17 Ramverk för riskhantering

De interna kontrollfunktionerna bör regelbundet överlämna skriftliga rapporter till ledningsorganet om de väsentliga brister som har upptäckts. Rapporterna bör, för varje ny identifierad större brist, innehålla beskrivningar av relevanta risker, en konsekvensanalys, rekommendationer samt korrigerande åtgärder som ska vidtas. Ledningsorganet bör följa upp de interna kontrollfunktionernas slutsatser i god tid och på ett effektivt sätt och ska utfärda krav om lämpliga korrigerande åtgärder. Ett formellt uppföljningsförfarande för slutsatser och korrigerande åtgärder som har vidtagits bör etableras.

Som en del av det övergripande ramverket för internkontroll bör instituten ha ett heltäckande ramverk för riskhantering som innefattar hela institutet och som sträcker sig över samtliga affärsområden och interna enheter, inbegripet de interna kontrollfunktionerna, där den ekonomiska innebörden av samtliga riskexponeringar beaktas fullt ut. Ramverket för riskhantering bör göra det möjligt för institutet att fatta väl underbyggda beslut om risktagande. Ramverket för riskhantering bör innefatta risker inom och utanför balansräkningen såväl som faktiska risker och framtida risker som institutet kan komma att utsättas för. Riskbedömningar bör göras nedifrån och upp och uppifrån och ned, inom och mellan affärsområden, med en konsekvent terminologi och kompatibla metoder inom hela EBA Regular Use

institutet och på grupp- och undergruppsnivå. Alla relevanta risker bör omfattas av ramverket för riskhantering med lämplig hänsyn till både ekonomiska och icke-ekonomiska risker, inbegripet kredit-, marknads-, likviditets- och koncentrationsrisker, operativa risker, it- och anseenderisker, juridiska risker, uppföranderisker, efterlevnadsrisker i fråga om penningtvätt, finansiering av terrorism och övrig ekonomisk brottslighet, risker som rör miljö, samhällsansvar och bolagsstyrning samt strategiska risker.

Institutets ramverk för riskhantering bör innefatta policyer, förfaranden, riskgränser och riskkontroller som säkerställer en tillfredsställande, skyndsam och kontinuerlig identifiering, mätning eller bedömning, övervakning, hantering, reducering och rapportering av riskerna på affärsområdes-, institut- och grupp- eller undergruppsnivå.

Institutets ramverk för riskhantering bör ge särskild vägledning för genomförandet av dess strategier. Inom ramen för denna vägledning bör institutet, när så är lämpligt, fastställa och upprätthålla interna riskgränser som motsvarar institutets riskaptit och är förenliga med dess förvaltning, finansiella styrka, kapitalbas och strategiska mål. Institutets riskprofil bör hållas inom dessa fastställda gränser. Ramverket för riskhantering bör säkerställa att det, för den händelse riskgränserna överskrids, finns en fastställd process för hur incidenten ska rapporteras och hanteras, med ett lämpligt uppföljningsförfarande.

Ramverket för riskhantering bör vara föremål för oberoende intern granskning, exempelvis utförd av internrevisionsfunktionen, och regelbundet ses över i förhållande till institutets riskaptit, med hänsyn tagen till information från riskhanteringsfunktionen och riskkommittén, i de fall en sådan har inrättats. Exempel på faktorer som bör beaktas är den interna och externa utvecklingen, däribland förändringar i balansräkningen och intäkterna, eventuell ökad komplexitetsgrad för institutets verksamhet, riskprofil eller verksamhetsstruktur, geografisk expansion, fusioner och förvärv samt införande av nya produkter eller affärsområden.

I samband med identifiering och mätning eller bedömning av risker bör institutet utveckla lämpliga metoder som omfattar både framåt- och bakåtblickande verktyg. Dessa metoder bör göra det möjligt att aggregera riskexponeringen för olika affärsområden och stödja identifieringen av riskkoncentrationer. Verktygen bör innefatta såväl bedömning av den faktiska riskprofilen i förhållande till institutets riskaptit som identifiering och bedömning av potentiella riskexponeringar och riskexponeringar vid stress i en rad olika scenarier med ogynnsamma omständigheter i förhållande till institutets riskkapacitet. Verktygen bör ge information om alla eventuella justeringar av riskprofilen som krävs. När instituten målar upp stresscenarier bör de vara rimligt konservativa i sina antaganden.

Instituten bör tänka på att resultaten av kvantitativa bedömningsmetoder, inklusive stresstest, till stor del beror på modellernas begränsningar och de antaganden som görs (till exempel om den extrema situationens allvar och varaktighet och de underliggande riskerna). Om en modell till exempel visar mycket hög avkastning på ekonomiskt kapital kan det bero på en svaghet hos modellen (t.ex. att vissa relevanta risker inte tas med i beräkningen), inte på att institutet har en överlägsen strategi eller genomför den på ett utmärkt sätt. Risknivån bör EBA Regular Use

därför inte bedömas enbart på grundval av kvantitativ information eller modellresultat, utan bedömningen bör även omfatta ett kvalitativt tillvägagångssätt (med expertutlåtanden och kritisk analys). Relevanta makroekonomiska trender och uppgifter bör särskilt uppmärksammas så att deras potentiella inverkan på exponeringar och portföljer kan fastställas.

Det är institutet som har det yttersta ansvaret för riskbedömningen och institutet bör således göra en kritisk granskning av sina risker i stället för att enbart förlita sig på externa bedömningar. Institutet bör till exempel utvärdera en färdigköpt riskmodell och anpassa den till sina egna omständigheter för att se till att riskerna fångas upp och analyseras på ett korrekt och heltäckande sätt i modellen.

Instituten bör vara fullt medvetna om modellernas och mätmetodernas begränsningar och inte uteslutande använda kvantitativa riskbedömningsverktyg, utan även kvalitativa verktyg (däribland expertutlåtanden och kritisk analys).

Utöver sina egna bedömningar kan ett institut även använda externa riskbedömningar (såsom externa kreditvärderingar eller externt inköpta riskmodeller). Instituten bör känna till exakt vad som ingår i bedömningarna och vilka deras begränsningar är.

Mekanismer för regelbunden och öppen rapportering bör fastställas så att ledningsorganet, dess riskkommitté (om en sådan har inrättats) och alla relevanta enheter inom ett institut får korrekta, koncisa, begripliga och meningsfulla rapporter i tid och kan utbyta relevant information om identifieringen, mätningen eller bedömningen, övervakningen och hanteringen av riskerna. Ramverket för rapportering bör vara väl definierat och dokumenterat.