6.6 Bedömning av andra risker

De behöriga myndigheterna bör bedöma betydelsen av andra risker för värdepappersföretagets kapital som inte omfattas av kapitalbaskraven enligt pelare 1, i enlighet med artikel 36 och 40 i direktiv (EU) 2019/2034. Vid bedömningen av dessa andra risker bör de behöriga myndigheterna ta hänsyn till arten och komplexiteten i värdepappersföretagets verksamhet, som påverkar betydelsen av dessa risker.

6.6.2 Bedömning av inneboende risker

Genom bedömningen av inneboende risker som inte omfattas av kapitalbaskraven enligt pelare 1 bör de behöriga myndigheterna fastställa de huvudsakliga drivkrafterna bakom värdepappersföretagets risker och utvärdera betydelsen av dessa riskers inverkan på värdepappersföretaget. Bedömningen av sådana risker bör struktureras kring följande huvudsteg:

• a. Preliminär bedömning.
• b. Bedömning av arten och omfattningen av investeringsverksamhet som medför en risk för värdepappersföretaget som inte omfattas av kapitalbaskraven enligt pelare 1.
• c. Bedömning av system och processer för dessa verksamheter.

De behöriga myndigheterna bör bedöma risker som inte omfattas av kapitalbaskraven enligt pelare 1 i både nuvarande och framåtblickande termer.

I förekommande fall bör de behöriga myndigheterna också göra en bedömning av andra risker än de som förtecknas i detta kapitel.

74 Preliminär bedömning

För att fastställa omfattningen av bedömningen av risker som inte omfattas av kapitalbaskraven enligt pelare 1 bör de behöriga myndigheterna först identifiera de riskkällor som värdepappersföretaget är eller kan bli exponerat för.

De behöriga myndigheterna bör åtminstone beakta följande:

• a. Affärsmodell och riskaptit.
• b. Intern utveckling eller utkontraktering av it-lösningar.
• c. Stödfunktioner som regelefterlevnad, rättsliga och skattemässiga funktioner (även om de utkontrakteras).
• d. Kostnader för rättegångar och rättstvister.
• e. Totala driftsförluster, inklusive kostnader för internt och externt bedrägeri.
• f. Omfattning av verksamhet utanför handelslagret.

De behöriga myndigheterna bör göra en preliminär analys med hänsyn till förändringen över tid för att få en uppfattning om värdepappersföretagets huvudsakliga andra risker.

Ränterisk som följer av verksamhet utanför handelslagret

De behöriga myndigheterna bör bedöma den ränterisk som härrör från verksamhet utanför handelslagret som värdepappersföretaget är exponerat för.

De behöriga myndigheterna bör bedöma hur ränteförändringar kan ha en negativ inverkan på värdepappersföretagets tillgångar, skulder och exponeringar utanför balansräkningen. För att bättre kunna fastställa värdepappersföretagets komplexitet och ränteriskprofil bör de behöriga myndigheterna också förstå huvuddragen i värdepappersföretagets tillgångar, skulder och exponeringar utanför balansräkningen.

I sin kvantitativa bedömning bör de behöriga myndigheterna beakta resultaten av värdepappersföretagets interna metoder för att mäta ränterisk som härrör från verksamhet utanför handelslagret. Dessutom bör de behöriga myndigheterna överväga lämpliga chockscenarier med tanke på arten av den exponering mot ränterisk som härrör från värdepappersföretagets verksamhet utanför handelslagret.

Operativa risker som inte omfattas av pelare 1

De behöriga myndigheterna bör bedöma operativa risker som inte omfattas av minimikapitalbaskrav i enlighet med förordning (EU) 2019/2033. Dessa risker kan leda till direkta driftsförluster och indirekta förluster till följd av klagomål och rättstvister. Stora operativa risker kan också leda till personalbrist avseende nyckelbefattningar. Bedömningen bör inte bara ta hänsyn till operativa förluster, utan även till tillbud och operativa riskhändelser som leder till en vinst.

75

De behöriga myndigheterna bör beakta följande inneboende riskkällor och, i förekommande fall, inrikta bedömningen på de aspekter som anses vara mest betydande för värdepappersföretaget:

• a. Arbetsplatssäkerhet.
• b. Skador på materiella tillgångar.
• c. Interna bedrägerier.
• d. Externa bedrägerier.
• e. IKT-risker.
• f. Uppföranderisk.
• g. Regleringsmässiga, rättsliga och skattemässiga risker.
• h. Modellrisk, i förhållande till modeller som används för affärsändamål.
• i. Otillräckliga (både kvalitativa och kvantitativa) mänskliga och tekniska resurser på nyckelpositioner.
• j. Anseenderisk.

Som en del av alla ÖUP-bedömningar bör de behöriga myndigheterna bilda sig en uppfattning om graden av IKT-risk och IKT-verksamhetens överensstämmelse med affärsstrategin. De behöriga myndigheterna bör i sin bedömning inkludera alla relevanta aspekter av IKT-risker, såsom säkerhetsrisker, it-projektrisker och IKT-förvaltningsrisker, i den mån detta inte redan omfattas av andra delar av dessa riktlinjer, och med beaktande av EBA:s riktlinjer om IKT-risker och säkerhetsrisker¹⁹ och Esmas riktlinjer för utkontraktering till molntjänstleverantörer²⁰ .

De behöriga myndigheterna bör bilda sig en uppfattning om graden av uppföranderisk i samband med värdepappersföretagets investerings- och marknadsverksamhet, i den mån den inte fångas upp av kapitalbaskraven enligt pelare 1. Med uppföranderisk avses den nuvarande eller potentiella risk som kunder, marknader eller företaget självt löper på grund av ett olämpligt beteende från företagets eller dess personals sida. Denna risk kan uppstå till följd av avsiktlig eller försumlig misskötsamhet (inklusive olämpligt tillhandahållande av finansiella tjänster), i den mån de kan leda till negativa ekonomiska konsekvenser eller konsekvenser för anseendet. Denna anseenderisk kan i sin tur leda till förlust av marknadsandelar eller nyckelkunder och en ökning av kundernas klagomål.

De behöriga myndigheterna bör i förekommande fall inrikta sig på följande källor till inneboende uppföranderisker:

• a. Avveckling eller indragning av en fond.

19 EBA:s riktlinjer för hantering av IKT-risker och säkerhetsrisker (EBA/GL/2019/04).

20 Esmas riktlinjer för utkontraktering till molntjänstleverantörer (ESMA50-164-4285). 76

• b. Antal incidenter med misskötsamhet: vilseledande försäljning, otillbörlig marknadspåverkan.
• c. Ådragna lagstadgade påföljder.

De behöriga myndigheterna bör bilda sig en uppfattning om regleringsmässiga, rättsliga och skattemässiga risker till följd av bristande efterlevnad av lagar och andra författningar. Sådana risker kan leda till rättstvister och påföljder för värdepappersföretaget. Korrigerande program kan också medföra stora kostnader för att följa lagar och andra författningar.

De behöriga myndigheterna bör inrikta sig på dessa källor till inneboende regleringsrisker, rättsliga risker och finanspolitiska risker där så är relevant:

• a. Kostnader för att uppnå efterlevnad av tillämpliga bestämmelser.
• b. Betalning av böter eller andra påföljder vid bristande efterlevnad.
• c. Skatteomräkning eller försenad betalning av avgifter, böter och straffavgifter.
• d. Föregripande av regleringsändringar som är relevanta för värdepappersföretaget.

De behöriga myndigheterna bör bedöma risken i samband med modeller som används för affärsändamål, inbegripet värderings-/prissättningsmodeller, modeller för algoritmisk handel och andra modeller som kan ha en betydande inverkan på värdepappersföretagets affärsbeslut och verksamhet.

Med beaktande av värdepappersföretagets särdrag får de behöriga myndigheterna, när de utför bedömningen av risker som inte omfattas av kapitalbaskraven enligt pelare 1, beakta andra riskkällor som inte ingår i de ovannämnda kategorierna.

Systemrisk

På grundval av kvantitativa och kvalitativa kriterier bör de behöriga myndigheterna bilda sig en uppfattning om värdepappersföretagets systemrisk. På grundval av denna bedömning bör de behöriga myndigheterna avgöra om värdepappersföretagets fallissemang skulle kunna leda till allvarliga störningar på de finansiella marknader där värdepappersföretaget är verksamt.

När så är lämpligt kan bedömningen av systemrisken göras på ett aggregerat sätt för en grupp av värdepappersföretag med en liknande affärsmodell och riskprofil. När de behöriga myndigheterna gör en sådan samlad bedömning bör de beakta de potentiella konsekvenserna av att ett visst antal eller en viss andel av dessa värdepappersföretag samtidigt fallerar på de finansiella marknader där de är verksamma. För detta ändamål kan de behöriga myndigheterna överväga ett eller flera scenarier.

77 6.6.3 Bedömning av riskhantering och kontroller

För att uppnå en heltäckande förståelse av värdepappersföretagets riskprofil när det gäller risker som inte omfattas av kapitalbaskraven enligt pelare 1 bör de behöriga myndigheterna se över den ram för styrning och riskhantering som minskar den risk som härrör från andra riskkällor. I detta syfte bör de behöriga myndigheterna bedöma följande faktorer samtidigt som de tar hänsyn till omfattningen, arten och komplexiteten i värdepappersföretagets verksamhet:

• a. Huruvida värdepappersföretagets strategi återspeglar värdepappersföretagets aptit för dessa risker på ett korrekt sätt och är förenlig med den övergripande riskaptiten.
• b. Huruvida värdepappersföretaget har interna riktlinjer och riktlinjer för att säkerställa en sund riskkultur.
• c. Huruvida värdepappersföretaget har en lämplig ram för hantering, mätning, övervakning och kontroll av ränterisk som härrör från verksamhet utanför handelslagret.
• d. Huruvida värdepappersföretaget har en lämplig ram för hantering, mätning, övervakning och kontroll av it-risker, med tillräckliga (både kvalitativa och kvantitativa) mänskliga och tekniska resurser.
• e. Huruvida värdepappersföretaget har tydligt definierade riktlinjer och förfaranden för kontroll av operativ risk.

6.6.4 Sammanfattning av slutsatser och betygsättning

Efter denna bedömning bör de behöriga myndigheterna ha fått en uppfattning om värdepappersföretagets andra risker. Denna bedömning bör återspeglas i en sammanfattning av slutsatserna, vilken ska åtföljas av ett betyg grundat på de överväganden som anges i tabell 8. Om de behöriga myndigheterna, på grundval av väsentligheten hos vissa riskfaktorer, beslutar sig för att bedöma och betygsätta dem individuellt, bör den vägledning som ges i denna tabell i möjligaste mån tillämpas på motsvarande sätt.

De behöriga myndigheterna bör beakta alla dessa faktorer parallellt och inte isolerat,

Tillsynsmyndighetens Överväganden i samband med Riskbetyg adekvat riskhantering och uppfattning inneboende risk