6.6 Beoordeling van andere risico’s

Bevoegde autoriteiten dienen het belang van andere risico’s voor het kapitaal van beleggingsondernemingen te beoordelen, die niet onder de eigenvermogensvereisten van pijler 1 vallen, overeenkomstig de artikelen 36 en 40 van Richtlijn (EU) 2019/2034. Bij de beoordeling van deze andere risico’s dienen bevoegde autoriteiten rekening te houden met de aard en de complexiteit van de activiteiten van de beleggingsonderneming, die gevolgen hebben voor de omvang van deze risico’s.

6.6.2 Beoordeling van inherente risico’s

Bevoegde autoriteiten dienen door middel van de beoordeling van inherente risico’s die niet worden gedekt door de eigenvermogensvereisten van pijler 1, vast te stellen wat de belangrijkste bepalende factoren zijn van de risico’s voor de beleggingsonderneming . Ook beoordelen zij op die manier de omvang van de impact van deze risico’s voor de beleggingsonderneming. De beoordeling van deze risico’s wordt uitgevoerd in de volgende hoofdstappen:

• a. voorlopige beoordeling;
• b. beoordeling van de aard en de omvang van de beleggingsactiviteiten die voor de beleggingsonderneming een risico inhouden die niet onder de eigenvermogensvereisten van pijler 1 vallen;
• c. beoordeling van de systemen en processen met betrekking tot deze activiteiten.

Bevoegde autoriteiten dienen de risico’s die niet worden gedekt door de eigenvermogensvereisten van pijler 1, zowel in huidige als in toekomstige termen te beoordelen.

In voorkomend geval dienen bevoegde autoriteiten ook andere dan de in dit hoofdstuk genoemde risico’s te beoordelen.

81 Voorlopige beoordeling

Om de reikwijdte te bepalen van de beoordeling van de risico’s die niet worden gedekt door de eigenvermogensvereisten van pijler 1, dienen bevoegde autoriteiten eerst vast te stellen aan welke bronnen van risico’s de beleggingsonderneming is of kan worden blootgesteld.

Bevoegde autoriteiten dienen ten minste de volgende aspecten in aanmerking te nemen:

• a. het bedrijfsmodel en de risicobereidheid;
• b. interne ontwikkeling of uitbesteding van IT-oplossingen;
• c. ondersteunende functies zoals naleving, juridisch, fiscaal (ook indien uitbesteed);
• d. kosten van rechtszaken en gerechtelijke procedures;
• e. totale operationele verliezen, met inbegrip van de kosten van interne en externe fraude;
• f. reikwijdte van activiteiten buiten de handelsportefeuille.

Bevoegde autoriteiten dienen de voorlopige analyse uit te voeren met inachtneming van de verandering in de loop van de tijd van de hierboven genoemde elementen om zich een onderbouwde mening te vormen over de belangrijkste bepalende factoren van andere risico’s voor de beleggingsonderneming.

Uit activiteiten buiten de handelsportefeuille voortvloeiend renterisico

Bevoegde autoriteiten dienen het renterisico te beoordelen dat voortvloeit uit activiteiten in de activiteiten buiten handelsportefeuille waaraan de beleggingsonderneming is blootgesteld.

Bevoegde autoriteiten dienen te beoordelen hoe wijzigingen in de rente een negatief effect kunnen hebben op de activa, passiva en posities buiten de balanstelling van de beleggingsonderneming. Om de complexiteit en het renterisicoprofiel van de beleggingsonderneming beter te kunnen bepalen, dienen bevoegde autoriteiten ook inzicht te hebben in de belangrijkste kenmerken van de activa en passiva van de beleggingsonderneming en haar posities buiten de balanstelling.

In hun kwantitatieve beoordeling dienen bevoegde autoriteiten waar passend te kijken naar de resultaten van de interne methoden van de beleggingsonderneming voor het meten van het renterisico afkomstig van activiteiten buiten de handelsportefeuille. Bovendien dienen bevoegde autoriteiten passende schokscenario’s te overwegen gezien de aard van de blootstelling aan het renterisico dat voortvloeit uit de activiteiten buiten de handelsportefeuille van de beleggingsonderneming.

82 Operationele risico’s die niet worden gedekt door de pijler 1-vereisten

Bevoegde autoriteiten dienen de operationele risico’s die niet worden gedekt door de minimumeigenvermogensvereisten, te beoordelen overeenkomstig Verordening (EU) 2019/2033. Deze risico’s kunnen leiden tot directe operationele verliezen en tot indirecte verliezen als gevolg van klachten en gerechtelijke procedures. Grote operationele risico’s kunnen ook leiden tot een tekort aan personeel op sleutelposities. Bij de beoordeling dient niet alleen rekening te worden gehouden met operationele verliezen, maar ook met bijna-ongelukken en gebeurtenissen met een operationeel risico die met winst werden afgesloten.

Bevoegde autoriteiten dienen de volgende bronnen van inherent risico in aanmerking te nemen en, indien relevant, de beoordeling toespitsen op de aspecten die voor de beleggingsonderneming het belangrijkst worden geacht:

• a. veiligheid op de werkplek;
• b. schade aan fysieke activa;
• c. interne fraude;
• d. externe fraude;
• e. ICT-risico’s;
• f. gedragsrisico;
• g. regelgevende, juridische en fiscale risico’s;
• h. modelrisico, met betrekking tot modellen die voor zakelijke doeleinden worden gebruikt;
• i. onvoldoende (zowel kwalitatief als kwantitatief) menselijk en technisch potentieel op sleutelposities;
• j. reputatierisico.

Als onderdeel van alle SREP-beoordelingen dienen bevoegde autoriteiten zich een beeld te vormen van de omvang van het ICT-risico en de samenhang van de ICT-activiteiten met de bedrijfsstrategie. Bevoegde autoriteiten dienen in hun beoordeling alle relevante aspecten van het ICT-risico op te nemen, zoals het beveiligingsrisico, het risico van IT-projecten en het ICT-beheerrisico, voor zover dit niet reeds door andere delen van deze richtsnoeren wordt bestreken, en rekening houdend met de EBA-richtsnoeren inzake ICT- en beveiligingsrisico¹⁹ en de ESMA-richtsnoeren inzake uitbesteding aan aanbieders van clouddiensten²⁰ ;

Bevoegde autoriteiten dienen zich een beeld te vormen van de omvang van het gedragsrisico verbonden aan de beleggings- en marktactiviteiten van de

19 EBA-richtsnoeren inzake ICT en risicobeheer op het gebied van veiligheid (EBA/GL/2019/04).

20 ESMA-richtsnoeren inzake uitbesteding aan aanbieders van clouddiensten (ESMA50-164-4285). 83 beleggingsonderneming, voor zover dit niet onder de eigenvermogensvereisten van de eerste pijler valt. Onder gedragsrisico dient te worden verstaan het huidige of toekomstige risico voor cliënten, markten of de onderneming zelf als gevolg van ongepast gedrag van de onderneming of haar personeel. Dit risico kan voortvloeien uit gevallen van opzettelijk of nalatig wanbeleid (met inbegrip van het op onbehoorlijke wijze verlenen van financiële diensten), voor zover deze tot negatieve financiële of reputatiegevolgen kunnen leiden. Dit reputatierisico kan op zijn beurt leiden tot verlies van marktaandeel of belangrijke cliënten, en een toename van klachten van cliënten.

Bevoegde autoriteiten dienen zich indien relevant te richten op de volgende bronnen van inherent gedragsrisico:

• a. sluiting of schorsing van een fonds;
• b. aantal gevallen van wangedrag: verkeerde verkoop, marktmanipulatie;
• c. sancties opgelegd door de regelgeving.

Bevoegde autoriteiten dienen zich een beeld te vormen van de regelgevings-, juridische en fiscale risico’s die voortvloeien uit de niet-naleving van wet- en regelgeving Deze risico’s kunnen leiden tot gerechtelijke procedures en sancties voor de beleggingsonderneming. Herstelprogramma’s kunnen ook grote uitgaven met zich meebrengen om aan de wet- en regelgeving te voldoen.

Bevoegde autoriteiten dienen zich indien relevant te richten op deze bronnen de inherente regelgevings-, juridische en fiscale risico’s:

• a. kosten om te voldoen aan de toepasselijke regelgeving;
• b. betaling van boetes of andere sancties wegens niet-naleving;
• c. belastingherziening of betaling van late vergoedingen, boetes en sancties;
• d. anticiperen op voor de beleggingsonderneming relevante wijzigingen in de regelgeving.

Bevoegde autoriteiten dienen het risico te beoordelen van modellen die voor zakelijke doeleinden worden gebruikt, waaronder waarderings-/prijsbepalingsmodellen, modellen voor algoritmische handel en andere modellen die aanzienlijke gevolgen kunnen hebben voor de zakelijke beslissingen en activiteiten van de beleggingsonderneming.

Gelet op de specifieke kenmerken van de beleggingsonderneming kunnen bevoegde autoriteiten bij de beoordeling van risico’s die niet worden gedekt door de eigenvermogensvereisten van pijler 1, rekening houden met andere risicobronnen die niet onder de bovengenoemde categorieën vallen.

Systeemrisico

Op basis van kwantitatieve en kwalitatieve criteria dienen bevoegde autoriteiten zich een beeld te vormen van het systeemrisico van de beleggingsonderneming. Op basis van

84 deze beoordeling dienen bevoegde autoriteiten te bepalen of het faillissement van de beleggingsonderneming zou kunnen leiden tot ernstige verstoringen van de financiële markten waarop de beleggingsonderneming actief is.

In voorkomend geval kan de beoordeling van het systeemrisico voor een groep beleggingsondernemingen met een soortgelijk bedrijfsmodel en risicoprofiel op geaggregeerde wijze worden verricht. Bij een dergelijke geaggregeerde beoordeling dienen bevoegde autoriteiten rekening te houden met de mogelijke gevolgen van een gelijktijdig faillissement van een bepaald aantal/aandeel van deze beleggingsondernemingen voor de financiële markten waarop zij actief zijn. Daartoe kunnen bevoegde autoriteiten één of meer scenario’s in overweging nemen.

6.6.3 Beoordeling risicobeheer en risicobeheersing

Om een volledig inzicht te krijgen in het risicoprofiel van de beleggingsonderneming met betrekking tot risico’s die niet worden gedekt door de eigenvermogensvereisten van pijler 1, dienen bevoegde autoriteiten het governance- en risicobeheerkader te toetsen dat het risico uit andere risicobronnen beperkt. Hiertoe dienen bevoegde autoriteiten de volgende elementen te beoordelen terwijl ze rekening te houden met het volume, met de aard en de complexiteit van de activiteiten van de beleggingsonderneming:

• a. de strategie van de beleggingsonderneming is een goede weerspiegeling van de bereidheid van de beleggingsonderneming tot het aangaan van marktrisico en in overeenstemming is met de totale risicobereidheid;
• b. de beleggingsonderneming beschikt over interne richtsnoeren en beleidslijnen om een gezonde risicocultuur te waarborgen;
• c. de beleggingsonderneming beschikt over een passend kader voor het beheer, de meting, de monitoring en de beheersing van het renterisico dat voortvloeit uit activiteiten in de activiteiten buiten de handelsportefeuille;
• d. de beleggingsonderneming heeft een passend kader voor functies voor beheer, meting, monitoring en beheersing van IT-risico’s, met (zowel kwalitatief als kwantitatief) voldoende personele en technische middelen om de vereiste taken uit te voeren;
• e. de beleggingsonderneming heeft duidelijk omschreven beleid en procedures voor de beheersing van operationele risico’s.

6.6.4 Samenvatting van bevindingen en toekenning van scores

Na de voorgaande beoordeling dienen bevoegde autoriteiten zich een beeld te vormen van de andere risico’s van de beleggingsonderneming. Dit beeld wordt verwoord in een samenvatting van bevindingen die vergezeld gaat van een score op basis van de in tabel 8 genoemde overwegingen. Indien bevoegde autoriteiten op basis van het grote belang van bepaalde risicofactoren besluiten deze factoren afzonderlijk te beoordelen en een score te geven, past zij daarbij naar analogie voor zover mogelijk de leidraad van deze tabel toe.

85

Bevoegde autoriteiten dienen al deze factoren parallel en niet afzonderlijk te beschouwen en de bepalende factoren achter risico’s die niet worden gedekt door de eigenvermogensvereisten van pijler 1.

Tabel 8. Overwegingen van de toezichthouder voor het toekennen van een score aan andere risico’s

Standpunt van de Overwegingen betreffende Risicoscore adequaat risicobeheer en toezichthouder inherent risico