12. Operationeel risicomanagement en operationele weerbaarheid

Een uitgever van ART’s moet beschikken over een adequaat kader voor operationeel risicobeheer en een kader voor operationele weerbaarheid. Dit omvat doeltreffende beleidsmaatregelen en processen om:

• a. operationele risico’s tijdig te identificeren, beoordelen, evalueren, bewaken, rapporteren en beperken; en
• b. dreigingen en potentiële mislukkingen te identificeren en zich ertegen te beschermen, erop te reageren en zich eraan aan te passen, evenals ervan te herstellen en te leren van ontwrichtende gebeurtenissen om de impact ervan op de uitvoering van kritieke of belangrijke functies tot een minimum te beperken¹³ .

¹³ BCBS Principles for Operational Resilience, maart 2021, https://www.bis.org/bcbs/publ/d516.pdf

Als onderdeel van het kader voor risicobeheer dient het leidinggevend orgaan van een uitgever van ART’s strategieën, beleidslijnen en processen voor het beheer van operationeel risico en operationele weerbaarheid goed te keuren, met inbegrip van de risicobereidheid voor operationeel risicokader en de risicotolerantie voor verstoring van kritieke of belangrijke functies¹⁴ . Deze strategieën, beleidslijnen en processen moeten periodiek worden herzien en waar nodig bijgewerkt.

¹⁴ Tolerantie voor verstoring is de mate van verstoring ten gevolge van alle typen operationeel risico die een uitgever bereid is te aanvaarden, gegeven een reeks ernstige maar plausibele scenario’s.

Het leidinggevend orgaan zorgt ervoor dat dit beleid en deze processen effectief worden geïmplementeerd, volledig worden geïntegreerd in het algehele risicobeheerkader van de uitgever van ART’s, met inbegrip van het risico in verband met het gebruik van derde entiteiten, en effectief aan het relevante personeel worden gecommuniceerd.

Een uitgever van ART’s dient de verantwoordelijkheden voor het beoordelings- en beheersysteem voor het operationele risico en de operationele weerbaarheid duidelijk toe te wijzen.

Een uitgever van ART’s dient zijn blootstelling aan operationeel risico te identificeren, relevante gegevens over operationeel risico bij te houden, waaronder gegevens over materieel verlies, en een scenarioanalyse uit te voeren.

Een uitgever van ART’s dient zijn kritieke activiteiten te identificeren, in overeenstemming met zijn benadering van operationele weerbaarheid, en de mensen, technologie, processen, gegevens, faciliteiten, derden, met inbegrip van intragroepentiteiten, en de interconnecties en onderlinge afhankelijkheden tussen hen in kaart te brengen die nodig zijn voor het vervullen van kritieke of belangrijke functies in een terugkerende situatie en zelfs in het geval van een verstoring.

Het kader voor het beheer van operationele risico’s en operationele weerbaarheid dient regelmatig te worden geëvalueerd door interne of externe auditors die over de nodige kennis beschikken om dergelijke beoordelingen uit te voeren. Het kader voor het beheer van operationele risico’s en het operationele weerbaarheidskader dienen met voldoende en toereikende personele en technische middelen te worden toegerust. Het beoordelingssysteem voor operationele risico’s en het kader voor operationele weerbaarheid van de uitgever van ART’s dienen volledig worden geïntegreerd in het risicobeheerkader van de uitgever.

Er dient een systeem voor rapportage aan het leidinggevend orgaan te worden ingevoerd dat voorziet in adequate rapporten over het operationele risico en de operationele weerbaarheid van relevante functies binnen de uitgever van ART’s. De uitgever van ART’s dient te beschikken over procedures om, voor zover relevant, onmiddellijk passende maatregelen te nemen.

De uitgever van ART’s dient het operationele risico dat inherent is aan de uitgever van de activiteiten, processen en systemen van ART’s te identificeren en te beoordelen om ervoor te zorgen dat de inherente risico’s goed worden begrepen.

Gelet op titel I over de toepassing van het evenredigheidsbeginsel, dient de uitgever van ART’s een reeks scenario’s te identificeren, analyseren en meten, met inbegrip van gebeurtenissen met een lage waarschijnlijkheid en gebeurtenissen met een hoge ernst, waarvan sommige zouden kunnen leiden tot ernstige verliezen door operationeel risico. Inputs voor de scenarioanalyses zijn onder andere relevante interne en externe verliesgegevens, informatie uit zelfevaluaties, meningen van experts, het raamwerk voor interne controle, toekomstgerichte meetgegevens, analyses van de onderliggende oorzaak en het procesraamwerk, voor zover van toepassing. Het scenarioanalyseproces dient te worden gebruikt om een reeks gevolgen van potentiële gebeurtenissen te ontwikkelen, inclusief effectbeoordelingen voor risicobeheersdoeleinden, als aanvulling op andere hulpmiddelen die zijn gebaseerd op historische gegevens of huidige risicobeoordelingen.

Met inachtneming van titel I mogen kleine en niet-complexe uitgevers van ART’s een kwalitatieve aanpak van risicobeoordeling hanteren, terwijl grote of complexe instellingen een meer verfijnde benadering dienen te hebben, waaronder, indien beschikbaar, het gebruik van interne en externe verliesgegevens als informatiebron voor de scenarioanalyse.