5.7. Systemy ICT, agregacja danych dotyczących ryzyka i raportowanie ryzyka

Właściwe organy powinny ocenić, czy systemy ICT instytucji są niezawodne, odporne i odpowiednie do pomiaru, oceny i raportowania wielkości, struktury oraz jakości ekspozycji w odniesieniu do wszystkich rodzajów ryzyka, produktów i kontrahentów instytucji, a także czy w pełni wspierają one zdolność agregacji danych dotyczących ryzyka zarówno w warunkach normalnej działalności, jak i w warunkach skrajnych.

Właściwe organy powinny sprawdzić, czy instytucja opracowuje i utrzymuje odpowiednie zdolności agregacji danych dotyczących ryzyka oraz raportowania ryzyka, proporcjonalne do jej profilu ryzyka i znaczenia systemowego. Analizując zdolności instytucji w zakresie agregacji danych dotyczących ryzyka i raportowania ryzyka, właściwe organy powinny uwzględnić zasady BCBS 239 dotyczące skutecznej agregacji danych dotyczących ryzyka i raportowania ryzyka²⁵ w odniesieniu do instytucji podlegających nadzorowi, które wchodzą w zakres stosowania tych zasad. Właściwe organy powinny w szczególności ocenić, czy instytucja jest w stanie generować dokładne, spójne, kompletne i wiarygodne dane dotyczące ryzyka oraz raporty obejmujące całą instytucję, uwzględniające wszystkie istotne rodzaje ryzyka oraz odpowiednio odzwierciedlające profil ryzyka instytucji i jej potrzeby w zakresie kapitału i płynności, a także czy dane te mogą być agregowane i udostępniane w odpowiednim czasie oraz w elastyczny sposób organowi zarządzającemu i kadrze kierowniczej wyższego szczebla. W stosownych przypadkach właściwe organy powinny ocenić, czy instytucja wprowadziła skuteczny, obejmujący całą grupę system informacji i sprawozdawczości zarządczej stosowany w odniesieniu do wszystkich jednostek biznesowych i podmiotów prawnych, a informacje te są terminowo przekazywane organowi zarządzającemu jednostki dominującej instytucji.

²⁵ Bazylejski Komitet Nadzoru Bankowego, Zasady efektywnej agregacji danych dotyczących ryzyka i raportowania ryzyka (ang. Principles for effective risk data aggregation and risk reporting – BCBS 239 ).

Właściwe organy powinny ustalić, czy organ zarządzający danej instytucji zatwierdza ramy agregacji danych dotyczących ryzyka i raportowania ryzyka w tej instytucji oraz nadzoruje ich skuteczne wdrażanie, w tym przeznaczenie odpowiednich zasobów na wsparcie tych działań. Właściwe organy powinny również ocenić, czy zdolności instytucji w zakresie agregacji danych dotyczących ryzyka i jej praktyki raportowania ryzyka są niezależnie walidowane zgodnie z ramami kontroli wewnętrznej instytucji.