6.4. Ocena operativnega tveganja

Pristojni organi bi morali pri ocenjevanju okvira za upravljanje operativnega tveganja oceniti med drugim, ali institucija upošteva pravne akte, ki so ločeno objavljeni na spletnem mestu organa EBA, kot je navedeno v odstavku 12.

Pristojni organi bi morali oceniti operativno tveganje na vseh poslovnih področjih in pri vseh dejavnostih institucije, pri čemer bi morali upoštevati ugotovitve ocene ureditev notranjega upravljanja in kontrol na ravni celotne institucije, kot so opredeljene v naslovu 5. V okviru te ocene bi morali določiti, v katerih primerih se lahko operativna tveganja uresničijo, pri tem pa upoštevati tudi podatkovni niz izgub institucije in možne vplive drugih povezanih tveganj (npr. mejni primeri operativnega tveganja in tržnega operativnega tveganja).

Pristojni organi bi morali oceniti pomembnost operativnega tveganja zaradi tretjih ponudnikov storitev, vključno s koncentracijo (na ravni subjekta in po potrebi na ravni skupine) ene ali več storitev, ki jih zagotavlja en sam tretji ponudnik storitev (neposredno ali posredno prek podizvajalskih verig) ali omejeno število tretjih ponudnikov storitev, ki podpirajo kritične ali pomembne funkcije institucije, in ali bi to lahko vplivalo na operativno odpornost institucije, njeno uspešnost in upravljanje tveganja. Pri izvajanju te ocene bi morali upoštevati, v kolikšni meri se tudi druge institucije zanašajo na iste tretje ponudnike storitev, če imajo te informacije na voljo.

Pri ocenjevanju operativnega tveganja bi morali pristojni organi v skladu z uredbo DORA oceniti tveganje na področju IKT ter njegov možni vpliv na kritične ali pomembne funkcije institucije, vključno z morebitnim finančnim, regulativnim in strateškim vplivom na institucijo ter vplivom na njen poslovni ugled.

Pristojni organi bi morali oceniti, ali ima institucija ustrezen pristop k operativni odpornosti, da lahko kljubuje motnjam, se jim prilagodi in si od njih opomore, ko se pojavijo, ter ali je bil ta pristop ustrezno in dosledno usklajen z obstoječim okvirom upravljanja tveganj, načrti neprekinjenega delovanja in upravljanjem tretjih oseb.

Pri ocenjevanju operativnega tveganja bi morali pristojni organi po potrebi oceniti, ali se s politikami in postopki institucije ustrezno prepoznavajo, ocenjujejo in upravljajo operativna tveganja, ki izhajajo iz dejavnosti v zvezi s kriptosredstvi in tehnologije, na kateri temeljijo.

Pristojni organi bi morali tveganje izgube poslovnega ugleda oceniti skupaj z operativnim tveganjem, saj je to tveganje neločljivo povezano z dogodki operativnega tveganja. Vendar se rezultat ocene tveganja izgube poslovnega ugleda ne bi smel upoštevati v izračunu rezultata operativnega tveganja, temveč bi se moral po potrebi upoštevati v okviru analize poslovnega modela in/ali ocene likvidnostnega tveganja, saj se lahko zaradi njegovih glavnih učinkov poslabša zaupanje investitorjev, vlagateljev ali udeležencev medbančnega trga v institucijo.

Pristojni organi bi morali oceniti vpliv okoljskih, socialnih in upravljavskih tveganj na operativno tveganje in tveganje izgube poslovnega ugleda pri delovanju ter ustreznost kontrol operativnega tveganja in tveganja izgube ugleda, povezanega z okoljskimi, socialnimi in upravljavskimi tveganji, pri čemer bi morali prednostno obravnavati fizična tveganja in tveganja prehoda. Pristojni organi bi morali pri oceni pravnega tveganja in tveganja izgube poslovnega ugleda upoštevati zlasti okoljska tveganja in tveganja zelenega zavajanja. 6.4.2. Ocena operativnega tveganja pri delovanju

Pristojni organi bi se morali temeljito seznaniti z izpostavljenostmi institucije operativnemu tveganju pri delovanju ter oceniti pomembnost bonitetnega vpliva tega tveganja na institucijo, pa tudi vpliv na njeno sposobnost izvajanja kritičnih ali pomembnih funkcij v primeru motenj.

Za utemeljitev te ocene bi morali upoštevati kapitalsko zahtevo za operativno tveganje v primerjavi s skupno kapitalsko zahtevo ter po potrebi notranji kapital, ki ga institucija dodeli za operativno tveganje, v primerjavi s skupnim notranjim kapitalom. Poleg tega bi morali pristojni organi uporabiti znanje, pridobljeno pri oceni drugih elementov SREP (zlasti iz naslova 4 in naslova 5), pri primerjavi s podobnimi institucijami, pri katerih koli drugih nadzorniških dejavnostih, vključno s prispevkom nadzornikov za PPDFT in organov za nadzor trga, ter iz drugih ustreznih virov informacij.

Pristojni organi bi morali upoštevati vsaj ključne dejavnike operativnega tveganja in možne scenarije motenj, jih po potrebi analizirati po poslovnih področjih, pravnih subjektih, geografskih območjih in kategorijah vrst dogodkov (ob upoštevanju razpoložljivosti podatkov) ter primerjati položaj institucije s primerljivimi institucijami. Ti dejavniki bi morali zajemati vsaj glavno strategijo institucije za upravljanje operativnega tveganja in nagnjenost k prevzemanju operativnega tveganja, poslovno okolje (vključno z geografsko prisotnostjo, operacijami IKT in distribucijskimi kanali), nedavne pomembne korporativne dogodke (kot so združitve, nakupi, prodaje in prestrukturiranja), sisteme IKT in druge vidike, povezane z IKT, v skladu z oddelkom 6.4.2.3, spremembe procesov, dogovore s tretjimi osebami, težave pri zagotavljanju regulativne skladnosti, poslovne ambicije in sisteme spodbud ter druge ključne dejavnike operativnega tveganja.

Narava in pomen izpostavljenosti operativnemu tveganju

Pristojni organi bi morali naravo izpostavljenosti operativnemu tveganju določiti z analizo izpostavljenosti glavnim virom in dejavnikom operativnega tveganja, da bi oblikovali v prihodnost usmerjeno mnenje o prihodnjem operativnem tveganju. Pri tej analizi:

• a. lahko pristojni organi upoštevajo operativni model, poslovna področja, produkte, procese in geografska območja, ki so pomembni za institucijo, oceno odvisnosti in izpostavljenosti operativnemu tveganju za glavne dejavnike tveganja (npr. procese, osebe, sisteme in zunanje dejavnike) ter povezave med dejavniki tveganja z uporabo samoocene tveganja institucije, analize primerljivih subjektov, podatkov ter javnih in/ali konzorcijskih podatkovnih zbirk, če so na voljo in ustrezne;
• b. bi morali pristojni organi upoštevati pogostost in resnost dogodkov, ki jim je institucija izpostavljena, ter razlikovati med tistimi, ki povzročajo zelo velike izgube, in tistimi, ki se pojavljajo zelo pogosto. Na podlagi tega razlikovanja bi morali pristojni organi oceniti trende izgub iz naslova operativnega tveganja in njihovo koncentracijo ter
• c. bi morali uporabiti analize scenarijev ter upoštevati načrtovane poslovne operacije in analize pričakovanega operativnega tveganja, ki jih je izvedla institucija, če so na voljo, ob upoštevanju morebitnih popravnih ukrepov in ukrepov za zmanjševanje tveganja, ki so že izvedeni in učinkoviti.

Po opredelitvi in analizi glavnih virov in dejavnikov operativnega tveganja bi se morali pristojni organi osredotočiti na tiste, ki bi lahko potencialno najbolj vplivali na institucijo.

Glavni vir informacij, ki bi ga morali pristojni organi upoštevati, je nabor podatkov o izgubah in dogodkih institucije, saj lahko zagotovi dragocene vpoglede v razvoj profila operativnega tveganja institucije. Pristojni organi bi morali redno ocenjevati celovitost, točnost in kakovost podatkov o izgubi. Dodaten vir informacij bi morale biti evidence institucije o vseh incidentih, povezanih z IKT, in pomembnih kibernetskih grožnjah (v skladu s členom 17(2) uredbe DORA) ter o ugotovljenih virih tveganj na področju IKT (v skladu s členom 8(2) uredbe DORA).

Ocena podkategorij operativnega tveganja

Pristojni organi bi se morali pri oceni podkategorij operativnega tveganja osredotočiti na tiste, za katere se šteje, da so pomembne za institucijo. Na podlagi vseh razpoložljivih notranjih in zunanjih virov informacij bi morali uporabiti tudi svojo strokovno presojo, da bi opredelili pomembne podkategorije. Pristojni organi bi morali pri izvajanju ocene vedno biti pozorni na naslednje vidike operativnega tveganja³² :

• a. pravno tveganje;
• b. modelsko tveganje;
• c. tveganje na področju IKT.

6.4.2.1. Pravno tveganje

³² Neizčrpna razčlenitev podkategorij operativnega tveganja je na voljo v Prilogi III.

Pristojni organi bi morali pri ocenjevanju ustreznosti in pomembnosti izpostavljenosti institucije pravnemu tveganju upoštevati naslednje:

• a. zavajajočo prodajo produktov ali storitev;
• b. nasprotja interesov pri poslovanju;
• c. manipulacijo referenčnih obrestnih mer, menjalnih tečajev ali katerih koli drugih finančnih instrumentov ali indeksov;
• d. ovire pri zamenjavi finančnih produktov med njihovo življenjsko dobo in/ali pri zamenjavi ponudnikov finančnih storitev;
• e. samodejne obnovitve produktov ali kazni za izstop in/ali
• f. obravnavo pritožb strank;
• g. kršitev nacionalnih in mednarodnih pravil in predpisov (davčnih predpisov, pravil v zvezi z notranjimi goljufijami ali notranjimi tatvinami, pravil o preprečevanju pranja denarja, pravil
• o preprečevanju financiranja terorizma ter predpisov o gospodarskih sankcijah);
• h. izpostavljenosti pravnim sporom, povezanim z okoljskimi, socialnimi in upravljavskimi dejavniki, zlasti v zvezi z okoljem in zelenim zavajanjem.

Pristojni organi bi morali upoštevati, ali bi lahko bila institucija izpostavljena kakršnim koli stroškom, globam, kaznim ali odškodninam zaradi sodnih postopkov, pa tudi število in vsebino pritožb. Uporabiti bi bilo treba tudi rezultate ocene iz naslova 4, skupaj s temeljitim pregledom politik spodbud, da bi pridobili poglobljen vpogled v vzroke morebitnih kršitev. V zvezi s tem bi morali pristojni organi preučiti tudi, ali ima institucija vzpostavljene ustrezne in učinkovite sisteme in procese za izvajanje omejevalnih ukrepov in ravnanje v skladu z njimi (npr. sankcije), vključno z oceno, ali institucija upošteva smernice organa EBA o notranjih politikah, postopkih in kontrolah³³ .

³³ Smernice organa EBA o notranjih politikah, postopkih in kontrolah za zagotovitev izvajanja omejevalnih ukrepov Unije in nacionalnih omejevalnih ukrepov (EBA/GL/2024/14).

Vendar bi morali pristojni organi uporabiti v prihodnost usmerjen pristop, pri tem pa upoštevati tudi možen vpliv regulativnega razvoja in dejavnosti ustreznih organov, kar zadeva varstvo potrošnikov in zagotavljanje finančnih storitev na splošno.

6.4.2.2. Modelsko tveganje

V okviru operativnega tveganja bi morali pristojni organi oceniti modelsko tveganje s posebnim poudarkom na notranjih neregulativnih modelih (npr. modelih UI, oblikovanju cen produktov, določanju in spremljanju omejitev tveganja, modelih ICAAP/ILAAP in načinih sanacije).

Pri oceni modelskega tveganja bi morali pristojni organi upoštevati:

• a. v kakšnem obsegu in za kakšen namen institucija uporablja modele za sprejemanje odločitev ter kakšen je poslovni pomen takih odločitev. Pristojni organi bi morali opredeliti poslovno področje/dejavnost, za katero institucija obsežno uporablja modele, ter oceniti možni vpliv modelskega tveganja med drugim z analizami občutljivosti in scenarijev ali s stresnimi testi, ter
• b. zanesljivost kontrolnih mehanizmov (v smislu metod, pogostosti, spremljanja itd.), vključno s postopkom odobritve modela, rednimi pregledi, ki se izvajajo, in ravnjo ozaveščenosti institucije o pomanjkljivostih modela ali razvoju trga in poslovanja.

Kadar se modeli uporabljajo za namene odločanja (npr. oblikovanje cen produktov, modeli UI, ocenjevanje finančnih instrumentov, profiliranje strank), bi morali pristojni organi oceniti, ali je vzpostavljen zanesljiv proces notranjega ovrednotenja in/ali postopek pregleda modela za opredelitev in zmanjšanje modelskega tveganja (razen regulativnih modelov).

Pri izvajanju ocene modelskega tveganja bi morali pristojni organi upoštevati oceno drugih tveganj za kapital, likvidnost in financiranje, zlasti v zvezi z ustreznostjo metodologij, uporabljenih za merjenje tveganja, oblikovanje cen ter vrednotenje sredstev in/ali obveznosti. Rezultati takšne ocene bi morali biti podlaga za ugotovitve o operativnem tveganju. 6.4.2.3. Tveganje na področju IKT – Ocena tveganja na področju IKT pri delovanju

Opredelitev pomembnih tveganj na področju IKT

V skladu z uredbo DORA bi morali pristojni organi pregledati, kako institucija identificira, razvrsti in dokumentira vse poslovne funkcije, vloge in odgovornosti, ki jih podpirajo IKT, informacijska sredstva³⁴ in sredstva IKT³⁵ , ki podpirajo te funkcije, ter njihove vloge in odvisnosti v povezavi s tveganjem na področju IKT. Ta pregled bi moral pristojnim organom pomagati, da bi natančno razumeli izpostavljenost institucije tveganju na področju IKT pri delovanju (profil tveganja na področju IKT), opredelili njeno pomembno tveganje na področju IKT pri delovanju in oblikovali mnenje o bonitetnem vplivu tega tveganja. V ta namen bi morali pristojni organi, kadar je to ustrezno in primerno, upoštevati vsaj naslednje:

• a. poročilo o pregledu okvira za obvladovanje tveganj na področju IKT (v skladu s členom 6(5) uredbe DORA);
• b. vire tveganja na področju IKT, zlasti izpostavljenost tveganju, ki ogroža druge finančne subjekte ali pa ga ti povzročajo, ki jih je institucija opredelila v skladu s členom 8(2) uredbe DORA;
• c. sporočene večje incidente v zvezi z IKT (v skladu s členom 19(1) uredbe DORA), vključno s trendom skupnih letnih stroškov in izgub, ki nastanejo zaradi večjih incidentov, povezanih z IKT (v skladu s členom 11(10) uredbe DORA);
• d. rezultate testov, predvidenih v programu za testiranje digitalne operativne odpornosti (v skladu s členom 24 uredbe DORA), vključno s povzetkom ugotovitev penetracijskega testiranja na podlagi analize groženj (TLPT) in s tem povezanimi sanacijskimi načrti (v skladu s členom 26(6) uredbe DORA);
• e. register informacij (v skladu s členom 28(3) uredbe DORA), vključno s stopnjo koncentracije na tretje ponudnike storitev IKT, vključno s ponudniki storitev IKT znotraj skupine, glede na vrsto storitev IKT in/ali sistemov IKT;
• f. priporočila in mnenja glavnih nadzornikov (v skladu s členom 40(3) in členom 42(7) uredbe DORA) ter s tem povezane odgovore, poročila in informacije ključnih tretjih ponudnikov storitev IKT (v skladu s členom 35(1), točka (c), členom 42(1) in členom 48(2) uredbe DORA);
• g. raven kompleksnosti sistemov IKT in rezultate ocene tveganja na področju IKT v zvezi z obstoječimi sistemi IKT (v skladu s členom 8(7) uredbe DORA);
• h. oceno tveganja ob večjih spremembah (v skladu s členom 8(3) uredbe DORA);
• i. stopnjo sprejemanja in vključevanja inovativnih rešitev na področju IKT;
• j. lokacije, in sicer regije ali države, kjer se nahajajo podatkovni centri in občutljiva namenska območja, tudi kadar pogodbene storitve IKT zagotavljajo tretji ponudniki storitev IKT, kar zajema tudi lokacijo obdelave in hrambe podatkov;
• k. vse s tem povezane pomembne pomanjkljivosti ali slabosti, opredeljene v naslovu 5;
• l. samoocene tveganja, povezanega z IKT, in kontrol (če so vključene v informacije o ICAAP);
• m. informacije o upravljanju tveganj na področju IKT, predložene upravljalnemu organu institucije;
• n. ugotovitve notranje in zunanje revizije, povezane z IKT;
• o. okolje zunanjih groženj, vključno z informacijami o grožnjah in ranljivostih.

Pregled sistemov in storitev IKT

³⁴ Člen 3, točka 6, Uredbe (EU) 2022/2554.

³⁵ Člen 3, točka 7, Uredbe (EU) 2022/2554.

Pristojni organi bi morali pregledati ustrezno dokumentacijo, metodologijo in postopke institucije ter si oblikovati mnenje o tem, ali je institucija ustrezno opredelila sisteme in storitve IKT, ki podpirajo kritične ali pomembne funkcije. V ta namen bi morali upoštevati:

• a. sisteme IKT, ki podpirajo kritične ali pomembne funkcije, ter kritična informacijska sredstva in sredstva IKT, ki jih je opredelila institucija (v skladu s členom 8 uredbe DORA);
• b. ključne procese, ki so odvisni od tretjih ponudnikov storitev IKT, vključno z medsebojnimi povezavami s tretjimi ponudniki storitev IKT, ki podpirajo kritične ali pomembne funkcije, ki jih je opredelila institucija (v skladu s členom 8(5) uredbe DORA).

Opredelitev in evidentiranje pomembnih tveganj na področju IKT za sisteme in storitve IKT, ki podpirajo kritične ali pomembne funkcije

216.Pristojni organi bi morali po pregledu odvisnosti institucije od informacijskih sredstev in sredstev IKT, profila tveganj na področju IKT, sistemov IKT ter storitev IKT oblikovati mnenje o pomembnih tveganjih na področju IKT, ki bi lahko imela pomemben bonitetni vpliv na sisteme in storitve IKT institucije, ki podpirajo kritične ali pomembne funkcije, ter pomemben vpliv na njeno sposobnost delovanja v primeru motenj. V ta namen bi morali upoštevati:

• a. finančno izgubo, vključno z morebitnimi odškodninami strankam, pravnimi stroški in stroški sanacije, pogodbenimi odškodninami, stroški ter izgubljenimi prihodki;
• b. možnosti za motnje v poslovanju, ob upoštevanju (med drugim) kritičnosti prizadetih storitev, vključno s transakcijami in poslovanjem institucije (vključno z odvisnostmi od tretjih oseb), števila strank in/ali finančnih nasprotnih strank in/ali podružnic in zaposlenih, ki bi lahko bili prizadeti;
• c. morebitne izgube podatkov;
• d. morebitni vpliv na poslovni ugled;
• e. morebitni regulativni vpliv, vključno z možnostjo javne graje, glob ali celo spremembe dovoljenj;
• f. morebitni strateški vpliv na institucijo;
• g. morebitno geografsko porazdelitev.

Pristojni organi bi morali nato ugotovljena pomembna tveganja na področju IKT razvrstiti v kategorije tveganj na področju IKT, določene v Prilogi III. Od institucij se pričakuje, da bodo namesto uporabe kategorizacije iz Priloge ohranile lastno kategorizacijo. 6.4.3. Ocena okvira za upravljanje in kontrolo operativnega tveganja

Pristojni organi bi morali oceniti okvir in ureditve, ki jih je institucija vzpostavila za upravljanje in kontrolo operativnega tveganja, ob upoštevanju rezultatov analize splošnega okvira za upravljanje tveganj in notranjo kontrolo iz naslova 5, saj bo to vplivalo na izpostavljenost institucije operativnemu tveganju. V zvezi s tveganjem PD/FT bi moral pristojni organ upoštevati oceno, ki jo predloži nadzornik za PPDFT.

Strategija upravljanja operativnega tveganja in nagnjenost k prevzemanju operativnega tveganja

Pristojni organi bi morali oceniti, ali ima institucija vzpostavljeno zanesljivo, jasno oblikovano in dokumentirano strategijo upravljanja operativnega tveganja in nagnjenost k prevzemanju operativnega tveganja, ki jo je odobril upravljalni organ ter v kateri so opisani narava, vrste in ravni operativnega tveganja, ki ga je institucija pripravljena prevzeti. Pri tej oceni bi morali pristojni organi med drugim upoštevati vlogo upravljalnega organa pri določanju, odobritvi, izvajanju in pregledu strategije upravljanja operativnega tveganja in nagnjenosti k prevzemanju operativnega tveganja (vključno z nagnjenostjo k prevzemanju tveganja na področju IKT in strategijo digitalne operativne odpornosti) ter zadostno pokritost in ustreznost strategije glede na naravo in pomembnost profila operativnega tveganja institucije.

Organizacijski okvir in okvir notranjih kontrol

Pristojni organi bi morali oceniti, ali institucija upošteva člen 323 Uredbe (EU) št. 575/2013. V tej oceni bi morali pristojni organi oceniti trdnost in učinkovitost organizacijskega okvira in ureditev upravljanja, ki omogočajo učinkovito upravljanje, merjenje in kontrolo operativnega tveganja, skupaj z zadostnimi kadrovskimi in tehničnimi viri za izvajanje zahtevanih nalog. Upoštevati bi morali, ali so vzpostavljene jasne linije odgovornosti za prepoznavanje, ocenjevanje, zmanjševanje in spremljanje operativnega tveganja ter poročanje o njem in ali se upošteva model treh obrambnih linij.

Pristojni organi bi morali oceniti, ali ima institucija trden okvir kontrol in zanesljive varovalne ukrepe za zmanjšanje svojega operativnega tveganja, vključno z ustreznimi politikami in postopki, ki zajemajo tudi preostalo tveganje, in ali so ti skladni z nagnjenostjo institucije k prevzemanju operativnega tveganja in njeno strategijo upravljanja operativnega tveganja ter ali zajemajo vse ključne dejavnosti in procese. To med drugim vključuje oceno, ali so te politike in postopki jasno oblikovani, objavljeni in se dosledno uporabljajo v celotni instituciji.

Pristojni organi bi morali oceniti tudi funkcionalnost funkcije notranje revizije v smislu ustreznosti, obsega in pogostosti notranjih revizij okvira za upravljanje operativnega tveganja.

Neprekinjeno poslovanje, odzivanje in sanacija

Pristojni organi bi morali oceniti, ali institucija upošteva (i) smernice organa EBA o notranjem upravljanju v zvezi s splošnim upravljanjem neprekinjenega poslovanja in (ii) uredbo DORA v zvezi s politiko neprekinjenega poslovanja na področju IKT ter načrti odzivanja in sanacije na področju IKT. V zvezi s tem bi morali ugotoviti, ali so politika neprekinjenega poslovanja na področju IKT ter načrti odzivanja in sanacije na področju IKT sestavni del splošne politike neprekinjenega poslovanja ter načrta odzivanja in sanacije institucije.

Pristojni organi bi morali oceniti, ali je institucija vzpostavila učinkovito upravljanje neprekinjenega poslovanja s preskušenimi načrti neprekinjenega poslovanja, odzivanja in sanacije, ki zajemajo vsaj njene kritične ali pomembne funkcije, vključno s tistimi, ki so bile oddane v izvajanje tretjim ponudnikom, in ali ti upoštevajo vrsto resnih, vendar verjetnih scenarijev, v katerih bi lahko bila institucija ranljiva. Oceniti bi morali tudi, ali politika neprekinjenega poslovanja institucije omogoča ustrezne ukrepe za odzivanje in sanacijo v primeru kakršnega koli incidenta.

Pristojni organi bi morali ugotoviti, ali upravljanje neprekinjenega poslovanja institucije vključuje:

• a. analizo vplivov na poslovanje;
• b. ustrezne strategije za sanacijo, ki zajemajo ključne notranje in zunanje odvisnosti ter jasno opredeljene prednostne naloge sanacije in ravni odpornosti;
• c. celovite in prožne načrte za obravnavo verjetnih scenarijev motenj, ki se pripravijo na podlagi analizo vplivov na poslovanje ter ob usklajevanju z notranjimi in zunanjimi deležniki;
• d. načrte, ki določajo krizne strategije ter postopke odzivanja in sanacije;
• e. učinkovito preskušanje zasnove in operativne učinkovitosti načrtov;
• f. programe ozaveščanja in usposabljanja o upravljanju neprekinjenega poslovanja;
• g. komunikacijske načrte za obveščanje vodstva in vseh ustreznih deležnikov, dokumentacijo in ukrepe za obvladovanje kriz ter po potrebi funkcijo obvladovanja kriz (v skladu s členom 11(7) uredbe DORA).

Pristojni organi bi morali oceniti, ali načrti neprekinjenega poslovanja, odzivanja in sanacije institucije:

• a. določajo vloge in odgovornosti, vključno z jasnimi smernicami glede morebitnih zamenjav, ter notranji postopek odločanja skupaj z opredelitvijo sprožilcev za aktivacijo;
• b. vključujejo preglede, da se zagotovi skladnost kriznih strategij s trenutnim delovanjem, tveganji in grožnjami, ravnmi odpornosti ter cilji in prednostnimi nalogami na področju sanacije;
• c. dajejo prednost ukrepom za neprekinjeno poslovanje z uporabo pristopa, ki temelji na tveganju;
• d. vključujejo redno preskušanje, da se zagotovi izvedljivost ciljev in rokov za sanacijo, ter
• e. po potrebi vključujejo tudi preskušanje storitev, ki jih zagotavljajo tretji ponudniki storitev.

Pristojni organi bi morali tudi oceniti, ali se rezultati preskusov dokumentirajo in sporočajo upravljalnemu organu. Ocena okvira za upravljanje tveganj na področju IKT

Pristojni organi bi morali oceniti, ali institucija upošteva uredbo DORA in smernice organa EBA

• o notranjem upravljanju v zvezi z notranjim upravljanjem in organizacijo upravljanja tveganj na področju IKT. Oblikovati bi morali mnenje o tem, ali je upravljalni organ institucije na splošno odgovoren za upravljanje tveganj na področju IKT ter ustrezno opredeli, odobri in nadzoruje izvajanje vseh ureditev, povezanih z IKT. Pristojni organi bi morali preučiti, ali imajo člani upravljalnega organa zadostno znanje in spretnosti, da lahko razumejo in ocenijo tveganje na področju IKT in njegov vpliv na delovanje institucije.

Pristojni organi bi morali oceniti, kako so vloge in odgovornosti za vse funkcije, povezane z IKT, ter vzpostavljeni mehanizmi upravljanja vključeni in integrirani v okvir notranje kontrole in upravljanja institucije za upravljanje tveganja na področju IKT. V ta namen bi morali preučiti, ali je institucija odgovornost za upravljanje in nadzor tveganja na področju IKT dejansko dodelila neodvisni kontrolni funkciji, ki ima neposreden dostop in lahko poroča neposredno upravljalnemu organu v okviru njegove nadzorniške funkcije, ter oceniti, ali institucija zagotavlja:

• a. jasno obveščanje, dodelitev in vključevanje vlog in odgovornosti v vseh funkcijah, povezanih z IKT, vključno s poslovnimi funkcijami in procesi, ki jih podpirajo IKT;
• b. zadosten in ustrezen proračun za omogočanje digitalne operativne odpornosti v smislu vseh vrst virov, vključno z ustreznimi programi ozaveščanja, usposabljanjem in veščinami na področju IKT za vse zaposlene (v skladu s členom 5(2), točka (g), uredbe DORA);
• c. ustrezno nadaljnje ukrepanje in odzivanje upravljalnega organa na podlagi kritičnih revizijskih ugotovitev na področju IKT in ugotovitev, o katerih se poroča v skladu s členom 13(5) uredbe DORA.

Pristojni organi bi se morali temeljito seznaniti z okvirom za upravljanje tveganj na področju IKT v instituciji ter oceniti, ali ima institucija vzpostavljene zadostne in ustrezne strategije, politike, postopke, protokole in orodja na področju IKT, vključno z ravnmi tolerance, da lahko v skladu z uredbo DORA učinkovito, uspešno in celovito obravnava pomembna tveganja na področju IKT. V ta namen bi morali po potrebi upoštevati:

• a. ustreznost in učinkovitost politik, procesov in postopkov institucije za upravljanje tveganj na področju IKT³⁶ , kar med drugim zajema upravljanje na področju IKT s strani tretjih oseb, odkrivanje incidentov, povezanih z IKT, in odzivanje nanje, upravljanje dostopa, šifriranje in kriptografijo na področju IKT, varnost delovanja IKT, varnost omrežja, nadzor dostopa ter ali je vse to odobril upravljalni organ in o tem obvestil vse ustrezne deležnike (v skladu s členom 14 uredbe DORA);
• b. ustreznost tolerančne ravni tveganja institucije za tveganje na področju IKT in tolerance učinka za motnje na področju IKT (v skladu s členom 6(8), točka (b), uredbe DORA);
• c. ustreznost in izvajanje strategije digitalne operativne odpornosti institucije, vključno z njeno usklajenostjo s poslovno strategijo;
• d. usklajenost strategije o upravljanju tveganja tretjih oseb na področju IKT, vključno večdobaviteljsko strategijo za IKT, če je na voljo, splošno poslovno strategijo in okvirom za upravljanje tveganja na področju IKT;
• e. preostalo tveganje, ki izhaja iz opredeljenih tveganj institucije v zvezi s pogodbenimi dogovori o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije;
• f. preostalo tveganje, ki izhaja iz opredeljenih tveganj institucije v zvezi s projekti na področju IKT, ki vplivajo na kritične ali pomembne funkcije in o katerih se je poročalo upravljalnemu organu, pa tudi v zvezi z nakupom, razvojem in vzdrževanjem sistemov IKT ter spremembami na področju IKT;
• g. zanesljivost in celovitost programa za testiranje digitalne operativne odpornosti;
• h. trend in razsežnost večjih incidentov, povezanih z IKT, ter ugotovitve, o katerih se je poročalo upravljalnemu organu v skladu s členom 17(3), točka (e), in členom 13(5) uredbe DORA;
• i. kontrole tveganja na področju IKT, ki posebej zadevajo opredeljeno pomembno tveganje na področju IKT;
• j. pravočasno poročanje upravljalnemu organu in višjemu vodstvu o vidikih upravljanja tveganja na področju IKT;
• k. obseg in ugotovitve notranje revizije.

³⁶ V skladu z DORA mora to vključevati vsaj politiko informacijske varnosti, politike varnostnega kopiranja, politiko upravljanja sredstev IKT, politiko šifriranja in kriptografskih kontrol, politiko upravljanja kriptografskih ključev, politiko vodenja projektov na področju IKT, politiko nabave, razvoja in vzdrževanja sistemov IKT, kadrovsko politiko, politiko fizične in okoljske varnosti, politiko obvladovanja incidentov, povezanih z IKT, ter politiko o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije in jih zagotavljajo tretji ponudniki storitev IKT.

Pri ocenjevanju upravljanja tveganja na področju IKT bi morali pristojni organi posebno pozornost nameniti upravljanju tveganja tretjih oseb na področju IKT, vključno z ravnjo koncentracije institucije na tretje ponudnike storitev IKT. V ta namen bi morali zagotoviti tesno sodelovanje z glavnimi nadzorniki ključnih tretjih ponudnikov storitev IKT v skladu s Skupnimi smernicami evropskih nadzornih organov³⁷ , če institucija, ki se ocenjuje, prejema storitve IKT od ključnega tretjega ponudnika storitev IKT. Pristojni organi bi morali tudi pregledati učinkovitost namenske vloge, ki jo je vzpostavila institucija, ali imenovanega člana višjega vodstva za spremljanje dogovorov s tretjimi osebami na področju IKT.

³⁷ Skupne smernice evropskih nadzornih organov o sodelovanju pri nadzoru in izmenjavi informacij med evropskimi nadzornimi organi in pristojnimi organi v skladu z Uredbo (EU) 2022/2554 (JC/2024/36).

Pristojni organi bi morali preučiti, ali je funkcija notranje revizije učinkovita ter ima zadostno znanje, spretnosti in izkušnje za revidiranje okvira institucije za upravljanje tveganja na področju IKT, in sicer tako, da preveri, ali:

• a. se revizija okvira za upravljanje tveganja na področju IKT izvaja z zahtevano kakovostjo, poudarkom in pogostostjo ter sorazmerno s profilom tveganja institucije na področju IKT;
• b. revizijski načrt vključuje revizije pomembnih tveganj na področju IKT, ki jih je opredelila institucija, vključno z neodvisnimi pregledi načrtov odzivanja in sanacije na področju IKT;
• c. se kritične ugotovitve revizij IKT pravočasno preverijo in rešijo, med drugim s poročanjem upravljalnemu organu;
• d. ugotovitve revizij IKT, vključno z dogovorjenimi ukrepi, uradno nadalje obravnava višje vodstvo in/ali revizijski odbor, ki poleg tega redno pregleduje poročila o napredku.

6.4.4. Ocena tveganja izgube poslovnega ugleda

Pristojni organi bi morali oceniti tveganje izgube poslovnega ugleda, ki mu je institucija izpostavljena, pri tem pa upoštevati spoznanja iz naslova 4 do naslova 6.2. Takšna ocena bi morala biti osredotočena tudi na splošni okvir tveganja izgube poslovnega ugleda, s čimer bi se zagotovila sposobnost institucije, da učinkovito obvladuje morebitne dogodke v zvezi s poslovnim ugledom. Pri tej oceni bi se morali pristojni organi izogniti dvojnemu upoštevanju vidikov, ki so že bili obravnavani v okviru ocene pravnega tveganja (oddelek 6.4.2.1).

Pristojni organi bi morali pri ocenjevanju pomembnosti tveganja izgube poslovnega ugleda upoštevati velikost institucije ter naravo, obseg in kompleksnost njenih storitev, dejavnosti in poslovanja (npr. lastniške in dolžniške instrumente, ki kotirajo na borzi, ali udeležbo na medbančnih trgih).

Pristojni organi bi morali upoštevati notranje in zunanje dejavnike ali dogodke, ki bi lahko povzročili pomisleke glede poslovnega ugleda, pri čemer so izključeni dogodki, ki vodijo v sodne postopke. Za institucije kategorij 1 in 2 bi morali pristojni organi pri oceni upoštevati vse naslednje kazalnike:

• a. negativno poročanje v medijih in družbenih medijih ter pobude združenj potrošnikov, zaradi katerih bi se lahko poslabšala javno mnenje o instituciji in njen poslovni ugled;
• b. število pritožb strank in spremembe teh pritožb ali nenadna izguba strank ali vlagateljev;
• c. negativne dogodke v povezavi s primerljivimi subjekti institucije, ki bi jih javnost lahko povezovala s celotnim finančnim sektorjem ali skupino institucij;
• d. ugled posameznikov, ki so vključeni v upravljanje institucije ali imajo v njej kvalificirane deleže;
• e. dejavnost ali poslovanje v sektorjih ali jurisdikcijah, ki so zelo izpostavljene PD/FT, ali z osebami, ki pomenijo visoko tveganje z vidika PD/FT;
• f. dejavnost ali poslovanje v sektorjih ali jurisdikcijah in/ali s poslovnimi partnerji, ki so zelo izpostavljeni pomembnim težavam ali javnim polemikam v zvezi z okoljskimi, socialnimi in upravljavskimi dejavniki, med drugim zlasti z okoljskimi dejavniki;
• g. vpliv incidentov, povezanih z IKT, kot jih je institucija zabeležila v skladu z Delegirano uredbo Komisije (EU) 2024/1772³⁸ , na njen poslovni ugled;
• h. druge „tržne“ kazalnike, če so na voljo (npr. poslabšanje bonitetne ocene ali spremembe cene delnic med letom).

³⁸ Delegirana uredba Komisije (EU) 2024/1772 z dne 13. marca 2024 o dopolnitvi Uredbe (EU) 2022/2554 Evropskega parlamenta in Sveta v zvezi z regulativnimi tehničnimi standardi o določitvi meril za razvrščanje incidentov, povezanih z IKT, in kibernetskih groženj, ter pragov pomembnosti in podrobnosti poročil o večjih incidentih, C/2024/1519 (UL L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

Pristojni organi bi morali oceniti pomembnost izpostavljenosti institucije tveganju izgube poslovnega ugleda in njeno medsebojno povezanost z drugimi tveganji, pri tem pa uporabiti ustrezne ocene tveganj (tudi tiste, ki jih pripravijo drugi nadzorni organi), da bi opredelili morebitne sekundarne učinke v kateri koli smeri.

V okviru analize operativnega tveganja bi morali pristojni organi upoštevati pomembnost in pomen izpostavljenosti institucije tveganju PD/FT z bonitetnega vidika v okviru operativnega tveganja. V zvezi s tem bi morali pristojni organi uporabiti ustrezne vhodne podatke, ki jih prejmejo od nadzornikov za PPDFT, da dopolnijo svoje ugotovitve v okviru stalnega nadzora in ocenijo, ali ti podatki vzbujajo bonitetne pomisleke v zvezi s tveganjem PD/FT.

Pristojni organi bi morali upoštevati, da je lahko tveganju PD/FT izpostavljena vsaka institucija, ne glede na njeno velikost ali finančno trdnost. Zato bi bilo treba zadostno pozornost nameniti tudi institucijam, za katere se šteje, da so finančno trdne in imajo morda dober poslovni ugled, saj se lahko te institucije poskuša izrecno izkoristiti za namene PD/FT. Pozornost bi bilo treba nameniti tudi institucijam, ki so zelo uspešne pri pridobivanju novih strank/povečevanju tržnega deleža – zlasti z uporabo netradicionalnih distribucijskih kanalov –, saj bi to lahko bilo povezano s šibkimi kontrolami skrbnega preverjanja strank v fazi vstopanja.

Pristojni organi bi morali z nadzorniki za PPDFT deliti ustrezne informacije o ugotovljenih vprašanjih operativnega tveganja, ki lahko povzročijo tveganja PD/FT, tveganja neizvajanja ciljno usmerjenih finančnih sankcij in izogibanja tem sankcijam ter pomisleke, kot so pomanjkljivosti v sistemu IKT ali okviru notranjih kontrol institucij.

Pristojni organi bi morali oceniti, ali je institucija uvedla ustrezne ureditve, strategije, postopke in mehanizme za upravljanje tveganja izgube poslovnega ugleda. Pristojni organi bi morali zlasti upoštevati, ali:

• a. je institucija uvedla formalizirane politike in postopke za opredelitev, upravljanje in spremljanje tega tveganja, vključno z zanesljivim kodeksom ravnanja, ter ali so te politike in postopki sorazmerni z njeno velikostjo in pomembnostjo v sistemu;
• b. institucija to tveganje obravnava preventivno, med drugim z vzpostavitvijo ustreznih metrik in orodij za spremljanje, obravnavanjem morebitnih težav s poslovnim ugledom v kriznih načrtih, ustreznim usposabljanjem in ozaveščanjem ter uporabo pridobljenih spoznanj;
• c. institucija izvaja stresne teste ali analizo scenarijev za oceno morebitnih sekundarnih učinkov tveganja izgube poslovnega ugleda (npr. stroškov likvidnosti in financiranja, poslov listinjenja, dostop do storitve korespondenčnega bančništva);
• d. institucija ukrepa za zaščito svoje blagovne znamke z orodji za spremljanje medijev/družbenih medijev, protokoli za obravnavanje dezinformacij in negativne publicitete ter s hitrimi komunikacijskimi kampanjami;
• e. institucija upošteva morebitni vpliv svoje strategije in poslovnih načrtov ter splošneje ravnanja na svoj poslovni ugled.

6.4.5. Operativna odpornost

Pristojni organi bi morali oblikovati celovito mnenje o zmožnosti institucije, da v primeru motenj še naprej zagotavlja kritične ali pomembne funkcije (stopnja operativne odpornosti), kar je rezultat učinkovitega upravljanja operativnega tveganja, ob upoštevanju velikosti institucije, njenega poslovnega modela in splošnega profila tveganja. V ta namen bi morali pristojni organi uporabiti svoje obstoječe ocene o upravljanju operativnega tveganja, neprekinjenem poslovanju, zmogljivostih za upravljanje sprememb, storitvah tretjih oseb ter IKT, na katero se institucija opira, da bi celovito ocenili, ali ti elementi skupaj prispevajo k operativni odpornosti institucije. Preučiti bi morali tudi, ali institucija dosledno in usklajeno izvaja svoj okvir za upravljanje tveganja, načrte neprekinjenega poslovanja, upravljanje tretjih oseb (že ocenjeno v okviru uredbe DORA in smernic organa EBA, izdanih v skladu s členom 74(3) Direktive 2013/36/EU o ureditvah, procesih in mehanizmih notranjega upravljanja) ter okvir za sanacijo in reševanje. Poleg tega bi morali pristojni organi preučiti, ali je institucija v zadostni meri evidentirala notranje in zunanje medsebojne povezave in soodvisnosti, ki jih potrebuje za izvajanje svojih kritičnih ali pomembnih funkcij.

Pristojni organi bi morali upoštevati pozornost, ki jo upravljalni organ in višje vodstvo namenjata zmožnosti institucije, da se odzove na motnje in po njih okreva, ob predpostavki, da bo prišlo do napak. V ta namen bi morali preučiti, ali:

• a. upravljalni organ aktivno prispeva k splošnemu razumevanju pristopa k operativni odpornosti na ravni celotne institucije in k spremljanju učinkovitosti tega pristopa;
• b. se pravočasno poroča o trenutni operativni odpornosti institucije za podporo nadzoru, ki ga izvaja upravljalni organ, zlasti kadar bi lahko ugotovljene večje pomanjkljivosti vplivale na izvajanje kritičnih ali pomembnih funkcij institucije.

6.4.6. Povzetek ugotovitev, izračuna rezultatov in nadzorniških ukrepov

Pristojni organi bi morali na podlagi zgornje ocene oblikovati mnenje o operativnem tveganju institucije. To mnenje bi moralo biti izraženo v povzetku ugotovitev, ki mu je priložen rezultat tveganja na podlagi meril iz tabele 10. Če se pristojni organ na podlagi pomembnosti nekaterih podkategorij tveganja odloči, da bo te podkategorije ocenil in zanje izračunal rezultat ločeno, je treba smiselno uporabiti smernice iz te tabele, če je to mogoče.

Tabela 10. Nadzorniška merila za izračun rezultata operativnega tveganja Rezultat Nadzorniško Merila glede ustreznega

V spodnji tabeli je naveden neizčrpen seznam nadzorniških ukrepov, ki jih lahko pristojni organi sprejmejo v primeru ugotovljenih pomanjkljivosti v okviru upravljanja operativnega tveganja in operativne odpornosti institucije (ob upoštevanju tesne povezave med operativno odpornostjo in upravljanjem operativnega tveganja). Pristojni organi bi morali o vrsti ukrepa odločati na podlagi njegove učinkovitosti pri odpravljanju konkretne ugotovljene pomanjkljivosti. Pristojni organi lahko uporabijo dodatne nadzorniške ukrepe (vključno s kvantitativnimi ukrepi v skladu s členom 104(1), točka (a), Direktive 2013/36/EU) ali kombinacijo teh ukrepov z ukrepi, navedenimi v spodnji tabeli, če menijo, da so primernejši za odpravo ugotovljenih pomanjkljivosti. Pri kršitvah uredbe DORA bi morali pristojni organi razmisliti o veljavnih popravnih ukrepih in ukrepih za odpravo pomanjkljivosti iz člena 50 uredbe DORA.

Tabela 11. Možen in neizčrpen seznam nadzorniških ukrepov, ki izhajajo iz ocene operativnega tveganja in operativne odpornosti Možni nadzorniški ukrepi pristojnih organov v skladu s členom 104(1), točke (b), (d), (e), (f), (j), (l), (m) in (n), Direktive 2013/36/EU ter členom 50 Uredbe (EU) 2022/2554 – Pristojni organi lahko od institucije zahtevajo, da: A. dejavneje vključi upravljalni organ ali njegove odbore v odločitve glede upravljanja operativnega tveganja; B. izboljša sisteme za merjenje operativnega tveganja; C. okrepi kontrole nad operativnimi procesi, vključno z opredelitvijo, spremljanjem, odzivanjem in sanacijo; D. izboljša okvir operativnega upravljanja; E. izboljša poročanje o operativnem tveganju upravljalnemu organu in višjemu vodstvu; F. pripravi in izvaja načrte popravnih ukrepov za odpravo pomanjkljivosti; G. omeji nekatere dogovore s tretjimi osebami, zlasti v zvezi s kritičnimi ali pomembnimi funkcijami; H. izboljša stresno testiranje in analizo scenarijev operativnega tveganja; I. uvede strožje operativne ukrepe; J. izboljša načrte neprekinjenega poslovanja, odzivanja in sanacije; M. izboljša upravljanje operativnega tveganja v zvezi z okoljskimi, socialnimi in upravljavskimi tveganji, zlasti okoljskimi tveganji, po možnosti na podlagi enega ali več ukrepov, navedenih zgoraj.