17 Het kader voor risicobeheer

Instellingen behoren als onderdeel van het algehele kader voor interne controle over een holistisch, instellingsbreed kader voor risicobeheer te beschikken dat zich uitstrekt over alle bedrijfsonderdelen en interne eenheden, met inbegrip van interne controlefuncties, waarin het economische belang van al haar risicoblootstellingen ten volle wordt erkend. Het kader voor risicobeheer dient de instelling in staat te stellen om geïnformeerde besluiten te nemen inzake het nemen van risico’s. Het kader voor risicobeheer dient risico’s binnen en buiten de balans te omvatten, evenals feitelijke risico’s en toekomstige risico’s waaraan de instelling mogelijk is, of kan worden, blootgesteld. Risico’s dienen bottom-up en top-down te worden beoordeeld, binnen elk bedrijfsonderdeel en over alle bedrijfsonderdelen heen, waarbij gebruik wordt gemaakt van consistente terminologie en onderling verenigbare methodieken binnen de gehele instelling en op geconsolideerd en gesubconsolideerd niveau. Het kader voor risicobeheer omvat alle relevante risico’s, waarbij zowel financiële als niet-financiële risico’s op passende wijze in aanmerking worden genomen, met inbegrip van krediet-, markt-, liquiditeits-, concentratie-, operationele, IT-, reputatie-, juridische en gedragsrisico’s, nalevingsrisico’s in verband met AML/CTF en andere financiële misdrijven, ESG-risico’s en strategische risico’s.

Het kader voor risicobeheer van een instelling dient beleid, procedures, risicolimieten en risicocontroles te bevatten die zorgen voor adequate, tijdige en permanente identificatie, meting of beoordeling, monitoring, beheer, beperking en rapportage van de risico’s op het niveau van het bedrijfsonderdeel, de instelling en op geconsolideerd of gesubconsolideerd niveau.

Dit kader dient specifieke sturing te geven aan de uitvoering van de strategieën van de instelling. Dit betekent dat zo nodig interne limieten dienen te worden vastgesteld en gehandhaafd die stroken met de risicobereidheid van de instelling, en overeenstemmen met het deugdelijk functioneren, de financiële kracht en de strategische doelstellingen van de instelling. Het risicoprofiel van een instelling dient binnen deze vastgestelde limieten te worden gehouden. Het kader voor risicobeheer behoort te waarborgen dat, wanneer risicolimieten worden overschreden, er een vaste procedure is om daar melding van te doen en er zorg wordt gedragen voor een passende follow-upprocedure.

Het kader voor risicobeheer dient te worden onderworpen aan onafhankelijk intern onderzoek, dat bijvoorbeeld wordt uitgevoerd door de interne auditfunctie, en regelmatig opnieuw te worden getoetst aan de risicobereidheid van de instelling, waarbij informatie wordt meegewogen afkomstig van de risicobeheerfunctie en, indien ingesteld, het risicocomité. In aanmerking te nemen factoren zijn onder meer interne en externe ontwikkelingen, veranderingen in de balans en inkomsten, eventuele toename van de complexiteit van de bedrijfsactiviteiten van de instelling, het risicoprofiel of de werkstructuur; geografische expansie; fusies en overnames; en de introductie van nieuwe producten of bedrijfsonderdelen.

Instellingen dienen passende methoden te ontwikkelen voor het identificeren, meten of beoordelen van risico’s, waaronder zowel toekomstgerichte als retrospectieve instrumenten. Deze methoden dienen de mogelijkheid te bieden van aggregatie van risicoblootstellingen bij alle bedrijfsonderdelen en het identificeren van risicoconcentraties te ondersteunen. De instrumenten dienen het mogelijk te maken om het feitelijke risicoprofiel af te zetten tegen de risicobereidheid van de instelling, en om potentiële risicoblootstellingen en risicoblootstellingen in stresssituaties onder een reeks voorziene ongunstige omstandigheden te identificeren en te beoordelen met inachtneming van de risicodraagkracht van de instelling. De instrumenten dienen informatie te verstrekken over iedere eventueel benodigde aanpassing van het risicoprofiel. Instellingen dienen voldoende voorzichtige aannames te doen wanneer zij stressscenario’s opstellen.

Instellingen dienen er rekening mee te houden dat de resultaten van kwantitatieve beoordelingsmethoden, waaronder stresstests, in hoge mate afhankelijk zijn van de beperkingen en aannames van de modellen (zoals ernst en duur van de schok en onderliggende risico’s). Zo kan het gebeuren dat een zeer hoog rendement van economisch kapitaal zoals vastgesteld door modellen, eerder het resultaat is van een tekortkoming in die modellen (bijv. de uitsluiting van bepaalde relevante risico’s) dan het gevolg van een excellente strategie of excellente uitvoering van een strategie van de zijde van de instelling. De bepaling van het niveau van het genomen risico dient daarom niet alleen gebaseerd te zijn op kwantitatieve informatie of uitkomsten van modellen, maar dient ook een kwalitatieve benadering te omvatten (inclusief oordelen van deskundigen en kritische analyses). Er dient expliciet aandacht te worden besteed aan belangrijke trends en gegevens betreffende het macro-economische klimaat om hun potentiële effect op blootstellingen en portefeuilles in kaart te brengen.

De uiteindelijke verantwoordelijkheid voor risicobeoordeling berust uitsluitend bij de instelling, die haar risico’s dus kritisch dient te evalueren en zich niet uitsluitend dient te verlaten op externe beoordelingen. Zo dient een instelling een ingekocht risicomodel te valideren en het vervolgens af te stemmen op haar individuele omstandigheden om ervoor te zorgen dat het model het risico accuraat en uitvoerig vastlegt en analyseert.

Instellingen dienen zich ten volle bewust te zijn van de beperkingen van modellen en cijfers en niet alleen kwantitatieve maar ook kwalitatieve instrumenten voor risicobeoordeling te gebruiken (inclusief oordelen van deskundigen en kritische analyses).

Instellingen kunnen, naast hun eigen beoordelingen, gebruikmaken van externe risicobeoordelingen (waaronder externe kredietratings of elders ingekochte risicomodellen). Instellingen dienen volledig op de hoogte te zijn van de precieze reikwijdte van dergelijke beoordelingen en hun beperkingen.

Er dienen mechanismen voor regelmatige en transparante rapportage te worden ingevoerd zodat het leidinggevend orgaan, zijn risicocomité, indien ingesteld, en alle relevante eenheden in een instelling op tijd accurate, beknopte, begrijpelijke en zinvolle rapporten ontvangen en zij belangrijke gegevens kunnen uitwisselen over de identificatie, meting of beoordeling, monitoring en het beheer van risico’s. Het kader voor rapportage dient nauwkeurig omschreven en gedocumenteerd te worden.

Een doeltreffende communicatie en bewustzijn op het gebied van risico’s en de risicostrategie is van cruciaal belang voor het gehele risicobeheerproces, met inbegrip van de beoordelings- en besluitvormingsprocessen, en helpt besluiten te voorkomen die het risico vergroten zonder dat men dat beseft. Een doeltreffende risicorapportage behelst dat risico’s intern naar behoren in aanmerking worden genomen en dat er wordt gecommuniceerd over de risicostrategie en relevante risicogegevens (bijv. blootstellingen en belangrijke risico-indicatoren), zowel horizontaal door de instelling heen, als naar boven en naar beneden in de managementketen.