12. Riadenie operačných rizík a prevádzková odolnosť

Emitent ART by mal mať primeraný rámec riadenia operačného rizika a rámec prevádzkovej odolnosti. Zahŕňa to účinné politiky a procesy na:

• a. včasnú identifikáciu, posudzovanie, hodnotenie, monitorovanie, vykazovanie a zmierňovanie operačného rizika a
• b. identifikáciu a ochranu pred hrozbami a potenciálnymi zlyhaniami, reakciu a prispôsobenie sa rušivým udalostiam, ako aj zotavenie sa z nich a poučenie sa z nich s cieľom minimalizovať ich vplyv na plnenie kritických alebo dôležitých funkcií¹³ .

¹³ Zásady BCBS pre prevádzkovú odolnosť, marec 2021, https://www.bis.org/bcbs/publ/d516.pdf.

Riadiaci orgán emitenta ART by mal ako súčasť rámca riadenia rizík schváliť stratégie, politiky a procesy riadenia operačného rizika a prevádzkovej odolnosti vrátane ochoty podstupovať riziko pre rámec operačného rizika a tolerancie voči riziku narušenia kritických alebo dôležitých funkcií¹⁴ . Tieto stratégie, politiky a procesy by sa mali pravidelne revidovať a podľa potreby aktualizovať.

¹⁴ Tolerancia voči narušeniu je úroveň narušenia spôsobená akýmkoľvek druhom operačného rizika, ktorú je emitent ochotný akceptovať vzhľadom na rozsah závažných, ale pravdepodobných scenárov.

Riadiaci orgán zabezpečuje, aby sa tieto politiky a procesy účinne vykonávali, aby boli plne začlenené do celkového rámca riadenia rizík emitenta ART vrátane rizika v súvislosti s využívaním subjektov tretích strán a aby boli účinne oznamované príslušným zamestnancom.

Emitent ART by mal jasne prideliť zodpovednosti za systém hodnotenia a riadenia operačného rizika a prevádzkovej odolnosti.

Emitent ART by mal identifikovať svoje expozície voči operačnému riziku, sledovať príslušné údaje o operačnom riziku vrátane údajov o významných stratách a vykonávať analýzu scenárov.

Emitent ART by mal identifikovať svoje kritické operácie v súlade so svojím prístupom k prevádzkovej odolnosti a zmapovať ľudí, technológie, procesy, údaje, zariadenia, tretie strany vrátane subjektov v rámci skupiny a vzájomné prepojenia a závislosti medzi nimi, ktoré sú potrebné na zabezpečenie kritických alebo dôležitých funkcií v situácii bežného fungovania a v prípade narušenia.

Rámec riadenia operačného rizika a prevádzkovej odolnosti by mal podliehať pravidelným kontrolám vykonávaným vnútornými alebo externými audítormi, ktorí majú znalosti potrebné na vykonávanie takýchto kontrol. Rámec riadenia operačného rizika a rámec prevádzkovej odolnosti by mal byť štruktúrovaný s dostatočnými a primeranými ľudskými a technickými zdrojmi. Systém hodnotenia operačného rizika a rámec prevádzkovej odolnosti emitenta ART by mal byť plne integrovaný do rámca riadenia rizík emitenta.

Mal by sa zaviesť systém podávania správ riadiacemu orgánu, ktorým sa zabezpečí podávanie primeraných správ o operačnom riziku a prevádzkovej odolnosti od príslušných funkcií v rámci emitenta ART. Emitent ART by mal mať zavedené postupy na prijímanie vhodných opatrení bezodkladne, ak je to relevantné.

Emitent ART by mal identifikovať a posúdiť operačné riziko spojené s činnosťami, procesmi a systémami emitenta ART, aby sa uistil, že inherentné riziká sú dobre pochopené.

Vzhľadom na hlavu I o uplatňovaní zásady proporcionality by mal emitent ART identifikovať, analyzovať a merať celý rad scenárov vrátane udalostí s nízkou pravdepodobnosťou a vysokou závažnosťou, z ktorých niektoré by mohli viesť k závažným stratám v súvislosti s operačným rizikom. Vstupy do analýzy scenára zahŕňajú relevantné interné a externé údaje o stratách, informácie zo samohodnotenia, názory expertov, rámec vnútornej kontroly, výhľadové metriky, analýzy hlavných príčin a prípadne rámec procesov. Proce s analýzy scenárov by sa mal používať na vypracovanie rozsahu dôsledkov potenciálnych udalostí vrátane posúdenia vplyvu na účely riadenia rizík, pričom by mal dopĺňať iné nástroje založené na historických údajoch alebo aktuálnych posúdeniach rizík.

Vzhľadom na hlavu I môžu emitenti ART používať kvalitatívne prístupy k hodnoteniu rizika, pričom emitenti významných ART by mali mať sofistikovanejší prístup vrátane používania údajov o internej a externej strate, ak sú k dispozícii, ktoré poskytnú vstupné informácie pre analýzu scenárov.