst beloningsbeleid overeenkomstig artikel 74, lid 3, en artikel 75, lid 2, van Richtlijn 2013/36/EU en openbaarmaking overeenkomstig artikel 450 van Verordening (EU) nr. 575/2013 (EBA/GL/2015/22), beschikbaar op .