Krav til håndtering af øvrige risici

Artikelserie: Nye krav til ledelse og styring af pengeinstitutter m.fl.

Krav til markedsrisikoområdet

I bekendtgørelsens bilag 2 stilles der nye detaljerede krav til bestyrelsens og direktionens opgaver og ansvar og til indholdet af forretningsgange og kontroller på markedsrisikoområdet.

Udform en politik om markedsrisici

Bestyrelsen skal udforme en politik for de markedsrisici, virksomheden må påtage sig. Politikken for markedsrisikoområdet skal bl.a. indeholde:

Hvilke risici, virksomheden henregner til markedsrisikoområdet
Det ønskede eller acceptable risikoniveau samlet og for de enkelte typer af markedsrisiko
Principper for den organisatoriske ansvarsfordeling
Overordnede krav til medarbejderkompetencer.

Bestyrelsen skal over for direktionen udforme detaljerede retningslinjer om typer af risici og omfang heraf, som virksomheden må påtage sig.

Ansatte, der arbejder med handel og risikostyring

Der er et eksplicit forbud om, at medarbejdere, der er involveret i indgåelse af handler og risikotagning, ikke må medvirke ved handlers afvikling, udførelse af interne kontroller, have ansvar for værdiansættelse og opgørelse af resultat og risici samt have ansvar for udarbejdelse af rapportering.

Krav til kontrol af markedsrisici

Der er desuden indført særlige krav til kontroller af virksomhedens opgørelse af markedsrisici og resultater. Der stilles også krav om passende uafhængige kontroller af det samlede markedsrisikoområde.

Afhængig af omfang og kompleksitet af markedsrisikobehæftede aktiviteter stilles der omfattende krav til indholdet af denne uafhængige kontrol, jf. punkt 13 i bilaget.

Krav til operationelle risici

Bekendtgørelsens bilag 3 om operationelle risici er ny og trådte i kraft den 1. juli 2011.

Udform en politik om operationelle risici

Bestyrelsen skal i denne forbindelse fastlægge en politik for operationelle risici, og direktionen skal udforme retningslinjer og forretningsgange, så risici begrænses mest muligt inden for rammerne af bestyrelsens politik.

Bestyrelsen skal bl.a. tage stilling til:

Hvilke typer af hændelser der kan kategoriseres som operationelle risici
Hvordan hændelser opsamles, opgøres og registreres
Hvordan hændelser håndteres (accepter, reducer eller transporter)
Rapporteringskrav for operationelle risici (frekvens, form og indhold).

Opbyg et register for operationelle risici

Virksomheden skal opbygge et register over hændelser, der sikrer en løbende identifikation af områder, systemer og produkter, der kan medføre væsentlige operationelle risici. Registret skal sikre en systematisk opsamling og rapportering af hændelser. I praksis vil det medføre, at virksomheden skal opbygge et register for operationelle risici med:

En liste med potentielle risici, med angivelse af årsag, effekt og håndtering
En klassificering af risici ud fra sandsynlighed og konsekvens
Handlingsplaner med roller og ansvarsfordelinger
Opsummering og rapportering af risici.

Beslutninger, der medfører operationelle risici

Direktionen skal på forhånd vurdere om, og i hvilket omfang, beslutninger kan medføre operationelle risici, der vil være i strid med de af bestyrelsen vedtagne politikker. Dette kan f.eks. være principielle beslutninger på forretningsmæssige områder, herunder indførelse af nye produkter, som er i strid med bestyrelsens vedtagne politikker. Beslutninger af denne karakter kan kræve, at den udpegede risikoansvarlige inddrages og høres.

Krav til operationelle risici i risikoredegørelsen

Direktionens risikoredegørelse skal indeholde en særskilt vurdering af bl.a. potentielle risici og faktiske indtrufne tabsgivende hændelser samt påtænkte ændringer i virksomhedens forretningsmodel, systemer og produkter, der antages at kunne medføre ændrede eller forøgede operationelle risici.

Krav til it-sikkerhed

Bekendtgørelsens bilag 5 om it-sikkerhed er i store træk alene en præcisering af gældende praksis. Dog er tidligere valgmuligheder nu ændret til krav i bekendtgørelsen.

Dette er i øvrigt et gennemgående træk i den nye bekendtgørelse.

Kravene til outsourcing-aktiviteter er desuden skærpet og præciseret i en særskilt bekendtgørelse, som trådte i kraft 1. januar 2011.