17 Rámec riadenia rizík

Ako súčasť celkového rámca vnútornej kontroly by inštitúcie mali mať komplexný rámec riadenia rizík v celej inštitúcii, ktorý by sa vzťahoval aj na všetky ich obchodné línie a vnútorné útvary vrátane funkcií vnútornej kontroly, pričom by sa plne uznala ekonomická podstata všetkých ich rizikových expozícií. Rámec riadenia rizík by mal inštitúcii umožniť prijímať plne informované rozhodnutia o prijímaní rizík. Rámec riadenia rizík by mal zahŕňať súvahové a podsúvahové riziká, ako aj skutočné a budúce riziká, ktorým môže byť inštitúcia vystavená. Riziká by sa mali vyhodnocovať zdola nahor a zhora nadol v rámci obchodných línií a medzi nimi, pričom sa bude používať konzistentná terminológia a kompatibilné metodiky v celej inštitúcii a na konsolidovanej alebo subkonsolidovanej úrovni. Všetky príslušné riziká by sa mali zahrnúť do rámca riadenia rizík s náležitým zohľadnením finančných aj nefinančných rizík vrátane kreditných a trhových rizík, rizík likvidity a koncentrácie, operačných rizík, rizík v oblasti IT, rizík poškodenia dobrej povesti, právnych rizík, rizík správania a dodržiavania predpisov v oblasti boja proti praniu špinavých peňazí/financovaniu terorizmu a iných rizík súvisiacich s finančnou trestnou činnosťou, rizík ESG a strategických rizík.

Rámec riadenia rizík inštitúcie by mal zahŕňať politiky, postupy, rizikové limity a kontroly rizík zabezpečujúce primeranú, včasnú a priebežnú identifikáciu, meranie alebo hodnotenie, monitorovanie, riadenie, zmierňovanie rizík a podávanie správ o rizikách na obchodnej línii, na úrovni inštitúcii a na konsolidovanej alebo subkonsolidovanej úrovni.

Rámec riadenia rizík inštitúcie by mal poskytovať osobitné usmernenia o vykonávaní stratégií inštitúcie. Týmito usmerneniami sa majú v prípade potreby zavádzať a udržiavať vnútorné limity v súlade s ochotou inštitúcie podstupovať riziká a úmerne jej spoľahlivému fungovaniu, finančnej sile, kapitálovej základni a strategickým cieľom. Rizikový profil inštitúcie by sa mal udržiavať v rámci týchto stanovených limitov. Rámcom riadenia rizík by sa malo zabezpečiť, aby vždy, keď dôjde k prekročeniu limitov rizika, existoval vymedzený proces, ktorý by ich vystupňoval a riešil vhodným následným postupom.

Rámec riadenia rizík by mal byť predmetom nezávislého interného preskúmavania (napr. vykonaného funkciou vnútorného auditu) a mal by byť pravidelne prehodnocovaný vzhľadom na ochotu inštitúcie podstupovať riziká, a to s prihliadnutím na informácie, ktoré poskytne funkcia riadenia rizík a v prípade potreby výbor pre riziká. Faktory, ktoré by mali byť zohľadnené, zahŕňajú vnútorné a vonkajšie vývojové trendy vrátane zmien bilančnej hodnoty a príjmov; rastúcej zložitosti činností, rizikového profilu alebo prevádzkovej štruktúry inštitúcie; jej geografického rozšírenia; fúzií a akvizícií a uvádzania nových produktov alebo obchodných línií.

Pri identifikácii a meraní alebo posudzovaní rizík by inštitúcia mala vyvinúť vhodné metodiky, ktoré zahŕňajú výhľadovo a spätne orientované nástroje. Tieto metodiky majú umožniť zoskupenie rizikových expozícií naprieč obchodnými líniami a mali by podporovať identifikáciu koncentrácie rizík. Nástroje majú zahŕňať posúdenie skutočného rizikového profilu proti ochote inštitúcie podstupovať riziká, ako aj identifikáciu a posúdenie potenciálnych a stresových rizikových expozícií v rozsahu predpokladaných nepriaznivých okolností proti schopnosti inštitúcie znášať riziko. Nástroje majú poskytovať informácie

• o akejkoľvek potrebe úpravy rizikového profilu. Inštitúcie majú formulovať primerane konzervatívne predpoklady pri vytváraní stresových scenárov.

Inštitúcie majú zohľadňovať skutočnosť, že výsledky kvantitatívnych metodík hodnotenia vrátane stresového testovania sú vo veľkej miere závislé od obmedzení a predpokladov modelov (vrátane závažnosti a trvania šoku a súvisiacich rizík). Napríklad modely vykazujúce veľmi vysokú návratnosť ekonomického kapitálu môžu byť skôr výsledkom nedostatkov v modeloch (napr. vylúčenia niektorých dôležitých rizík), než vynikajúcej stratégie alebo vynikajúceho výkonu stratégie zo strany inštitúcie. Určenie úrovne prijatého rizika by preto nemalo byť založené len na kvantitatívnych informáciách alebo výstupoch modelov; malo by zahŕňať aj kvalitatívny prístup (vrátane odborného posudku a kritickej analýzy). Inštitúcia by sa mala výslovne zaoberať príslušnými trendmi a údajmi makroekonomického prostredia, aby identifikovala ich potenciálny vplyv na svoje rizikové angažovanosti a portfóliá.

Konečnú zodpovednosť za posúdenie rizika nesie výlučne inštitúcia, ktorá by preto mala svoje riziká hodnotiť kriticky a nemala by sa spoliehať výlučne na externé hodnotenia. Inštitúcia by napríklad mala zakúpený model rizika validovať a kalibrovať vzhľadom na svoje vlastné individuálne okolnosti, aby sa zabezpečilo, že model presne a komplexne identifikuje a analyzuje riziká.

Inštitúcie majú byť plne oboznámené s obmedzeniami modelov a metrík a mali by využívať nielen kvantitatívne, ale aj kvalitatívne nástroje posudzovania rizík (vrátane odborného posudku a kritickej analýzy).

Okrem vlastných posúdení inštitúcií môžu inštitúcie použiť externé hodnotenia rizík (vrátane externých úverových ratingov alebo externe zaobstaraných modelov rizika). Inštitúcie by mali byť plne oboznámené s presným rozsahom takýchto posúdení a s ich obmedzeniami.

Inštitúcia by mala mať zriadené mechanizmy pravidelného a transparentného podávania správ, aby jej riadiaci orgán, výbor pre riziká (ak je zriadený) a všetky príslušné útvary v inštitúcii mali k dispozícii včasné, presné, stručné, zrozumiteľné a zmysluplné správy a aby si mohli vymieňať dôležité informácie o identifikácii, meraní alebo hodnotení, monitorovaní a riadení rizík. Rámec predkladania správ by mal byť dobre vymedzený a zdokumentovaný.

Účinná komunikácia a informovanosť o rizikách a stratégii v oblasti rizík má zásadný význam pre celý proces riadenia rizík vrátane skúmania a rozhodovacieho procesu a pomáha predchádzať rozhodnutiam, ktoré môžu riziko nevedome zvyšovať. Účinné podávanie správ

• o rizikách zahŕňa náležité vnútorné posúdenie a komunikáciu o stratégii v oblasti rizík a o dôležitých údajoch o rizikách (napr. expozíciách a kľúčových ukazovateľoch rizík), jednak horizontálne v rámci inštitúcie a jednak nahor a nadol v reťazci riadenia.