5.6. Risk management framework

Vid bedömningen av institutets ramverk för riskhantering bör de behöriga myndigheterna bedöma institutets efterlevnad av EBA:s riktlinjer för intern styrning, DORA-förordningen och andra EBA-riktlinjer som utfärdats i enlighet med artikel 74.3 i direktiv 2013/36/EU om interna styrformer, processer och metoder. I detta sammanhang bör de behöriga myndigheterna bland annat överväga om:

• a. institutet har inrättat ett lämpligt ramverk för riskhantering och riskhanteringsprocesser som omfattar en lämplig och genomförd riskstrategi, riskaptit, inbegripet riktlinjer för hantering av tredjepartsrisker, ramverk för ICAAP och ILAAP liksom förmåga att genomföra, samt resultat av, stresstester,
• b. i tillämpliga fall omfattar det koncernövergripande ramverket för riskhantering alla väsentliga risker oavsett om risken härrör från enheter som inte är föremål för konsolidering och ger en heltäckande bild av alla risker som institutet är eller kan bli exponerat för,
• c. ledningsorganet har det yttersta ansvaret för riskstrategin, riskaptiten och ramverket för riskhantering och utövar lämplig ledning och tillsyn,
• d. institutet, och i tillämpliga fall det konsoliderande institutet, har dokumenterat och genomfört lämplig riskstrategi och riskaptit, som omfattar alla institutets väsentliga risker, innehåller risklimiter och risktoleranser och återspeglar institutets ekonomiska resurser,
• e. ramverket för riskhantering fastställer lämpliga förfaranden för identifiering, mätning, begränsning och övervakning av risker och i vilken utsträckning den är integrerad i, och hur den påverkar, institutets övergripande strategi.
• f. beslutsprocesserna är tydliga, transparenta och tillräckligt dokumenterade, tar hänsyn till lämpliga risköverväganden och huruvida policyerna och ändringarna av policyerna kommuniceras korrekt och i rätt tid,
• g. det finns lämpliga och konsekventa kopplingar mellan affärsstrategi, riskstrategi, strategi för digital operativ motståndskraft, riskaptit och ramverket för riskhantering samt kapital- och likviditetsförvaltningsramarna, liksom institutets plan för att hantera miljömässiga, sociala och styrningsrelaterade risker i enlighet med artikel 76.2 i direktiv 2013/36/EU.

De behöriga myndigheterna bör bedöma om institutet har en väldokumenterad policy för godkännande av nya produkter, godkänd av ledningsorganet, som behandlar utvecklingen av nya marknader, produkter och tjänster och betydande förändringar av befintliga sådana, inklusive exceptionella transaktioner. De behöriga myndigheterna bör också överväga om riskhanterings- och efterlevnadsfunktionerna på lämpligt sätt är involverade i bedömningen och godkännandet av nya produkter eller betydande ändringar av befintliga produkter, med godkännanden kopplade till de respektive kontrollernas lämplighet.

Ramverk för ICAAP och ILAAP

Vid bedömningen av institutets ramverk för ICAAP och ILAAP bör de behöriga myndigheterna bedöma institutets efterlevnad av EBA:s riktlinjer för information om ICAAP och ILAAP²² . Bedömningen av institutets ramar för ICAAP och ILAAP bör omfatta en regelbunden översyn av ICAAP och ILAAP och fastställa deras lämplighet, effektivitet och fullständighet. I detta avseende bör de behöriga myndigheterna:

• a. bedöma hur den interna processen för bedömning av ICAAP och ILAAP är integrerade i institutets övergripande ramverk för riskhantering och strategisk styrning, kapital- och likviditetsplanering, samt i vilket utsträckning de är framåtblickande,
• b. överväga om ICAAP och ILAAP är lämpliga för att bedöma och upprätthålla en tillräcklig nivå av internt kapital och likviditet för att täcka institutets risker och fatta lämpliga affärsbeslut (t.ex. när det gäller att fördela kapital enligt affärsplanen), även under stressade förhållanden,
• c. bedöma om ICAAP och ILAAP är integrerade i besluts- och styrningsprocesserna på alla nivåer i institutet (t.ex. fastställande av limiter och resultatmätning),
• d. kontrollera om ramverken för ICAAP och ILAAP regelbundet övervakas av ledningsorganet samt att de godkänner dessa ramverk och resultaten av dem,
• e. bedöma om ICAAP och ILAAP genomförs konsekvent och proportionerligt i alla institutets affärsområden och rättsliga enheter och omfattar alla väsentliga risker som institutet är eller kan bli exponerat för,
• f. bedöma efterlevnaden av relaterade rättsliga och tillsynsmässiga krav och även överväga om institutets interna processer för bedömning av kapitalbehov identifierar framväxande risker och/eller risker med låg sannolikhet men hög konsekvens, inbegripet IKT-risker, miljörisker och geopolitisk osäkerhet,
• g. bedöma om eventuella avvikelser från institutets ICAAP- eller ILAAP-standard för en eller flera av dess rättsliga enheter eller affärsområden är motiverade.

²² Se Riktlinjer för information om IKU och ILU (tidigare benämningar för ICAAP och ILAAP) som samlas in inom ramen för ÖUP (EBA/GL/2016/10).

Dessa bedömningar bör bidra till fastställandet av P2R och till bedömningen av kapitaltäckningen i enlighet med avdelning 7, samt till bedömningen av likviditets- och finansieringstillräcklighet i enlighet med avdelning 8.

Bedömning av institutets stresstester

Vid bedömningen av institutets stresstester bör de behöriga myndigheterna bedöma institutets efterlevnad av EBA:s riktlinjer för stresstestning²³ och EBA:s riktlinjer för miljöscenarioanalys för integrering av miljörisker. Denna bedömning omfattar en översyn av institutets program för stresstestning, med beaktande av storleken och den interna organisationen samt arten, omfattningen och komplexiteten hos institutets verksamhet.

²³ EBA:s riktlinjer för stresstestning (EBA/GL/2018/04).

De behöriga myndigheterna bör göra en kvalitativ bedömning av institutets stresstestprogram samt en kvantitativ bedömning av resultaten av stresstester. De behöriga myndigheterna bör beakta resultaten av kvalitativa och kvantitativa bedömningar tillsammans med resultaten av stresstest inom ramen för tillsynen (se avdelning 11) för att bedöma ett instituts kapital- och likviditetstäckning och fastställa lämplig tillsyn av de brister som identifieras. Om det i översynen av stresstesterna identifieras brister i institutets styrning och institutomfattande kontroller bör dessa beaktas av de behöriga myndigheterna vid bedömningen av dessa områden. Dessutom kan resultaten av ett instituts stresstester användas för att bedöma institutets kapitalplanering och för att kvantifiera likviditetskraven för bedömningen av likviditetstäckning.

De behöriga myndigheterna bör bedöma i vilken utsträckning stresstester ingår i institutets riskhanteringsram samt hur stresstester beaktas i processerna för att fastställa institutets riskaptit och risklimiter. Dessutom bör de behöriga myndigheterna bedöma institutets verkställande lednings och ledningsorganets deltagande i stresstestprogrammet, inbegripet relaterad intern rapportering, och graden av integration av stresstester och resultatet av dem i beslutsprocesserna.

Vid bedömningen av stresstestprogrammet, resultaten av stresstester och föreslagna förvaltningsåtgärder bör de behöriga myndigheterna beakta både de idiosynkratiska och systemövergripande perspektiven. De behöriga myndigheterna bör överväga möjligheten att genomföra förvaltningsåtgärder i stressituationer samt huruvida tidslinjerna för genomförandet av åtgärderna är realistiska och ta hänsyn till institutets särdrag. Vid granskningen av gränsöverskridande koncerners stresstestprogram bör de behöriga myndigheterna beakta potentiella hinder, som kan uppstå under stressade förhållanden, för överföring av kapital och likviditet inom koncerner och hur eventuella arrangemang för koncerninternt finansiellt stöd fungerar.

De behöriga myndigheterna bör bedöma resultaten av stresstester²⁴ och om institutet vid alla tidpunkter kan upprätthålla den tillämpliga totala ÖUP-kapitalkravet i ett negativt scenario, och om det har identifierat ett antal åtgärder för att hantera eventuella överträdelser av den totala ÖUP-kapitalkravet. De behöriga myndigheterna bör också beakta effekterna av stresstester på institutets bruttosoliditetsgrad, liksom dess kvalificerade skulder som innehas med avseende på minimikrav för kvalificerade skulder enligt vad som avses i direktiv 2014/59/EU.

²⁴ Vid tillämpningen av denna punkt omfattar stresstester inte omvända stresstester.

Vid bedömningen av stresstestresultaten bör de behöriga myndigheterna också beakta alla kända framtida lagändringar som påverkar institutet inom ramen för och tidshorisonten för stresstestet.