+243. Efter denna bedömning bör de behöriga myndigheterna ha fått en uppfattning om operativ risk i …

243. Efter denna bedömning bör de behöriga myndigheterna ha fått en uppfattning om operativ risk i …

Efter denna bedömning bör de behöriga myndigheterna ha fått en uppfattning om operativ risk i institutet. Denna bedömning bör återspeglas i en sammanfattning av slutsatserna, vilken bör åtföljas av ett riskbetyg grundat på de överväganden som anges i tabell 10. Om vissa underkategorier omfattar väsentliga risker kan de behöriga myndigheterna välja att bedöma och betygsätta dessa individuellt, och man bör i så fall så långt som möjligt tillämpa vägledningen i denna tabell på motsvarande sätt.

Tabell 10. Tillsynsöverväganden vid betygsättning av operativ risk Riskbet Tillsynsmyndig Överväganden i samband med Överväganden när det gäller yg hetens inneboende risk adekvat förvaltning och kontroller uppfattning

Det risk betydande konsekvenser för finns en låg	 	Exponeringar mot operativ risk  Institutets policy och strategier är begränsade till några få för operativ risk är förenlig med påverkanskategorier frekvens/låg Betydelsen operativa väsentlig/mycket risker av svårighetsgrad. exponeringen är låg, inte med vilket hög för  dess riskaptit. Den operativ tydligt organisatoriska övergripande ansvar risk är och robust en strategi ramen tydlig med och för ett
för institutets 1 stabilitet givet de inneboende riskerna samt hanteringen och av dessa. kontrollen		framgår av scenarioanalyser uppdelning av uppgifter mellan och jämförelser med förluster i risktagare och riskhantering och likvärdiga institut. kontrollfunktioner. Nivån på institutets  Ramen för operativa risker bruttoförluster (före omfattar alla relevanta risker. återvinningar förluster följd av operativ på kreditportföljen och risk) inklusive under de till  Mät-, rapporteringssystem övervaknings- och för senaste åren har inte varit operativ risk är lämpliga. väsentliga/mycket låga eller har  Ramen för kontroll av operativ minskat från en högre nivå. risk är sund.

Tillsynsmyndig Riskbet hetens Överväganden i samband med Överväganden när det gäller yg uppfattning inneboende risk adekvat förvaltning och kontroller

Det finns en medellåg risk för betydande konsekvenser	     	Inga betydande IKT-  IKT-riskhantering och IKT-riskexponeringar, kontroller är tillräckliga i enkla/motståndskraftiga/flexibl förhållande till kraven i DORA- a IKT-strukturer och inga förordningen. väsentliga/mycket låga IKT-  Ramen för tredje parts risker. riskhantering är sund och Koncentrationsrisken gentemot effektiv, tillsammans med tredjepartsleverantörer av lämpliga avtal. tjänster är låg, med enkla  Effektiv och sund hantering av underleverantörskedjor. verksamhetskontinuitet, Den hotintensitet som kan leda inklusive testade kontinuitets-, till större operativa störningar åtgärds- och (inklusive IKT-relaterade återhämtningsplaner. incidenter) av kritiska eller viktiga funktioner är låg. Exponeringar mot operativa risker tillhör huvudsakligen påverkanskategorier med hög frekvens/låg svårighetsgrad. Betydelsen av exponeringen för operativ risk är låg till medel, vilket framgår av scenarioanalyser och jämförelser med förluster i andra institut. Institutets förluster under de senaste åren har varit låga till medel eller förväntas öka från
för institutets 2 stabilitet givet de inneboende riskerna samt hanteringen och kontrollen av dessa.	  	en lägre historisk nivå eller minska från en högre historisk nivå. Låg IKT-riskexponering, måttligt komplex/delvis begränsad IKT-arkitektur och låga/medelstora IKT-risker. Koncentrationsrisken gentemot tredjepartsleverantörer av tjänster är medel, med måttliga underleverantörskedjor. Den hotintensitet som kan leda till större operativa störningar (inklusive IKT-relaterade incidenter) av kritiska eller viktiga funktioner är medelhög.
3 Det medelhög för betydande finns en risk		Exponeringar sträcker påverkanskategorier frekvens sig och till hög mot vissa operativ med låg risk  Institutets för övergripande operativa policy risker strategi och och strategi och dess
konsekvenser för stabilitet institutets givet		allvarlighetsgrad. riskaptit stämmer inte överens, Betydelsen operativa risker av exponeringen är medel till för är till inte och tillräckligt med otillräcklig. utvecklad eller

Tillsynsmyndig Riskbet hetens Överväganden i samband med Överväganden när det gäller yg uppfattning inneboende risk adekvat förvaltning och kontroller

de inneboende riskerna samt hanteringen och kontrollen av dessa.	     	hög, vilket framgår av  Den organisatoriska ramen för scenarioanalyser och operativa risker är inte jämförelser med förluster i tillräckligt robust. andra institut.  Ramen för operativa risker Nivån på de bruttoförluster omfattar inte alla relevanta som institutet har upplevt risker. under senare år har varit medel  Mät-, övervaknings- och till hög eller förväntas öka från rapporteringssystem för en lägre historisk nivå eller operativ risk är inte lämpliga. minska från en högre historisk  Ramen för kontroll av operativ nivå. risk är svag. Indikationer på möjlig  IKT-riskhantering och IKT-betydande IKT-riskexponering, kontroller är inte förenliga med komplex/stel/fragmenterad kraven i DORA-förordningen. IKT-arkitektur och medel/hög  Ramen för tredje parts IKT-risk. riskhantering är Koncentrationsrisken gentemot ofullständig/svag tillsammans tredjepartsleverantörer av med olämpliga avtal. tjänster är hög, med måttliga  Bristande hantering av till långa/komplexa verksamhetskontinuitet, underleverantörskedjor. inklusive Den hotintensitet som kan leda otillförlitliga/ineffektiva/ofullstä till större operativa störningar ndiga kontinuitets-, åtgärds-(inklusive IKT-relaterade och återhämtningsplaner. incidenter) av kritiska eller viktiga funktioner är hög. Exponeringar mot operativ risk sträcker sig till alla huvudkategorier. Betydelsen av exponeringen för operativa risker är hög och
Det finns en hög risk för		ökar, vilket framgår av scenarioanalyser och jämförelser med förluster i
betydande konsekvenser för institutets stabilitet givet 4 de inneboende riskerna samt hanteringen och kontrollen av dessa.	   	andra institut. Nivån på de bruttoförluster som institutet hade under de senaste åren har varit hög, eller en risk har ökat betydligt. Flera indikationer på betydande IKT-riskexponering, mycket komplex/bräcklig IKT-arkitektur och höga IKT-risker. Koncentrationsrisken gentemot tredjepartsleverantörer av tjänster är mycket hög/allvarlig, med långa/komplexa underleverantörskedjor. Den hotintensitet som kan leda till allvarliga operativa störningar (inklusive IKT-

Tillsynsmyndig Riskbet hetens Överväganden i samband med Överväganden när det gäller yg uppfattning inneboende risk adekvat förvaltning och kontroller

relaterade incidenter) av kritiska eller viktiga funktioner är mycket hög/allvarlig.

1. Översikt

Rubrik	Reglering

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade standarder

2. Identifierade krav

Krav
Källa	Krav

3. Relaterade standarder

Standarder
Källa	Krav

EBA -
EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.