6.4. Posúdenie operačného rizika

Pri posudzovaní rámca riadenia operačného rizika majú príslušné orgány okrem iného vyhodnotiť, či inštitúcia dodržiava právne akty uverejnené samostatne na webovom sídle EBA, ako sa uvádza v odseku 12.

Príslušné orgány majú posúdiť operačné riziko vo všetkých oblastiach obchodnej činnosti a operáciách inštitúcie, pričom majú zohľadniť závery z posúdenia mechanizmov vnútorného riadenia a kontrolných mechanizmov rizík celej inštitúcie, ako sa uvádza v hlave 5. Pri vykonávaní tohto posúdenia majú príslušné orgány určiť, akým spôsobom sa môže operačné riziko prejaviť, pričom zohľadnia aj súbor údajov o stratách danej inštitúcie a potenciálne vplyvy iných súvisiacich rizík (napr. hraničné prípady operačného kreditného a trhového rizika).

Príslušné orgány majú posúdiť závažnosť operačného rizika vyplývajúceho od externých poskytovateľov služieb vrátane koncentrácie (na úrovni subjektu a v príslušných prípadoch na úrovni skupiny) v prípade jednej alebo viacerých služieb poskytovaných jedným externým poskytovateľom služieb (priamo alebo nepriamo prostredníctvom subdodávateľských reťazcov) alebo obmedzeným počtom externých poskytovateľov, ktorí podporujú zásadné alebo dôležité funkcie inštitúcie, a či by mohli mať vplyv na prevádzkovú odolnosť inštitúcie, jej výkonnosť a riadenie rizík. Pri vykonávaní tohto posúdenia majú príslušné orgány zohľadniť, do akej miery sa na tých istých externých poskytovateľov služieb spoliehajú aj iné inštitúcie, ak majú k dispozícii takéto informácie.

Pri posudzovaní operačného rizika majú príslušné orgány v súlade s nariadením o digitálnej prevádzkovej odolnosti posúdiť IKT riziko a jeho potenciálny vplyv na kritické alebo dôležité funkcie inštitúcie vrátane akéhokoľvek potenciálneho finančného, reputačného, regulatórneho a strategického vplyvu na inštitúciu.

Príslušné orgány majú posúdiť, či má inštitúcia primeraný prístup k prevádzkovej odolnosti, ktorý jej umožní odolávať prípadným vzniknutým narušeniam, prispôsobovať sa im a zotavovať sa z nich, a či je tento prístup primerane a konzistentne zosúladený s existujúcim rámcom riadenia rizík, plánmi zabezpečenia kontinuity činnosti a riadením tretích strán.

Pri posudzovaní operačného rizika majú príslušné orgány v prípade potreby posúdiť, či politiky a postupy inštitúcie primerane identifikujú, vyhodnocujú a riadia operačné riziká vyplývajúce z činností súvisiacich s kryptoaktívami a z technológií, na ktorých sú založené.

Príslušné orgány majú posudzovať riziko straty dobrej povesti spoločne s operačným rizikom, keďže je neoddeliteľne spojené s udalosťami súvisiacimi s operačným rizikom. Výsledok posudzovania rizika straty dobrej povesti sa však nemá odraziť v skóre operačného rizika, ale v prípade potreby sa má zohľadniť v rámci analýzy obchodného modelu a/alebo posudzovania rizika likvidity, keďže jeho hlavné účinky môžu oslabiť dôveru investorov, vkladateľov alebo účastníkov medzibankového trhu voči inštitúcii.

Príslušné orgány majú posúdiť vplyv rizík ESG na inherentné operačné riziko a riziko straty dobrej povesti, ako aj primeranosť kontrolných mechanizmov operačného rizika a rizika straty dobrej povesti súvisiacich s rizikami ESG, pričom majú uprednostňovať environmentálne fyzické a prechodné riziká. Príslušné orgány majú pri posudzovaní právnych rizík a rizík spojených so stratou dobrej povesti zohľadňovať najmä environmentálne riziko a riziko environmentálne klamlivých vyhlásení. 6.4.2. Posúdenie inherentného operačného rizika

Príslušné orgány majú dôkladne porozumieť expozíciám inštitúcie voči inherentnému operačnému riziku a posúdiť význam prudenciálneho vplyvu tohto rizika pre inštitúciu, ako aj vplyv na jej schopnosť vykonávať kritické alebo dôležité funkcie v prípade narušenia.

Na podporu tohto posúdenia majú príslušné orgány zohľadniť požiadavku na vlastné zdroje pre operačné riziko v porovnaní s celkovou požiadavkou na vlastné zdroje a, ak je to relevantné, vnútorný kapitál vyčlenený inštitúciou pre operačné riziko v porovnaní s celkovým vnútorným kapitálom. Okrem toho majú príslušné orgány využiť poznatky získané z posúdenia ďalších prvkov v rámci SREP (najmä z hlavy 4 a hlavy 5), z porovnania s podobnými inštitúciami, z akýchkoľvek ďalších činností dohľadu vrátane podnetov od orgánov dohľadu v oblasti boja proti praniu špinavých peňazí a financovaniu terorizmu a orgánov dohľadu nad trhom, ako aj z ďalších relevantných zdrojov informácií.

Príslušné orgány majú zvážiť minimálne kľúčové faktory operačného rizika, potenciálne rušivé scenáre a v prípade potreby ich analyzovať podľa oblasti obchodnej činnosti, právneho subjektu, geografickej oblasti a kategórie druhu udalosti (podľa dostupnosti údajov) a porovnať pozíciu inštitúcie s rovnocennými inštitúciami. Tieto faktory majú zahŕňať aspoň hlavnú stratégiu inštitúcie v oblasti operačného rizika a jej ochotu podstupovať operačné riziká, podnikateľské prostredie (vrátane geografickej prítomnosti, operácií IKT a distribučných kanálov), nedávne významné udalosti v spoločnosti (ako sú fúzie, akvizície, odpredaje a reštrukturalizácie), IKT systémy a ďalšie aspekty súvisiace s IKT podľa oddielu 6.4.2.3, zmeny procesov, dojednania s tretími stranami, otázky súladu s právnymi predpismi, obchodné ambície a systémy stimulov, ako aj ďalšie kľúčové faktory ovplyvňujúce operačné riziko.

Povaha a význam expozícií voči operačnému riziku

Príslušné orgány majú určiť povahu expozícií voči operačnému riziku analyzovaním expozícií voči hlavným zdrojom a faktorom operačného rizika s cieľom vypracovať výhľad do budúcnosti zameraný na potenciálne operačné riziká. Na účely tejto analýzy príslušné orgány:

• a. môžu zohľadniť prevádzkový model, oblasti obchodnej činnosti, produkty, procesy a geografické oblasti relevantné pre inštitúciu, posúdenie závislostí a expozície voči operačnému riziku vo vzťahu k základným rizikovým faktorom (napr. procesy, ľudia, systémy a vonkajšie faktory) a interakcie medzi rizikovými faktormi, pričom využijú posúdenie vlastného rizika inštitúcie, partnerskú analýzu, údaje a verejné databázy a/alebo databázy konzorcia, ak sú k dispozícii a sú relevantné;
• b. majú zvážiť frekvenciu aj závažnosť udalostí, ktorým je inštitúcia vystavená, a rozlišovať medzi udalosťami spôsobujúcimi straty s vysokou závažnosťou a udalosťami vznikajúcimi s vysokými frekvenciami. Na základe tohto rozlíšenia majú príslušné orgány posúdiť trendy strát v dôsledku operačného rizika a ich koncentrácie a
• c. majú využívať analýzy scenárov a zohľadňovať plánované obchodné operácie a analýzy potenciálnych operačných rizík vykonané inštitúciou, ak sú k dispozícii, pričom vezmú do úvahy všetky nápravné opatrenia a opatrenia na zmiernenie rizík, ktoré už boli zavedené a sú účinné.

Po identifikácii a analýze hlavných zdrojov a faktorov operačného rizika sa príslušné orgány majú zamerať na tie zdroje a faktory, ktoré majú najvýznamnejší potenciálny vplyv na inštitúciu.

Hlavným zdrojom informácií, ktorý majú príslušné orgány zohľadniť, je súbor údajov inštitúcie

• o stratách a udalostiach, keďže môže poskytnúť cenné informácie o vývoji profilu operačného rizika danej inštitúcie. Príslušné orgány majú pravidelne posudzovať úplnosť, presnosť a kvalitu údajov o stratách. Ďalším zdrojom informácií majú byť záznamy inštitúcie o všetkých incidentoch súvisiacich s IKT a významných kybernetických hrozbách (podľa článku 17 ods. 2 nariadenia o digitálnej prevádzkovej odolnosti) a o identifikovaných zdrojoch IKT rizika (podľa článku 8 ods. 2 nariadenia o digitálnej prevádzkovej odolnosti).

Posúdenie podkategórií operačného rizika

Príslušné orgány sa majú pri posudzovaní podkategórií operačného rizika zamerať na tie, ktoré sa považujú za podstatné pre danú inštitúciu. Príslušné orgány majú na určenie významných podkategórií uplatniť aj svoje odborné posúdenie, na základe všetkých dostupných interných a externých zdrojov informácií. Pri vykonávaní posúdenia majú príslušné orgány vždy venovať pozornosť nasledujúcim aspektom operačného rizika³² :

• a. právne riziko;
• b. riziko modelov;
• c. IKT riziko;

6.4.2.1. Právne riziko

³² Neúplný rozpis podkategórií operačného rizika nájdete v prílohe III.

Príslušné orgány majú pri posudzovaní relevantnosti a významu expozícií inštitúcie voči právnemu riziku zohľadniť nasledujúce skutočnosti:

• a. nekalý predaj produktov alebo služieb;
• b. konflikty záujmov pri podnikaní;
• c. manipulácia s referenčnými úrokovými sadzbami, výmennými kurzami alebo inými finančnými nástrojmi alebo indexmi;
• d. prekážky pre zmenu finančných produktov v priebehu ich existencie alebo pre zmenu poskytovateľov finančných služieb;
• e. automatické obnovovanie produktov alebo sankcie za ukončenie a/alebo
• f. spracovanie sťažností klientov;
• g. porušenie vnútroštátnych a medzinárodných pravidiel a predpisov (daňové predpisy, vnútropodnikové podvody alebo krádeže, predpisy v oblasti boja proti praniu špinavých peňazí, pravidlá v oblasti boja proti terorizmu a hospodárske sankcie);
• h. expozície voči súdnym sporom súvisiacim s ESG, najmä v oblasti životného prostredia a environmentálne klamlivých vyhlásení.

Príslušné orgány majú zvážiť, či inštitúcii môžu vzniknúť akékoľvek výdavky, pokuty, sankcie alebo sankčné náhrady škody v dôsledku súdnych konaní, s ohľadom na počet a obsah sťažností. Výsledky posúdenia podľa hlavy 4 sa zároveň spolu s kontrolou politík stimulov majú využiť na získanie hlbokých poznatkov o príčinách potenciálneho pochybenia. V tejto súvislosti majú príslušné orgány posúdiť, či inštitúcia disponuje primeranými a účinnými systémami a postupmi na vykonávanie a dodržiavanie reštriktívnych opatrení (napr. sankcií) vrátane posúdenia súladu inštitúcie s usmerneniami EBA o vnútorných politikách, postupoch a kontrolách³³ .

³³ Usmernenia EBA o vnútorných politikách, postupoch a kontrolách na zabezpečenie vykonávania reštriktívnych opatrení Únie a vnútroštátnych reštriktívnych opatrení podľa nariadenia (EBA/GL/2024/14).

Príslušný orgán má však použiť výhľadový prístup, a to aj s ohľadom na možný vplyv vývoja právnych predpisov a na činnosť relevantných orgánov v súvislosti s ochranou spotrebiteľa a všeobecne na poskytovanie finančných služieb.

6.4.2.2. Riziko modelov

V rámci operačného rizika majú príslušné orgány posudzovať riziko modelov, a to najmä so zreteľom na interné neregulačné modely (napr. modely AI, oceňovanie produktov, určovanie a monitorovanie limitov rizika, modely ICAAP/ILAAP, možnosti ozdravenia).

Pri posudzovaní rizika modelov majú príslušné orgány zohľadniť:

• a. do akej miery a na aké účely inštitúcia používa modely pri rozhodovaní a obchodný význam týchto rozhodnutí; Príslušné orgány majú určiť obchodnú alebo inú činnosť, pri ktorej inštitúcia vo veľkej miere využíva modely, a posúdiť potenciálny vplyv rizika modelov, a to okrem iného prostredníctvom analýz citlivosti a scenárov alebo stresového testovania; a
• b. správnosť kontrolných mechanizmov (z hľadiska metód, frekvencie, následných opatrení atď.) vrátane procesu schvaľovania modelov, vykonávania pravidelných preskúmaní a miery informovanosti inštitúcie o nedostatkoch modelov alebo o vývoji na trhu a v obchodovaní.

Ak sa modely používajú na účely rozhodovania (napr. oceňovanie produktov, modely AI, hodnotenie finančných nástrojov, profilovanie klientov), príslušné orgány majú posúdiť, či existuje spoľahlivý interný proces validácie a/alebo proces preskúmania modelov na účely identifikácie a zmiernenia rizika modelov (s výnimkou regulačných modelov).

Pri vykonávaní posudzovania rizika modelu majú príslušné orgány zvážiť posúdenie ďalších rizík pre kapitál a hodnotenia rizík pre likviditu a financovanie, najmä s ohľadom na primeranosť metodík používaných na účely merania rizika, oceňovania a vyhodnocovania aktív alebo záväzkov. Výsledky takého posúdenia majú poskytnúť informácie pre zistenia operačného rizika.

6.4.2.3. IKT riziko – Posúdenie inherentného IKT rizika

Identifikácia významných IKT rizík

V súlade s nariadením o digitálnej prevádzkovej odolnosti majú príslušné orgány preskúmať identifikáciu, klasifikáciu a dokumentáciu všetkých obchodných funkcií, úloh a zodpovedností podporovaných IKT v danej inštitúcii, informačné aktíva³⁴ a aktíva IKT³⁵ , ktoré tieto funkcie podporujú, ako aj ich úlohy a závislosti vo vzťahu k IKT rizikám. Toto preskúmanie má pomôcť príslušným orgánom dôkladne pochopiť expozície inštitúcie voči inherentnému IKT riziku (IKT rizikový profil), identifikovať jej podstatné inherentné IKT riziko a vypracovať stanovisko k jeho prudenciálnemu vplyvu. Na tento účel majú príslušné orgány v relevantných a príslušných prípadoch zvážiť aspoň tieto aspekty:

• a. správa o preskúmaní rámca riadenia IKT rizika (v súlade s článkom 6 ods. 5 nariadenia
• o digitálnej prevádzkovej odolnosti);
• b. zdroje IKT rizika, najmä riziková expozícia voči iným finančným subjektom a pochádzajúca od iných finančných subjektov, ktoré inštitúcia identifikovala podľa článku 8 ods. 2 nariadenia o digitálnej prevádzkovej odolnosti;
• c. hlásené závažné incidenty súvisiace s IKT (podľa článku 19 ods. 1 nariadenia o digitálnej prevádzkovej odolnosti) vrátane vývoja súhrnných ročných nákladov a strát spôsobených závažnými incidentmi súvisiacimi s IKT (podľa článku 11 ods. 10 nariadenia o digitálnej prevádzkovej odolnosti);
• d. výsledky testov stanovených v programe testovania digitálnej prevádzkovej odolnosti (v súlade s článkom 24 nariadenia o digitálnej prevádzkovej odolnosti) vrátane súhrnu zistení z penetračného testovania na základe konkrétnej hrozby (TLPT) a súvisiacich plánov nápravy (v súlade s článkom 26 ods. 6 nariadenia o digitálnej prevádzkovej odolnosti);
• e. register informácií (v súlade s článkom 28 ods. 3 nariadenia o digitálnej prevádzkovej odolnosti) vrátane miery koncentrácie u externých poskytovateľov IKT služieb, vrátane poskytovateľov IKT v rámci skupiny, podľa typu IKT služieb a/alebo IKT systémov;
• f. odporúčania a stanoviská hlavných orgánov dozoru (v súlade s článkom 40 ods. 3 a článkom 42 ods. 7 nariadenia o digitálnej prevádzkovej odolnosti) a súvisiace odpovede, správy a informácie od kľúčových externých poskytovateľov služieb IKT [v súlade s článkom 35 ods. 1 písm. c), článkom 42 ods. 1 a článkom 48 ods. 2 nariadenia o digitálnej prevádzkovej odolnosti];
• g. úroveň zložitosti systémov IKT a výsledky posúdenia IKT rizík v súvislosti so staršími IKT systémami (podľa článku 8 ods. 7 nariadenia o digitálnej prevádzkovej odolnosti);
• h. posúdenie rizík v súvislosti s významnými zmenami (podľa článku 8 ods. 3 nariadenia
• o digitálnej prevádzkovej odolnosti);
• i. miera zavádzania a integrácie inovatívnych IKT riešení;
• j. miesta, konkrétne regióny alebo krajiny, v ktorých sa nachádzajú dátové centrá a citlivé vyhradené oblasti, vrátane prípadov, keď zmluvné IKT služby poskytujú externí poskytovatelia, pričom sú zahrnuté aj miesta spracovania a ukladania údajov;
• k. akékoľvek súvisiace závažné nedostatky alebo slabé stránky identifikované v hlave 5;
• l. posúdenie vlastného rizika a kontrol súvisiacich s IKT (ak bolo uvedené medzi informáciami z postupu ICAAP);
• m. informácie o riadení IKT rizík predložené riadiacemu orgánu inštitúcie;
• n. zistenia vnútorného a externého auditu v súvislosti s IKT;
• o. prostredie vonkajších hrozieb vrátane informácií o hrozbách a zraniteľnosti.

Prehľad IKT systémov a IKT služieb

³⁴ Článok 3 ods. 6 nariadenia (EÚ) 2022/2554.

³⁵ Článok 3 ods. 7 nariadenia (EÚ) 2022/2554.

Príslušné orgány majú preskúmať príslušnú dokumentáciu, metodiku a postupy inštitúcie a vypracovať stanovisko k tomu, či inštitúcia riadne identifikovala IKT systémy a IKT služby, ktoré podporujú kritické alebo dôležité funkcie. Na tento účel majú príslušné orgány zvážiť:

• a. IKT systémy podporujúce kritické alebo dôležité funkcie, ako aj kritické informačné aktíva a IKT aktíva identifikované inštitúciou (v súlade s článkom 8 nariadenia o digitálnej prevádzkovej odolnosti);
• b. kľúčové procesy závislé od externých poskytovateľov IKT služieb vrátane prepojení s externými poskytovateľmi IKT služieb, ktorí podporujú kritické alebo dôležité funkcie identifikované inštitúciou (v súlade s článkom 8 ods. 5 nariadenia o digitálnej prevádzkovej odolnosti).

Identifikácia a zmapovanie podstatných IKT rizík ohrozujúcich IKT systémy a IKT služby, ktoré podporujú kritické alebo dôležité funkcie

Príslušné orgány majú následne priradiť zistené podstatné IKT riziko do kategórií IKT rizík uvedených v prílohe III. Namiesto používania kategorizácie stanovenej v prílohe majú inštitúcie udržiavať svoju vlastnú kategorizáciu.

6.4.3. Posúdenie rámca riadenia a kontroly operačného rizika

Príslušné orgány majú posúdiť rámec a opatrenia, ktoré inštitúcia zaviedla na účely riadenia a kontroly operačného rizika, pričom zohľadnia závery analýzy celkového rámca riadenia rizík a vnútornej kontroly, ktorými sa zaoberá hlava 5, keďže tieto závery budú mať vplyv na expozície inštitúcie voči operačnému riziku. Pokiaľ ide o riziko prania špinavých peňazí a financovania terorizmu, príslušný orgán má zohľadniť posúdenie, ktoré poskytne orgán dohľadu v oblasti boja proti praniu špinavých peňazí a financovaniu terorizmu.

Stratégia riadenia operačného rizika a ochota podstupovať operačné riziká

Príslušné orgány majú posúdiť, či má inštitúcia spoľahlivú, jasne formulovanú a zdokumentovanú stratégiu v oblasti operačného rizika a úroveň ochoty podstupovať operačné riziká schválenú riadiacim orgánom, ktorá opisuje povahu, druhy a úrovne operačného rizika, ktoré je inštitúcia ochotná podstúpiť. Na účely tohto posúdenia majú príslušné orgány okrem iných faktorov zohľadniť úlohu riadiaceho orgánu pri stanovovaní, schvaľovaní, vykonávaní a prehodnocovaní stratégie riadenia operačného rizika a ochoty podstupovať operačné riziká (vrátane ochoty podstupovať IKT riziká a stratégie digitálnej prevádzkovej odolnosti), ako aj dostatočný rozsah a primeranosť tejto stratégie vzhľadom na povahu a významnosť profilu operačného rizika inštitúcie.

Organizačný rámec a rámec vnútornej kontroly

Príslušné orgány majú posúdiť, či inštitúcia dodržiava článok 323 nariadenia (EÚ) č. 575/2013. V rámci tohto posúdenia majú príslušné orgány vyhodnotiť spoľahlivosť a účinnosť organizačného rámca a mechanizmov riadenia, ktoré majú umožniť účinné riadenie, meranie a kontrolu operačného rizika s dostatočnými ľudskými a technickými zdrojmi a umožniť tak vykonávanie požadovaných úloh. Príslušné orgány majú zohľadniť, či sú zavedené jasné línie zodpovednosti za identifikáciu, hodnotenie, zmierňovanie, monitorovanie a vykazovanie operačného rizika, ako aj dodržiavanie modelu troch línií obrany.

Príslušné orgány majú posúdiť, či inštitúcia disponuje silným rámcom kontroly a spoľahlivými ochrannými opatreniami na zmiernenie svojho operačného rizika vrátane primeraných politík a postupov, ktoré pokrývajú aj reziduálne riziko, či je tento rámec a opatrenia v súlade s ochotou inštitúcie podstupovať operačné riziká a jej stratégiou riadenia operačného rizika a či pokrývajú všetky kľúčové operácie a procesy. To okrem iného zahŕňa posúdenie, či sú tieto politiky a postupy jasne potvrdené, oznámené a dôsledne uplatňované v rámci celej inštitúcie.

Príslušné orgány majú posúdiť aj funkčnosť funkcie vnútorného auditu z hľadiska primeranosti, rozsahu a frekvencie vnútorných auditov rámca pre riadenie operačného rizika.

Kontinuita činností, reakcia a obnova

Príslušné orgány majú posúdiť, či inštitúcia dodržiava i) usmernenia EBA o vnútornom riadení v súvislosti s celkovým riadením kontinuity činností a ii) nariadenie o digitálnej prevádzkovej odolnosti v súvislosti s politikou kontinuity činností v oblasti IKT a s plánmi reakcie a obnovy v oblasti IKT. V tejto súvislosti majú príslušné orgány posúdiť, či politika kontinuity činností v oblasti IKT a plány reakcie a obnovy v oblasti IKT tvoria neoddeliteľnú súčasť celkovej politiky kontinuity činností inštitúcie a jej plánu reakcie a obnovy.

Príslušné orgány majú posúdiť, či inštitúcia disponuje účinným riadením kontinuity činností s overenými plánmi kontinuity činností, reakcie a obnovy, ktoré pokrývajú aspoň jej kritické alebo dôležité funkcie vrátane tých, ktoré sú zverené externým poskytovateľom, a či tieto plány zohľadňujú celý rad závažných, ale realistických scenárov, voči ktorým môže byť inštitúcia zraniteľná. Príslušné orgány majú takisto posúdiť, či politika kontinuity činností inštitúcie umožňuje prijať primerané opatrenia na reakciu a obnovu v prípade akéhokoľvek druhu incidentu.

Príslušné orgány majú posúdiť, či riadenie kontinuity činností inštitúcie zahŕňa:

• a. analýza vplyvu na činnosti (BIA);
• b. vhodné stratégie ozdravenia zahŕňajúce kľúčové interné a externé závislosti a jasne vymedzené priority ozdravenia a úrovne odolnosti;
• c. komplexné a flexibilné plány na riešenie realistických scenárov narušenia činnosti, ktoré sú vypracované na základe analýzy vplyvu činnosti a v koordinácii s internými a externými zainteresovanými stranami;
• d. plány, v ktorých sa stanovujú pohotovostné stratégie a postupy reakcie a obnovy;
• e. účinné testovanie koncepcie a operačnej účinnosti plánov;
• f. programy na zvýšenie informovanosti o riadení kontinuity činností a odbornej prípravy v tejto oblasti;
• g. komunikačné plány na informovanie vedenia a všetkých príslušných zainteresovaných strán, ako aj dokumentáciu a opatrenia týkajúce sa krízového riadenia a prípadne funkciu krízového riadenia (v súlade s článkom 11 ods. 7 nariadenia o digitálnej prevádzkovej odolnosti).

Príslušné orgány majú posúdiť, či plány inštitúcie v oblasti kontinuity činností, reakcie a obnovy:

• a. stanovujú úlohy a zodpovednosti vrátane jasných usmernení týkajúcich sa potenciálneho nástupníctva, a vymedzujú vnútorný rozhodovací proces vrátane stanovenia aktivačných spúšťačov;
• b. boli preskúmané s cieľom zabezpečiť, aby pohotovostné stratégie zostali v súlade so súčasnými operáciami, rizikami a hrozbami, úrovňami odolnosti a cieľmi a prioritami obnovy;
• c. uprednostňujú opatrenia na zabezpečenie kontinuity činností s využitím prístupu založeného na hodnotení rizika;
• d. sú pravidelne testované, aby sa zabezpečilo splnenie cieľov a časových rámcov v oblasti obnovy; a
• e. zahŕňajú prípadné testovanie služieb poskytovaných externými poskytovateľmi služieb.

Príslušné orgány majú takisto posúdiť, či sú výsledky testovania zdokumentované a či sa o nich podávajú správy riadiacemu orgánu.

Posúdenie rámca riadenia IKT rizika

Príslušné orgány majú posúdiť, či inštitúcia dodržiava nariadenie o digitálnej prevádzkovej odolnosti a usmernenia EBA o vnútornom riadení v súvislosti s vnútorným riadením a organizáciou riadenia IKT rizík. Príslušné orgány majú vypracovať stanovisko k tomu, či riadiaci orgán inštitúcie nesie celkovú zodpovednosť za riadenie IKT rizík a náležite vymedzuje, schvaľuje a dohliada na vykonávanie všetkých opatrení súvisiacich s IKT. Príslušné orgány majú posúdiť, či členovia riadiaceho orgánu disponujú dostatočnými znalosťami a zručnosťami na to, aby chápali a posudzovali IKT riziká a ich vplyv na činnosť inštitúcie.

Príslušné orgány majú posúdiť, ako sú úlohy a zodpovednosti za všetky funkcie súvisiace s IKT a zavedené mechanizmy riadenia začlenené do rámca vnútornej kontroly a riadenia inštitúcie na účely riadenie IKT rizika. Na tento účel majú príslušné orgány posúdiť, či inštitúcia skutočne zverila zodpovednosť za riadenie IKT rizík a dohľad nad nimi nezávislej funkcii kontroly, ktorá má priamy prístup k riadiacemu orgánu a môže mu priamo podávať správy v rámci jeho funkcie dohľadu, a posúdiť, či inštitúcia vykazuje:

• a. jasnú komunikáciu, prideľovanie a integrácia úloh a zodpovedností vo všetkých funkciách súvisiacich s IKT vrátane obchodných funkcií a procesov podporovaných IKT;
• b. dostatočný a primeraný rozpočet na zabezpečenie digitálnej prevádzkovej odolnosti v súvislosti so všetkými druhmi zdrojov vrátane príslušných informačných programov, odbornej prípravy a zručností v oblasti IKT pre všetkých zamestnancov [v súlade s článkom 5 ods. 2 písm. g) nariadenia o digitálnej prevádzkovej odolnosti];
• c. primerané následné opatrenia a reakcie riadiaceho orgánu na kritické zistenia auditu v oblasti IKT a na zistenia oznámené podľa článku 13 ods. 5 nariadenia o digitálnej prevádzkovej odolnosti.

Príslušné orgány majú dôkladne pochopiť rámec riadenia IKT rizika danej inštitúcie a posúdiť, či inštitúcia disponuje dostatočnými a primeranými stratégiami, politikami, postupmi, IKT protokolmi a nástrojmi vrátane úrovní tolerancie, aby mohla účinne, efektívne a komplexne riešiť podstatné riziká v oblasti IKT v súlade s nariadením o digitálnej prevádzkovej odolnosti. Na tento účel majú príslušné orgány podľa potreby zvážiť:

• a. vhodnosť a účinnosť politík³⁶ , procesov a postupov inštitúcie v oblasti riadenia IKT rizika, ktoré zahŕňajú okrem iného riadenie IKT tretích strán, detekciu incidentov súvisiacich s IKT a reakciu na ne, riadenie IKT aktív, šifrovanie a kryptografiu, bezpečnosť operácií IKT, sieťovú bezpečnosť, kontrolu prístupu, ako aj to, či boli tieto politiky, procesy a postupy schválené riadiacim orgánom a oznámené všetkým príslušným zainteresovaným stranám (v súlade s článkom 14 nariadenia o digitálnej prevádzkovej odolnosti);
• b. primeranosť úrovne tolerancie rizika inštitúcie v prípade IKT rizika a úrovne tolerancie vplyvu narušení v oblasti IKT [v súlade s článkom 6 ods. 8 písm. b) nariadenia o digitálnej prevádzkovej odolnosti];
• c. primeranosť a vykonávanie stratégie digitálnej prevádzkovej odolnosti inštitúcie vrátane jej zosúladenia s obchodnou stratégiou;
• d. súlad stratégie týkajúcej sa externého IKT rizika vrátane stratégie viacerých dodávateľov IKT (ak je k dispozícii), s celkovou obchodnou stratégiou a rámcom riadenia IKT rizika;
• e. reziduálne riziko vyplývajúce z identifikovaných rizík inštitúcie v súvislosti so zmluvnými dojednaniami o využívaní IKT služieb podporujúcich kritické alebo dôležité funkcie;
• f. reziduálne riziko vyplývajúce z identifikovaných rizík inštitúcie týkajúcich sa IKT projektov, ktoré majú vplyv na kritické alebo dôležité funkcie oznamované riadiacemu orgánu, ako aj týkajúcich sa obstarávania, vývoja a údržby IKT systémov IKT a zmien v oblasti IKT;
• g. spoľahlivosť a komplexnosť programu testovania digitálnej prevádzkovej odolnosti;
• h. vývoj a rozsah závažných incidentov súvisiacich s IKT a zistenia nahlásené riadiacemu orgánu v súlade s článkom 17 ods. 3 písm. e) a článkom 13 ods. 5 nariadenia o digitálnej prevádzkovej odolnosti;
• i. kontroly IKT rizík, ktoré sú vlastné pre zistené významné IKT riziko;
• j. včasné oznamovanie aspektov riadenia IKT rizika riadiacemu orgánu a vrcholovému manažmentu;
• k. rozsah a zistenia vnútorného auditu.

³⁶ V súlade s nariadením o digitálnej prevádzkovej odolnosti majú tieto dokumenty zahŕňať aspoň politiku informačnej bezpečnosti, politiky zálohovania, politiku riadenia IKT aktív, politiku šifrovania a kryptografických kontrol, politiku riadenia kryptografických kľúčov, politiku riadenia IKT projektov, politiku obstarávania, vývoja a údržby IKT systémov, politiku ľudských zdrojov, politiku fyzickej a environmentálnej bezpečnosti, politiku riadenia incidentov súvisiacich s IKT a politiku využívania IKT služieb podporujúcich kritické alebo dôležité funkcie, ktoré poskytujú externí dodávatelia IKT služieb.

Pri posudzovaní riadenia IKT rizika majú príslušné orgány venovať osobitnú pozornosť riadeniu externého IKT rizika vrátane úrovne koncentrácie inštitúcie vo vzťahu k externým poskytovateľom IKT služieb. Na tento účel majú príslušné orgány zabezpečiť úzku spoluprácu s hlavnými orgánmi dozoru nad externými poskytovateľmi kritických IKT služieb v súlade so spoločnými usmerneniami ESA³⁷ v prípade, že posudzovaná inštitúcia dostane IKT služby od externého poskytovateľa kritických IKT služieb. Príslušné orgány majú preskúmať aj účinnosť špecializovanej úlohy stanovenej inštitúciou alebo určeným členom vrcholového manažmentu v oblasti monitorovania dojednaní s tretími stranami v oblasti IKT.

³⁷ Spoločné usmernenia európskych orgánov dohľadu o spolupráci v oblasti dohľadu a o výmene informácií medzi európskymi orgánmi dohľadu a príslušnými orgánmi podľa nariadenia (EÚ) 2022/2554 (JC/2024/36).

Príslušné orgány majú posúdiť, či je funkcia vnútorného auditu účinná a či disponuje dostatočnými znalosťami, zručnosťami a odbornými znalosťami na vykonávanie auditu rámca riadenia IKT rizík inštitúcie, a to tým, že preveria, či:

• a. sa audity rámca riadenia IKT rizík vykonávajú v požadovanej kvalite, zameraní a frekvencii a či sú úmerné IKT rizikovému profilu inštitúcie;
• b. plán auditu zahŕňa audity významných IKT rizík, ktoré identifikovala inštitúcia, vrátane nezávislých preskúmaní plánov reakcie a obnovy v oblasti IKT;
• c. kritické zistenia auditu v oblasti IKT sú včas overené a napravené vrátane podania správy riadiacemu orgánu;
• d. vrcholový manažment a/alebo výbor pre audit po skončení auditu pravidelne kontrolujú zistenia auditu v oblasti IKT vrátane dohodnutých opatrení a či pravidelne preskúmavajú správy o pokroku.

6.4.4. Posudzovanie rizika straty dobrej povesti

Príslušné orgány majú posúdiť riziko straty dobrej povesti, ktorému je inštitúcia vystavená, pričom majú využiť poznatky získané na základe ustanovení z hláv 4 až 6.2. Také posúdenie sa má zamerať aj na celkový rámec rizika straty dobrej povesti, so zabezpečením schopnosti inštitúcie účinne riadiť akékoľvek udalosti súvisiace s dobrou povesťou. Na účely tohto posúdenia sa príslušné orgány majú vyhnúť aspektom dvojitého započítania, ktoré už boli zohľadnené v posúdení právneho rizika (oddiel 6.4.2.1).

Pri posudzovaní relevantnosti reputačného rizika majú príslušné orgány zohľadniť veľkosť inštitúcie, ako aj povahu, rozsah a zložitosť jej služieb, činností a operácií (napríklad kótované akcie alebo dlhopisy či účasť na medzibankových trhoch).

Príslušné orgány majú zvážiť interné aj externé faktory alebo udalosti, ktoré by mohli vyvolať obavy týkajúce sa straty dobrej povesti, s výnimkou udalostí, ktoré vedú k súdnemu konaniu. Pre inštitúcie kategórie 1 a kategórie 2 majú príslušné orgány v rámci svojho posudzovania zohľadniť všetky tieto ukazovatele:

• a. negatívne pokrytie v médiách/sociálnych médiách a iniciatívy združení spotrebiteľov, ktoré môžu zhoršiť pohľad verejnosti na inštitúciu a jej dobrú povesť;
• b. počet sťažností klientov a ich zmeny, prípadne náhla strata klientov alebo investorov;
• c. negatívne udalosti týkajúce sa rovnocenných inštitúcií, ktoré by verejnosť mohla spájať s celým finančným sektorom alebo so skupinou inštitúcií;
• d. dobrá povesť jednotlivcov zapojených do riadenia inštitúcie alebo osôb s kvalifikovanými podielmi;
• e. pôsobenie alebo činnosť v odvetviach alebo jurisdikciách, ktoré sú vo vysokej miere vystavené riziku prania špinavých peňazí a financovania terorizmu, alebo s osobami, ktoré z hľadiska prania špinavých peňazí a financovania terorizmu predstavujú vysoké riziko;
• f. pôsobenie alebo činnosť v odvetviach alebo jurisdikciách a/alebo v spolupráci s protistranami, ktoré sú vo veľkej miere vystavené závažným otázkam alebo verejným kontroverziám súvisiacim s faktormi ESG, okrem iného vrátane environmentálnych faktorov;
• g. vplyv incidentov súvisiacich s IKT na dobrú povesť inštitúcie, zaznamenaný inštitúciou v súlade s delegovaným nariadením Komisie (EÚ) 2024/1772³⁸ ;
• h. iné „trhové“ ukazovatele, ak existujú (napr. zníženie úverového ratingu alebo zmeny cien akcií počas celého roka).

³⁸ Delegované nariadenie Komisie (EÚ) 2024/1772 z 13. marca 2024, ktorým sa dopĺňa nariadenie Európskeho parlamentu a Rady (EÚ) 2022/2554, pokiaľ ide o regulačné technické predpisy, v ktorých sa bližšie určujú klasifikačné kritériá incidentov súvisiacich s IKT a kybernetických hrozieb, stanovujú prahové hodnoty významnosti a spresňujú podrobnosti správ o závažných incidentoch, C/2024/1519 (Ú. v. EÚ L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

Príslušné orgány majú posúdiť význam expozície inštitúcie voči riziku straty dobrej povesti a jej súvislosť s inými rizikami, a to prostredníctvom využitia príslušných posúdení rizika (aj od iných orgánov dohľadu) na určenie všetkých možných sekundárnych účinkov v oboch smeroch.

V kontexte analýzy operačného rizika majú príslušné orgány zohľadniť dôležitosť a významnosť expozícií inštitúcie voči riziku prania špinavých peňazí a financovania terorizmu z prudenciálneho hľadiska v rozsahu pôsobnosti operačného rizika. Príslušné orgány majú v tejto súvislosti používať relevantné vstupné údaje získané od orgánov dohľadu v oblasti boja proti praniu špinavých peňazí a financovaniu terorizmu, aby tak doplnili svoje zistenia z prebiehajúceho dohľadu a zhodnotili, či vznikajú prudenciálne obavy týkajúce sa rizika prania špinavých peňazí a financovania terorizmu.

Príslušné orgány majú mať na pamäti, že žiadna inštitúcia nemôže byť vystavená riziku prania špinavých peňazí a financovania terorizmu, bez ohľadu na jej veľkosť alebo finančnú spoľahlivosť. Preto sa má dostatočná pozornosť venovať aj inštitúciám, ktoré sú vnímané ako finančne spoľahlivé a majú dobrú povesť, keďže tieto inštitúcie môžu byť konkrétnym cieľom na účely prania špinavých peňazí a financovania terorizmu. Pozornosť sa má venovať aj inštitúciám, ktoré sú veľmi úspešné v lákaní nových klientov alebo zvyšovaní trhového podielu (najmä využívaním netradičných distribučných reťazcov), keďže to môže súvisieť s kontrolami náležitej starostlivosti o slabých klientov vo fáze ich prijímania.

Príslušné orgány majú s orgánmi dohľadu v oblasti boja proti praniu špinavých peňazí a financovaniu terorizmu zdieľať relevantné informácie o zistených problémoch operačného rizika, ktoré môžu vyvolať riziká prania špinavých peňazí a financovania terorizmu, riziká nevykonávania a obchádzania cielených finančných sankcií a obavy, napríklad z nedostatkov v IKT systéme inštitúcie alebo v rámci vnútornej kontroly.

Príslušné orgány majú posúdiť, či inštitúcia zaviedla náležité opatrenia, stratégie, procesy a mechanizmy na riadenie rizika straty dobrej povesti. Príslušné orgány majú zohľadniť najmä to, či:

• a. inštitúcia zaviedla schválené politiky a postupy na identifikáciu, riadenie a monitorovanie tohto rizika vrátane pevného kódexu správania a tieto politiky a procesy sú úmerné jej veľkosti a významu v systéme;
• b. inštitúcia pristupuje k tomuto riziku preventívne, a to vrátane zavedenia vhodných ukazovateľov a nástrojov na monitorovanie, zahrnutia potenciálnych problémov súvisiacich s dobrou povesťou do pohotovostných plánov, organizovania príslušnej odbornej prípravy a informačných stretnutí a zohľadňovania získaných skúseností;
• c. inštitúcia vykonáva stresové testovanie alebo analýzu scenára na posúdenie akýchkoľvek sekundárnych účinkov rizika straty dobrej povesti (napr. likvidita a náklady na financovanie, sekuritizačné transakcie, prístup ku korešpondenčným bankovým službám);
• d. inštitúcia koná na ochranu svojej značky prostredníctvom nástrojov na monitorovanie médií/sociálnych médií, protokolov na riešenie dezinformácií a negatívnej publicity, ako aj rýchlych komunikačných kampaní;
• e. inštitúcia zohľadňuje možný vplyv svojej stratégie a obchodných plánov a celkovo vplyv svojho správania na jej dobrú povesť.

6.4.5. Prevádzková odolnosť

Príslušné orgány si majú vytvoriť komplexný prehľad o schopnosti inštitúcie plniť kritické alebo dôležité funkcie aj v čase narušenia (úroveň prevádzkovej odolnosti), pričom tento výsledok je podmienený účinným riadením operačného rizika so zreteľom na veľkosť inštitúcie, jej obchodný model a celkový rizikový profil. Na tento účel majú príslušné orgány využiť svoje existujúce posúdenia týkajúce sa riadenia operačného rizika, kontinuity činností, schopností riadiť zmeny, služieb tretích strán a IKT, na ktoré sa inštitúcia spolieha, aby komplexne posúdili, či tieto prvky spoločne prispievajú k operačnej odolnosti inštitúcie. Príslušné orgány majú takisto zvážiť, či inštitúcia uplatňuje svoj rámec riadenia rizík, plány zabezpečenia kontinuity činností, riadenie vzťahov s tretími stranami (čo už bolo posúdené v súvislosti s nariadením

• o digitálnej prevádzkovej odolnosti a usmerneniami EBA vydanými podľa článku 74 ods. 3 smernice 2013/36/EÚ o opatreniach, postupoch a mechanizmoch vnútorného riadenia) a rámce pre ozdravenie a riešenie krízových situácií konzistentným a koordinovaným spôsobom. Okrem toho majú príslušné orgány posúdiť, či inštitúcia dostatočne zmapovala vnútorné a vonkajšie prepojenia a vzájomné závislosti, ktoré sú potrebné na plnenie jej kritických alebo dôležitých funkcií.

Príslušné orgány majú zohľadniť to, akú pozornosť riadiaci orgán a vrcholový manažment venujú schopnosti inštitúcie reagovať na narušenia a zotaviť sa z nich za predpokladu, že dôjde k zlyhaniam. Na tento účel majú príslušné orgány zvážiť, či:

• a. sa riadiaci orgán sa aktívne podieľa na formovaní všeobecného chápania prístupu k prevádzkovej odolnosti v rámci celej inštitúcie a na monitorovaní účinnosti tohto prístupu;
• b. sa poskytujú včasné správy o aktuálnej prevádzkovej odolnosti inštitúcie v záujme podpory dohľadu zo strany riadiaceho orgánu, a to najmä v prípadoch, keď by zistené závažné nedostatky mohli ovplyvniť plnenie kritických alebo dôležitých funkcií inštitúcie.

6.4.6. Zhrnutie zistení, bodovanie a opatrenia dohľadu

Na základe uvedeného posúdenia majú príslušné orgány vypracovať stanovisko k operačnému riziku inštitúcie. Toto stanovisko má byť zohľadnené v zhrnutí zistení spoločne so skóre na základe definovaných kritérií uvedených v tabuľke 10. Ak sa na základe závažnosti určitých podkategórií rizík príslušný orgán rozhodne hodnotiť a bodovať tieto podkategórie jednotlivo, usmernenia uvedené v tejto tabuľke treba pokiaľ možno uplatniť na základe analógie.

Tabuľka 10. Kritériá orgánov dohľadu, ktoré sa uplatňujú pri určení skóre pre operačné riziko Skóre Stanovisko orgánov Kritériá súvisiace s inherentným Kritériá týkajúce sa náležitého

rizika dohľadu rizikom riadenia a kontrol

Stanovisko Skóre orgánov Kritériá súvisiace s inherentným Kritériá týkajúce sa náležitého rizika dohľadu rizikom riadenia a kontrol

Stanovisko Skóre orgánov Kritériá súvisiace s inherentným Kritériá týkajúce sa náležitého rizika dohľadu rizikom riadenia a kontrol

Stanovisko Skóre orgánov Kritériá súvisiace s inherentným Kritériá týkajúce sa náležitého rizika dohľadu rizikom riadenia a kontrol

V nasledujúcej tabuľke je uvedený neúplný zoznam opatrení dohľadu, ktoré môžu príslušné orgány prijať v prípade zistených nedostatkov v rámci riadenia operačného rizika inštitúcie a v jej prevádzkovej odolnosti (s ohľadom na úzku prepojenosť prevádzkovej odolnosti a riadenia operačného rizika). Príslušné orgány majú rozhodnúť o druhu opatrenia na základe jeho účinnosti pri odstraňovaní konkrétneho zisteného nedostatku. Príslušné orgány môžu uplatniť dodatočné opatrenia dohľadu [vrátane kvantitatívnych opatrení v súlade s článkom 104 ods. 1 písm. a) smernice 2013/36/EÚ] alebo ich kombináciu s opatreniami uvedenými v tabuľke nižšie, ak sa tieto opatrenia považujú za vhodnejšie na odstránenie zistených nedostatkov. V prípade porušenia nariadenia o digitálnej prevádzkovej odolnosti majú príslušné orgány zvážiť uplatnenie nápravných a opravných opatrení uvedených v článku 50 nariadenia o digitálnej prevádzkovej odolnosti.

Tabuľka 11. Potenciálny a neúplný zoznam opatrení dohľadu vyplývajúcich z posúdenia operačného rizika a prevádzkovej odolnosti Možné opatrenia dohľadu príslušných orgánov v súlade s článkom 104 ods. 1 písm. b), d), e), f), j), l), m) a n) smernice 2013/36/EÚ a s článkom 50 nariadenia (EÚ) 2022/2554 – príslušné orgány môžu od inštitúcie vyžadovať: A. aktívnejšie zapojenie riadiaceho orgánu alebo jeho výborov do príslušných rozhodnutí o riadení operačného rizika; B. zlepšenie systémov merania operačného rizika; C. posilnenie kontrol prevádzkových procesov vrátane identifikácie, monitorovania, reakcie a obnovy; D. vylepšenie rámca operačného riadenia; E. zlepšenie podávania správ o operačnom riziku riadiacemu orgánu a vrcholovému manažmentu; F. vypracovanie a zavedenie plánov nápravných opatrení na riešenie nedostatkov; G. obmedzenie určitých dohôd s tretími stranami, najmä pokiaľ ide o kritické alebo dôležité funkcie; H. zlepšenie stresového testovania a analýzy scenárov v súvislosti s operačným rizikom; I. vykonávanie silnejších prevádzkových opatrení; J. vylepšenie plánov kontinuity činnosti, reakcie a obnovy; K. zlepšenie riadenia operačného rizika súvisiaceho s rizikami ESG, najmä s environmentálnymi rizikami, prípadne na základe jedného alebo viacerých opatrení uvedených vyššie.