6.4. Evaluarea riscului operațional

La evaluarea cadrului de administrare a riscului operațional, autoritățile competente trebuie să evalueze, printre altele, conformitatea instituției cu actele juridice publicate separat pe site-ul ABE, astfel cum se menționează la punctul 12.

Autoritățile competente trebuie să evalueze riscul operațional pe toate liniile de activitate și operațiunile instituției, ținând cont de constatările din urma evaluării cadrului de administrare a activității și a procedurilor de control la nivelul instituției, astfel cum este menționat la Titlul 5. Când efectuează această evaluare, autoritățile competente trebuie să stabilească modul în care se poate materializa riscul operațional, luând în considerare și setul de date privind pierderile instituției, precum și impactul potențial al altor riscuri conexe (de exemplu, „cazuri la limită” privind riscul operațional – riscul de credit, riscul operațional – riscul de piață).

Autoritățile competente trebuie să evalueze importanța riscului operațional generat de furnizorii terți de servicii, inclusiv concentrarea (la nivel de entitate și, după caz, la nivel de grup) asupra unuia sau mai multor servicii furnizate de un singur furnizor terț (direct sau indirect, prin lanțuri de subcontractare) sau de un număr limitat de furnizori terți care susțin funcțiile critice sau importante ale instituției, precum și dacă acestea ar putea afecta reziliența operațională, performanța și administrarea riscurilor instituției. La realizarea acestei evaluări, autoritățile competente trebuie să țină seama de măsura în care aceiași furnizori de servicii terți sunt utilizați de alte instituții, atunci când aceste informații le sunt puse la dispoziție.

La evaluarea riscului operațional, autoritățile competente trebuie să evalueze riscul TIC, în conformitate cu DORA, precum și impactul potențial al acestuia asupra funcțiilor critice sau importante ale instituției, inclusiv orice impact potențial de natură financiară, reputațională, de reglementare și strategică asupra instituției.

Autoritățile competente trebuie să evalueze dacă instituția dispune de o abordare adecvată în materie de reziliență operațională, care să îi permită să facă față perturbărilor, să se adapteze la acestea și să își revină în urma lor atunci când apar, precum și dacă această abordare a fost aliniată în mod adecvat și consecvent la cadrul existent de administrare a riscurilor, la planurile de continuitate a activității și la administrarea riscurilor legate de serviciile furnizate de către terți.

La evaluarea riscului operațional, autoritățile competente trebuie să analizeze, dacă este cazul, dacă politicile și procedurile instituției identifică, evaluează și administrează în mod adecvat riscurile operaționale generate de activitățile legate de criptoactive și de tehnologia pe care se bazează acestea.

Autoritățile competente trebuie să evalueze riscul reputațional împreună cu riscul operațional, întrucât acesta este strâns legat de evenimentele care generează risc operațional. Cu toate acestea, rezultatul evaluării riscului reputațional nu trebuie să se reflecte în scorul atribuit pentru riscul operațional însă, dacă este important, trebuie luat în considerare în cadrul AMA și/sau al evaluării riscului de lichiditate, întrucât principalele efecte pe care le poate avea pot afecta încrederea investitorilor, a deponenților sau a participanților la piața interbancară în instituție.

Autoritățile competente trebuie să evalueze impactul riscurilor ESG asupra riscurilor operaționale și reputaționale inerente, precum și adecvarea controalelor privind riscul operațional și riscul reputațional legate de riscurile ESG, acordând prioritate riscurilor fizice și de tranziție ecologică. În special, autoritățile competente trebuie să ia în considerare riscurile de mediu și riscurile de dezinformare ecologică atunci când efectuează evaluarea riscului juridic și a riscului reputațional.

6.4.2. Evaluarea riscului operațional inerent

Autoritățile competente trebuie să dobândească o înțelegere aprofundată a expunerilor instituției la riscul operațional inerent și să evalueze importanța impactului prudențial al acestui risc pentru instituție, precum și impactul asupra capacității acesteia de a îndeplini funcțiile critice sau importante în caz de perturbare.

Pentru a sprijini această evaluare, autoritățile competente trebuie să ia în considerare cerința de fonduri proprii pentru riscul operațional în comparație cu cerința totală de fonduri proprii și, după caz, capitalul intern alocat pentru riscul operațional de către instituție în comparație cu capitalul intern total. În plus, autoritățile competente trebuie să valorifice cunoștințele dobândite în urma evaluării altor elemente ale SREP (în special din Titlul 4 și Titlul 5), din comparația cu instituțiile similare, din orice alte activități de supraveghere, inclusiv contribuțiile autorităților de supraveghere în materie de combatere a spălării banilor și a finanțării terorismului și ale autorităților de supraveghere a pieței, precum și din alte surse de informații relevante.

Autoritățile competente trebuie să ia în considerare, cel puțin, factorii-cheie de risc operațional, scenariile potențial perturbatoare și, dacă este cazul, să le analizeze pe linii de activitate, persoane juridice, zone geografice și categorii de tipuri de evenimente (în funcție de disponibilitatea datelor) și să compare poziția instituției cu cea a instituțiilor similare. Acești factori trebuie să acopere cel puțin strategia principală a instituției privind riscul operațional și apetitul la risc operațional, mediul de afaceri (inclusiv prezența geografică, operațiunile TIC și canalele de distribuție), evenimentele corporative semnificative recente (cum ar fi fuziunile, achizițiile, vânzările și restructurările), sistemele TIC și alte aspecte legate de TIC, conform secțiunii 6.4.2.3, modificările proceselor, acordurile cu terți, aspectele legate de conformitatea cu reglementările, obiectivele de afaceri și sistemele de stimulente, precum și alți factori-cheie determinanți ai riscului operațional.

Natura și importanța expunerilor la riscul operațional

Autoritățile competente trebuie să stabilească natura expunerilor la riscul operațional prin analiza expunerilor la principalele surse și la principalii factori determinanți de risc operațional pentru a-și forma o opinie anticipativă asupra unui risc operațional prospectiv. Pentru această analiză, autoritățile competente:

• a. pot lua în considerare modelul operațional, liniile de activitate, produsele, procesele și locațiile geografice relevante pentru instituție, evaluarea dependențelor și a expunerilor la riscul operațional față de principalii factorii determinanți de risc (de exemplu, procese, personal, sisteme și factori externi), precum și interacțiunile dintre factorii de risc, valorificând evaluarea internă a riscurilor realizată de instituție, analiza entităților comparabile, datele proprii și bazele de date publice și/sau ale consorțiului, dacă acestea sunt disponibile și relevante;
• b. trebuie să țină cont atât de frecvența, cât și de gravitatea evenimentelor la care este expusă instituția și să facă distincție între cele care provoacă pierderi foarte grave și cele care au loc cu frecvență ridicată. Pe baza acestei distincții, autoritățile competente trebuie să evalueze tendințele pierderilor cauzate de riscul operațional și concentrarea acestora; și
• c. trebuie să se bazeze pe analize pe bază de scenariu și să ia în considerare operațiunile comerciale planificate, precum și analizele prospective ale riscurilor operaționale efectuate de instituție, dacă acestea sunt disponibile, ținând seama de orice măsuri corective și de diminuare deja implementate și aflate în vigoare.

În urma identificării și analizei principalelor surse și factori generatori ai riscului operațional, autoritățile competente trebuie să se concentreze asupra celor care pot avea cel mai semnificativ impact asupra instituției.

O sursă principală de informații pe care autoritățile competente trebuie să o ia în considerare este setul de date privind pierderile și evenimentele instituției, întrucât acesta poate oferi informații valoroase cu privire la evoluția profilului de risc operațional al instituției. Autoritățile competente trebuie să evalueze periodic caracterul cuprinzător, exactitatea și calitatea datelor privind pierderile. O altă sursă de informații trebuie să fie evidențele instituției cu privire la toate incidentele legate de TIC și amenințările cibernetice semnificative [în conformitate cu articolul 17 alineatul (2) din DORA] și sursele de risc TIC identificate [în conformitate cu articolul 8 alineatul (2) din DORA].

Evaluarea subcategoriilor de risc operațional

Autoritățile competente trebuie să concentreze evaluarea subcategoriilor de risc operațional asupra celor care sunt considerate semnificative pentru instituție. Autoritățile competente trebuie, de asemenea, să aplice opiniile profesionale pentru a identifica subcategoriile semnificative, pe baza tuturor surselor de informații interne și externe disponibile. La efectuarea evaluării, autoritățile competente trebuie să acorde întotdeauna atenție următoarelor aspecte ale riscului operațional³² :

• a. riscul juridic;
• b. riscul de model;
• c. riscul TIC.

6.4.2.1. Riscul juridic

³² Vă rugăm să consultați Anexa III pentru o prezentare neexhaustivă a subcategoriilor de risc operațional.

Atunci când evaluează relevanța și importanța expunerilor instituției la riscul juridic, autoritățile competente trebuie să ia în considerare următoarele:

• a. vânzarea abuzivă de produse sau servicii;
• b. conflicte de interese în desfășurarea activității;
• c. manipularea ratelor dobânzii de referință, a cursurilor de schimb valutar sau a oricăror alte instrumente financiare sau indici financiari;
• d. obstacole în calea schimbării de produse financiare pe perioada de valabilitate a acestora și/sau a schimbării furnizorilor de servicii financiare;
• e. reînnoiri automate de produse sau penalități la ieșirea din contract; și/sau
• f. gestionarea reclamațiilor clienților;
• g. încălcarea normelor și reglementărilor naționale și internaționale (norme fiscale, fraudă internă sau furt intern, norme privind combaterea spălării banilor, norme privind combaterea terorismului și sancțiuni economice);
• h. expunerile de natură contencioasă legate de ESG, în special cele legate de mediu și de dezinformarea ecologică.

Autoritățile competente trebuie să analizeze dacă instituția poate suporta cheltuieli, amenzi, penalități sau daune punitive din proceduri judiciare, precum și numărul și conținutul plângerilor. Rezultatele evaluării prevăzute la Titlul 4 trebuie, de asemenea, valorificate, alături de analiza atentă a politicilor de stimulente, pentru a obține informații detaliate privind sursele posibilei conduite neadecvate. În acest context, autoritățile competente trebuie să analizeze, de asemenea, dacă instituția dispune de sisteme și procese adecvate și eficace pentru implementarea și respectarea măsurilor restrictive (de exemplu, sancțiuni), inclusiv prin evaluarea conformității instituției cu Ghidul ABE privind politicile, procedurile și controalele interne³³ .

³³ Ghidul ABE privind politicile, procedurile și controalele interne de asigurare a implementării măsurilor restrictive naționale și ale Uniunii (EBA/GL/2024/14)

Cu toate acestea, autoritatea competentă trebuie să aplice o abordare anticipativă, ținând cont totodată de posibilul impact al evoluțiilor de reglementare și de activitatea autorităților relevante în privința protecției consumatorului și a furnizării de servicii financiare în general.

6.4.2.2. Riscul de model

În cadrul riscului operațional, autoritățile competente trebuie să evalueze riscul de model, acordând o atenție deosebită modelelor interne nereglementate (de exemplu, modele de inteligență artificială, stabilirea prețurilor produselor, stabilirea și monitorizarea limitelor de risc, modele ICAAP/ILAAP, opțiuni de redresare).

Pentru evaluarea riscului de model, autoritățile competente trebuie să ia în considerare:

• a. în ce măsură și în ce scop utilizează instituția modele pentru a lua decizii, precum și importanța economică a unor astfel de decizii. Autoritățile competente trebuie să stabilească activitatea economică/activitatea pentru care instituția utilizează modele în mod semnificativ și să evalueze impactul potențial al riscului de model, printre altele, prin analize de sensibilitate și analize pe bază de scenariu sau prin simulări de criză; și
• b. fiabilitatea mecanismelor de control (din punct de vedere al metodelor, frecvenței, monitorizării etc.), inclusiv procesul de aprobare a modelelor, revizuirile periodice efectuate și gradul de conștientizare al instituției cu privire la deficiențele de model sau la evoluțiile pieței și ale activității.

Atunci când modelele sunt utilizate în scopul luării deciziilor (de exemplu, stabilirea prețurilor produselor, modele de inteligență artificială, evaluarea instrumentelor financiare, crearea de profiluri ale clienților), autoritățile competente trebuie să evalueze dacă există un proces solid de validare internă și/sau un proces de revizuire a modelelor, menit să identifice și să atenueze riscul asociat modelelor (altele decât modelele reglementate).

Când efectuează evaluarea riscului de model, autoritățile competente trebuie să țină seama de evaluarea altor riscuri pentru capital și a riscurilor pentru lichiditate și finanțare, în mod deosebit cu privire la adecvarea metodologiilor utilizate la cuantificarea riscurilor, stabilirea prețurilor și evaluarea activelor și/sau a datoriilor. Rezultatele unei astfel de evaluări trebuie să constituie o sursă informativă pentru constatările privind riscul operațional. 6.4.2.3. Riscul TIC – Evaluarea riscului TIC inerent

Identificarea riscurilor TIC semnificative

În conformitate cu DORA, autoritățile competente trebuie să revizuiască identificarea, clasificarea și documentarea de către instituție a tuturor funcțiilor, rolurilor și responsabilităților aferente activității susținute de TIC, a activelor informaționale³⁴ și a activelor TIC³⁵ care sprijină aceste funcții, precum și a rolurilor și dependențelor acestora în raport cu riscul TIC. Această analiză trebuie să ajute autoritățile competente să dobândească

• o înțelegere aprofundată a expunerilor instituției la riscul TIC inerent (profilul de risc TIC), să identifice riscul TIC inerent semnificativ și să își formeze o opinie cu privire la impactul prudențial al acestuia. În acest scop, autoritățile competente trebuie să ia în considerare cel puțin următoarele aspecte, în măsura în care sunt relevante și aplicabile:
• a. raportul privind revizuirea cadrului de administrare a riscurilor TIC [în conformitate cu articolul 6 alineatul (5) din DORA];
• b. sursele de riscuri TIC, în special expunerea la risc față de alte entități financiare și din partea altor entități financiare, identificate de instituție în temeiul articolului 8 alineatul (2) din DORA;
• c. incidentele majore legate de TIC raportate [în conformitate cu articolul 19 alineatul (1) din DORA], inclusiv tendința costurilor și pierderilor anuale agregate cauzate de incidentele majore legate de TIC [în conformitate cu articolul 11 alineatul (10) din DORA];
• d. rezultatele testelor avute în vedere în programul de testare a rezilienței operaționale digitale (în conformitate cu articolul 24 din DORA), inclusiv o sinteză a constatărilor testelor de penetrare bazate pe amenințări (TLPT) și planurile de remediere aferente [în conformitate cu articolul 26 alineatul (6) din DORA];
• e. registrul de informații [în conformitate cu articolul 28 alineatul (3) din DORA], inclusiv gradul de concentrare privind furnizorii terți de servicii TIC, inclusiv furnizorii de TIC la nivel de grup, în funcție de tipul de servicii TIC și/sau de sisteme TIC;
• f. recomandările și avizele supraveghetorilor principali [în conformitate cu articolul 40 alineatul (3) și articolul 42 alineatul (7) din DORA], precum și răspunsurile, rapoartele și informațiile aferente furnizate de furnizorii terți esențiali de servicii TIC [în conformitate cu articolul 35 alineatul (1) litera (c), articolul 42 alineatul (1) și articolul 48 alineatul (2) din DORA];
• g. nivelul de complexitate al sistemelor TIC și rezultatele evaluării riscului TIC în ceea ce privește sistemele TIC moștenite [în conformitate cu articolul 8 alineatul (7) din DORA];
• h. evaluarea riscurilor legate de modificările majore [în conformitate cu articolul 8 alineatul (3) din DORA];
• i. nivelul de adoptare și integrare a soluțiilor inovatoare din domeniul TIC;
• j. locațiile, și anume regiunile sau țările, în care se află centrele de date și zonele desemnate sensibile, inclusiv în cazul în care serviciile TIC contractuale sunt furnizate de furnizori terți de servicii TIC, cuprinzând, de asemenea, locul stabilit pentru prelucrarea și stocarea datelor;
• k. orice deficiențe sau puncte slabe relevante identificate în temeiul Titlului 5;
• l. autoevaluări ale riscurilor TIC și ale procedurilor de control al riscurilor (dacă sunt prevăzute în informațiile ICAAP);
• m. informațiile privind administrarea riscurilor legate de TIC transmise organului de conducere al instituției;
• n. constatările auditurilor interne și externe legate de TIC;
• o. mediul amenințărilor externe, inclusiv informații privind amenințările și vulnerabilitățile.

Revizuirea sistemelor TIC și a serviciilor TIC

³⁴ Articolul 3 punctul 6 din Regulamentul (UE) 2022/2554.

³⁵ Articolul 3 punctul 7 din Regulamentul (UE) 2022/2554.

Autoritățile competente trebuie să examineze documentația, metodologia și procesele relevante ale instituției și să își formeze o opinie cu privire la faptul dacă instituția a identificat în mod corespunzător sistemele și serviciile TIC care susțin funcțiile critice sau importante. În acest scop, autoritățile competente trebuie să ia în considerare:

• a. sistemele TIC care susțin funcții critice sau importante, precum și activele informaționale critice și activele TIC identificate de instituție (în conformitate cu articolul 8 din DORA);
• b. procesele-cheie care depind de furnizorii terți de servicii TIC, inclusiv interconectările cu acești furnizori terți de servicii TIC care susțin funcții critice sau importante, identificate de instituție [în conformitate cu articolul 8 alineatul (5) din DORA].

Identificarea și cartografierea riscurilor TIC semnificative care afectează sistemele și serviciile TIC care susțin funcții critice sau importante

Autoritățile competente trebuie apoi să încadreze riscul TIC semnificativ identificat în categoriile de risc TIC prevăzute în Anexa III. Se așteaptă din partea instituțiilor să își mențină propria clasificare, în loc să o utilizeze pe cea prezentată în anexă.

6.4.3. Evaluarea cadrului de administrare și control al riscului operațional

Autoritățile competente trebuie să evalueze cadrul și mecanismele pe care instituția le-a instituit pentru administrarea și controlul riscului operațional, ținând seama de rezultatele analizei cadrului general de administrare a riscurilor și de control intern menționat la Titlul 5, întrucât acestea vor influența expunerile instituției la riscul operațional. În ceea ce privește riscul de spălare a banilor sau de finanțare a terorismului, autoritatea competentă trebuie să ia în considerare evaluarea furnizată de autoritatea de supraveghere în materie de combatere a spălării banilor și a finanțării terorismului.

Strategia privind riscul operațional și apetitul la riscul operațional

Autoritățile competente trebuie să evalueze dacă instituția dispune de o strategie solidă, clar formulată și documentată privind riscul operațional, precum și de un nivel de toleranță la risc aprobat de organul de conducere, care să precizeze natura, tipurile și nivelurile riscului operațional pe care instituția este dispusă să și le asume. În scopul acestei evaluări, printre alți factori, autoritățile competente trebuie să țină seama de rolul organului de conducere în stabilirea, aprobarea, implementarea și revizuirea strategiei și a apetitului la risc operațional (inclusiv apetitul la riscul TIC și strategia privind reziliența operațională digitală), precum și de acoperirea suficientă și caracterul adecvat al strategiei în raport cu natura și importanța profilului de risc operațional al instituției.

Cadrul organizațional și de control intern

Autoritățile competente trebuie să evalueze respectarea de către instituție a articolului 323 din Regulamentul (UE) nr. 575/2013. În cadrul acestei evaluări, autoritățile competente trebuie să analizeze soliditatea și eficacitatea cadrului organizațional și a cadrului de administrare, pentru a permite administrarea, măsurarea și controlul eficace al riscului operațional, cu resurse umane și tehnice suficiente pentru îndeplinirea sarcinilor necesare. Autoritățile competente trebuie să ia în considerare dacă există linii clare de responsabilitate pentru identificarea, evaluarea, diminuarea, monitorizarea și raportarea riscului operațional, precum și aderarea la modelul celor trei linii de apărare.

Autoritățile competente trebuie să evalueze dacă instituția dispune de un cadru de control solid și de măsuri de protecție adecvate pentru a reduce riscul operațional, inclusiv politici și proceduri corespunzătoare, care să acopere și riscul rezidual, precum și dacă acestea sunt în concordanță cu apetitul la risc și cu strategia instituției în materie de administrare a riscului operațional și acoperă toate operațiunile și procesele cheie. Aceasta include, printre altele, evaluarea modului în care aceste politici și proceduri sunt oficializate și comunicate în mod clar și aplicate în mod coerent în cadrul instituției.

Autoritățile competente trebuie să evalueze, de asemenea, funcționalitatea funcției de audit intern în ceea ce privește adecvarea, sfera de aplicare și frecvența auditurilor interne asupra cadrului de administrare a riscului operațional.

Continuitatea activității, capacitatea de răspuns la incidente și redresarea

Autoritățile competente trebuie să evalueze conformitatea instituției cu (i) Ghidul ABE privind cadrul de administrare a activității în ceea ce privește gestionarea generală a continuității activității și cu (ii) DORA în ceea ce privește politica de continuitate a activității TIC și planurile de răspuns și de recuperare în domeniul TIC. În acest sens, autoritățile competente trebuie să stabilească dacă politica de continuitate a activității TIC și planurile de răspuns și de recuperare în domeniul TIC fac parte integrantă din politica generală a instituției privind continuitatea activității și din planul general de răspuns și de recuperare al acesteia.

Autoritățile competente trebuie să evalueze dacă instituția a instituit un sistem eficace de gestionare a continuității activității, cu planuri testate de continuitate a activității, de răspuns și de recuperare care să acopere cel puțin funcțiile sale critice sau importante, inclusiv cele externalizate către furnizori terți, și dacă aceste planuri iau în considerare o serie de scenarii severe, dar plauzibile, la care instituția ar putea fi vulnerabilă. Autoritățile competente trebuie, de asemenea, să evalueze dacă politica de continuitate a activității instituției permite adoptarea unor măsuri adecvate de răspuns și de recuperare în cazul oricărui tip de incident.

Autoritățile competente trebuie să stabilească dacă sistemul de gestionare a continuității activității instituției include:

• a. analiza impactului asupra activității (AIA);
• b. strategii de recuperare adecvate care integrează principalele dependențe interne și externe, precum și prioritățile de recuperare și nivelurile de reziliență definite clar;
• c. planuri cuprinzătoare și flexibile pentru a aborda scenarii perturbatoare plauzibile, care sunt stabilite pe baza AIA și în coordonare cu părțile interesate interne și externe;
• d. planuri care stabilesc strategii pentru situații neprevăzute și proceduri de răspuns și de recuperare;
• e. testarea eficientă a structurii și a eficacității operaționale a planurilor;
• f. programe de instruire și informare/sensibilizare a personalului cu privire la planul de gestionare a continuității activității;
• g. planuri de comunicare pentru informarea conducerii și a tuturor părților interesate relevante, precum și documentația și măsurile de gestionare a crizelor și o funcție de gestionare a crizelor, după caz [în conformitate cu articolul 11 alineatul (7) din DORA].

Autoritățile competente trebuie să evalueze dacă planurile de continuitate a activității, de răspuns și de recuperare ale instituției:

• a. stabilesc roluri și responsabilități, inclusiv orientări clare cu privire la o eventuală succesiune sau înlocuire a personalului desemnat, și stabilesc procesul decizional intern, împreună cu definirea factorilor declanșatori ai activării planurilor;
• b. sunt revizuite pentru a se asigura că strategiile pentru situații neprevăzute rămân coerente cu operațiunile, riscurile și amenințările actuale, cu nivelurile de reziliență și cu obiectivele și prioritățile de recuperare;
• c. stabilește ordinea de prioritate a acțiunilor de continuitate a activității utilizând o abordare bazată pe riscuri;
• d. sunt testate periodic pentru a se asigura că obiectivele și termenele de recuperare pot fi îndeplinite; și
• e. includ testarea serviciilor furnizate de furnizorii terți de servicii, după caz;

Autoritățile competente trebuie, de asemenea, să evalueze dacă rezultatele testelor sunt documentate și comunicate organului de conducere.

Evaluarea cadrului de administrare a riscurilor TIC

Autoritățile competente trebuie să evalueze respectarea de către instituție a Ghidului DORA și a Ghidului ABE privind cadrul de administrare a activității, în ceea ce privește cadrul de administrare și organizare stabilit pentru administrarea riscului TIC. Autoritățile competente trebuie să își formeze o opinie cu privire la faptul dacă organul de conducere al instituției este responsabil în ansamblu pentru administrarea riscurilor TIC și dacă definește, aprobă și supraveghează în mod corespunzător implementarea tuturor măsurilor legate de TIC. Autoritățile competente trebuie să analizeze dacă membrii organului de conducere posedă suficiente cunoștințe și competențe pentru a înțelege și a evalua riscul TIC și impactul acestuia asupra operațiunilor instituției.

Autoritățile competente trebuie să evalueze modul în care rolurile și responsabilitățile pentru toate funcțiile legate de TIC, precum și cadrul de administrare stabilit sunt încorporate și integrate în cadrul de control intern și de administrare al instituției, în vederea administrării riscurilor TIC. În acest scop, autoritățile competente trebuie să analizeze dacă instituția a atribuit efectiv responsabilitatea administrării și supravegherii riscului TIC unei funcții de control independente, care are acces direct și poate raporta direct organului de conducere în cadrul funcției sale de supraveghere, și să evalueze dacă instituția demonstrează:

• a. comunicarea clară, repartizarea și integrarea rolurilor și responsabilităților în toate funcțiile legate de TIC, inclusiv în funcțiile operaționale și procesele sprijinite de TIC;
• b. buget suficient și adecvat pentru a asigura reziliența operațională digitală în ceea ce privește toate tipurile de resurse, inclusiv programe relevante de sensibilizare, instruire și dezvoltare de competențe TIC pentru întregul personal [în conformitate cu articolul 5 alineatul (2) litera (g) din DORA];
• c. urmărirea și reacția adecvate din partea organului de conducere cu privire la constatările critice ale auditului TIC și la constatările raportate în temeiul articolului 13 alineatul (5) din DORA.

Autoritățile competente trebuie să dobândească o înțelegere aprofundată a cadrului de administrare a riscurilor TIC al instituției și să evalueze dacă instituția a instituit strategii, politici, proceduri, protocoale și instrumente TIC suficiente și adecvate, inclusiv niveluri de toleranță, pentru a aborda în mod eficace, eficient și cuprinzător riscul TIC semnificativ în conformitate cu DORA. În acest scop, autoritățile competente trebuie să ia în considerare, după caz:

• a. caracterul adecvat și eficacitatea politicilor, proceselor și procedurilor instituției de administrare a riscurilor TIC³⁶ , care acoperă, printre altele, gestionarea de către terți a TIC, detectarea incidentelor legate de TIC și răspunsul la acestea, gestionarea activelor TIC, criptarea și criptografia, securitatea operațiunilor TIC, securitatea rețelei, controlul accesului și dacă acestea au fost aprobate de organul de conducere și comunicate tuturor părților interesate relevante (conform articolului 14 din DORA);
• b. caracterul adecvat al nivelului de toleranță la risc al instituției pentru riscurile TIC și al toleranței la impact pentru perturbările TIC [în conformitate cu articolul 6 alineatul (8) litera (b) din DORA];
• c. caracterul adecvat și implementarea strategiei de reziliență operațională digitală a instituției, inclusiv alinierea ei la strategia de afaceri;
• d. coerența strategiei privind riscurile TIC generate de părți terțe, inclusiv strategia privind furnizorii multipli din domeniul TIC, dacă este cazul, cu strategia generală de afaceri și cu cadrul de administrare a riscurilor TIC;
• e. riscul rezidual provenit din riscurile identificate la nivelul instituției în ceea ce privește acordurile contractuale referitoare la utilizarea serviciilor TIC care susțin funcții critice sau importante;
• f. riscul rezidual asociat riscurilor identificate de instituție cu privire la proiectele TIC care au impact asupra funcțiilor critice sau importante, raportate organului de conducere, precum și cu privire la achizițiile, dezvoltarea și întreținerea sistemelor TIC și la modificările aduse acestora;
• g. soliditatea și exhaustivitatea programului de testare a rezilienței operaționale digitale;
• h. tendința și amploarea incidentelor majore legate de TIC și a constatărilor raportate organului de conducere, în conformitate cu articolul 17 alineatul (3) litera (e) și articolul 13 alineatul (5) din DORA;
• i. procedurile de control al riscurilor TIC specifice riscurilor TIC semnificative identificate;
• j. raportarea în timp util a aspectelor legate de administrarea riscurilor TIC către organul de conducere și conducerea superioară;
• k. sfera de acoperire a acțiunii de audit intern și constatările desprinse ca urmare a acesteia.

³⁶ În conformitate cu DORA, acestea trebuie să includă cel puțin politica de securitate a informațiilor, politicile privind copiile de rezervă, politica privind gestionarea activelor TIC, politica privind criptarea și controalele criptografice, politica privind gestionarea cheilor criptografice, politica privind gestionarea proiectelor TIC, politica privind achiziția, dezvoltarea și întreținerea sistemelor TIC, politica privind resursele umane, politica privind securitatea fizică și de mediu, politica privind gestionarea incidentelor legate de TIC, precum și politica privind utilizarea serviciilor TIC care susțin funcții critice sau importante, furnizate de furnizori terți de servicii TIC.

Atunci când evaluează administrarea riscurilor TIC, autoritățile competente trebuie să acorde

• o atenție deosebită administrării riscurilor TIC generate de părți terțe, inclusiv nivelului de concentrare al instituției asupra furnizorilor terți de servicii TIC. În acest scop, autoritățile competente trebuie să asigure o cooperare strânsă cu supraveghetorii principali ai furnizorilor terți esențiali de servicii TIC, în conformitate cu Ghidul comun al AES³⁷ , în cazul în care instituția care face obiectul evaluării primește servicii TIC de la un furnizor terț esențial. Autoritățile competente trebuie să analizeze, de asemenea, eficacitatea rolului dedicat (funcției dedicate) stabilit de instituție sau a membrului desemnat al conducerii superioare în ceea ce privește monitorizarea acordurilor cu părți terțe în domeniul TIC.

³⁷ Ghidul comun al autorităților europene de supraveghere (AES) privind cooperarea și schimbul de informații în materie de supraveghere între autoritățile europene de supraveghere și autoritățile competente în temeiul Regulamentului (UE) 2022/2554 (JC/2024/36).

Autoritățile competente trebuie să evalueze dacă funcția de audit intern este eficace și dispune de cunoștințe, competențe și expertiză suficiente pentru a audita cadrul de administrare a riscurilor TIC al instituției, verificând dacă:

• a. cadrul de administrare a riscurilor TIC este supus unui audit care respectă standardele de calitate, obiectivele și frecvența necesare și este proporțional cu profilul de risc TIC al instituției;
• b. planul de audit include audituri privind riscurile TIC semnificative identificate de instituție, inclusiv analize independente ale planurilor de răspuns și de recuperare în domeniul TIC;
• c. constatările critice ale auditurilor TIC sunt verificate și remediate în timp util, inclusiv prin raportarea către organul de conducere;
• d. constatările auditurilor TIC, inclusiv acțiunile convenite, sunt urmărite oficial și se analizează periodic rapoartele privind progresele înregistrate, de către conducerea superioară și/sau comitetul de audit.

6.4.4. Evaluarea riscului reputațional

Autoritățile competente trebuie să evalueze riscul reputațional la care este expusă instituția, pe baza cunoștințelor dobândite de la Titlul 4 până la Titlul 6.2. O astfel de evaluare trebuie să se concentreze, de asemenea, asupra cadrului general privind riscul reputațional, asigurând capacitatea instituției de a gestiona în mod eficace orice situație care i-ar putea afecta reputația. Pentru această evaluare, autoritățile competente trebuie să evite dubla contabilizare a aspectelor deja luate în considerare în cadrul evaluării riscului juridic (secțiunea 6.4.2.1).

Atunci când evaluează relevanța riscului reputațional, autoritățile competente trebuie să ia în considerare mărimea instituției, precum și natura, amploarea și complexitatea serviciilor, activităților și operațiunilor lor (de exemplu, titlurile de capital sau datoriile cotate sau participarea pe piețe interbancare).

Autoritățile competente trebuie să țină cont atât de factorii interni, cât și de factorii externi, sau de evenimentele care pot genera îngrijorări reputaționale, cu excepția evenimentelor care duc la proceduri judiciare. Pentru instituțiile din categoriile 1 și 2, autoritățile competente trebuie să ia în considerare în evaluarea lor toți indicatorii următori:

• a. gradul de expunere negativă în mass-media și pe rețelele sociale, precum și inițiativele asociațiilor de consumatori care ar putea afecta percepția publică și reputația instituției;
• b. numărul și schimbările legate de reclamațiile clienților sau pierderea bruscă a clienților sau a investitorilor;
• c. evenimente negative legate de instituțiile similare, pe care publicul le-ar putea asocia cu întregul sector financiar sau cu un grup de instituții;
• d. reputația persoanelor implicate în administrarea instituției sau care dețin participații calificate;
• e. implicarea sau desfășurarea de activități în sectoare sau jurisdicții cu expunere ridicată la spălarea banilor și finanțarea terorismului sau în relație cu persoane asociate cu un risc ridicat din perspectiva spălării banilor și a finanțării terorismului;
• f. implicarea sau desfășurarea activității în sectoare sau jurisdicții și/sau cu contrapărți expuse în mare măsură la probleme semnificative sau controverse publice legate de factorii ESG, inclusiv, dar fără a se limita neapărat la factorii de mediu;
• g. impactul reputațional al incidentelor legate de TIC, astfel cum sunt înregistrate de instituție în conformitate cu Regulamentul delegat (UE) 2024/1772 al Comisiei³⁸ ;
• h. alți indicatori „de piață”, dacă sunt disponibili (de exemplu, scăderile de rating sau fluctuațiile prețului acțiunilor pe parcursul anului).

³⁸ Regulamentul delegat (UE) 2024/1772 al Comisiei din 13 martie 2024 de completare a Regulamentului (UE) 2022/2554 al Parlamentului European și al Consiliului în ceea ce privește standardele tehnice de reglementare care precizează criteriile de clasificare a incidentelor legate de TIC și a amenințărilor cibernetice, stabilesc pragurile de semnificație și detaliile rapoartelor privind incidentele majore, C/2024/1519 (JO L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

Autoritățile competente trebuie să evalueze importanța expunerii instituției la riscul reputațional și interdependența cu celelalte riscuri, folosindu-se de evaluările de risc relevante (inclusiv cele realizate de alte autorități de supraveghere) pentru a identifica eventualele efecte secundare în ambele sensuri.

În contextul analizei riscului operațional, autoritățile competente trebuie să ia în considerare relevanța și importanța expunerilor instituției la riscul de spălare a banilor sau de finanțare a terorismului dintr-o perspectivă prudențială în cadrul domeniului de aplicare a riscului operațional. În acest sens, autoritățile competente trebuie să utilizeze informațiile relevante primite de la autoritățile de supraveghere în materie de combatere a spălării banilor și a finanțării terorismului pentru a-și completa constatările din supravegherea continuă și pentru a evalua dacă acestea dau naștere unor preocupări prudențiale legate de riscul de spălare a banilor sau de finanțare a terorismului.

Autoritățile competente trebuie să aibă în vedere faptul că orice instituție poate fi expusă la riscul de spălare a banilor sau de finanțare a terorismului indiferent de dimensiunea sau soliditatea financiară a instituției. Prin urmare, trebuie să se acorde suficientă atenție și instituțiilor care sunt percepute ca fiind solide din punct de vedere financiar și care pot avea o bună reputație, având în vedere că aceste instituții ar putea fi vizate în mod specific în scopuri de spălare a banilor sau de finanțare a terorismului. De asemenea, trebuie să se acorde atenție instituțiilor care au un mare succes în atragerea de noi clienți/extinderea cotei de piață – în special prin utilizarea canalelor de distribuție netradiționale – deoarece acest lucru ar putea fi legat de controalele deficitare de precauție privind clientela în faza de inițiere a relației client-bancă.

Autoritățile competente trebuie să facă schimb de informații relevante privind aspectele de risc operațional identificate care pot genera riscuri de spălare a banilor sau de finanțare a terorismului, riscurile legate de neimplementarea și eludarea sancțiunilor financiare specifice și preocupări precum deficiențe ale sistemului TIC al instituțiilor sau ale cadrului de control intern cu autoritățile de supraveghere în materie de combatere a spălării banilor și a finanțării terorismului.

Autoritățile competente trebuie să evalueze dacă instituția a implementat aranjamente, strategii, procese și mecanisme adecvate pentru administrarea riscului reputațional. În mod specific, autoritățile competente trebuie să ia în considerare dacă:

• a. instituția a instituit politici și procese formalizate pentru identificarea, administrarea și monitorizarea acestui risc, inclusiv un cod de conduită riguros, și dacă aceste politici și procese sunt proporționale cu dimensiunea și relevanța sa în sistem;
• b. instituția abordează acest risc într-o manieră preventivă, inclusiv prin instituirea unor indicatori și instrumente de monitorizare adecvate, prin includerea potențialelor probleme de reputație în planurile de urgență, prin organizarea de sesiuni relevante de instruire și sensibilizare și prin valorificarea lecțiilor învățate;
• c. instituția realizează simulări de criză sau analiza pe bază de scenariu pentru a evalua orice efecte secundare ale riscului reputațional (de exemplu, impact pe lichiditate și costuri de finanțare, tranzacțiile de securitizare, accesul la serviciul băncilor corespondente etc.);
• d. instituția acționează pentru a-și proteja imaginea prin instrumente de monitorizare a mass-mediei/rețelelor sociale, protocoale pentru abordarea dezinformării și a publicității negative, precum și prin campanii de comunicare prompte;
• e. instituția ia în considerare impactul potențial al strategiei și planurilor sale de afaceri și, la nivel mai general, al conduitei sale asupra reputației sale. 6.4.5. Reziliență operațională

Autoritățile competente trebuie să își formeze o viziune de ansamblu asupra capacității instituției de a îndeplini funcțiile critice sau importante în condiții de perturbare (nivelul de reziliență operațională), un rezultat care depinde de administrarea eficace a riscului operațional, ținând seama de dimensiunea instituției, de modelul său de afaceri și de profilul general de risc. În acest scop, autoritățile competente trebuie să se bazeze pe evaluările existente privind administrarea riscului operațional, continuitatea activității, capacitățile de gestionare a modificărilor, serviciile prestate de terți și TIC pe care se bazează instituția, pentru a evalua în mod cuprinzător dacă aceste elemente, în ansamblu, susțin reziliența operațională a instituției. Autoritățile competente trebuie, de asemenea, să analizeze dacă instituția implementează cadrul său de administrare a riscurilor, planurile de continuitate a activității, administrarea riscurilor față de către terți (deja evaluată în contextul DORA și al Ghidului ABE emis în temeiul articolului 74 alineatul (3) din Directiva 2013/36/UE privind dispozițiile, procesele și cadrul de administrare a activității) și cadrele de redresare și rezoluție într-un mod coerent și coordonat. În plus, autoritățile competente trebuie să analizeze dacă instituția a identificat în mod adecvat interconexiunile și interdependențele interne și externe necesare pentru îndeplinirea funcțiilor sale critice sau importante.

Autoritățile competente trebuie să aibă în vedere atenția acordată de organul de conducere și de conducerea superioară capacității instituției de a reacționa la perturbări și de a se redresa în urma lor, în ipoteza că vor apărea disfuncționalități. În acest sens, autoritățile competente trebuie să ia în considerare dacă:

• a. organul de conducere își asumă un rol activ în stabilirea unei înțelegeri ample a abordării bazate pe reziliența operațională la nivelul întregii instituții și în monitorizarea eficacității abordării bazate pe reziliența operațională a instituției;
• b. se asigură raportarea în timp util cu privire la reziliența operațională curentă a instituției, în sprijinul activității de supraveghere a organului de conducere, în special atunci când deficiențele majore identificate ar putea afecta îndeplinirea funcțiilor critice sau importante ale instituției.

6.4.6. Sinteza constatărilor, atribuirea scorului și măsurile de supraveghere

În urma evaluării de mai sus, autoritățile competente trebuie să își formeze o opinie cu privire la riscul operațional al instituției. Această opinie trebuie să se reflecte într-o sinteză a constatărilor, însoțită de un scor de risc bazat pe considerațiile specificate în tabelul 10. Dacă, în funcție de importanța anumitor subcategorii de riscuri, autoritatea competentă decide să le evalueze și să le atribuie un scor individual, trebuie să se aplice pe cât posibil indicația din acest tabel, prin analogie.

Tabelul 10. Considerații de supraveghere privind atribuirea unui scor pentru riscul operațional Scor de Opinia de Considerații privind riscul inerent Considerații privind procedurile risc supraveghere adecvate de administrare și control

Tabelul de mai jos prezintă o listă neexhaustivă a măsurilor de supraveghere pe care autoritățile competente le pot adopta în cazul identificării unor deficiențe în cadrul de administrare a riscului operațional și în reziliența operațională a instituției (ținând seama de strânsa legătură dintre reziliența operațională și administrarea riscului operațional). Autoritățile competente trebuie să decidă cu privire la tipul măsurii pe baza eficacității acesteia în raport cu deficiența specifică identificată. Autoritățile competente pot aplica măsuri de supraveghere suplimentare [inclusiv măsuri cantitative în conformitate cu articolul 104 alineatul (1) litera (a) din Directiva 2013/36/UE] sau o combinație a acestora cu cele enumerate în tabelul de mai jos, dacă se consideră că sunt mai adecvate pentru remedierea deficiențelor identificate. În cazul încălcării DORA, autoritățile competente trebuie să ia în considerare măsurile corective și de remediere aplicabile prevăzute la articolul 50 din DORA.

Tabelul 11. Lista orientativă și neexhaustivă a măsurilor de supraveghere care decurg din evaluarea riscului operațional și a rezilienței operaționale Măsuri de supraveghere potențiale pe care autoritățile competente le pot adopta în conformitate cu articolul 104 alineatul (1) literele (b), (d), (e), (f), (j), (l), (m) și (n) din Directiva 2013/36/UE și cu articolul 50 din Regulamentul (UE) 2022/2554 – Autoritățile competente pot impune instituției următoarele: A. să implice mai activ organul de conducere sau comitetele sale în deciziile privind administrarea riscului operațional; Măsuri de supraveghere potențiale pe care autoritățile competente le pot adopta în conformitate cu articolul 104 alineatul (1) literele (b), (d), (e), (f), (j), (l), (m) și (n) din Directiva 2013/36/UE și cu articolul 50 din Regulamentul (UE) 2022/2554 – Autoritățile competente pot impune instituției următoarele: B. să îmbunătățească sistemele de cuantificare a riscului operațional; C. să consolideze controalele asupra proceselor operaționale, inclusiv identificarea, monitorizarea, răspunsul și recuperarea; D. să îmbunătățească cadrul de administrare operațională; E. să îmbunătățească raportarea riscului operațional către organul de conducere și conducerea superioară; F. să elaboreze și să implementeze planuri de măsuri corective pentru a remedia deficiențele; G. să limiteze anumite înțelegeri contractuale cu terțe părți, în special pentru funcțiile critice sau importante; H. să îmbunătățească simulările de criză și analiza pe bază de scenariu a riscului operațional; I. să implementeze măsuri operaționale mai stricte; J. să consolideze planurile de continuitate a activității, de răspuns și de recuperare; K. să îmbunătățească administrarea riscului operațional legat de riscurile ESG, în special riscurile de mediu, care se pot baza pe una sau mai multe dintre acțiunile enumerate mai sus.