16 Ram för riskhantering

Som ett led i den övergripande ramen för intern kontroll ska värdepappersföretag ha en företagsövergripande och enhetlig riskhanteringsram som omfattar alla affärsområden och interna enheter, inbegripet interna kontrollfunktioner, och som fullt ut erkänner den ekonomiska innebörden i företagets alla riskexponeringar, inklusive de risker som värdepappersföretaget utgör för sig självt, sina kunder och sina marknader samt likviditetsrisker, särskilt sådana som kan ha en väsentlig inverkan på eller uttömma den tillgängliga kapitalbasen. Riskhanteringsramen ska göra det möjligt för värdepappersföretaget att fatta välgrundade beslut om risktagande. Riskhanteringsramen ska omfatta alla risker, såväl faktiska som framtida risker, som värdepappersföretaget kan vara eller kan bli exponerat för. Risker ska utvärderas nedifrån och upp och uppifrån och ned, både inom och mellan affärsområden, och en enhetlig terminologi samt förenliga metoder ska nyttjas i hela värdepappersföretaget och på gruppnivå. Alla relevanta risker ska innefattas i riskhanteringsramen och lämplig hänsyn ska tas till både finansiella och icke-finansiella risker, inbegripet marknadsrisker, likviditetsrisker, koncentrationsrisker, operativa risker, it-risker, anseenderisker, rättsliga risker, beteenderisker, risker förknippade med bekämpning av penningtvätt och finansiering av terrorism och annan ekonomisk brottslighet, ESG-risker och strategiska risker.

Ett värdepappersföretags riskhanteringsram ska omfatta policyer, förfaranden, riskgränser och riskkontroller som säkerställer lämplig, punktlig och fortlöpande identifiering, mätning eller bedömning, övervakning, hantering, reducering och rapportering av risker på affärsområdesnivå, värdepappersföretagsnivå och gruppnivå.

Ett värdepappersföretags riskhanteringsram ska ge specifik vägledning om genomförandet av företagets strategier. Denna vägledning ska, när så är lämpligt, fastställa och upprätthålla interna gränser som är förenliga med värdepappersföretagets riskaptit och dess verksamhet, finansiella sundhet, kapitalbas och strategiska mål. Värdepappersföretagets riskprofil ska hållas inom dessa fastställda gränser. Riskhanteringsramen ska säkerställa att det finns en fastställd process för att rapportera, vidarebefordra och åtgärda överträdelser av riskgränserna genom ett lämpligt uppföljningsförfarande.

Riskhanteringsramen ska vara föremål för oberoende intern översyn utförd av exempelvis internrevisionsfunktionen, och den ska regelbundet omprövas mot värdepappersföretagets riskaptit med beaktande av information från riskhanteringsfunktionen och riskkommittén, i de fall sådana har inrättats. Faktorer som ska beaktas inbegriper interna och externa utvecklingar, däribland förändringar i intäkter, ökad komplexitetsgrad i värdepappersföretagets affärsverksamhet, riskprofil eller struktur, geografiska expansioner, fusioner och förvärv samt införande av nya produkter eller affärsområden.

När ett värdepappersföretag identifierar och mäter eller bedömer risker ska det utarbeta lämpliga metoder som innefattar både framåtblickande och bakåtblickande verktyg. Verktygen ska omfatta bedömning av den faktiska riskprofilen i förhållande till värdepappersföretagets riskaptit samt identifiering och bedömning av potentiella och stressdrivna riskexponeringar under en rad förmodade ogynnsamma omständigheter i förhållande till värdepappersföretagets riskkapacitet. Verktygen ska syfta till att ge information om eventuella anpassningar av riskprofilen som kan vara nödvändiga. Värdepappersföretag ska göra tillräckligt försiktiga antaganden när de utformar modeller med stresscenarier.

Värdepappersföretag ska ta hänsyn till att resultaten av kvantitativa bedömningsmetoder, inbegripet stresstester, i hög grad är beroende av modellernas begränsningar och antaganden (inbegripet den stressdrivna påfrestningens allvarlighetsgrad och varaktighet samt de underliggande riskerna). Exempelvis kan modeller som uppvisar mycket hög avkastning på det ekonomiska kapitalet tyda på en svaghet i modellerna (t.ex. att vissa relevanta risker har uteslutits) snarare än att värdepappersföretaget har en överordnad strategi eller att det genomför strategin på ett utmärkt sätt. Risknivån ska därför inte fastställas enbart på grundval av kvantitativ information eller modellresultat, utan ska även omfatta en kvalitativ bedömning (genom bland annat expertutlåtanden och kritisk analys). Relevanta tendenser och uppgifter i det makroekonomiska området ska särskilt beaktas för att identifiera deras potentiella inverkan på exponeringar och portföljer.

Det yttersta ansvaret för riskbedömning ligger helt och hållet hos värdepappersföretaget, som följaktligen ska utvärdera sina risker kritiskt och inte uteslutande förlita sig på externa bedömningar.

Värdepappersföretag ska vara fullt medvetna om modellernas och mätmetodernas begränsningar och inte bara använda sig av kvantitativa riskbedömningsverktyg, utan även kvalitativa sådana (däribland expertutlåtanden och kritisk analys).

Utöver de egna bedömningarna får värdepappersföretag även använda sig av externa riskbedömningar (inklusive externa kreditutvärderingar eller externt förvärvade riskmodeller). Värdepappersföretag ska ha full kännedom om den exakta omfattningen av sådana bedömningar och deras begränsningar.

Mekanismer för regelbunden och öppen rapportering ska inrättas så att ledningsorganet, dess riskkommitté, om en sådan har inrättats, och alla relevanta enheter i värdepappersföretaget får rapporter på ett punktligt, korrekt, koncist, begripligt och meningsfullt sätt samt har möjlighet att utbyta relevant information om identifiering, mätning eller bedömning, övervakning och hantering av risker. Rapporteringsramen ska vara tydligt definierad och dokumenterad.

Effektiv kommunikation och medvetenhet om risker och riskstrategin är avgörande för hela riskhanteringsprocessen, inbegripet översyns- och beslutsprocesserna, och bidrar till att förhindra beslut som oavsiktligt kan öka riskerna. Effektiv riskrapportering förutsätter en god intern kännedom om och förmedling av riskstrategin och relevanta riskdata (t.ex. exponeringar och centrala riskindikatorer), både horisontellt inom värdepappersföretaget samt uppåt och nedåt i ledningskedjan.