7.4. Avstämning med kapitalbuffertar och eventuella makrotillsynskrav

När de behöriga myndigheterna bedömer ramen för hantering av operativ risk bör de bland annat utvärdera institutets efterlevnad av de rättsakter som offentliggjorts separat på EBA:s webbplats i enlighet med punkt 12.

De behöriga myndigheterna bör utvärdera den operativa risken på alla affärsområden och för institutets hela verksamhet, med hänsyn till resultat av bedömningen av intern styrning och institutomfattande kontroller enligt avdelning 5. När de behöriga myndigheterna gör denna bedömning bör de fastställa hur den operativa risken kan materialiseras, även med beaktande av institutets förlustdata och potentiella effekter av andra relaterade risker (t.ex. angränsande kreditrelaterade och marknadsrelaterade operativa risker).

De behöriga myndigheterna bör bedöma hur väsentlig den operativa risk är som härrör från tredjepartsleverantörer av tjänster, inbegripet koncentration (på enhets- och i förekommande fall på koncernnivå) av en eller flera tjänster som tillhandahålls av en enda tredjepartsleverantör (direkt eller indirekt genom underleverantörskedjor) eller ett begränsat antal tredjepartsleverantörer som stöder institutets kritiska eller viktiga funktioner, och om dessa kan påverka institutets operativa motståndskraft, resultat och riskhantering. När de behöriga myndigheterna gör denna bedömning bör de ta hänsyn till i vilken utsträckning samma tredjepartsleverantörer av tjänster används av andra institut, om de har tillgång till sådan information.

Vid bedömningen av operativ risk bör de behöriga myndigheterna bedöma IKT-risken, i enlighet med DORA-förordningen, och dess potentiella inverkan på institutets kritiska eller viktiga funktioner, inbegripet eventuella finansiella, anseendemässiga, regleringsmässiga och strategiska konsekvenser för institutet.

De behöriga myndigheterna bör bedöma om institutet har en lämplig strategi för operativ motståndskraft för att kunna stå emot, anpassa sig till och återhämta sig från störningar när de inträffar och om detta har anpassats på ett lämpligt och konsekvent sätt till det befintliga ramverket för riskhantering, kontinuitetsplaner och avtal med tredje part.

När de behöriga myndigheterna bedömer operativa risker bör de i tillämpliga fall bedöma om institutets policyer och förfaranden på ett lämpligt sätt upptäcker, utvärderar och hanterar de operativa risker som följer av verksamheter med kryptotillgångar och den teknik som stöder dem.

De behöriga myndigheterna bör bedöma anseenderisk tillsammans med operativ risk, eftersom den är inneboende kopplad till operativa riskhändelser. Resultatet av bedömningen av anseenderisk bör dock inte återspeglas i bedömningen av den operativa risken, utan bör i förekommande fall betraktas som en del av affärsmodellsanalysen och/eller likviditetsriskbedömningen, eftersom dess huvudsakliga effekter kan leda till försämrat förtroende för institutet hos investerare, insättare eller aktörer på interbankmarknaden.

De behöriga myndigheterna bör bedöma de miljömässiga, sociala och styrningsrelaterade riskernas inverkan på de inneboende operativa riskerna och anseenderiskerna samt lämpligheten hos de operativa riskerna och kontrollerna gällande anseenderisker som är relaterade till miljömässiga, sociala och styrningsrelaterade risker och prioritera fysiska risker och omställningsrisker på miljöområdet. De behöriga myndigheterna bör i synnerhet ta hänsyn till miljörisker och grönmålningsrisker när de bedömer rättsliga risker och anseenderisker. 6.4.2. Bedömning av inneboende operativ risk

De behöriga myndigheterna bör skaffa sig grundlig förståelse för institutets inneboende exponeringar mot operativ risk och utvärdera vikten av denna risks betydande inverkan på institutets stabilitet samt inverkan på dess förmåga att tillhandahålla kritiska eller viktiga funktioner vid störningar.

Till stöd för denna bedömning bör de behöriga myndigheterna beakta kapitalbaskravet för operativ risk jämfört med det totala kapitalbaskravet, och i förekommande fall det interna kapital som institutet anslagit för operativ risk jämfört med det totala interna kapitalet. Dessutom bör de behöriga myndigheterna utnyttja den kunskap som erhållits från bedömningen av andra ÖUP-delar (särskilt från avdelning 4 och avdelning 5), från jämförelsen med jämförelsegrupper, från all annan tillsynsverksamhet, inbegripet synpunkter från tillsynsmyndigheter för bekämpning av penningtvätt och finansiering av terrorism och marknadstillsynsmyndigheter och från andra relevanta informationskällor.

De behöriga myndigheterna bör som ett minimum beakta viktiga faktorer avseende operativ risk, potentiella störande scenarier och, i förekommande fall, analysera dem per affärsområde, rättslig enhet, geografi och händelsekategori (beroende på tillgången till data) och jämföra institutets ställning med likvärdiga institut. Dessa faktorer bör åtminstone omfatta institutets huvudsakliga strategi och aptit för operativ risk, affärsförutsättningar (inklusive geografisk närvaro, IKT-verksamhet och distributionskanaler), nya betydande företagshändelser (såsom sammanslagningar, förvärv, avyttringar och omstruktureringar), IKT-system och andra IKT-relaterade aspekter i enlighet med avsnitt 6.4.2.3, processförändringar, arrangemang med tredje part, frågor rörande regelefterlevnad, affärsplaner och incitamentssystem samt andra viktiga drivkrafter för operativ risk.

Art och betydelse av exponeringar mot operativ risk

De behöriga myndigheterna bör fastställa arten av exponeringar mot operativ risk genom att analysera exponeringar mot de huvudsakliga källorna till och drivkrafterna för operativ risk för att bilda en framåtblickande syn på potentiell operativ risk. För denna analys:

• a. Kan de behöriga myndigheterna beakta verksamhetsmodellen, affärsområden, produkter, processer och geografiska områden som är relevanta för institutet, bedömning av beroendeförhållanden och exponering för operativa risker gentemot primära riskfaktorer (t.ex. processer, personer, system och externa faktorer) och samspelet mellan riskfaktorer, samt utnyttja institutets självbedömning av risk, jämförelseanalys, data och offentliga databaser och/eller konsortiedatabaser, om sådana finns tillgängliga och är relevanta.
• b. Bör de behöriga myndigheterna beakta både frekvensen och allvarlighetsgraden hos de händelser som institutet är exponerat för och skilja mellan de händelser som kan orsaka stora förluster och de händelser som kan inträffa med hög frekvens. Baserat på denna åtskillnad bör de behöriga myndigheterna bedöma trenderna för förluster av operativa risker och deras koncentration.
• c. Bör de behöriga myndigheterna överväga scenarioanalyser och planerad affärsverksamhet och analyser av potentiell operativ risk som utförs av institutet, om sådana finns, med beaktande av eventuella korrigerande åtgärder och begränsningsåtgärder som redan har vidtagits och som är effektiva.

Efter identifiering och analys av de viktigaste källorna till och drivkrafterna för operativ risk bör de behöriga myndigheterna fokusera på de som har den mest väsentliga potentiella inverkan på institutet.

En primär informationskälla som de behöriga myndigheterna bör beakta är institutets förlust- och händelsedata, eftersom den kan ge värdefulla insikter om utvecklingen av institutets operativa riskprofil. De behöriga myndigheterna bör regelbundet bedöma omfattningen, korrektheten och kvaliteten på uppgifterna om förluster. En annan informationskälla bör vara institutets register över alla IKT-relaterade incidenter och betydande cyberhot (enligt artikel 17.2 i DORA-förordningen) och de identifierade källorna till IKT-risk (enligt artikel 8.2 i DORA-förordningen).

Bedömning av underkategorier för operativ risk

De behöriga myndigheterna bör inrikta bedömningen av underkategorierna för operativ risk på de kategorier som anses vara väsentliga för institutet. De behöriga myndigheterna bör också använda sin expertkunskap för att identifiera betydande underkategorier, baserat på alla tillgängliga interna och externa informationskällor. När de behöriga myndigheterna gör bedömningen bör de alltid ta hänsyn till följande aspekter av operativ risk³² :

• a. legal risk,
• b. modellrisk,
• c. IKT-risk,

6.4.2.1. Legal risk

³² Se bilaga III för en icke uttömmande uppdelning av underkategorier av operativ risk.

De behöriga myndigheterna bör beakta följande när de bedömer relevansen och betydelsen av institutets exponeringar mot legal risk:

• a. vilseledande försäljning av produkter eller tjänster,
• b. intressekonflikter i verksamheten,
• c. manipulering av referensräntor, valutakurser eller andra finansiella instrument eller index,
• d. hinder för att byta finansiella produkter under deras löptid och/eller byta leverantör av finansiella tjänster,
• e. automatisk förlängning av produkter eller straffavgifter vid utträde,
• f. behandling av kundklagomål,
• g. överträdelser av nationella och internationella regler och bestämmelser (skatteregler, interna bedrägerier eller interna stölder, regler mot penningtvätt och finanaisering av terrorism och regler om ekonomiska sanktioner),
• h. exponering för rättstvister avseende miljömässiga, sociala och styrningsrelaterade frågor, särskilt miljörelaterade och grönmålningsrelaterade.

De behöriga myndigheterna bör överväga om institutet kan ådra sig några kostnader, böter, sanktioner eller skadestånd från rättsliga förfaranden samt antalet klagomål och deras innehåll. Resultaten av bedömningen enligt avdelning 4 bör också utnyttjas, tillsammans med en granskning av ersättningspolicyerna, för att få insikter på hög nivå om källor till potentiella brister i efterlevnaden. I detta sammanhang bör de behöriga myndigheterna också överväga om institutet har infört lämpliga och effektiva system och processer för att genomföra och följa restriktiva åtgärder (t.ex. sanktioner), inbegripet en bedömning av institutets efterlevnad av EBA:s riktlinjer för interna policyer, förfaranden och kontroller³³ .

³³ EBA:s riktlinjer för interna strategier, förfaranden och kontroller för att säkerställa genomförandet av unionens restriktiva åtgärder och nationella restriktiva åtgärder (EBA/GL/2024/14).

De behöriga myndigheterna bör dock använda en långsiktig metod även med tanke på utvecklingen på regleringsområdet och berörda myndigheters verksamhet när det gäller konsumentskydd och tillhandahållande av finansiella tjänster i allmänhet.

6.4.2.2. Modellrisk

Inom ramen för operativ risk bör de behöriga myndigheterna bedöma modellrisk, med särskild hänsyn till interna modeller som inte omfattas av reglering (t.ex. AI-modeller, produktprissättning, fastställande och övervakning av risklimiter, ICAAP/ILAAP-modeller, återhämtningsalternativ).

För bedömningen av modellrisk bör de behöriga myndigheterna beakta följande:

• a. I vilken utsträckning och för vilka ändamål institutet använder modeller för att fatta beslut och den affärsmässiga betydelsen av sådana beslut. De behöriga myndigheterna bör fastställa för vilken verksamhet institutet i väsentlig utsträckning använder modeller och bedöma modellriskens potentiella inverkan, bland annat genom känslighets- och scenarioanalyser eller stresstester.
• b. Kontrollmekanismernas sundhet (i fråga om metoder, frekvens, uppföljning osv.), inklusive en process för godkännande av modeller, regelbundna granskningar som utförs och institutets medvetenhet om modellernas brister och marknads- och affärsutveckling.

När modeller används för beslutsfattande (t.ex. produktprissättning, AI-modeller, utvärdering av finansiella instrument, kundprofilering) bör de behöriga myndigheterna bedöma om det finns en sund intern valideringsprocess och/eller process för modellöversyn för att identifiera och minska modellrisker (utöver modeller som omfattas av reglering).

När de behöriga myndigheterna genomför modellriskbedömningen bör de beakta bedömningen av andra kapitalrisker och risker för likviditet och finansiering, särskilt när det gäller lämpligheten hos de metoder som används för att mäta risk, prissättning och utvärdering av tillgångar och/eller skulder. Resultaten av en sådan bedömning bör ligga till grund för bedömningen av den operativa risken.

6.4.2.3. IKT-risk, bedömning av inneboende IKT-risk

Identifiering av väsentliga IKT-risker

I enlighet med DORA-förordningen bör de behöriga myndigheterna granska institutets identifiering, klassificering och dokumentation av alla IKT-stödda verksamhetsfunktioner, roller och ansvarsområden, de informationstillgångar³⁴ och IKT-tillgångar³⁵ som stöder dessa funktioner samt deras roller och beroendeförhållanden i förhållande till IKT-risken. Denna granskning ska hjälpa de behöriga myndigheterna att utveckla en grundlig förståelse av institutets inneboende exponering mot IKT-risk (IKT-riskprofil), identifiera dess väsentliga inneboende IKT-risk och bilda sig en uppfattning om dess inverkan. I detta syfte bör de behöriga myndigheterna beakta åtminstone följande, där så är relevant och tillämpligt:

• a. Rapport om översynen av ramen för IKT-riskhantering (i enlighet med artikel 6.5 i DORA-förordningen).
• b. Källor till IKT-risk, särskilt riskexponering mot och från andra finansiella enheter, som institutet har identifierat enligt artikel 8.2 i DORA-förordningen.
• c. Större IKT-relaterade incidenter som rapporteras (enligt artikel 19.1 i DORA-förordningen), inbegripet trenden för sammanlagda årliga kostnader och förluster till följd av större IKT-relaterade incidenter (enligt artikel 11.10 i DORA-förordningen).
• d. Resultat av de tester som planeras i programmet för testning av digital operativ motståndskraft (i enlighet med artikel 24 i DORA-förordningen), inklusive en sammanfattning av resultaten av den hotbildsstyrda penetrationstestningen och tillhörande åtgärdsplaner (i enlighet med artikel 26.6 i DORA-förordningen).
• e. Informationsregister (i enlighet med artikel 28.3 i DORA-förordningen), inklusive grad av koncentration av tredjepartsleverantörer av IKT-tjänster, inbegripet koncerninterna IKT-leverantörer, per typ av IKT-tjänster och/eller IKT-system.
• f. Rekommendationer och yttranden från de ledande tillsynsmyndigheterna (i enlighet med artiklarna 40.3 och 42.7 i DORA-förordningen) och relaterade svar, rapporter och information från kritiska tredjepartsleverantörer av IKT-tjänster (i enlighet med artiklarna 35.1 c, 42.1 och 48.2 i DORA-förordningen).
• g. IKT-systemens komplexitetsnivå och resultaten av IKT-riskbedömningen för befintliga IKT-system (i enlighet med artikel 8.7 i DORA-förordningen).
• h. Riskbedömning av större ändringar (enligt artikel 8.3 i DORA-förordningen).
• i. Grad av införande och integrering av innovativa IKT-lösningar.
• j. Datacentralernas och de särskilt känsliga områdenas lokalisering, det vill säga regioner eller länder, bland annat där IKT-tjänster tillhandahålls av tredjepartsleverantörer av IKT-tjänster, vilket även omfattar platsen för databehandling och datalagring.
• k. Eventuella relaterade väsentliga brister eller svagheter som identifierats inom ramen för avdelning 5.
• l. Självbedömningar av IKT-risker och kontroller (om detta föreskrivs i ICAAP-informationen).
• m. Information om hantering av IKT-risker som lämnats till institutets ledningsorgan.
• n. Resultat av IKT-relaterade interna och externa revisioner.
• o. Extern hotmiljö, inbegripet underrättelser om hot och sårbarhet.

Granskning av IKT-system och IKT-tjänster

³⁴ Artikel 3.6 i förordning (EU) 2022/2554.

³⁵ Artikel 3.7 i förordning (EU) 2022/2554.

De behöriga myndigheterna bör granska institutets relevanta dokumentation, metoder och processer och bilda sig en uppfattning om huruvida institutet på lämpligt sätt har identifierat de IKT-system och IKT-tjänster som stöder kritiska eller viktiga funktioner. För detta ändamål bör de behöriga myndigheterna beakta följande:

• a. IKT-system som stöder kritiska eller viktiga funktioner samt de kritiska informationstillgångar och IKT-tillgångar som identifierats av institutet (i enlighet med artikel 8 i DORA-förordningen).
• b. Viktiga processer som är beroende av tredjepartsleverantörer av IKT-tjänster, inbegripet kopplingar till tredjepartsleverantörer av IKT-tjänster som stöder kritiska eller viktiga funktioner, som identifieras av institutet (i enlighet med artikel 8.5 i DORA-förordningen).

Identifiering och kartläggning av väsentliga IKT-risker för IKT-system och IKT-tjänster som stöder kritiska eller viktiga funktioner

De behöriga myndigheterna bör sedan kartlägga de identifierade väsentliga IKT-riskerna i de IKT-riskkategorier som anges i bilaga III. Instituten förväntas bibehålla sin egen kategorisering i stället för att använda den som anges i bilagan.

6.4.3. Bedömning av ramen för hantering och kontroll av operativ risk

De behöriga myndigheterna bör bedöma det ramverk och de system som institutet har infört för att hantera och kontrollera operativ risk med beaktande av resultatet av analysen av den övergripande riskhanteringen och ramen för intern kontroll som behandlas i avdelning 5, eftersom detta kommer att påverka institutets exponering för operativ risk. När det gäller risken för penningtvätt och finansiering av terrorism bör den behöriga myndigheten beakta den bedömning som tillhandahålls av tillsynsmyndigheten för bekämpning av penningtvätt och finansiering av terrorism.

Strategi och aptit för operativ risk

De behöriga myndigheterna bör bedöma om institutet har en sund, tydligt formulerad och dokumenterad strategi för operativ risk och aptitnivå som har godkänts av ledningsorganet, och som beskriver karaktären, typerna och nivåerna av operativ risk som institutet är villigt att ta. Vid denna bedömning bör de behöriga myndigheterna bland annat ta hänsyn till ledningsorganets roll när det gäller att fastställa, godkänna, genomföra och se över strategin för operativa risker och riskaptiten (inbegripet IKT-riskaptiten och strategin för digital operativ motståndskraft), strategins tillräckliga omfattning och lämplighet med avseende på arten och väsentligheten hos institutets profil för operativ risk.

Ram för organisatorisk och intern kontroll

De behöriga myndigheterna bör bedöma institutets efterlevnad av artikel 323 i förordning (EU) nr 575/2013. I denna bedömning bör de behöriga myndigheterna utvärdera hållbarheten och ändamålsenligheten i det organisatoriska ramverket och styrsystemen för att möjliggöra effektiv hantering, mätning och kontroll av operativ risk, med tillräckliga mänskliga och tekniska resurser för att utföra de uppgifter som krävs. De behöriga myndigheterna bör ta hänsyn till om det finns en tydlig ansvarsfördelning för att identifiera, utvärdera, minska, övervaka och rapportera operativ risk samt efterlevnad av modellen med de tre försvarslinjerna.

De behöriga myndigheterna bör bedöma om institutet har ett starkt kontrollsystem och lämpliga skyddsåtgärder för att minska sin operativa risk, inbegripet lämpliga policyer och förfaranden, som även omfattar kvarstående risk, och om dessa är förenliga med institutets aptit och strategi när det gäller operativ risk och omfattar alla centrala verksamheter och processer. Detta inbegriper bland annat en bedömning av huruvida dessa policyer och förfaranden är tydligt formaliserade samt kommuniceras och tillämpas konsekvent inom hela institutet.

De behöriga myndigheterna bör också bedöma internrevisionsfunktionens funktion vad gäller lämplighet, omfattning och frekvens för internrevisioner av ramverket för hantering av operativ risk.

Verksamhetskontinuitet, åtgärder och återhämtning

De behöriga myndigheterna bör bedöma institutets efterlevnad av i) EBA:s riktlinjer för intern styrning i förhållande till den övergripande hanteringen av verksamhetskontinuitet och av ii) DORA-förordningen i förhållande till IKT-kontinuitetspolicy och åtgärds- och återhämtningsplanerna för IKT. I detta avseende bör de behöriga myndigheterna fastställa om riktlinjerna för IKT-kontinuitet och åtgärds- och återhämtningsplanerna för IKT utgör en integrerad del av institutets övergripande policy för verksamhetskontinuitet och åtgärds- och återhämtningsplaner.

De behöriga myndigheterna bör bedöma om institutet har inrättat en effektiv hantering av verksamhetskontinuitet med testade kontinuitets-, åtgärds- och återhämtningsplaner som omfattar åtminstone institutets kritiska eller viktiga funktioner, inbegripet de som har lagts ut på tredjepartsleverantörer, och om dessa beaktar en rad allvarliga men rimliga scenarier som institutet kan vara sårbart för. De behöriga myndigheterna bör också bedöma om institutets kontinuitetspolicy gör det möjligt att vidta lämpliga åtgärder för att hantera och återställa alla typer av incidenter.

De behöriga myndigheterna bör fastställa om institutets kontinuitetsplanering omfattar följande:

• a. Konsekvensanalys av potentiella verksamhetsstörningar.
• b. Lämpliga återhämtningsstrategier som innehåller viktiga interna och externa beroendeförhållanden och tydligt definierade återhämtningsprioriteringar och motståndskraftsnivåer.
• c. Heltäckande och flexibla planer för att hantera rimliga störande scenarier, som fastställts på grundval av bedömningen av verksamhetsanalysen och i samordning med interna och externa intressenter.
• d. Planer som fastställer beredskapsstrategier samt förfaranden för hantering av återhämtning.
• e. Effektiv testning av planernas utformning och operativa effektivitet.
• f. Informations- och utbildningsprogram om kontinuitetsplanering.
• g. Kommunikationsplaner för att informera ledningen och alla relevanta intressenter, samt dokumentation och åtgärder för krishantering och en krishanteringsfunktion i tillämpliga fall (enligt artikel 11.7 i DORA-förordningen).

De behöriga myndigheterna bör bedöma om institutets kontinuitetsplaner, åtgärds- och återhämtningsplaner

• a. fastställer roller och ansvarsområden, inbegripet tydlig vägledning om successionsplanering, och fastställer den interna beslutsprocessen tillsammans med en definition av utlösande faktorer för aktivering,
• b. granskas för att säkerställa att beredskapsstrategierna är förenliga med den nuvarande verksamheten, risker och hot, motståndskraftsnivåer och mål och prioriteringar för återhämtning,
• c. prioriterar åtgärder för verksamhetskontinuitet med hjälp av en riskbaserad metod,
• d. testas regelbundet för att säkerställa att återhämtningsmålen och tidsramarna kan uppfyllas,
• e. i tillämpliga fall omfattar tester av tjänster som tillhandahålls av tredjepartsleverantörer av tjänster.

De behöriga myndigheterna bör också bedöma om testresultaten dokumenteras och rapporteras till ledningsorganet.

Bedömning av ramen för IKT-riskhantering

De behöriga myndigheterna bör bedöma institutets efterlevnad av DORA-förordningen och EBA:s riktlinjer för intern styrning i förhållande till den interna styrningen och organisationen av hanteringen av IKT-risker. De behöriga myndigheterna bör bilda sig en uppfattning om huruvida institutets ledningsorgan har det övergripande ansvaret för hanteringen av IKT-risker och på lämpligt sätt definierar, godkänner och övervakar genomförandet av alla IKT-relaterade åtgärder. De behöriga myndigheterna bör överväga om ledamöterna i ledningsorganet har tillräckliga kunskaper och färdigheter för att förstå och bedöma IKT-risk och dess inverkan på institutets verksamhet.

De behöriga myndigheterna bör bedöma hur roller och ansvarsområden för alla IKT-relaterade funktioner och de etablerade styrningsarrangemangen genomsyrar och är integrerade i institutets ram för intern kontroll och styrning för att hantera IKT-risker. I detta syfte bör de behöriga myndigheterna överväga om institutet på ett effektivt sätt har tilldelat ansvaret för att hantera och övervaka IKT-risker till en oberoende kontrollfunktion som har direkt tillgång till och kan rapportera direkt till ledningsorganet i dess tillsynsfunktion, och bedöma om institutet kan påvisa:

• a. Tydlig kommunikation, fördelning och integrering av roller och ansvarsområden i alla IKT-relaterade funktioner, inbegripet IKT-stödda verksamhetsfunktioner, och processer.
• b. Tillräcklig och lämplig budget för att uppfylla den digitala operativa motståndskraften i fråga om alla typer av resurser, inklusive relevanta program för medvetenhet om IKT-säkerhet och sådan utbildning om digital operativ motståndskraft och IKT-färdigheter för all personal (i enlighet med artikel 5.2 g i DORA-förordningen).
• c. Ledningsorganet ska på lämpligt sätt följa upp och reagera på kritiska resultat och slutsatser från IKT-revisioner som rapporteras i enlighet med artikel 13.5 i DORA-förordningen.

De behöriga myndigheterna bör utveckla en grundlig förståelse av institutets ram för IKT-riskhantering och bedöma om institutet har infört tillräckliga och lämpliga strategier, policyer, förfaranden, IKT-protokoll och IKT-verktyg, inklusive toleransnivåer, för att på ett effektivt, ändamålsenligt och heltäckande sätt hantera de väsentliga IKT-riskerna i enlighet med DORA-förordningen. För detta ändamål bör de behöriga myndigheterna i tillämpliga fall beakta:

• a. Lämpligheten och effektiviteten i institutets policyer för hantering av IKT-risker³⁶ , IKT-processer och IKT-förfaranden, som bland annat omfattar hantering av IKT från tredje part, upptäckt och hantering av IKT-relaterade incidenter, IKT-bedömning, kryptering och kryptografi, IKT-driftsäkerhet, nätverkssäkerhet, åtkomstkontroll och huruvida dessa har godkänts av ledningsorganet och kommunicerats till alla relevanta intressenter (i enlighet med artikel 14 i DORA-förordningen).
• b. Lämpligheten i institutets risktoleransnivå för IKT-risker och konsekvenstoleransen för IKT-störningar (enligt artikel 6.8 b i DORA-förordningen).
• c. Om institutets strategi för digital operativ motståndskraft är lämplig och genomförs, inbegripet dess anpassning till affärsstrategin.
• d. Överensstämmelse mellan strategin för tredjepartsrisk på IKT-området, inklusive strategin med flera olika leverantörer av IKT-tjänster, om sådan finns tillgänglig, och den övergripande affärsstrategin och ramen för hantering av IKT-risker.
• e. Kvarstående risk till följd av institutets identifierade risker i fråga om avtal för användning av IKT-tjänster som stöder kritiska eller viktiga funktioner.
• f. Kvarstående risk till följd av institutets identifierade risker avseende IKT-projekt som påverkar kritiska eller viktiga funktioner som rapporteras till ledningsorganet, och även avseende förvärv, utveckling och underhåll av IKT-system och IKT-förändringar.
• g. Huruvida programmet för testning av digital operativ motståndskraft är sunt och tillräckligt omfattande.
• h. Trender för och omfattning av större IKT-relaterade incidenter och resultat som rapporteras till ledningsorganet i enlighet med artikel 17.3 e och artikel 13.5 i DORA-förordningen.
• i. IKT-riskkontroller som är specifika för de väsentliga IKT-risker som har identifierats.
• j. Snabb rapportering av aspekter som rör IKT-riskhantering till ledningsorganet och den verkställande ledningen.
• k. Omfattning och resultat från den interna revisionen

³⁶ I enlighet med DORA-förordningen bör dessa åtminstone omfatta informationssäkerhetspolicyn, policyer för säkerhetskopiering, policy för IKT-tillgångsförvaltning, policy för kryptering och kryptografiska kontroller, policy för hantering av krypteringsnycklar, IKT-projekthanteringspolicy, förvärv, utveckling och underhåll av IKT-systempolicy, personalpolitik, fysisk säkerhet och miljösäkerhetspolicy, IKT-relaterad incidenthanteringspolicy, policy för användning av IKT-tjänster som stöder kritiska eller viktiga funktioner som tillhandahålls av tredjepartsleverantörer av IKT-tjänster.

Vid bedömningen av hanteringen av IKT-risker bör de behöriga myndigheterna vara särskilt uppmärksamma på IKT-riskhantering avseende tredje part, inbegripet institutets koncentrationsnivå i förhållande till tredjepartsleverantörer av IKT-tjänster. I detta syfte bör de behöriga myndigheterna säkerställa ett nära samarbete med de ledande tillsynsmyndigheterna för kritiska tredjepartsleverantörer av IKT-tjänster, i enlighet med de europeiska tillsynsmyndigheternas gemensamma riktlinjer³⁷ , om det institut som bedöms utnyttjar IKT-tjänster från kritiska tredjepartsleverantörer. De behöriga myndigheterna bör också granska hur effektiv den särskilda roll är som institutet har inrättat, eller den utsedda ledamoten i den verkställande ledningen. har när det gäller övervakning av tredjepartsavtal på IKT-området.

³⁷ De europeiska tillsynsmyndigheternas gemensamma riktlinjer om tillsynssamarbete och informationsutbyte mellan de europeiska tillsynsmyndigheterna och de behöriga myndigheterna enligt förordning (EU) 2022/2554 (JC/2024/36).

De behöriga myndigheterna bör överväga om internrevisionsfunktionen är effektiv och har tillräckliga kunskaper, färdigheter och sakkunskaper för att granska institutets ram för IKT-riskhantering genom att granska om

• a. ramen för IKT-riskhantering revideras med erforderlig kvalitet, inriktning och frekvens och står i proportion till institutets IKT-riskprofil,
• b. revisionsplanen omfattar revisioner av de väsentliga IKT-risker som identifierats av institutet, inbegripet oberoende granskningar av åtgärds- och återhämtningsplaner för IKT.
• c. kritiska resultat från IKT-revisioner verifieras och åtgärdas i tid, inbegripet rapportering till ledningsorganet,
• d. resultaten av IKT-revisionen, inbegripet överenskomna åtgärder, följs upp formellt och om lägesrapporter granskas regelbundet av den verkställande ledningen och/eller revisionskommittén.

6.4.4. Bedömning av anseenderisk

De behöriga myndigheterna bör bedöma den anseenderisk som institutet är exponerat för genom att utnyttja förståelsen från avdelning 4 till avdelning 6.2. En sådan bedömning bör också vara inriktad på det övergripande ramverket för anseenderisk och säkerställa att institutet kan hantera händelser som påverkar institutets anseende på ett effektivt sätt. Vid denna bedömning bör de behöriga myndigheterna undvika att dubbelräkna aspekter som redan beaktats vid bedömningen av den rättsliga risken (avsnitt 6.4.2.1).

Vid bedömningen av anseenderiskens relevans bör de behöriga myndigheterna beakta institutets storlek samt arten, omfattningen och komplexiteten hos dess tjänster, aktiviteter och verksamhet (till exempel börsnoterade aktier eller noterade skuldförbindelser eller deltagande på interbankmarknader).

De behöriga myndigheterna bör beakta både interna och externa faktorer eller händelser som kan ge upphov till anseendeproblem, exklusive händelser som leder till rättsliga förfaranden. För institut i kategorierna 1 och 2 bör de behöriga myndigheterna beakta samtliga följande indikatorer i sin bedömning:

• a. Negativ bevakning i medier/sociala medier och initiativ från konsumentföreningar som kan försämra allmänhetens uppfattning om och anseende för institutet.
• b. Antal och förändringar av kundklagomål eller plötslig förlust av kunder eller investerare.
• c. Negativa händelser med anknytning till likvärdiga institut som allmänheten skulle kunna associera till hela den finansiella sektorn eller en grupp av institut.
• d. Anseendet hos personer som deltar i förvaltningen av institutet eller med kvalificerade innehav.
• e. Deltagande i eller verksamhet inom sektorer eller jurisdiktioner som är mycket utsatta för penningtvätt och finansiering av terrorism eller exponering mot personer som är förknippade med hög risk ur ett perspektiv som rör penningtvätt och finansiering av terrorism.
• f. Engagemang i eller verksamhet inom sektorer eller jurisdiktioner och/eller med motparter med hög exponering för väsentliga frågor eller offentlig kontroll avseende miljömässiga, sociala och styrningsrelaterade faktorer, inbegripet men inte nödvändigtvis begränsat till miljöfaktorer.
• g. Inverkan på anseendet av IKT-relaterade incidenter som registrerats av institutet i enlighet med kommissionens delegerade förordning (EU) 2024/1772³⁸ .
• h. Andra ”marknadsindikatorer”, om sådana finns (t.ex. nedsatt kreditvärdering eller fluktuationer i aktiekursen under året).

³⁸ Kommissionens delegerade förordning (EU) 2024/1772 av den 13 mars 2024 om komplettering av Europaparlamentets och rådets förordning (EU) 2022/2554 vad gäller tekniska standarder för tillsyn som specificerar kriterierna för klassificering av IKT-relaterade incidenter och cyberhot, fastställande av väsentlighetströsklar och närmare uppgifter om rapporter om allvarliga incidenter, C/2024/1519 (EUT L, 2024/1772, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

De behöriga myndigheterna bör bedöma hur betydande institutets exponering mot anseenderisk är och hur sammankopplad den är med de andra riskerna genom att utnyttja de relevanta riskbedömningarna (inbegripet från andra tillsynsmyndigheter) för att identifiera eventuella andrahandseffekter i båda riktningarna.

I samband med den operativa riskanalysen bör de behöriga myndigheterna beakta relevansen och betydelsen av institutets exponering för risker för penningtvätt och finansiering av terrorism ur ett tillsynsperspektiv inom ramen för operativa risker. I detta avseende bör de behöriga myndigheterna använda relevanta information från tillsynsmyndigheter för bekämpning av penningtvätt och finansiering av terrorism för att komplettera sina iakttagelser från den löpande tillsynen och utvärdera om dessa iakttegelser ger upphov till farhågor från tillsynsperspektiv relaterat till risken för penningtvätt och finansiering av terrorism.

De behöriga myndigheterna bör ha i åtanke att alla institut kan exponeras för risker för penningtvätt och finansiering av terrorism oavsett institutets storlek eller finansiella sundhet. Därför bör tillräcklig uppmärksamhet också ägnas åt institut som anses vara finansiellt sunda och som kan ha ett gott anseende, eftersom dessa institut kan vara särskilt utsatta för försök till penningtvätt och finansiering av terrorism. Uppmärksamhet bör också ägnas åt institut som är mycket framgångsrika när det gäller att locka till sig nya kunder/utöka sina marknadsandelar, särskilt genom att använda icke-traditionella distributionskanaler, eftersom detta skulle kunna kopplas till bristfällig kontroll av kunder under onboardingfasen.

De behöriga myndigheterna bör utbyta relevant information om sådan operativ risk som kan ge upphov till risker för penningtvätt och finansiering av terrorism samt risker för att riktade finansiella sanktioner inte genomförs eller kringgås, såsom brister i institutens IKT-system eller interna kontrollramverk med tillsynsmyndigheter för bekämpning av penningtvätt och finansiering av terrorism.

De behöriga myndigheterna bör bedöma om institutet har vidtagit lämpliga åtgärder, strategier, processer och mekanismer för att hantera anseenderisk. Framför allt bör de behöriga myndigheterna ta hänsyn till om

• a. institutet har infört en formaliserad policy och processer för att identifiera, hantera och övervaka av denna risk, inbegripet en robust uppförandekod, och om dess policy och processer är proportionerliga i förhållande till dess storlek och relevans i systemet,
• b. institutet hanterar denna risk på ett förebyggande sätt, bland annat genom att införa lämpliga mått och övervakningsverktyg, ta upp potentiella anseendeproblem i beredskapsplanerna, genomföra relevanta utbildnings- och informationsmöten och dra nytta av lärdomar,
• c. institutet genomför stresstester eller scenarioanalyser för att bedöma eventuella andrahandseffekter av anseenderisk (t.ex. likviditets- och finansieringskostnader, värdepapperiseringstransaktioner, tillgång till korrespondentbanktjänster),
• d. institutet agerar för att skydda sitt varumärke med hjälp av verktyg för att övervaka medier/sociala medier, protokoll för att motverka felaktig information och negativ publicitet samt snabba informationskampanjer,
• e. institutet tar hänsyn till strategins och affärsplanernas potentiella inverkan, och mer allmänt dess beteende, på dess anseende.

6.4.5. Operativ motståndskraft

De behöriga myndigheterna bör bilda sig en helhetssyn på institutets förmåga att leverera kritiska eller viktiga funktioner vid störningar (nivå av operativ motståndskraft), ett resultat som drar nytta av en effektiv hantering av operativ risk, med beaktande av institutets storlek, affärsmodell och övergripande riskprofil. I detta syfte bör de behöriga myndigheterna utnyttja sina befintliga bedömningar av hantering av operativ risk, verksamhetskontinuitet, kapacitet att hantera förändringar, tredjepartstjänster och den IKT som institutet använder för att på ett övergripande sätt utvärdera huruvida dessa faktorer tillsammans stöder institutets operativa motståndskraft. De behöriga myndigheterna bör också överväga om institutet genomför sitt ramverk för riskhantering, sina kontinuitetsplaner, sin tredjepartsförvaltning (som redan bedömts inom ramen för DORA-förordningen och EBA:s riktlinjer som utfärdats i enlighet med artikel 74.3 i direktiv 2013/36/EU om interna styrformer, processer och metoder) och sina ramverk för återhämtning och resolution på ett konsekvent och samordnat sätt. De behöriga myndigheterna bör dessutom överväga om institutet har kartlagt de interna och externa kopplingar och ömsesidiga beroenden som krävs för att fullgöra sina kritiska eller viktiga funktioner på ett tillfredsställande sätt.

De behöriga myndigheterna bör beakta den uppmärksamhet som ledningsorganet och den verkställande ledningen fäster vid institutets förmåga att reagera på och återhämta sig från störningar under antagandet att fallissemang kommer att inträffa. I detta syfte bör de behöriga myndigheterna överväga huruvida

• a. ledningsorganet spelar en aktiv roll när det gäller att skapa en bred förståelse för strategin för operativ motståndskraft inom hela institutet och övervaka effektiviteten hos institutets strategi för operativ motståndskraft,
• b. institutet i god tid rapporterar om sin fortlöpande operativa motståndskraft till stöd för ledningsorganets tillsyn, särskilt när större identifierade brister kan påverka utförandet av institutets kritiska eller viktiga funktioner.

6.4.6. Sammanfattning av resultat, betygsättning och tillsynsåtgärder

Efter denna bedömning bör de behöriga myndigheterna ha fått en uppfattning om operativ risk i institutet. Denna bedömning bör återspeglas i en sammanfattning av slutsatserna, vilken bör åtföljas av ett riskbetyg grundat på de överväganden som anges i tabell 10. Om vissa underkategorier omfattar väsentliga risker kan de behöriga myndigheterna välja att bedöma och betygsätta dessa individuellt, och man bör i så fall så långt som möjligt tillämpa vägledningen i denna tabell på motsvarande sätt.

Tabell 10. Tillsynsöverväganden vid betygsättning av operativ risk Riskbet Tillsynsmyndig Överväganden i samband med Överväganden när det gäller yg hetens inneboende risk adekvat förvaltning och kontroller uppfattning

Tillsynsmyndig Riskbet hetens Överväganden i samband med Överväganden när det gäller yg uppfattning inneboende risk adekvat förvaltning och kontroller

Tillsynsmyndig Riskbet hetens Överväganden i samband med Överväganden när det gäller yg uppfattning inneboende risk adekvat förvaltning och kontroller

Tillsynsmyndig Riskbet hetens Överväganden i samband med Överväganden när det gäller yg uppfattning inneboende risk adekvat förvaltning och kontroller

Tabellen nedan innehåller en icke uttömmande förteckning över tillsynsåtgärder som de behöriga myndigheterna kan vidta om brister har konstaterats i institutets ram för hantering av operativa risker och operativ motståndskraft (med beaktande av den nära kopplingen mellan operativ motståndskraft och hantering av operativa risker). De behöriga myndigheterna bör besluta om typen av åtgärd på grundval av hur effektiv den är i förhållande till den specifika konstaterade bristen. De behöriga myndigheterna kan vidta ytterligare tillsynsåtgärder (inklusive kvantitativa åtgärder i enlighet med artikel 104.1 a i direktiv 2013/36/EU) eller en kombination av dem med de åtgärder som anges i tabellen nedan, om dessa anses lämpligare för att åtgärda de konstaterade bristerna. För överträdelser av DORA-förordningen bör de behöriga myndigheterna överväga de tillämpliga korrigerande och avhjälpande åtgärder som föreskrivs i artikel 50 i DORA-förordningen.

Tabell 11. Potentiell och icke uttömmande förteckning över tillsynsåtgärder till följd av bedömningen av operativ risk och operativ motståndskraft Potentiella tillsynsåtgärder för behöriga myndigheter i enlighet med artikel 104.1 b, d, e, f, j, l, m och n i direktiv 2013/36/EU och artikel 50 i förordning (EU) 2022/2554, de behöriga myndigheterna kan kräva att institutet

• a) mer aktivt involverar ledningsorganet eller dess kommittéer i beslut som rör hantering av operativa risker,
• b) förbättrar systemen för mätning av operativa risker,
• c) stärker kontrollerna av operativa processer, inklusive identifiering, övervakning, hantering och återhämtning,
• d) förbättrar ramverket för operativ styrning,
• e) förbättrar rapporteringen av operativa risker till ledningsorganet och den verkställande ledningen,
• f) utvecklar och genomföra planer för korrigerande åtgärder för att avhjälpa brister,
• g) begränsar vissa tredjepartsarrangemang, särskilt för kritiska eller viktiga funktioner,
• h) förbättrar stresstester och scenarioanalys av operativa risker,
• i) genomför kraftfullare operativa åtgärder,
• j) förbättrar verksamhetskontinuitets-, åtgärds- och återhämtningsplaner,
• k) förbättrar den operativa riskhanteringen avseende miljömässiga, sociala och styrningsrelaterade risker, särskilt miljörisker, potentiellt baserat på en eller flera av de åtgärder som anges ovan.