16 Het kader voor risicobeheer

Beleggingsondernemingen beschikken, als onderdeel van het algehele kader voor interne controle, over een holistisch, organisatiebreed kader voor risicobeheer dat zich uitstrekt over al hun bedrijfsonderdelen en interne eenheden, waaronder interne controlefuncties, waarin de economische realiteit van al hun risicoblootstellingen ten volle wordt erkend met inbegrip van de risico’s die de ondernemingen opleveren voor henzelf, hun cliënten en hun markten, en liquiditeitsrisico’s, met name die welke een wezenlijke impact kunnen hebben op het beschikbare eigen vermogen of dit vermogen aanzienlijk kunnen uitputten. Het kader voor risicobeheer stelt de beleggingsonderneming in staat om geïnformeerde besluiten te nemen inzake het nemen van risico’s. Het kader voor risicobeheer omvat alle risico’s, evenals feitelijke risico’s en toekomstige risico’s waaraan de beleggingsonderneming mogelijk is of kan worden blootgesteld. Risico’s worden bottom-up en top-down beoordeeld, binnen elk bedrijfsonderdeel en over alle bedrijfsonderdelen heen, waarbij gebruik wordt gemaakt van consistente terminologie en onderling verenigbare methodieken binnen de gehele beleggingsonderneming en op geconsolideerd niveau. Het kader voor risicobeheer omvat alle relevante risico’s, waarbij zowel financiële als niet-financiële risico’s op passende wijze in aanmerking worden genomen, met inbegrip van markt-, liquiditeits-, concentratie-, operationele, IT-, reputatie-, juridische en gedragsrisico’s, nalevingsrisico’s in verband met AML/CTF en andere financiële misdrijven, ESG-risico’s en strategische risico’s.

Het kader voor risicobeheer van een beleggingsonderneming bevat beleid, procedures, risicolimieten en risicocontroles die zorgen voor adequate, tijdige en permanente identificatie, meting of beoordeling, monitoring, beheer, beperking en rapportage van de risico’s op het niveau van het bedrijfsonderdeel, de beleggingsonderneming en op geconsolideerd niveau.

Dit kader geeft specifieke sturing aan de uitvoering van de strategieën van de beleggingsonderneming. Dit betekent dat zo nodig interne limieten worden vastgesteld en gehandhaafd die stroken met de risicobereidheid van de beleggingsonderneming, en overeenstemmen met het deugdelijk functioneren, de financiële kracht, kapitaalbasis en de strategische doelstellingen van de beleggingsonderneming. Het risicoprofiel van een beleggingsonderneming wordt binnen deze vastgestelde limieten gehouden. Het kader voor risicobeheer waarborgt dat, wanneer risicolimieten worden overschreden, er een vaste procedure is om daar melding van te doen en er zorg wordt gedragen voor een passende follow-upprocedure.

Het kader voor risicobeheer wordt onderworpen aan een onafhankelijk interne toetsing, die bijvoorbeeld wordt uitgevoerd door de interne auditfunctie, en regelmatig opnieuw wordt getoetst aan de risicobereidheid van de beleggingsonderneming, waarbij informatie wordt meegewogen afkomstig van de risicobeheerfunctie en, indien ingesteld, het risicocomité. In aanmerking te nemen factoren zijn onder meer interne en externe ontwikkelingen, waaronder veranderingen in de inkomsten; eventuele toename van de complexiteit van de bedrijfsactiviteiten van de beleggingsonderneming, het risicoprofiel of de werkstructuur; geografische expansie; fusies en overnames; en de introductie van nieuwe producten of bedrijfsonderdelen.

Beleggingsondernemingen ontwikkelen passende methoden voor het identificeren, meten of beoordelen van risico’s, waaronder zowel toekomstgerichte als retrospectieve instrumenten. De instrumenten maken het mogelijk om het feitelijke risicoprofiel af te zetten tegen de risicobereidheid van de beleggingsonderneming, en om potentiële risicoblootstellingen en risicoblootstellingen in stresssituaties onder een reeks voorziene ongunstige omstandigheden te identificeren en te beoordelen met inachtneming van de risicodraagkracht van de beleggingsonderneming. De instrumenten geven informatie over iedere eventueel benodigde aanpassing van het risicoprofiel. Beleggingsondernemingen doen voldoende voorzichtige aannames wanneer zij stressscenario’s opstellen.

Beleggingsondernemingen houden er rekening mee dat de resultaten van kwantitatieve beoordelingsmethoden, waaronder stresstests, in hoge mate afhankelijk zijn van de beperkingen en aannames van de modellen (zoals ernst en duur van de schok en onderliggende risico’s). Zo kan het gebeuren dat een zeer hoog rendement van economisch kapitaal zoals vastgesteld door modellen, eerder het resultaat is van een tekortkoming in die modellen (bijv. de uitsluiting van bepaalde relevante risico’s) dan het gevolg van een excellente strategie of excellente uitvoering van een strategie van de zijde van de beleggingsonderneming. De bepaling van het niveau van het genomen risico dient daarom niet alleen gebaseerd te zijn op kwantitatieve informatie of uitkomsten van modellen, maar dient ook een kwalitatieve benadering te omvatten (inclusief oordelen van deskundigen en kritische analyses). Er wordt expliciet aandacht besteed aan belangrijke trends en gegevens betreffende het macro-economische klimaat om hun potentiële effect op blootstellingen en portefeuilles in kaart te brengen.

De uiteindelijke verantwoordelijkheid voor risicobeoordeling berust uitsluitend bij de beleggingsonderneming, die haar risico’s dus kritisch dient te evalueren en zich niet uitsluitend dient te verlaten op externe beoordelingen.

Beleggingsondernemingen dienen zich ten volle bewust te zijn van de beperkingen van modellen en cijfers, en niet alleen kwantitatieve maar ook kwalitatieve instrumenten voor risicobeoordeling te gebruiken (inclusief oordelen van deskundigen en kritische analyses).

Beleggingsondernemingen kunnen, naast hun eigen beoordelingen, gebruikmaken van externe risicobeoordelingen (waaronder externe kredietratings of elders ingekochte risicomodellen). Beleggingsondernemingen dienen volledig op de hoogte te zijn van de precieze reikwijdte van dergelijke beoordelingen en hun beperkingen.

Er worden mechanismen voor regelmatige en transparante rapportage ingevoerd zodat het leidinggevend orgaan, zijn risicocomité, indien ingesteld, en alle relevante eenheden in een beleggingsonderneming op tijd accurate, beknopte, begrijpelijke en zinvolle rapporten ontvangen en zij belangrijke gegevens kunnen uitwisselen over de identificatie, de meting of beoordeling, de monitoring en het beheer van risico’s. Het kader voor rapportage wordt nauwkeurig omschreven en gedocumenteerd.

Een doeltreffende communicatie en bewustzijn op het gebied van risico’s en de risicostrategie is van cruciaal belang voor het gehele risicobeheerproces, met inbegrip van de beoordelings- en besluitvormingsprocessen, en helpt besluiten te voorkomen die het risico vergroten zonder dat men dat beseft. Een doeltreffende risicorapportage behelst dat risico’s intern naar behoren in aanmerking worden genomen en dat er wordt gecommuniceerd over de risicostrategie en relevante risicogegevens (bijv. blootstellingen en belangrijke risico-indicatoren), zowel horizontaal door de beleggingsonderneming heen, als naar boven en naar beneden in de managementketen.