6.4. Ocena ryzyka operacyjnego

Oceniając ramy zarządzania ryzykiem operacyjnym, właściwe organy powinny sprawdzić między innymi, czy instytucja przestrzega aktów prawnych opublikowanych oddzielnie na stronie internetowej EUNB, o których mowa w ust. 12.

Właściwe organy powinny ocenić ryzyko operacyjne w odniesieniu do wszystkich linii biznesowych i operacji instytucji, uwzględniając ustalenia oceny zasad zarządzania wewnętrznego i mechanizmów kontroli stosowanych w całej instytucji, o której mowa w tytule 5. Przeprowadzając tę ocenę, właściwe organy powinny ustalić, w jaki sposób ryzyko operacyjne może się urzeczywistnić, biorąc pod uwagę również zbiór danych dotyczących strat danej instytucji oraz potencjalny wpływ innych powiązanych rodzajów ryzyka (np. ryzyka operacyjnego związanego z kredytami i ryzyka operacyjnego związanego z rynkiem).

Właściwe organy powinny ocenić istotność ryzyka operacyjnego wynikającego z działalności zewnętrznych dostawców usług, w tym koncentrację (na poziomie podmiotu oraz, w stosownych przypadkach, na poziomie grupy) na jednej lub kilku usługach świadczonych przez pojedynczego zewnętrznego dostawcę usług (bezpośrednio lub pośrednio poprzez łańcuchy podwykonawców) lub ograniczoną liczbę zewnętrznych dostawców wspierających krytyczne lub istotne funkcje instytucji, oraz, czy może to wpłynąć na odporność operacyjną instytucji, jej wyniki i zarządzanie ryzykiem. Przeprowadzając tę ocenę, właściwe organy powinny uwzględnić, w jakim stopniu inne instytucje korzystają z usług tych samych zewnętrznych dostawców usług, o ile właściwe organy dysponują takimi informacjami.

Oceniając ryzyko operacyjne, właściwe organy powinny dokonać oceny ryzyka związanego z ICT zgodnie z rozporządzeniem DORA oraz jego potencjalnego wpływu na krytyczne lub istotne funkcje instytucji, w tym rozważyć potencjalne skutki finansowe, reputacyjne, regulacyjne i strategiczne dla instytucji.

Właściwe organy powinny ocenić, czy instytucja dysponuje odpowiednim podejściem operacyjnym opartym na odporności, umożliwiającym jej przetrwanie zakłóceń, dostosowanie się do nich i przywrócenie normalnego funkcjonowania w przypadku ich wystąpienia, a także czy podejście to zostało odpowiednio i spójnie dostosowane do istniejących ram zarządzania ryzykiem, planów ciągłości działania i zarządzania podmiotami zewnętrznymi.

Oceniając ryzyko operacyjne, właściwe organy powinny sprawdzić, w stosownych przypadkach, czy w politykach i procedurach instytucji odpowiednio zidentyfikowano i oceniono ryzyko operacyjne wynikające z działalności w zakresie kryptoaktywów i wspierającej ją technologii oraz czy ryzyko to jest odpowiednio zarządzane.

Właściwe organy powinny oceniać ryzyko utraty reputacji łącznie z ryzykiem operacyjnym, ponieważ jest ono nierozerwalnie związane ze zdarzeniami ryzyka operacyjnego. Wynik oceny ryzyka utraty reputacji nie powinien być jednak uwzględniany w punktacji ryzyka operacyjnego, lecz, w stosownych przypadkach, stanowić część analizy modelu biznesowego lub oceny ryzyka płynności, ponieważ główne konsekwencje, do jakich może doprowadzić to ryzyko, mogą osłabić zaufanie inwestorów, deponentów lub uczestników rynku międzybankowego do danej instytucji.

Właściwe organy powinny ocenić wpływ ryzyk ESG na nieodłączne ryzyko operacyjne i ryzyko utraty reputacji, a także adekwatność mechanizmów kontroli ryzyka operacyjnego i ryzyka utraty reputacji związanych z ryzykami ESG, przy czym priorytetowo należy traktować ryzyka środowiskowe, fizyczne i związane z transformacją. Przeprowadzając ocenę ryzyka prawnego i ryzyka utraty reputacji, właściwe organy powinny w szczególności wziąć pod uwagę ryzyko środowiskowe i ryzyko pseudoekologicznego marketingu.

6.4.2. Ocena nieodłącznego ryzyka operacyjnego

Właściwe organy powinny dogłębnie zrozumieć charakterystyczne dla danej instytucji ekspozycje na ryzyko operacyjne oraz ocenić znaczenie wpływu tego ryzyka na instytucję z perspektywy ostrożnościowej, a także jego wpływ na zdolność instytucji do pełnienia krytycznych lub istotnych funkcji w sytuacji zakłóceń.

Aby uzasadnić tę ocenę, właściwe organy powinny uwzględnić wymóg w zakresie funduszy własnych na pokrycie ryzyka operacyjnego w stosunku do całkowitego wymogu w zakresie funduszy własnych oraz, w stosownych przypadkach, kapitał wewnętrzny przeznaczony przez instytucję na pokrycie ryzyka operacyjnego w stosunku do całkowitego kapitału wewnętrznego. Ponadto właściwe organy powinny wykorzystać wiedzę zdobytą z oceny innych elementów SREP (w szczególności z tytułu 4 i tytułu 5), z zestawienia z grupą porównawczą, z wszelkich innych działań nadzorczych – w tym z informacji przekazanych przez organy sprawujące nadzór w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu oraz organy nadzoru rynku – a także z innych odpowiednich źródeł informacji.

Właściwe organy powinny uwzględnić co najmniej kluczowe czynniki ryzyka operacyjnego i potencjalne scenariusze zakłóceń, a w stosownych przypadkach przeanalizować je w podziale na linie biznesowe, podmioty prawne, obszary geograficzne i kategorie zdarzeń (w zależności od dostępności danych) oraz przeanalizować sytuację instytucji w odniesieniu do innych o podobnym profilu . Czynniki te powinny obejmować co najmniej główną strategię instytucji w zakresie ryzyka operacyjnego oraz jej apetyt na ryzyko operacyjne, otoczenie biznesowe (w tym obecność geograficzną, działalność w zakresie ICT i kanały dystrybucji), najnowsze istotne wydarzenia korporacyjne (takie jak połączenia, przejęcia, zbycia i restrukturyzacje), systemy ICT i inne aspekty związane z ICT zgodnie z sekcją 6.4.2.3, zmiany procesów, umowy z podmiotami zewnętrznymi, kwestie zgodności z przepisami, cele biznesowe i systemy zachęt oraz inne kluczowe czynniki wpływające na ryzyko operacyjne.

Charakter i znaczenie ekspozycji na ryzyko operacyjne

Właściwe organy powinny określić charakter ekspozycji na ryzyko operacyjne, analizując ekspozycje na główne źródła i czynniki ryzyka operacyjnego, aby wyrobić sobie perspektywiczny pogląd na potencjalne ryzyko operacyjne. Na potrzeby tej analizy właściwe organy:

• a. mogą uwzględniać model operacyjny, linie biznesowe, produkty, procesy i lokalizacje geograficzne istotne dla instytucji, ocenę zależności oraz ekspozycje na ryzyko operacyjne wynikające z głównych czynników ryzyka (takich jak procesy, ludzie, systemy i czynniki zewnętrzne), a także interakcje między tymi czynnikami, wykorzystując własną ocenę ryzyka przeprowadzoną przez instytucję, analizę porównawczą, dane oraz publiczne lub konsorcjalne bazy danych, o ile są one dostępne i istotne;
• b. powinny uwzględnić zarówno częstotliwość, jak i dotkliwość zdarzeń, na które instytucja jest narażona, oraz odróżnić zdarzenia powodujące poważne straty od tych, które występują z dużą częstotliwością. Na podstawie tego rozróżnienia właściwe organy powinny ocenić tendencje w zakresie strat ryzyka operacyjnego i ich koncentracji; oraz
• c. powinny opierać się na analizach scenariuszy oraz uwzględniać planowane działania biznesowe i analizy potencjalnego ryzyka operacyjnego przeprowadzone przez instytucję,
• o ile są one dostępne, biorąc pod uwagę wszelkie środki naprawcze i działania ograniczające ryzyko, które zostały już wdrożone i są skuteczne.

Po zidentyfikowaniu i przeanalizowaniu głównych źródeł i czynników ryzyka operacyjnego właściwe organy powinny skupić się na tych spośród nich, które mają najbardziej istotny potencjalny wpływ na instytucję.

Podstawowym źródłem informacji, którym powinny posłużyć się właściwe organy, jest zbiór danych dotyczących strat i zdarzeń danej instytucji, ponieważ może on dostarczyć cennych informacji na temat zmian profilu ryzyka operacyjnego tej instytucji. Właściwe organy powinny okresowo oceniać kompleksowość, dokładność i jakość danych dotyczących strat. Kolejnym źródłem informacji powinny być prowadzone przez instytucję rejestry wszystkich incydentów związanych z ICT, istotnych cyberzagrożeń (zgodnie z art. 17 ust. 2 DORA) oraz zidentyfikowanych źródeł ryzyka związanego z ICT (zgodnie z art. 8 ust. 2 DORA). Ocena podkategorii ryzyka operacyjnego

W ocenie podkategorii ryzyka operacyjnego właściwe organy powinny skoncentrować się na tych, które są uznawane za istotne dla instytucji. Właściwe organy powinny również stosować swoją opinię ekspercką w celu zidentyfikowania istotnych podkategorii na podstawie wszystkich dostępnych wewnętrznych i zewnętrznych źródeł informacji. Przeprowadzając ocenę, właściwe organy powinny zawsze zwracać uwagę na następujące aspekty ryzyka operacyjnego³² :

• a. ryzyko prawne;
• b. ryzyko modelu;
• c. ryzyko związane z ICT.

6.4.2.1. Ryzyko prawne

³² W załączniku III znajduje się niewyczerpująca lista podkategorii ryzyka operacyjnego.

Właściwe organy powinny uwzględnić następujące kwestie przy ocenie istotności i znaczenia ekspozycji instytucji na ryzyko prawne:

• a. niewłaściwa sprzedaż produktów lub usług;
• b. konflikty interesów w ramach prowadzenia działalności;
• c. manipulacje referencyjnymi stopami procentowymi, kursami walut lub innymi instrumentami bądź wskaźnikami finansowymi;
• d. bariery uniemożliwiające zamianę produktów finansowych w czasie obowiązywania dotyczącej ich umowy lub zmianę dostawcy usługi finansowej;
• e. automatyczne przedłużanie umowy dotyczącej produktu lub stosowanie kar za rezygnację; lub
• f. rozpatrywanie skarg klientów;
• g. naruszenie krajowych i międzynarodowych przepisów i regulacji (przepisy podatkowe, oszustwa wewnętrzne lub kradzieże wewnętrzne, przepisy dotyczące przeciwdziałania praniu pieniędzy, przepisy dotyczące zwalczania terroryzmu i sankcje gospodarcze);
• h. ekspozycja na ryzyko procesowe związane z ESG, w szczególności ze środowiskiem i pseudoekologicznym marketingiem.

Właściwe organy powinny rozważyć, czy w wyniku postępowań sądowych instytucja może ponieść jakiekolwiek koszty, grzywny, kary lub odszkodowania karne, a także powinny uwzględnić liczbę i treść skarg. W celu uzyskania szerokiego wglądu w źródła potencjalnych nadużyć należy wykorzystać wyniki oceny przeprowadzonej zgodnie z tytułem 4, wraz z dogłębną analizą polityki zachęt. W tym kontekście właściwe organy powinny również rozważyć, czy dana instytucja dysponuje odpowiednimi i skutecznymi systemami i procesami wdrażania środków ograniczających (np. sankcji) oraz zapewniania ich przestrzegania, w tym ocenić stosowanie się instytucji do wytycznych EUNB w sprawie wewnętrznych polityk, procedur i mechanizmów kontroli³³ .

³³ Wytyczne w sprawie wewnętrznych polityk, procedur i mechanizmów kontroli mających na celu zapewnienie wdrożenia unijnych i krajowych środków ograniczających (EBA/GL/2024/14)

Przy tym właściwy organ powinien stosować podejście perspektywiczne, uwzględniając możliwe zmiany sytuacji pod względem regulacyjnym oraz działania odpowiednich organów w zakresie ochrony konsumentów i ogólnie świadczenia usług finansowych.

6.4.2.2. Ryzyko modelu

W ramach ryzyka operacyjnego właściwe organy powinny oceniać ryzyko modelu, ze szczególnym uwzględnieniem wewnętrznych modeli nieobjętych regulacjami (np. modeli sztucznej inteligencji, wyceny produktów, ustalania i monitorowania limitów ryzyka, modeli ICAAP/ILAAP, opcji naprawy).

W celu oceny ryzyka modelu właściwe organy powinny wziąć pod uwagę:

• a. w jakim zakresie i do jakich celów instytucja wykorzystuje modele do podejmowania decyzji oraz jakie jest biznesowe znaczenie takich decyzji. Właściwe organy powinny określić jednostki/obszary działalności, w przypadku których instytucja w znacznym stopniu korzysta z modeli, oraz ocenić potencjalny wpływ ryzyka modelu, między innymi poprzez analizy wrażliwości i scenariuszy lub testy warunków skrajnych; oraz
• b. solidność mechanizmów kontroli (pod względem metod, częstotliwości, działań następczych itp.), w tym procesu zatwierdzania modeli, przeprowadzanych regularnych przeglądów oraz poziomu świadomości instytucji na temat niedociągnięć modeli lub rozwoju sytuacji rynkowej i biznesowej.

W przypadku wykorzystywania modeli do celów podejmowania decyzji (np. ustalanie cen produktów, modele sztucznej inteligencji, ocena instrumentów finansowych, profilowanie klientów) właściwe organy powinny ocenić, czy istnieje rzetelny wewnętrzny proces walidacji lub proces przeglądu modeli, mający na celu identyfikację i ograniczanie ryzyka modelu (z wyjątkiem modeli regulacyjnych).

Przeprowadzając ocenę ryzyka modelu, właściwe organy powinny rozważyć oceny innych ryzyk obciążających kapitał oraz ryzyk płynności i finansowania, w szczególności w zakresie odpowiedniości metod używanych do pomiaru ryzyka, wyceny oraz oceny aktywów i pasywów. Wyniki takiej oceny powinny stanowić podstawę ustaleń dotyczących ryzyka operacyjnego. 6.4.2.3. Ryzyko związane z ICT – Ocena ryzyka nieodłącznego związanego z ICT

Określenie istotnych rodzajów ryzyka związanego z ICT

Zgodnie z rozporządzeniem DORA właściwe organy powinny dokonać przeglądu sposobu identyfikacji, klasyfikacji i dokumentacji przez instytucję wszystkich funkcji biznesowych wspieranych przez ICT, zadań i obowiązków, zasobów informacyjnych³⁴ i zasobów ICT³⁵ wspierających te funkcje oraz ich zadania i zależności w odniesieniu do ryzyka związanego z ICT. Przegląd ten powinien pomóc właściwym organom w uzyskaniu dogłębnego zrozumienia ekspozycji instytucji na ryzyko nieodłączne związane z ICT (profil ryzyka związanego z ICT), zidentyfikowaniu istotnego nieodłącznego ryzyka ICT oraz sformułowaniu opinii na temat jego wpływu z perspektywy ostrożnościowej na instytucję. W tym celu właściwe organy powinny uwzględnić co najmniej następujące elementy, o ile są one istotne i mają zastosowanie:

• a. sprawozdanie z przeglądu ram zarządzania ryzykiem związanym z ICT (zgodnie z art. 6 ust. 5 DORA);
• b. źródła ryzyka związanego z ICT, w szczególności ekspozycję na ryzyko w odniesieniu do innych podmiotów finansowych i pochodzące od tych podmiotów, zidentyfikowaną przez instytucję zgodnie z art. 8 ust. 2 DORA;
• c. zgłoszone poważne incydenty związane z ICT (zgodnie z art. 19 ust. 1 DORA), w tym tendencje dotyczące łącznych rocznych kosztów i strat spowodowanych poważnymi incydentami związanymi z ICT (zgodnie z art. 11 ust. 10 DORA);
• d. wyniki testów przewidzianych w programie testowania operacyjnej odporności cyfrowej (zgodnie z art. 24 DORA), w tym podsumowanie ustaleń z testów penetracyjnych pod kątem wyszukiwania zagrożeń (TLPT) i powiązanych planów naprawczych (zgodnie z art. 26 ust. 6 DORA);
• e. rejestr informacji (zgodnie z art. 28 ust. 3 DORA), obejmujący stopień koncentracji zewnętrznych dostawców usług ICT, w tym dostawców ICT wewnątrz grupy, w podziale na rodzaje usług ICT lub systemów ICT;
• f. zalecenia i opinie wiodących organów nadzorczych (zgodnie z art. 40 ust. 3 i art. 42 ust. 7 DORA) oraz związane z nimi odpowiedzi, sprawozdania i informacje od kluczowych zewnętrznych dostawców usług ICT (zgodnie z art. 35 ust. 1 lit. c), art. 42 ust. 1 i art. 48 ust. 2 DORA);
• g. poziom złożoności systemów ICT oraz wyniki oceny ryzyka związanego z dotychczasowymi systemami ICT (zgodnie z art. 8 ust. 7 DORA);
• h. ocenę ryzyka przy każdej większej zmianie (zgodnie z art. 8 ust. 3 DORA);
• i. stopień wdrażania i integracji innowacyjnych rozwiązań z zakresu ICT;
• j. miejsca, czyli regiony lub kraje, w których znajdują się ośrodki przetwarzania danych i wyznaczone obszary wrażliwe, w tym miejsca, w których usługi ICT są świadczone przez zewnętrznych dostawców usług ICT, z uwzględnieniem również lokalizacji przetwarzania i przechowywania danych;
• k. wszelkie istotne niedociągnięcia lub słabe punkty stwierdzone na podstawie tytułu 5;
• l. samodzielną ocenę mechanizmów kontroli i ryzyka związanego z ICT (jeżeli została uwzględniona w informacjach ICAAP);
• m. informacje dotyczące zarządzania ryzykiem związanym z ICT przekazywane organowi zarządzającemu instytucji;
• n. ustalenia z audytów wewnętrznych i zewnętrznych dotyczących ICT;
• o. zewnętrzne środowisko zagrożeń, w tym analiza zagrożeń i podatności.

Przegląd systemów ICT i usług ICT

³⁴ Artykuł 3 ust. 6 rozporządzenia (UE) 2022/2554.

³⁵ Artykuł 3 ust. 7 rozporządzenia (UE) 2022/2554.

Właściwe organy powinny dokonać przeglądu odpowiedniej dokumentacji, metodyki i procesów danej instytucji oraz wydać opinię na temat tego, czy instytucja ta właściwie zidentyfikowała systemy i usługi ICT, które wspierają funkcje krytyczne lub istotne. W tym celu właściwe organy powinny rozważyć:

• a. systemy ICT wspierające funkcje krytyczne lub istotne, a także krytyczne zasoby informacyjne i zasoby ICT wskazane przez instytucję (zgodnie z art. 8 DORA);
• b. kluczowe procesy, które zależą od zewnętrznych dostawców usług ICT, w tym wzajemne powiązania z zewnętrznymi dostawcami usług ICT, którzy świadczą usługi wspierające krytyczne lub istotne funkcje, wskazane przez instytucję (zgodnie z art. 8 ust. 5 DORA).

Identyfikacja i grupowanie istotnych rodzajów ryzyka związanego z ICT, które dotyczą systemów i usług ICT wspierających krytyczne lub istotne funkcje

Następnie właściwe organy powinny przyporządkować zidentyfikowane istotne ryzyko związane z ICT do kategorii ryzyka związanego z ICT określonych w załączniku III. Oczekuje się, że instytucje będą stosować własną klasyfikację, a nie tę określoną w załączniku.

6.4.3. Ocena ram zarządzania ryzykiem operacyjnym i mechanizmów jego kontroli

Właściwe organy powinny ocenić ramy i mechanizmy wprowadzone przez instytucję w celu zarządzania ryzykiem operacyjnym i jego kontroli, biorąc pod uwagę wyniki analizy ogólnych ram zarządzania ryzykiem i mechanizmów kontroli wewnętrznej, o których mowa w tytule 5, ponieważ będzie to miało wpływ na ekspozycje instytucji na ryzyko operacyjne. W odniesieniu do ryzyka prania pieniędzy i finansowania terroryzmu właściwy organ powinien uwzględnić ocenę przedstawioną przez organ sprawujący nadzór w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu.

Strategia w zakresie ryzyka operacyjnego i apetyt na to ryzyko

Właściwe organy powinny ocenić, czy instytucja posiada prawidłową, jasno sformułowaną i udokumentowaną strategię w zakresie ryzyka operacyjnego i poziom apetytu na to ryzyko, zatwierdzone przez organ zarządzający, określające charakter, rodzaje i poziomy ryzyka operacyjnego, które instytucja jest skłonna podejmować. Przeprowadzając tę ocenę, właściwe organy powinny uwzględnić między innymi rolę organu zarządzającego w ustalaniu, zatwierdzaniu, wdrażaniu i przeglądzie strategii w zakresie ryzyka operacyjnego i apetytu na to ryzyko (w tym poziomu apetytu na ryzyko związane z ICT i strategii operacyjnej odporności cyfrowej), a także to, czy strategia ta w wystarczającym stopniu obejmuje zakresem charakter i istotność profilu ryzyka operacyjnego danej instytucji i jest do niego dostosowana.

Ramy organizacyjne i ramy kontroli wewnętrznej

Właściwe organy powinny ocenić, czy instytucja spełnia warunki określone w art. 323 rozporządzenia (UE) nr 575/2013. W ramach tej oceny właściwe organy powinny zbadać solidność i skuteczność ram organizacyjnych i zasad zarządzania, mających na celu umożliwienie skutecznego zarządzania ryzykiem operacyjnym, jego pomiaru i kontroli, a zarazem zapewnienie wystarczających zasobów kadrowych i technicznych do wykonania wymaganych zadań. Właściwe organy powinny wziąć pod uwagę, czy istnieją jasno określone zakresy odpowiedzialności za identyfikację, ocenę, ograniczanie, monitorowanie i raportowanie ryzyka operacyjnego, a także czy stosuje się model „trzech linii obrony”.

Właściwe organy powinny ocenić, czy instytucja posiada solidne ramy kontroli i prawidłowe mechanizmy bezpieczeństwa ograniczające jej ryzyko operacyjne, w tym odpowiednie polityki i procedury, obejmujące również ryzyko rezydualne, oraz czy są one spójne z apetytem instytucji na zarządzanie ryzykiem operacyjnym i z jej strategią w zakresie zarządzania ryzykiem operacyjnym, a także czy obejmują wszystkie kluczowe operacje i procesy. Obejmuje to między innymi ocenę tego, czy te zasady polityki i procedury są wyraźnie sformalizowane, przedstawiane i stosowane jednolicie w całej instytucji.

Właściwe organy powinny również ocenić funkcjonowanie komórki ds. audytu wewnętrznego pod kątem adekwatności, zakresu i częstotliwości audytów wewnętrznych dotyczących ram zarządzania ryzykiem operacyjnym.

Ciągłość działania, reagowanie i przywracanie sprawności

Właściwe organy powinny ocenić, czy instytucja przestrzega (i) wytycznych EUNB w sprawie zarządzania wewnętrznego w odniesieniu do ogólnego zarządzania ciągłością działania oraz (ii) przepisów DORA w odniesieniu do polityki zapewniania ciągłości działania w zakresie ICT oraz planów reagowania i przywracania sprawności ICT. W związku z tym właściwe organy powinny ustalić, czy polityka zapewnienia ciągłości działania w zakresie ICT oraz plany reagowania i przywracania sprawności ICT stanowią integralną część ogólnej polityki zapewnienia ciągłości działania instytucji oraz jej planu reagowania i przywracania sprawności.

Właściwe organy powinny ocenić, czy instytucja wdrożyła skuteczny system zarządzania ciągłością działania, obejmujący sprawdzone plany ciągłości działania, reagowania i przywracania sprawności, które obejmują co najmniej jej krytyczne lub istotne funkcje – w tym te zlecone podmiotom zewnętrznym – oraz czy plany te uwzględniają szereg poważnych, ale prawdopodobnych scenariuszy, na które instytucja może być narażona. Właściwe organy powinny również ocenić, czy polityka instytucji w zakresie ciągłości działania umożliwia wdrożenie odpowiednich środków reagowania i przywrócenia sprawności w przypadku każdego rodzaju incydentu.

Właściwe organy powinny ustalić, czy system zarządzania ciągłością działania danej instytucji obejmuje:

• a. analizę wpływu na działalność (ang. business impact analysis , BIA);
• b. odpowiednie strategie przywracania sprawności uwzględniające kluczowe wewnętrzne i zewnętrzne zależności oraz jasno określone priorytety naprawy i poziomy odporności;
• c. kompleksowe i elastyczne plany postępowania w przypadku prawdopodobnych scenariuszy zakłóceń, opracowywane na podstawie BIA oraz we współpracy z wewnętrznymi i zewnętrznymi zainteresowanymi stronami;
• d. plany określające strategie awaryjne oraz procedury reagowania i przywracania sprawności;
• e. skuteczne testowanie projektu i skuteczności operacyjnej planów;
• f. programy podnoszenia świadomości i szkoleń w zakresie procesów zarządzania ciągłością działania;
• g. plany działań informacyjnych dotyczące informowania kadry kierowniczej i wszystkich odpowiednich zainteresowanych stron, a także dokumentację dotyczącą zarządzania kryzysowego, środki w tym zakresie i, w stosownych przypadkach, funkcję zarządzania w sytuacji kryzysowej (zgodnie z art. 11 ust. 7 DORA).

Właściwe organy powinny ocenić, czy plany zapewnienia ciągłości działania, reagowania i przywracania sprawności instytucji:

• a. określają role i obowiązki, w tym jasne wytyczne dotyczące ewentualnej sukcesji, oraz obejmują wewnętrzny proces podejmowania decyzji wraz z określeniem czynników uruchamiających;
• b. były poddawane przeglądowi w celu zapewnienia spójności strategii awaryjnych z bieżącymi operacjami, ryzykiem i zagrożeniami, poziomami odporności oraz celami i priorytetami w zakresie przywracania sprawności;
• c. określają hierarchię działań w zakresie ciągłości działania z wykorzystaniem podejścia opartego na analizie ryzyka;
• d. są regularnie testowane, tak aby można było osiągnąć cele przywracania sprawności i dotrzymać terminów; oraz
• e. obejmują, w stosownych przypadkach, testowanie usług świadczonych przez zewnętrznych dostawców usług.

Właściwe organy powinny również ocenić, czy wyniki testów są dokumentowane i przekazywane organowi zarządzającemu.

Ocena ram zarządzania ryzykiem związanym z ICT

Właściwe organy powinny ocenić, w jakim stopniu instytucja przestrzega przepisów DORA oraz wytycznych EUNB w sprawie zarządzania wewnętrznego w odniesieniu do zarządzania wewnętrznego i organizacji zarządzania ryzykiem związanym z ICT. Właściwe organy powinny ocenić, czy organ zarządzający danej instytucji ponosi ogólną odpowiedzialność za zarządzanie ryzykiem związanym z ICT oraz czy w odpowiedni sposób określa, zatwierdza i nadzoruje wdrażanie wszystkich rozwiązań związanych z tymi technologiami. Właściwe organy powinny rozważyć, czy członkowie organu zarządzającego posiadają wystarczającą wiedzę i umiejętności wystarczające do zrozumienia i oceny ryzyka związanego z ICT i jego wpływu na operacje instytucji.

Właściwe organy powinny ocenić, w jaki sposób role i obowiązki związane ze wszystkimi funkcjami z zakresu ICT oraz ustanowione zasady zarządzania są włączone w mechanizmy kontroli wewnętrznej i zarządzania instytucji oraz z nimi zintegrowane na potrzeby zarządzania ryzykiem związanym z ICT. W tym celu właściwe organy powinny rozważyć, czy instytucja skutecznie powierzyła odpowiedzialność za zarządzanie ryzykiem związanym z ICT oraz nadzór nad nim niezależnej komórce ds. kontroli, która ma bezpośredni dostęp do informacji i może składać sprawozdania bezpośrednio organowi zarządzającemu pełniącemu funkcję nadzorczą, a także ocenić, czy instytucja wykazuje:

• a. przejrzystą komunikację, podział oraz integrację ról i obowiązków we wszystkich obszarach związanych z ICT, w tym w funkcjach biznesowych i procesach wspieranych przez te technologie;
• b. wystarczający i odpowiedni budżet na potrzeby osiągnięcia operacyjnej odporności cyfrowej w odniesieniu do wszystkich rodzajów zasobów, w tym odpowiednich programów zwiększania świadomości, szkoleń i umiejętności w zakresie ICT dla wszystkich pracowników (zgodnie z art. 5 ust. 2 lit. g) DORA);
• c. odpowiednie działania następcze i reagowanie organu zarządzającego na krytyczne ustalenia audytu w zakresie ICT oraz ustalenia zgłoszone na podstawie art. 13 ust. 5 DORA.

Właściwe organy powinny dogłębnie zapoznać się z ramami zarządzania ryzykiem związanym z ICT danej instytucji oraz ocenić, czy instytucja ta dysponuje wystarczającymi i odpowiednimi strategiami, zasadami polityki, procedurami, protokołami i narzędziami ICT – w tym poziomami tolerancji – pozwalającymi skutecznie, efektywnie i kompleksowo zarządzać istotnym ryzykiem związanym z ICT zgodnie z DORA. W tym celu właściwe organy powinny rozważyć, w stosownych przypadkach:

• a. adekwatność i skuteczność polityk³⁶ , procesów i procedur instytucji w zakresie zarządzania ryzykiem związanym z ICT, obejmujących między innymi zarządzanie podmiotami zewnętrznymi w zakresie ICT, wykrywanie incydentów związanych z ICT i reagowanie na nie, zarządzanie ocenami ryzyka ICT, szyfrowanie i kryptografię, bezpieczeństwo operacji ICT, bezpieczeństwo sieci, kontrolę dostępu, a także to, czy zostały one zatwierdzone przez organ zarządzający i przekazane wszystkim odpowiednim zainteresowanym stronom (zgodnie z art. 14 DORA);
• b. adekwatność poziomu tolerancji ryzyka instytucji w odniesieniu do ryzyka związanego z ICT oraz poziomu tolerancji wpływu zakłóceń w funkcjonowaniu tych technologii (zgodnie z art. 6 ust. 8 lit. b) DORA);
• c. adekwatność i wdrażanie strategii operacyjnej odporności cyfrowej instytucji, w tym jej dostosowanie do strategii działalności;
• d. spójność strategii w zakresie ryzyka ze strony zewnętrznych dostawców usług ICT, w tym strategii dotyczącej wielu dostawców ICT (o ile taka istnieje), z ogólną strategią działalności oraz ramami zarządzania ryzykiem związanym z ICT;
• e. ryzyko rezydualne wynikające z ryzyka zidentyfikowanego przez instytucję w odniesieniu do ustaleń umownych dotyczących korzystania z usług ICT wspierających krytyczne lub istotne funkcje;
• f. ryzyko rezydualne wynikające ze zidentyfikowanych przez instytucję ryzyk związanych z projektami ICT mającymi wpływ na krytyczne lub istotne funkcje, zgłaszanych organowi zarządzającemu, a także z pozyskiwaniem, rozwojem i utrzymaniem systemów ICT oraz wprowadzaniem zmian w tych systemach;
• g. prawidłowość i kompleksowość programu testowania operacyjnej odporności cyfrowej;
• h. tendencje i skalę poważnych incydentów związanych z ICT oraz ustalenia zgłoszone organowi zarządzającemu zgodnie z art. 17 ust. 3 lit. e) i art. 13 ust. 5 DORA;
• i. mechanizmy kontroli ryzyka związanego z ICT, dostosowane do zidentyfikowanego istotnego ryzyka w tym zakresie;
• j. terminowe przekazywanie informacji dotyczących aspektów zarządzania ryzykiem związanym z ICT organowi zarządzającemu i kadrze kierowniczej wyższego szczebla;
• k. zakres audytu wewnętrznego i ustalenia.

³⁶ Zgodnie z DORA powinny one obejmować co najmniej: politykę bezpieczeństwa informacji, polityki tworzenia kopii zapasowych, politykę zarządzania zasobami ICT, politykę dotyczącą mechanizmów kontroli szyfrowania i kontroli kryptograficznej, politykę zarządzania kluczami kryptograficznymi, politykę zarządzania projektami ICT, politykę dotyczącą pozyskiwania, rozwoju i utrzymania systemów ICT, politykę kadrową, politykę bezpieczeństwa fizycznego i środowiskowego, politykę zarządzania incydentami związanymi z ICT oraz politykę dotyczącą korzystania z usług ICT wspierających funkcje krytyczne lub istotne, świadczonych przez zewnętrznych dostawców usług ICT.

Oceniając zarządzanie ryzykiem związanym z ICT, właściwe organy powinny zwrócić szczególną uwagę na zarządzanie ryzykiem ze strony zewnętrznych dostawców usług ICT, w tym na poziom koncentracji instytucji w odniesieniu do tych dostawców. W tym celu właściwe organy powinny zapewnić ścisłą współpracę z wiodącymi organami nadzorczymi kluczowych zewnętrznych dostawców usług ICT, zgodnie ze wspólnymi wytycznymi Europejskich Urzędów Nadzoru³⁷ , w przypadku gdy instytucja podlegająca ocenie otrzymuje usługi ICT od kluczowego zewnętrznego dostawcy usług ICT. Właściwe organy powinny również dokonywać przeglądu skuteczności pełnienia przez instytucję lub wyznaczonego członka kadry kierowniczej wyższego szczebla specjalnej roli w zakresie monitorowania ustaleń z zewnętrznymi dostawcami usług ICT.

³⁷ Wspólne wytyczne Europejskich Urzędów Nadzoru dotyczące współpracy w zakresie nadzoru i wymiany informacji między Europejskimi Urzędami Nadzoru a właściwymi organami na podstawie rozporządzenia (UE) 2022/2554 (JC/2024/36).

Właściwe organy powinny rozważyć, czy komórka ds. audytu wewnętrznego jest skuteczna i posiada wystarczającą wiedzę, umiejętności i doświadczenie, aby przeprowadzić audyt ram zarządzania ryzykiem związanym z ICT w instytucji, i w tym celu powinny sprawdzić, czy:

• a. ramy zarządzania ryzykiem związanym z ICT są poddawane audytom o wymaganej jakości,
• o odpowiednim zakresie i z odpowiednią częstotliwością oraz czy są dostosowane do profilu ryzyka instytucji związanego z ICT;
• b. plan audytu obejmuje audyty dotyczące istotnych rodzajów ryzyka związanego z ICT, zidentyfikowanych przez instytucję, w tym niezależne przeglądy planów reagowania i przywracania sprawności systemów ICT;
• c. istotne ustalenia z audytu w zakresie ICT są w odpowiednim czasie weryfikowane i korygowane, w tym w drodze przekazywania informacji organowi zarządzającemu;
• d. ustalenia z audytu systemów ICT, w tym uzgodnione działania, są przedmiotem formalnych działań następczych, a sprawozdania z postępów są okresowo analizowane przez kadrę kierowniczą wyższego szczebla lub komitet ds. audytu. 6.4.4. Ocena ryzyka utraty reputacji

Właściwe organy powinny ocenić ryzyko utraty reputacji, na jakie narażona jest instytucja, wykorzystując wiedzę uzyskaną na podstawie tytułów 4–6.2. Taka ocena powinna również koncentrować się na ogólnych ramach ryzyka utraty reputacji, aby upewnić się co do zdolności instytucji do skutecznego zarządzania wszelkimi zdarzeniami dotyczącymi reputacji. W ocenie tej właściwe organy powinny unikać podwójnego uwzględniania aspektów, które uwzględniono już w ocenie ryzyka prawnego (sekcja 6.4.2.1).

Oceniając istotność ryzyka utraty reputacji, właściwe organy powinny uwzględnić wielkość instytucji, a także charakter, skalę i złożoność świadczonych przez nią usług, prowadzonej działalności i operacji (na przykład notowane na giełdzie akcje lub instrumenty dłużne lub udział w rynkach międzybankowych).

Właściwe organy powinny wziąć pod uwagę zarówno wewnętrzne, jak i zewnętrzne czynniki lub zdarzenia, które mogą budzić obawy związane z reputacją, z wyłączeniem zdarzeń, które skutkują postępowaniami sądowymi. W odniesieniu do instytucji kategorii 1 i 2 właściwe organy powinny uwzględnić w swojej ocenie wszystkie następujące wskaźniki:

• a. negatywne relacje w mediach i mediach społecznościowych oraz inicjatywy organizacji konsumenckich, które to działania mogłyby pogorszyć odbiór instytucji przez opinię publiczną i reputację instytucji;
• b. liczba skarg klientów i zmiany w tym zakresie oraz nagła utrata klientów lub inwestorów;
• c. negatywne wydarzenia dotyczące porównywalnych instytucji, jeżeli opinia publiczna mogłaby powiązać te wydarzenia z całym sektorem finansowym lub grupą instytucji;
• d. reputacja osób zaangażowanych w zarządzanie instytucją lub posiadających znaczne udziały;
• e. działanie lub prowadzenie działalności w sektorach lub jurysdykcjach szczególnie narażonych na pranie pieniędzy i finansowanie terroryzmu lub w powiązaniu z osobami, które wiążą się z wysokim ryzykiem z perspektywy prania pieniędzy i finansowania terroryzmu;
• f. zaangażowanie lub prowadzenie działalności w sektorach lub jurysdykcjach lub z kontrahentami o wysokim stopniu narażenia na poważne problemy lub publiczne kontrowersje związane z czynnikami ESG, w tym między innymi czynnikami środowiskowymi;
• g. wpływ incydentów związanych z ICT na reputację, odnotowany przez instytucję zgodnie z rozporządzeniem delegowanym Komisji (UE) 2024/1772³⁸ ;
• h. inne wskaźniki „rynkowe”, jeżeli są dostępne (np. obniżenie ratingu lub zmiany cen akcji na przestrzeni roku).

³⁸ Rozporządzenie delegowane Komisji (UE) 2024/1772 z dnia 13 marca 2024 r. uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do regulacyjnych standardów technicznych określających kryteria klasyfikacji incydentów związanych z ICT i cyberzagrożeń, progi istotności i szczegółowe informacje dotyczące zgłaszania poważnych incydentów, C/2024/1519 (Dz.U. L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

Właściwe organy powinny ocenić znaczenie ekspozycji instytucji na ryzyko utraty reputacji oraz to, jak wiąże się ono z innymi rodzajami ryzyka, korzystając w tym celu z odpowiednich ocen ryzyka (w tym pochodzących od innych organów nadzorczych), aby zidentyfikować wszelkie możliwe wtórne skutki niezależnie od kierunku oddziaływania.

W kontekście analizy ryzyka operacyjnego właściwe organy powinny wziąć pod uwagę istotę i znaczenie ekspozycji instytucji na ryzyko prania pieniędzy/finansowania terroryzmu z ostrożnościowego punktu widzenia w ramach ryzyka operacyjnego. W związku z tym właściwe organy powinny wykorzystywać odpowiednie informacje otrzymane od organów sprawujących nadzór w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, aby uzupełnić swoje ustalenia wynikające z bieżącego nadzoru i ocenić, czy budzą one obawy ostrożnościowe związane z ryzykiem prania pieniędzy i finansowania terroryzmu.

Właściwe organy powinny pamiętać, że każda instytucja może być narażona na ryzyko prania pieniędzy lub finansowania terroryzmu, niezależnie od jej wielkości lub kondycji finansowej. W związku z tym należy również zwrócić odpowiednią uwagę na instytucje, które są postrzegane jako stabilne finansowo i mogą cieszyć się dobrą reputacją, biorąc pod uwagę, że instytucje te mogą być specjalnie ukierunkowane do celów prania pieniędzy lub finansowania terroryzmu. Należy również zwrócić uwagę na instytucje, które bardzo skutecznie przyciągają nowych klientów/zwiększają udział w rynku – zwłaszcza dzięki wykorzystaniu nietradycyjnych kanałów dystrybucji – ponieważ może to być związane ze słabymi kontrolami należytej staranności wobec klienta na etapie jego pozyskiwania.

Właściwe organy powinny przekazywać organom sprawującym nadzór w zakresie przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu istotne informacje dotyczące zidentyfikowanych kwestii związanych z ryzykiem operacyjnym, które mogą powodować ryzyko prania pieniędzy i finansowania terroryzmu, ryzyko niewykonania ukierunkowanych sankcji finansowych lub uchylania się od nich, a także kwestie budzące obawy, takie jak niedociągnięcia w systemach ICT instytucji lub w ramach kontroli wewnętrznej.

Właściwe organy powinny ocenić, czy dana instytucja wdrożyła odpowiednie rozwiązania, strategie, procesy i mechanizmy zarządzania ryzykiem utraty reputacji. W szczególności właściwe organy powinny uwzględnić, czy:

• a. instytucja posiada sformalizowane polityki i procedury służące identyfikacji i monitorowaniu tego ryzyka oraz zarządzania nim, w tym solidny kodeks postępowania, oraz czy polityki i procedury są proporcjonalne do wielkości instytucji i jej znaczenia w systemie;
• b. instytucja traktuje to ryzyko w sposób ostrożnościowy, między innymi przez wdrożenie odpowiednich wskaźników i narzędzi monitorujących, uwzględnienie potencjalnych problemów związanych z reputacją w planach awaryjnych, organizowanie odpowiednich szkoleń i sesji uświadamiających oraz wykorzystywanie zdobytych doświadczeń;
• c. instytucja przeprowadza testy warunków skrajnych lub analizy scenariuszy w celu oceny ewentualnych skutków wtórnych ryzyka utraty reputacji (np. kosztów płynności i finansowania, transakcji sekurytyzacyjnych, dostępu do usług bankowości korespondencyjnej);
• d. instytucja działa na rzecz ochrony swojej marki, wykorzystując narzędzia do monitorowania mediów/mediów społecznościowych, protokoły postępowania w przypadku dezinformacji i negatywnego rozgłosu, a także prowadząc kampanie informacyjne;
• e. instytucja uwzględnia potencjalny wpływ swojej strategii i planów biznesowych, oraz, ogólniej rzecz biorąc, swojego postępowania, na jej reputację.

6.4.5. Odporność operacyjna

Właściwe organy powinny uzyskać całościowy obraz zdolności instytucji do pełnienia krytycznych lub istotnych funkcji w przypadku zakłóceń (poziom odporności operacyjnej) – wynik, który korzystnie wpływa na skuteczne zarządzanie ryzykiem operacyjnym, biorąc pod uwagę wielkość instytucji, jej model biznesowy i ogólny profil ryzyka. W tym celu właściwe organy powinny wykorzystać swoje dotychczasowe oceny dotyczące zarządzania ryzykiem operacyjnym, ciągłości działania, zdolności zarządzania zmianami, usług świadczonych przez podmioty zewnętrzne oraz systemów ICT, z których korzysta dana instytucja, aby w sposób całościowy ocenić, czy elementy te łącznie wspierają odporność operacyjną tej instytucji. Właściwe organy powinny również rozważyć, czy instytucja wdraża – w sposób ciągły i skoordynowany – swoje ramy zarządzania ryzykiem, plany ciągłości działania, zarządzanie podmiotami zewnętrznymi (już ocenione w kontekście DORA i wytycznych EUNB wydanych na podstawie art. 74 ust. 3 dyrektywy 2013/36/UE w sprawie zasad, procesów i mechanizmów zarządzania wewnętrznego) oraz ramy działań naprawczych, restrukturyzacji i uporządkowanej likwidacji. Ponadto właściwe organy powinny rozważyć, czy instytucja w wystarczającym stopniu zmapowała wewnętrzne i zewnętrzne wzajemne powiązania i współzależności, które są niezbędne do pełnienia przez nią krytycznych lub istotnych funkcji.

Właściwe organy powinny uwzględnić uwagę, jaką organ zarządzający i kadra kierownicza wyższego szczebla poświęcają zdolności instytucji do reagowania na zakłócenia i przywracania sprawności, wychodząc z założenia, że takie awarie wystąpią. W tym celu właściwe organy powinny rozważyć, czy:

• a. organ zarządzający odgrywa aktywną rolę w budowaniu powszechnego zrozumienia podejścia do odporności operacyjnej w całej instytucji i w monitorowaniu skuteczności tego podejścia;
• b. w celu wsparcia nadzoru sprawowanego przez organ zarządzający sprawozdania dotyczące bieżącej odporności operacyjnej instytucji są składane terminowo, zwłaszcza w sytuacjach, gdy stwierdzone poważne niedociągnięcia mogłyby wpłynąć na pełnienie funkcji krytycznych lub istotnych dla instytucji. 6.4.6. Podsumowanie ustaleń, punktacja i środki nadzorcze

operacyjnego instytucji. Pogląd ten powinien znaleźć odzwierciedlenie w podsumowaniu ustaleń i punktacji ryzyka przyznanej na podstawie kryteriów wymienionych w tabeli 10. W przypadkach, w których w związku z istotnością niektórych podkategorii ryzyka właściwy organ zdecyduje się ocenić je i przypisać im punktację indywidualnie, należy w możliwie największym stopniu kierować się wskazówkami określonymi we wspomnianej tabeli, na zasadzie analogii.

Tabela 10. Kryteria nadzorcze istotne przy określaniu punktacji ryzyka operacyjnego Punktacj Kryteria związane z ryzykiem Kryteria związane z jakością a ryzyka Pogląd nadzorczy nieodłącznym zarządzania i mechanizmy

W poniższej tabeli przedstawiono niewyczerpującą listę środków nadzorczych, jakie właściwe organy mogą zastosować w przypadku stwierdzenia niedociągnięć w ramach zarządzania ryzykiem operacyjnym instytucji oraz w zakresie jej odporności operacyjnej (biorąc pod uwagę ścisły związek między odpornością operacyjną a zarządzaniem ryzykiem operacyjnym). Właściwe organy powinny podjąć decyzję co do rodzaju środka na podstawie jego skuteczności w odniesieniu do konkretnego stwierdzonego niedociągnięcia. Właściwe organy mogą zastosować dodatkowe środki nadzorcze (w tym środki ilościowe zgodnie z art. 104 ust. 1 lit. a) dyrektywy 2013/36/UE) lub ich kombinację ze środkami wymienionymi w poniższej tabeli, jeżeli uznają takie rozwiązanie za bardziej odpowiednie do usunięcia stwierdzonych niedociągnięć. W przypadku naruszeń przepisów DORA właściwe organy powinny rozważyć zastosowanie odpowiednich środków naprawczych przewidzianych w art. 50 DORA.

Tabela 11. Potencjalna i niewyczerpująca lista środków nadzorczych wynikających z oceny ryzyka operacyjnego i odporności operacyjnej Potencjalne środki nadzorcze, jakie mogą zastosować właściwe organy zgodnie z art. 104 ust. 1 lit. b), d), e), f), j), l), m) i n) dyrektywy 2013/36/UE oraz art. 50 rozporządzenia (UE) 2022/2554 – Właściwe organy mogą wymagać od instytucji, aby: A. bardziej aktywnie angażowała organ zarządzający lub jego komitety w podejmowanie decyzji dotyczących zarządzania ryzykiem operacyjnym; B. usprawniła systemy pomiaru ryzyka operacyjnego; C. wzmocniła mechanizmy kontroli procesów operacyjnych, w tym identyfikacji, monitorowania, reagowania i przywracania sprawności; D. udoskonaliła ramy zarządzania operacyjnego; E. usprawniła raportowanie ryzyka operacyjnego do organu zarządzającego i kadry kierowniczej wyższego szczebla; F. opracowała i wdrożyła plany działań naprawczych w celu usunięcia niedociągnięć; G. ograniczyła niektóre umowy z podmiotami zewnętrznymi, w szczególności w odniesieniu do krytycznych lub istotnych funkcji; H. udoskonaliła testy warunków skrajnych i analizy scenariuszy dotyczących ryzyka operacyjnego; Potencjalne środki nadzorcze, jakie mogą zastosować właściwe organy zgodnie z art. 104 ust. 1 lit. b), d), e), f), j), l), m) i n) dyrektywy 2013/36/UE oraz art. 50 rozporządzenia (UE) 2022/2554 – Właściwe organy mogą wymagać od instytucji, aby: I. wdrożyła bardziej rygorystyczne środki operacyjne; J. udoskonaliła plany ciągłości działania, reagowania i przywracania sprawności; K. usprawniła zarządzanie ryzykiem operacyjnym związanym z ryzykami ESG, w szczególności ryzykami środowiskowymi, opierając się potencjalnie na jednym lub kilku z wymienionych powyżej działań.