11. Het kader voor risicobeheer

Als onderdeel van het algehele kader voor interne controle dienen uitgevers van ART’s te beschikken over een holistisch, uitgeverbreed kader voor risicobeheer dat zich uitstrekt over al hun bedrijfsonderdelen en interne eenheden, met inbegrip van internecontrolefuncties, waarin het economische belang van al hun risicoblootstellingen, met inbegrip van de risico’s die de uitgever van ART’s voor zichzelf vormt, de houders van activa, operationele risico’s en risico’s die voortvloeien uit de activareserve, volledig wordt erkend.

Het risicobeheerkader dient de uitgevers van ART’s in staat te stellen volledig geïnformeerde beslissingen te nemen over alle risico’s waaraan zij blootgesteld (zouden kunnen) worden, met inbegrip van ICT-risico’s in overeenstemming met Verordening (EU) 2022/2554¹² en afdeling 12. Het risicobeheerkader moet alle risico’s omvatten, met inbegrip van actuele risico’s en toekomstige risico’s waaraan de uitgevers van ART’s kunnen worden blootgesteld. Risico’s dienen bottom-up en top-down te worden beoordeeld, binnen elk bedrijfsonderdeel en over alle bedrijfsonderdelen heen, waarbij gebruik wordt gemaakt van consistente terminologie en onderling verenigbare methodieken binnen de gehele uitgever van ART’s en op geconsolideerd niveau,voor zover van toepassing. Het kader voor risicobeheer dient alle relevante risico’s te omvatten, waarbij zowel financiële als niet-financiële risico’s op passende wijze in aanmerking worden genomen, met inbegrip van concentratie-, operationele, IT-, reputatie-, juridische, gedrags- en ESG-risico’s. Ook dient rekening te worden gehouden met het uit de reserveactiva voortvloeiende kredietrisico, het marktrisico, het concentratierisico en het liquiditeitsrisico.

¹² Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector: Bureau voor publicaties (europa.eu)

Het kader voor risicobeheer van een uitgever van ART’s dient beleid, procedures, risicolimieten en risicocontroles te bevatten die zorgen voor adequate, tijdige en permanente identificatie, meting of beoordeling, monitoring, beheer, beperking en rapportage van de risico’s op het niveau van het bedrijfsonderdeel, de interne eenheid, de uitgever van ART’s en op groepsniveau, voor zover van toepassing.

Dit kader dient specifieke sturing aan de uitvoering van de risicostrategieën van de uitgever van ART’s te geven. Dit betekent dat zo nodig interne limieten dienen te worden vastgesteld en gehandhaafd die stroken met de risicotolerantie en risicobereidheid van de uitgever van ART’s, en overeenstemmen met het deugdelijk functioneren, de operationele weerbaarheid, de financiële kracht, en de strategische doelstellingen van de uitgever van ART’s. Het risicoprofiel van een uitgever van ART’s dient binnen de vastgestelde limieten te worden gehouden. Het kader voor risicobeheer dient te waarborgen dat er, wanneer risicolimieten worden overschreden, een vaste procedure is om daar melding van te doen en dat er zorg wordt gedragen voor een passende follow-upprocedure.

Het kader voor risicobeheer dient aan een onafhankelijke interne beoordeling te worden onderworpen, bijvoorbeeld door de interne auditfunctie, en regelmatig te worden getoetst aan de risicotolerantie en risicobereidheid van de uitgever van ART.

Er dienen mechanismen voor regelmatige en transparante rapportage te worden ingevoerd zodat het leidinggevend orgaan en alle relevante eenheden binnen een uitgever van ART’s op tijd accurate, beknopte, begrijpelijke en zinvolle rapporten ontvangen en zij belangrijke gegevens kunnen uitwisselen over de identificatie, de meting of beoordeling, de monitoring en het beheer van risico’s. Het kader voor rapportage dient nauwkeurig te worden omschreven en gedocumenteerd.

Een doeltreffende communicatie en bewustzijn op het gebied van risico’s en de risicostrategie is van cruciaal belang voor het gehele risicobeheerproces, met inbegrip van de beoordelings- en besluitvormingsprocessen, en helpt besluiten te voorkomen die het risiconiveau vergroten zonder dat men dat beseft. Doeltreffende risicorapportage behelst dat risico’s intern naar behoren in aanmerking worden genomen en dat er wordt gecommuniceerd over de risicostrategie en relevante risicogegevens (bijv. blootstellingen en belangrijke risico-indicatoren), zowel horizontaal binnen de uitgever van ART’s, als naar boven en naar beneden in de managementketen.