Risikobasert tilsyn Modul for markedsrisiko Evaluering av styring og kontroll DATO: 23.11.2016 SIST REVIDERT: NOVEMBER 2016 FORFATTERANSVARLIG: VIDAR HOLM SEKSJON/AVDELING: BANK/BAFO NUMMER: 3.1
2 Finanstilsynet
Innhold 1 Innledning 4 2 Strategi og overordnede retningslinjer 6 2.1 Strategi 6 2.2 Markedsrisikorammer 7 2.3 Sentrale retningslinjer 9 3 Organisering og ansvarsforhold 10 3.1 Ansvarsfordeling 10 3.2 Ressurser og kompetanse 11 3.3 Godtgjørelsesordninger 12 4 Måling av markedsrisiko 13 4.1 Posisjonskontroll og risikomåling 13 4.2 Risikomodeller 14 4.3 Stresstester 15 5 Kontroll og rapportering 16 5.1 Rutiner for kontroll 16 5.2 Styre- og ledelsesrapportering 17 5.3 Ekstern rapportering 18 6 Uavhengig kontroll 19 7 Vedlegg 1: Eksempel på varsel om stedlig tilsyn 20 8 Vedlegg 2: Prinsipper for god risikostyring av markedsrisiko 24 9 Vedlegg 3: Operasjonalisering av uavhengighetsprinsippet 25 Finanstilsynet 3
1 Innledning Finanstilsynet benytter moduler som arbeidsverktøy ved inspeksjoner og i Finanstilsynets samlede risikovurdering (SRV) av større finansforetak. Markedsrisikomodulen består av en veiledning for vurdering av foretakets markedsrisikonivå, samt en veiledning for vurdering av foretakets system for styring og kontroll av markedsrisiko. Dette dokumentet utgjør veiledningen for vurdering av foretakets styring og kontroll. I vurderingen må en se hen til kompleksiteten og omfanget av virksomheten (proporsjonalitetsprinsippet). Dokumentet er delt inn i fem hovedkapitler: kap. 2. Strategi og overordnede retningslinjer, kap. 3. Organisering og ansvarsforhold, kap. 4. Måling av markedsrisiko, kap. 5. Kontroll og rapportering og kap. 6. Uavhengig kontroll. Vurderingsmomentene i dette dokumentet er i noen grad hentet fra ulike forskrifter, rundskriv og internasjonale anbefalinger og retningslinjer. Sentrale dokumenter er Interest rate risk in the banking book fra Baselkomiteen april 2016 (heretter kalt Baseldokumentet ) samt EBAs retningslinjer " Guidelines on the management of interest rate risk arising from non-trading activities" fra mai 2015, "Guidelines on common procedures and methodologies for the SREP" fra desember 2014 og Guidelines on the management of operational risks in market-related activities fra oktober 2010. Prinsippene i Baseldokumentet omhandler håndtering av renterisiko i bankporteføljen. På mange områder vil imidlertid prinsippene være like relevante for styring og kontroll av markedsrisiko generelt. Ut over dette bygger vurderingsmomentene på erfaringer fra det stedlige tilsynsarbeidet til Finanstilsynet. Det er utarbeidet hjelpeskjemaer for evalueringen. Med utgangspunkt i vurderingsmomentene under det enkelte avsnitt skal faktisk status for foretaket, og uavklarte spørsmål som ønskes avklart under inspeksjonen, beskrives. Finanstilsynets samlede risikovurdering (SRV) av større finansforetak I forbindelse med foretakenes vurdering av risikoprofil og kapitalbehov (ICAAP) er Finanstilsynet pålagt å evaluere ICAAP-prosessen og resultatene av prosessen i det enkelte foretak (Supervisory Review and Evaluation Process - SREP). For større finansforetak skal det årlig gjøres en samlet risikovurdering for foretaket (SRV). Denne omfatter vurdering av både styringssystemer og risikonivåer 1. Som ledd i SRV-vurderingen er det i det enkelte avsnitt i dette dokumentet avslutningsvis satt opp en tabell som en veiledning for klassifisering av kvaliteten på styring og kontroll. Klassifiseringen gjøres etter en firedelt gradering: God kontroll, Tilfredsstillende kontroll, Mindre kontroll og kontroll. Klassifiseringen gjøres for det enkelte avsnitt i veiledningen. Utgangspunktet for klassifiseringen av delområdene er de konklusjoner som gjøres om mangler og svakheter ved styring og kontroll, og utgangspunktet bør blant annet være problemstillinger trukket frem i foreløpig rapport og endelige merknader fra stedlig tilsyn på markedsrisikoområdet. Ved totalvurderingen av styring og kontroll av markedsrisiko fokuseres det på vesentlige svakheter som er avdekket ved klassifisering av enkeltområdene. Det foretas ikke en gjennomsnittsbetraktning for hele markedsrisikoområdet i foretaket. I forbindelse med stedlig tilsyn legges det ikke opp til at plasseringen i klassifiseringstabellene kommuniseres til foretaket. I vedlegg 1 følger et eksempel som, med nødvendige tilpasninger, kan danne grunnlaget for inspeksjonsvarselet. Eksemplet følger strukturen i dette dokumentet. 1 Det vises til Finanstilsynets rundskriv 12/2016 og finansforetaksloven 14-6. 4 Finanstilsynet
Relevante dokumenter: EBA retningslinjer Guidelines on the management of interest rate risk arising from non-trading activities, mai 2015. Guidelines on the management of operational risks in market-related activities, oktober 2010. Guidelines on common procedures and methodologies for the Supervisory Review and Evaluation Process (SREP), desember 2014. Guidelines on capital measures for foreign currency lending to unhedged borrowers under the supervisory review and evaluation process (SREP), desember 2013. Guidelines on Stress Testing (GL32) og Draft Guidelins on stresstesting and supervisory stress testing, desember 2015. Guidelines on internal governance (GL44), september 2011. Draft guidelines on the treatment of CVA risk under the SREP, november 2015. http://www.eba.europa.eu/regulation-and-policy/other-topics/-/activity-list/gljwy31wxat1/more Basel standarder Standards Interest rate risk in the banking book, april 2016. Standards Minimum capital requirements for markets risk, januar 2016. Principles for effective risk data aggregation and risk reporting, januar 2013. http://www.bis.org/bcbs/publications.htm Rundskriv fra Finanstilsynet Finanstilsynets praksis for vurdering av risiko og kapitalbehov, Rundskriv 12/2016. Kapitalkrav for marknadsrisiko, Rundskriv 13/2014. Godtgjørelsesordninger i finansinstitusjoner, verdipapirforetak, og forvaltningsselskap for verdipapirfond, Rundskriv, 15/2014. Krav til retningslinjer og rutiner for posisjoner i handelsporteføljen for kapitaldekningsformål, Rundskriv 17/2012. Retningslinjer for stresstesting og retningslinjer for konsentrasjonsrisiko, Rundskriv, 18/2010. Veiledning til forskrift om risikostyring og internkontroll, Rundskriv 3/2009. http://www.finanstilsynet.no/no/bank-og-finans/banker/regelverk/rundskriv-for-banker/ Finanstilsynet 5
2 Strategi og overordnede retningslinjer 2.1 Strategi Formålet med dette avsnittet er å vurdere foretakets strategi og strategiprosess for markedsrisikoområdet. Nedenfor følger aktuelle momenter: Dokumentasjon og prosess: Foretaket bør ha en dokumentert strategi for sin virksomhet innen markedsrisikoområdet. Strategien bør gjelde på konsolidert basis slik at den også omfatter eventuelle filialer og datterselskaper. Strategien bør være vedtatt av styret. Strategien bør være videreformidlet til og forstått av organisasjonen. Strategien bør være kjent for relevante beslutningstagere og personell som innehar kontrollfunksjoner knyttet til aktiviteten. Styret bør minst årlig evaluere strategien. Strategiens innhold: Styret bør klargjøre hensikten med virksomheten og dens markedsaktivitet. Styret bør definere en strategi for markedsrisiko som reflekterer foretakets risikoappetitt på området, og som er konsistent med overordnet risikoappetitt. Risikoappetitten skal være uttrykt og definert klart og tydelig som en risikotoleranse. En risikotoleranse kan for eksempel defineres i form av tapspotensialer relatert til tildelt risikokapital. Det bør klart fremgå for hver aktivaklasse hvorvidt aktiviteten har som formål kun å avdekke kundeposisjoner eventuelt annen risikoreduksjon, eller om man ønsker å ta posisjoner for å øke inntjeningen. I strategidokumentet bør en klarlegge foretakets system for styring og kontroll av markedsrisiko. Prinsippene for styring og kontroll bør gjelde på konsolidert basis, jf. prinsipp 3 i Baseldokumentet. Av strategidokumentet bør det klart fremgå hvilke aktiviteter og investeringer som er tillatt, for eksempel: o Tillatte markeder/geografiske områder o Tillatte aktivaklasser o Tillatte finansielle instrumenter Strategien bør beskrive rutiner og prosedyrer for innføring og godkjenning av eventuelle nye produkter og aktiviteter. Strategien bør inneholde krav til avkastning der risikoen ikke følger av behov for å redusere annen risiko (eksempelvis likviditetsrisiko). Beste praksis er å måle risikojustert avkastning, for å gi insentiver til effektiv kapitalbruk. I forbindelse med Finanstilsynets samlede risikovurdering for foretaket (SRV) rangeres vurderingene i én av kategoriene i tabellen nedenfor. Utgangspunktet for klassifiseringen bør blant annet være problemstillinger trukket frem i foreløpig rapport og endelige merknader fra stedlig tilsyn. God kontroll Tilfredsstillende Mindre Foretaket har gode strategiprosesser. Foretaket har strategiprosesser. Foretaket har mindre strategiprosesser. Foretaket har ikke strategiprosesser. Styret har definert en klar risikotoleranse for markedsrisiko. Styret har definert en relativt klar risikotoleranse for markedsrisiko. For øvrig en Styret har definert en noe uklar risikotoleranse for markedsrisiko. For øvrig en mindre Styret har ikke definert sin risikotoleranse for markedsrisiko. For øvrig ikke en tilfreds- 6 Finanstilsynet
For øvrig en god strategi for markedsrisiko strategi for markedsrisiko strategi for markedsrisiko stillende strategi for markedsrisiko 2.2 Markedsrisikorammer Formålet med dette avsnittet er særlig å vurdere rammestrukturen som er etablert for å styre foretakets markedsrisikonivå, jf. prinsipp 3 i Baseldokumentet. I vurderingen av den etablerte rammestrukturen må en se hen til kompleksiteten og omfanget av virksomheten. Nedenfor følger aktuelle momenter: Dokumentasjon og prosess: Dersom de overordnede markedsrisikorammene ikke følger av strategidokumentet, bør foretaket ha et eget rammedokument som angir overordnet rammestruktur og rammenivå for foretakets konsoliderte virksomhet innen markedsrisikoområdet. Rammene bør vedtas av styret, og tildeles administrerende direktør med tydelig angivelse av en eventuell videre delegering. Rammene bør evalueres minst én gang i året sammen med strategien for markedsrisikoområdet. Rammestruktur: Formen på de overordnede rammene bør være nært knyttet til den form som styret velger for å definere sin risikotoleranse, slik at rammene er konsistent med strategi og risikopolicy for markedsrisiko. Beste praksis er å angi en slik risikotoleranse i form av rammer for tapspotensialer (risikonivå). Som supplerende rammer til tapspotensialer kan risikotoleransen uttrykkes i form av eksponeringsgrenser på posisjoner, porteføljer og produkter. Rammestrukturen bør være tilpasset aktivitets- og risikonivået i foretaket, jf. punkt 30 i Baseldokumentet. o Beste praksis er å benytte rammer for tapspotensialer (sensitivitetsrammer fra stressscenarier samt eventuelt VaR-rammer) i overordnet risikostyring av markedsrisiko. I tillegg bør det benyttes nominelle eksponeringsrammer på posisjoner og porteføljer for styring av den løpende (daglige) virksomhet. Det bør også settes rammer som indikerer akseptabel nivå for volatiliteten i rentenetto (inntjeningen) under spesifikke scenarier. o For små foretak med et lavt aktivitets- og risikonivå kan det etableres en enklere rammestruktur primært basert på eksponeringsrammer. o Foretaket bør sikre at det er konsistens mellom styrets definerte risikotoleranse og det etablerte rammenivået. o Rammedokumentet bør inneholde definisjoner og beskrivelser av rutiner for håndtering og eventuell godkjennelse av avvik/brudd på rammene. Styret må gjennom den etablerte rammestrukturen sikre at alle vesentlige risikoer er styrt: Aksjerisiko, renterisiko (herunder renterisiko i bankporteføljen), valutarisiko, kredittspreadrisiko, eiendomsrisiko, CVA-risiko, ikke-lineær risiko knyttet til instrumenter med opsjonselementer mv 2. o I tillegg til rammer for maksimal eksponering for ulike aktivaklasser (jf. risikofaktoren Eksponering i ovennevnte dokument), bør det være satt rammer for "aktiv risiko", dvs. risiko knyttet til en aktivasammensetning som avviker fra relevante referansestørrelser (jf. risikofaktorene Risikospredning og Markedslikviditet i Finanstilsynets risikomodul "Evaluering av markedsrisikonivået"). 2 Aktuelle eksponeringsrammer er i noen grad berørt i modulen Evaluering av markedsrisikonivået. Finanstilsynet 7
o Det er sentralt å vurdere foretakets retningslinjer for aggregering av posisjoner (motregning). Dersom det er etablert en liberal praksis for slik motregning bør det i tillegg til nettorammer være etablert bruttorammer. o For å styre renterisikoen bør en i tillegg til totale durasjonsrammer (følsomhet overfor endringer i rentenivået/parallelle skift i rentekurven) etablere durasjonsrammer for ulike løpetidsbånd for å styre følsomheten overfor endringer i helning og krumning på rentekurven. Dersom foretaket har aktivitet i utenlandsk valuta bør renterisikorammer etableres for alle enkelvalutaer hvor det tas vesentlig renterisiko. For en nærmere beskrivelse av måling og styring av renterisiko, se Baseldokumentet punkt 9 og 35 til 51. o Ikke-lineær risiko kan styres ved å etablere rammer for følsomheten til opsjonens deltaverdi ved endring i verdien til det underliggende instrument (gamma-virkningen) og rammer for opsjonsverdiens følsomhet ved endring i volatiliteten til det underliggende instrument (vega-virkningen). Følsomheten ved endring i opsjonens løpetid (theta-virkningen) og følsomheten ved endring i den risikofrie renta (rhovirkningen), kan også være av betydning. Den ikke-lineære risikoen fanges best opp ved bruk av simuleringsteknikker. Det bør settes rammer som sikrer risikospredning og begrenser konsentrasjon mot motparter, sektorer og geografier for gjelds- og egenkapitalinstrumenter. Rammene bør være konsistente med foretakets generelle metodikk for måling av risiko. Metodikken, herunder prinsipper for aggregering av posisjoner, bør være godt dokumentert. Fullmaktstruktur: Basert på de overordnede rammene gitt av styret, bør foretaket skriftlig delegere rammer og fullmakter til ulike nivåer innen virksomhetsområdet, helt ned til den enkelte desk eller risikotaker (megler/forvalter). Rammestrukturen bør også presiseres på lavere virksomhetsnivåer, for eksempel på divisjonsnivå eller for hvert forretningsområde. Hvordan ulike posisjoner skal måles mot etablerte rammer bør være godt dokumentert. Det bør foreligge rutiner og fullmakter for etablering og fordeling av kredittlinjer og oppgjørslinjer på motparter i handler og oppgjør, samt for kredittlinjer/eksponeringsrammer for utstedere ved investering i verdipapirer. Dette dekkes også delvis i modulen for kredittrisiko. I forbindelse med Finanstilsynets samlede risikovurdering for foretaket (SRV) rangeres vurderingene i én av kategoriene i tabellen nedenfor. Utgangspunktet for klassifiseringen bør blant annet være problemstillinger trukket frem i foreløpig rapport og endelige merknader fra stedlig tilsyn. God kontroll Tilfredsstillende Mindre Foretaket har godt dokumenterte rammer. Foretaket har dokumenterte rammer. Foretaket har mindre dokumenterte rammer. Foretaket har ikke dokumenterte rammer. Prosessene for rammesetting er gode. Prosessene for rammesetting er. Prosessene for rammesetting er mindre. Prosessene for rammesetting er ikke. Rammestrukturen sikrer god styring av alle vesentlige risikoer. Rammestrukturen sikrer styring av alle vesentlige risikoer. Rammestrukturen gir en mindre styring av vesentlige risikoer. Rammestrukturen sikrer ikke tilstrekkelig styring av vesentlige risikoer. Fullmaktstrukturen er god. Fullmaktstrukturen er. Fullmaktstrukturen er mindre. Fullmaktstrukturen er ikke. 8 Finanstilsynet
2.3 Sentrale retningslinjer Formålet med dette avsnittet er å vurdere foretakets retningslinjer for godkjennelse av nye produkter/aktiviteter, samt øvrige sentrale overordnede retningslinjer for markedsrisikoområdet. Godkjennelse av nye produkter/tjenester og aktiviteter: Godkjennelse av nye, samt vesentlige endringer i eksisterende, produkter/tjenester og aktiviteter (for eksempel handel med nye finansielle instrumenter) berøres i Baseldokumentets prinsipp 1 (punkt 14). Under følger momenter som bygger på kommentarene til dette prinsippet: Det bør foreligge dokumenterte godkjennelsesprosedyrer for nye produkter og aktiviteter, herunder handel og investeringer i nye markeder og instrumenter. Rutinen bør også tydelig definere hva som menes med et nytt/endret produkt og tjeneste. Godkjennelse av nye produkter og aktiviteter bør gis av styret eller annen relevant instans som styret har delegert ansvaret til. Compliance funksjonen bør, i samarbeid med risikostyringsfunksjonen, sørge for etterlevelse av rutinene på området. Som grunnlag for beslutningen bør det utarbeides dokumentasjon som minimum inneholder: o En beskrivelse av produktet/aktiviteten. o En risikoanalyse av produktet/aktiviteten og evt. innvirkning på foretakets risikoprofil. o En vurdering av menneskelige og systemmessige ressurser og kompetanse som kreves for å etablere en god og effektiv risikoovervåkning og risikohåndtering. o En beskrivelse av nødvendige prosedyrer for overvåking, kontroll og rapportering av identifiserte risikoer. Nye produkter bør være forhåndsvurdert og godkjent av compliance funksjonen før endelig beslutning fattes. Risikostyringsfunksjonen skal involveres i prosessen og blant annet gjøre en full vurdering av risiko ved produktendringene, samt vurdere om foretaket er i tilstrekkelig stand til å kontrollere og følge opp ny risiko. Styret, eller annen relevant instans som styret har delegert ansvaret til, bør godkjenne viktige enkelttiltak, strategier og sikringsstrategier innenfor foretakets risikostyring før de implementeres. Øvrige sentrale retningslinjer: Foretaket bør ha skriftlige retningslinjer for de enhetene som er tildelt markedsrisikorammer, herunder forvaltningsavtaler med konserninterne og/eller konserneksterne forvaltere. Sentrale retningslinjer bør godkjennes av styret eller annen instans som styret har delegert ansvaret til. Styret bør påse at retningslinjene gjøres kjent og implementeres i organisasjonen. Retningslinjene bør jevnlig evalueres. Foretaket bør ha rutiner for identifisering, kontroll og oppfølging av operasjonell risiko knyttet til markedsrisikoaktiviteter jf. EBAs retningslinjer for operasjonell risiko prinsipp 1. I forbindelse med Finanstilsynets samlede risikovurdering for foretaket (SRV) rangeres vurderingene i én av kategoriene i tabellen nedenfor. Utgangspunktet for klassifiseringen bør blant annet være problemstillinger trukket frem i foreløpig rapport og endelige merknader fra stedlig tilsyn. God kontroll Tilfredsstillende Mindre Det er etablert gode Det er etablert tilfreds- Det er etablert mindre prosedyrer for godkjennelse stillende prosedyrer for prosedyrer av nye produkter. godkjennelse. for godkjennelse. Det er etablert ikke prosedyrer for godkjennelse. Øvrige sentrale retningslinjer sikrer god styring av virksomheten Øvrige sentrale retningslinjer sikrer styring Øvrige sentrale retningslinjer gir mindre styring Øvrige sentrale retningslinjer gir ikke styring av Finanstilsynet 9
av virksomheten. av virksomheten. virksomheten. 3 Organisering og ansvarsforhold 3.1 Ansvarsfordeling Formålet med dette avsnittet er å vurdere organiseringen og ansvarsdelingen innen markedsrisikoområdet i foretaket. I vurderingen må en ta hensyn til kompleksiteten og omfanget av virksomheten. Nedenfor følger aktuelle momenter: Større foretak bør ha etablert en egen uavhengig enhet i 2. linjen med ansvar for utforming og administrasjon av systemet for styring og kontroll av markedsrisiko. Enheten bør være uavhengig forretningsenheter med resultatansvar og rapportere direkte til toppledelsen, og ved behov også direkte til styret. Foretaket bør ha en styringsstruktur som effektivt iverksetter strategien på markedsrisikoområdet. Styringsstrukturen bør sikre løpende engasjement fra foretakets toppledelse. Foretaket bør klart definere hvilken organisatorisk enhet eller hvilken gruppe/komité (for eksempel en balansestyringskomité) som er premissgiver og har ansvar for den overordnede styringen av markedsrisikonivået og oppfølgingen av resultatene. Enheter/personell med operativt ansvar for den løpende styringen av foretakets markedsrisiko må også være klart definert. Foretaket bør sikre at det i 1.-linjen er tilstrekkelig uavhengighet og arbeidsdeling mellom enheter/personell med resultatansvar og enheter/personell med ansvar for 3 : o Utarbeidelse og oppfølging av interne retningslinjer og rutiner. o Måling og overvåking av risiko og resultater. o Utarbeidelse av ledelsesrapportering og kontroll av rapporteringsdata. o Utførelse av back-office funksjoner som registrering, resultatføring og kontroll av markedsdata og posisjoner. I forbindelse med Finanstilsynets samlede risikovurdering for foretaket (SRV) rangeres vurderingene i én av kategoriene i tabellen nedenfor. Utgangspunktet for klassifiseringen bør blant annet være problemstillinger trukket frem i foreløpig rapport og endelige merknader fra stedlig tilsyn. God kontroll Tilfredsstillende Mindre Styringsstrukturen Styringsstrukturen iverksetter strategien på en iverksetter strategien på en god måte og sikrer løpende måte og engasjement fra sikrer løpende engasjement toppledelsen. fra toppledelsen. Styringsstrukturen iverksetter strategien på en mindre måte og sikrer i mindre grad løpende engasjement fra toppledelsen. Styringsstrukturen iverksetter ikke strategien på en måte og sikrer i ikke løpende engasjement fra toppledelsen. Ansvaret for risikostyringen og resultat - oppfølgingen er klart definert. Ansvaret for risikostyringen og resultat - oppfølgingen er klart definert. Ansvaret for risikostyringen og resultat - oppfølgingen er uklar. Ansvaret for risikostyringen og resultat - oppfølgingen er uklar. Det er god uavhengighet Det er Det er mindre tilfreds- Det er ikke tilfreds- 3 Se Vedlegg 3: Operasjonalisering av uavhengighetsprinsippet. 10 Finanstilsynet
og arbeidsdeling. uavhengighet og arbeidsdeling. stillende uavhengighet og arbeidsdeling. stillende uavhengighet og arbeidsdeling. 3.2 Ressurser og kompetanse Formålet med dette avsnittet er å vurdere foretakets ressurser og kompetanse innen markedsrisikoområdet. Nedenfor følger aktuelle momenter: Styret og ledelsen bør sikre at foretaket har personale med tilstrekkelig kompetanse til å styre og kontrollere markedsrisiko. Antallet medarbeidere bør være tilpasset virksomhetens kompleksitet og omfang. Ressursene bør også være tilstrekkelige til å dekke inn midlertidig fravær av nøkkelpersonell. Rutiner for sammenhengende ferie for posisjonstakere bør være etablert for å redusere/avdekke operasjonell risiko jf. EBAs retningslinjer for operasjonell risiko, prinsipp 2. Balansen mellom enheter/personell med resultatansvar og enheter/personell med kontrollansvar bør være slik at kontrollenhetene kan gjennomføre en effektiv og god løpende kontroll av virksomheten. Personell med kontrollansvar bør ha god forståelse av aktuelle risikoer og ha myndighet og incentiver til å belyse og vurdere handlinger og handler utført av personell med resultatansvar jf. EBAs retningslinjer for operasjonell risiko prinsipp 3. Uavhengige kontrollfunksjoners (1. og 2. linje) ressurser og kompetanse innen markedsrisikoområdet bør være tilpasset kompleksiteten og omfanget av virksomheten. I forbindelse med Finanstilsynets samlede risikovurdering for foretaket (SRV) rangeres vurderingene i én av kategoriene i tabellen nedenfor. Utgangspunktet for klassifiseringen bør blant annet være problemstillinger trukket frem i foreløpig rapport og endelige merknader fra stedlig tilsyn. God kontroll Tilfredsstillende Mindre Organisasjonens Organisasjonens kompetanse er god i forhold kompetanse er til kompleksiteten og i forhold til omfanget av virksomheten. kompleksiteten og omfanget av virksomheten. Antallet medarbeidere og fordelingen av disse er god i forhold til kompleksiteten og omfanget av virksomheten. Antallet medarbeidere og fordelingen av disse er i forhold til kompleksiteten og omfanget av virksomheten. Organisasjonens kompetanse er mindre i forhold til kompleksiteten og omfanget av virksomheten. Antallet medarbeidere og fordelingen av disse er mindre i forhold til kompleksiteten og omfanget av virksomheten. Organisasjonens kompetanse er ikke i forhold til kompleksiteten og omfanget av virksomheten. Antallet medarbeidere og fordelingen av disse er ikke i forhold til kompleksiteten og omfanget av virksomheten. Uavhengige kontrollfunksjoners ressurser og kompetanse er god i forhold til kompleksiteten og omfanget av virksomheten. Uavhengige kontrollfunksjoners ressurser og kompetanse er i forhold til kompleksiteten og omfanget av virksomheten. Uavhengige kontroll- Uavhengige kontrollfunksjoners ressurser og funksjoners ressurser og kompetanse er mindre kompetanse er ikke i forhold til i forhold til kompleksiteten og omfanget kompleksiteten og av virksom- heten. omfanget av virksomheten. Finanstilsynet 11
3.3 Godtgjørelsesordninger Formålet med dette avsnittet er å vurdere foretakets godtgjørelsesordninger for markedsrisikoområdet. Det henvises til Forskrift om godtgjørelse i finansinstitusjoner, verdipapirforetak og forvaltningsselskap for verdipapirfond (FOR-2014-08-22-1094 ) og Finanstilsynets Rundskriv 15/2014 for ytterligere informasjon. Nedenfor følger aktuelle momenter: Godtgjørelsesordningen skal omfatte hele foretaket og ordningen skal bidra til å fremme og gi incentiver til god styring av og kontroll med foretakets risiko. Ordningen skal motvirke for høy risikotaking og bidra til å unngå interessekonflikter, jf. 1. Ordningen skal være i samsvar med foretakets overordnede mål, risikotoleranse og langsiktige interesser, jf. 2. Foretaket skal minst årlig foreta en gjennomgang av praktiseringen av godtgjørelsesordningen og utarbeide en skriftlig rapport om hver årlige gjennomgang. Rapporten skal gjennomgås av uavhengige kontrollfunksjoner, jf. 2. I ordningen skal det fastsettes hvilke grupper av ansatte som skal anses som ledende ansatte, som ansatte med arbeidsoppgaver av vesentlig betydning for foretakets risikoeksponering, samt som ansatte med kontrolloppgaver jf. 3. For ledende ansatte skal variabel godtgjørelse normalt ikke utgjøre mer enn den faste godtgjørelsen, og aldri mer enn det dobbelte av fast godtgjørelse. For ledelsen skal variabel godtgjørelse ikke utgjøre mer enn halvparten av den faste godtgjørelsen jf. 4. Ved måling av resultater skal risiko for foretaket og kostnader knyttet til behov for kapital og likviditet hensyntas. Grunnlag for variabel godtgjørelse knyttet til foretakets resultater skal være en periode på minst to år jf. 4. Godtgjørelse til ansatte med kontrollansvar skal være uavhengig av resultatet i forretningsområdet som de kontrollerer jf. 6. I forbindelse med Finanstilsynets samlede risikovurdering for foretaket (SRV) rangeres vurderingene i én av kategoriene i tabellen nedenfor. Utgangspunktet for klassifiseringen bør blant annet være problemstillinger trukket frem i foreløpig rapport og endelige merknader fra stedlig tilsyn. God kontroll Tilfredsstillende Mindre Etablerte Etablerte Etablerte godtgjørelsesordninger er godtgjørelsesordninger er godtgjørelsesordninger er gode.. mindre. Foretaket har ikke etablert noen godtgjørelsesordning, eller etablert godtgjørelsesordninger som ikke er. Forskriftens krav dekkes på alle områder. Forskriftens krav dekkes på alle områder. Forskriftens krav dekkes på alle vesentlige områder. Forskriftens krav dekkes ikke på vesentlige områder. 12 Finanstilsynet
4 Måling av markedsrisiko 4.1 Posisjonskontroll og risikomåling Formålet med dette avsnittet er å vurdere foretakenes systemer og rutiner for administrering av markedsposisjoner, verdsettelse og beregning av eksponeringsindikatorer/risikomål 4. I vurderingen av systemer og rutiner må en ta hensyn til kompleksiteten og omfanget av virksomheten. For foretak med handelsportefølje følger det av kapitalkravsforskriften 31-1 første ledd at foretakets handelsportefølje minst daglig skal vurderes til markedsverdi. Det følger videre av 31-4 at: Institusjonen skal ha retningslinjer og rutiner for hvilke posisjoner som skal inngå i handelsporteføljen, og for forvaltning, verdivurdering og overvåking av handelsporteføljen. Regelmessig kontroll av verdsettelsen skal skje uavhengig av handelsenheten og rapporteres til styret. Uavhengig verifikasjon av markedspriser skal skje minst månedlig. Finanstilsynet forventer at foretakene har innført tilsvarende rutiner og retningslinjer for å følge opp alle posisjoner som medfører markedsrisiko, og ikke bare handelsporteføljer. Nedenfor følger aktuelle momenter for alle foretak med markedsrisiko: Porteføljesystemet/informasjonssystemet som brukes til å måle de ulike posisjonenes markedsverdi (risikoeksponering) bør inkludere alle posisjoner, og bør avstemmes mot troverdige kilder for posisjons- og markedsdata (eksempelvis VPS). Porteføljesystemet bør løpende, og minst daglig, oppdateres med nye transaksjoner. Dersom det benyttes ulike systemer for ulike delporteføljer/instrumenter, bør det foreligge rutiner for hvordan dataene skal integreres og aggregeres. Porteføljesystemet bør løpende oppdateres med nye markedspriser. Markedsprisene bør hentes fra anerkjente kilder (eksempelvis Reuters, etc.) og innhentingen bør foretas av ansatte med kontrolloppgaver. Verdsettelse og eksponeringsindikatorer bør være basert på anerkjente modeller og prinsipper. Risikoeksponering bør måles på en konsistent og enhetlig måte. Modeller, parametere og forutsetninger bør være godt dokumentert. Sentrale forutsetninger bør være kjent og forstått av styret og ledelsen jf. prinsipp 5 i Baseldokumentet, og bør evalueres minst årlig. Foretakets risikomåling bør ikke begrenses til kun et risikomål, men det bør benyttes et utvalg av flere metoder for å kvantifisere eksponeringen for markedsrisiko pkt. 53 i Baseldokumentet. Verdsettelse av porteføljer og beregning av risikoeksponering bør foretas av ansatte med kontrollansvar. Manuelle rutiner knyttet til registrering og verdsettelse mv. bør være redusert til et minimum. Eventuelle manuelle endringer av systemdata bør dokumenteres. Det bør foreligge rutiner for kvalitetssikring av data og systemer. Alle relevante posisjoner, kontantstrømmer og beregningsdata (markedspriser mv.) bør registreres og lagres, og endringer bør kunne spores (audit trail) jf. EBAs retningslinjer for operasjonell risiko prinsipp 9. I forbindelse med Finanstilsynets samlede risikovurdering for foretaket (SRV) rangeres vurderingene i én av kategoriene i tabellen nedenfor. Utgangspunktet for klassifiseringen bør blant annet være problemstillinger trukket frem i foreløpig rapport og endelige merknader fra stedlig tilsyn. God kontroll Tilfredsstillende Mindre Gode systemer og Tilfredsstillende systemer rutiner for administrering av og rutiner for administrering posisjoner. av posisjoner. Mindre systemer og rutiner for administrering av posisjoner systemer og rutiner for administrering av posisjoner 4 Jf. prinsipp 6 i Baseldokumentet og Basel prinsipp 1 til 6 i "Principles for effective risk data aggregation and risk reporting". Finanstilsynet 13
Gode systemer og rutiner for beregning av markedsverdier og eksponeringsmål. Tilfredsstillende systemer og rutiner for beregning av markedsverdier og eksponeringsmål. Mindre systemer og rutiner for beregning av markedsverdier og eksponeringsmål. systemer og rutiner for beregning av markedsverdier og eksponeringsmål. 4.2 Risikomodeller Formålet med dette avsnittet er å vurdere foretakenes bruk av statistiske modeller for beregning av markedsrisikonivå mv. og eventuelt for beregning av økonomisk kapital. Nedenfor følger aktuelle momenter: Modellene: Modellene bør fange opp et tilstrekkelig antall risikofaktorer: Risikomodellene bør gi en god representasjon av den faktiske porteføljen. o Det bør som et minimum være risikofaktorer innenfor hver av risikokategoriene som modellen dekker, dvs. aksjer, renter, valuta, råvarer, etc. o I tillegg bør det være et tilstrekkelig og representativt antall risikofaktorer innenfor hver kategori, for eksempel punkter på rentekurven, aksjeindekser, valutakurser, etc. Det må være tilstrekkelig kvalitet på dataseriene (markedsdata, posisjonsdata) som inngår i beregningene, samt på prosedyrene for oppdateringen av datagrunnlaget for beregningene. Modellenes beregning av risikoreduserende effekter (graden av samvariasjon mellom ulike elementer i og mellom porteføljer) bør ved usikkerhet være konservativt anslått. Integrasjon og ettertesting: Modellene bør være en integrert del av foretakets system for risikostyring. Styret og ledelsen bør ha et aktivt forhold til risikostyringsprosessen. Styret og ledelsen bør være kjent med sentrale parametere og forutsetninger i modellen, og forutsetninger og parametere bør evalueres ved behov, og uansett minst årlig. Foretaket bør ha etablerte rutiner for kontroll og oppfølging av modellens gyldighet gjennom ettertesting/validering. Ettertesting/validering, så vel som selve modellen og endringer i denne, bør være godt dokumentert. Internrevisjonen bør gjennomgå og evaluere foretakets håndtering og bruk av risikomodeller i sin årlige risikovurdering. I forbindelse med Finanstilsynets samlede risikovurdering for foretaket (SRV) rangeres vurderingene i én av kategoriene i tabellen nedenfor. Utgangspunktet for klassifiseringen bør blant annet være problemstillinger trukket frem i foreløpig rapport og endelige merknader fra stedlig tilsyn. God kontroll Tilfredsstillende Mindre Gode modeller for kvantifisering av markedsrisiko sett i forhold til foretakets portefølje og ambisjonsnivå. Foretakets risikomodeller er godt integrert i den løpende styringen av markedsrisiko. Dokumentasjon og rutinene for ettertesting/validering er gode. Tilfredsstillende risikomodeller sett i forhold til foretakets portefølje og ambisjonsnivå. Foretakets risikomodeller er godt integrert i den løpende styringen av markedsrisiko. Dokumentasjon og rutinene for ettertesting/validering er. Mindre risikomodeller sett i forhold til foretakets portefølje og ambisjonsnivå. Foretakets risikomodeller er kun i liten grad integrert i den løpende styringen av markedsrisiko. Dokumentasjon og rutinene for ettertesting/validering er mindre. risikomodeller sett i forhold til foretakets portefølje og ambisjonsnivå. Foretakets risikomodeller er ikke integrert i den løpende styringen av markedsrisiko. Dokumentasjon og rutinene for ettertesting/validering er ikke. 14 Finanstilsynet
4.3 Stresstester Formålet med dette avsnittet er å vurdere foretakets bruk av stresstester på markedsrisikoområdet. EBA Guidelines on Stress Testing (GL32) fra 2010 5 dekker hele foretaket og alle risikofaktorer. Vedlegg 1 til nevnte retningslinje dekker markedsrisikoområdet spesifikt. Nedenfor følger aktuelle momenter. Foretaket bør måle sin sårbarhet overfor uvanlig volatile og turbulente markedsforhold, herunder situasjoner hvor sentrale forutsetninger i den løpende risikomålingen bryter sammen, eksempelvis manglende likviditet for en eller flere aktivaklasser, eller endringer i samvariasjon mellom markeder. Stresstesting bør være en integrert del av foretakets risikostyringssystem jf. punkt 37 i Baseldokumentet. Foretaket bør regelmessig evaluere utformingen av stresstestene og vurdere testenes egnethet jf. GL32 prinsipp 5. Alle vesentlige risikoområder bør dekkes. Foretaket bør gjennomføre sensitivitetsanalyser for spesifikke porteføljer eller risikoer jf. GL32 prinsipp 6. Foretaket bør gjennomføre dynamiske og framoverskuende scenarioanalyser hvor flere risikofaktorer inntreffer samtidig jf. GL32 prinsipp 7. Scenarioanalyser bør baseres på alvorlige, men samtidig mulige hendelser jf. GL32 prinsipp10. I forbindelse med Finanstilsynets samlede risikovurdering for foretaket (SRV) rangeres vurderingene i én av kategoriene i tabellen nedenfor. Utgangspunktet for klassifiseringen bør blant annet være problemstillinger trukket frem i foreløpig rapport og endelige merknader fra stedlig tilsyn. God kontroll Tilfredsstillende Mindre Gode stresstester. Tilfredsstillende Mindre stresstester. stresstester. stresstester. Gode prosedyrer for Tilfredsstillende prosedyrer evaluering av stresstestene. for evaluering av stresstestene. Mindre prosedyrer for evaluering av prosedyrer for evaluering av stresstestene. stresstestene. 5 GL32 er under oppdatering av EBA, og referanse gis også til nytt forslag til retningslinje "Draft Guidelins on stresstesting and supervisory stress testing" fra 18. desember 2015 (EBA/CP/2016/28). I det nye forslaget er markedsrisiko spesifikt beskrevet i punkt 123-129 og renterisiko i bankboken nevnt i punkt 162-168. Finanstilsynet 15
5 Kontroll og rapportering 5.1 Rutiner for kontroll Formålet med dette avsnittet er å vurdere foretakets rutiner for kontroll av markedsrisiko, resultater og etterlevelse av interne og eksterne retningslinjer. I vurderingen av rutinene må en ta hensyn til kompleksiteten og omfanget av virksomheten. Rammeverk for styring og kontroll omtales generelt i prinsipp 2 i Baseldokumentet. Nedenfor følger aktuelle momenter: Kontroll av risiko: Overvåking av utviklingen i etablerte risikomål bør skje løpende både på konsolidert basis og for delporteføljer 6. Det bør være etablert prosedyrer som sikrer at det er konsistens mellom styrets markedsrisikotoleranse og rammenivået. Styret og ledelsen bør jevnlig vurdere utfallet av gjennomførte stresstester opp mot allokert risikokapital og nivået på etablerte rammer. Foretaket bør sikre etablering av tilstrekkelige rutiner for eskalering ved brudd på rammer. Internkontrollen, inkludert effektiviteten og hensiktsmessigheten til de ulike kontrollhandlinger som gjennomføres, bør jevnlig vurderes av en uavhengig instans 7. Kontroll av resultater: Overvåking av resultater bør skje løpende både på konsolidert basis og for delporteføljer. Foretaket bør ha rutiner som avstemmer risiko (posisjoner) mot rapporterte resultater og eventuelle kontantstrømmer knyttet til marginavtaler (CSA/Collateral) jf. EBAs retningslinjer for operasjonell risiko prinsipp 12. Metodikk for måling av avkastning bør være godt dokumentert og følge etablert beste praksis. Kontroll av etterlevelse av interne og eksterne retningslinjer: Det bør foreligge rutiner for overvåking av etterlevelse av interne retningslinjer (herunder rammer) og rutiner. Gjentatte brudd på interne rammer og retningslinjer indikerer at rutinene ikke er. Det bør foreligge rutiner for overvåking av etterlevelse av regulatoriske krav. Gjentatte overtredelser av lover og forskrifter indikerer at rutinene ikke er. Brudd på interne rammer, retningslinjer og rutiner bør rapporteres til den instans hvor de er vedtatt. Det bør foreligge prosedyrer for oppfølging av alle typer brudd. I forbindelse med Finanstilsynets samlede risikovurdering for foretaket (SRV) rangeres vurderingene i én av kategoriene i tabellen nedenfor. Utgangspunktet for klassifiseringen bør blant annet være problemstillinger trukket frem i foreløpig rapport og endelige merknader fra stedlig tilsyn. 6 Det følger av punkt 29 i Baseldokumentet at risikoen bør overvåkes på konsolidert basis slik at risikoen i eventuelle filialer og datterselskaper inkluderes, men samtidig må foretaket ta hensyn til eventuelle hindringer for overføring av kapital mellom ulike enheter. 7 Internrevisor for foretak med forvaltningskapital på over 10 milliarder kroner jf. Forskrift om risikostyring og internkontroll 9. 16 Finanstilsynet
God kontroll Tilfredsstillende Mindre Etablerte rutiner for Etablerte rutiner for Etablerte rutiner for overvåking av risiko er overvåking av risiko er overvåking av risiko er gode.. mindre. Etablerte rutiner for overvåking av risiko er ikke. Etablerte rutiner for overvåking av resultater er gode. Etablerte rutiner for overvåking av resultater er. Etablerte rutiner for overvåking av resultater er mindre. Etablerte rutiner for overvåking av resultater er ikke. Etablerte rutiner for overvåking av etterlevelsen av interne og eksterne retningslinjer er gode. Etablerte rutiner for overvåking av etterlevelsen av interne og eksterne retningslinjer er. Etablerte rutiner for overvåking av etterlevelsen av interne og eksterne retningslinjer er mindre. Etablerte rutiner for overvåking av etterlevelsen av interne og eksterne retningslinjer er ikke. Det er etablert gode prosedyrer for håndtering av brudd på retningslinjer. Det er etablert prosedyrer for håndtering av brudd på retningslinjer. Det er etablert mindre prosedyrer for håndtering av brudd på retningslinjer. Det er ikke etablert prosedyrer for håndtering av brudd på retningslinjer. 5.2 Styre- og ledelsesrapportering Formålet med dette avsnittet er å vurdere rapporteringen til styret og ledelsen og rutinene for kvalitetssikring av rapporteringen, jf. prinsipp 7 i Baseldokumentet. I vurderingen av rapporteringen må en se hen til kompleksiteten og omfanget av virksomheten. Nedenfor følger aktuelle momenter: Innhold: Rapporteringen til styret og foretakets ledelse bør gi et helhetlig bilde av foretakets markedsrisiko. Rapportering bør skje til ulike ledernivå og bør inneholde relevant og tilstrekkelig informasjon til hvert rapporteringsnivå. Aggregert informasjon skal være tilstrekkelig detaljert til at foretakets sensitivitet til endringer i de viktigste risikofaktorene i markedet fremkommer. I rapporteringen til styret og ledelsen bør de målevariable som er definert i strategi, rammedokumenter og overordnede retningslinjer, inngå. Eksempler her er: o Faktisk eksponering i forhold til etablerte rammenivåer for ulike typer markedsrisiko. Maksimal og gjennomsnittlig rammeutnyttelse mellom rapporteringstidspunktene bør fremgå. o Faktiske resultater i forhold til måltall. Styret og ledelsen bør motta rapporter som viser resultater av stresstestberegninger og andre sentrale analyser av markedsrisikonivået. Sentrale forutsetninger for beregningene bør tydelig fremgå slik at styret og ledelsen kan evaluere gyldigheten og implikasjonene av de ulike scenariene. Styret og ledelsen bør motta rapporter som viser foretakets etterlevelse av retningslinjer og rutiner på markedsrisikoområdet. Styret og ledelsen bør motta rapporter som viser evalueringer av systemet for styring og kontroll av markedsrisiko, herunder påpekninger fra intern og ekstern revisor. Frekvens: Det bør rapporteres jevnlig til styret og ledelsen. Rapporteringsfrekvensen må tilpasses kompleksiteten og omfanget av virksomheten. Under stabile markedsforhold anses kvartalsvis risikorapportering til styret som tilstrekkelig for mindre banker, og halvårlig som et absolutt minimum. Finanstilsynet 17
Ved urolige markedsforhold bør styret og/eller ledelsen vurdere å øke rapporteringsfrekvensen. Kvalitetssikring: Foretaket bør ha etablert rutiner for kvalitetssikring av rapporteringsdataene og systemene for rapportering. Det bør foretas rimelighetskontroller og stikkprøver av dataene. Rapportenes form, innhold og frekvens bør evalueres jevnlig. I forbindelse med Finanstilsynets samlede risikovurdering for foretaket (SRV) rangeres vurderingene i én av kategoriene i tabellen nedenfor. Utgangspunktet for klassifiseringen bør blant annet være problemstillinger trukket frem i foreløpig rapport og endelige merknader fra stedlig tilsyn. God kontroll Tilfredsstillende Mindre Gode rapporter til styret Tilfredsstillende rapporter til Mindre og ledelsen. styret og ledelsen. rapporter til styret og ledelsen. rapporter til styret og ledelsen. God frekvens på rapporteringen til styret og ledelsen. Tilfredsstillende frekvens på rapporteringen til styret og ledelsen. Mindre frekvens på rapporteringen til styret og ledelsen. frekvens på rapporteringen til styret og ledelsen. Gode rutiner for kvalitetssikring. Tilfredsstillende rutiner for kvalitetssikring. Mindre rutiner for kvalitetssikring. rutiner for kvalitetssikring. 5.3 Ekstern rapportering Formålet med dette avsnittet er å vurdere foretakets rapportering til myndighetene og rutinene for kvalitetssikring av rapporteringen. Nedenfor følger aktuelle momenter. Foretaket bør ha etablert rutiner for kvalitetssikring av dataene som rapporteres til myndighetene. Dårlig kvalitet på rapporteringsdataene indikerer at rutinene ikke er. o Et eksempel på en slik rutine kan være at enheter/personell som har det løpende fagansvaret for markedsrisikoområdet kontrollerer rapportene før de oversendes myndighetene. I forbindelse med Finanstilsynets samlede risikovurdering for foretaket (SRV) rangeres vurderingene i én av kategoriene i tabellen nedenfor. Utgangspunktet for klassifiseringen bør blant annet være problemstillinger trukket frem i foreløpig rapport og endelige merknader fra stedlig tilsyn. God kontroll Tilfredsstillende Mindre Gode rutiner for Tilfredsstillende rutiner Mindre kvalitetssikring. for kvalitetssikring. rutiner for kvalitets- sikring. rutiner for kvalitets- sikring. 18 Finanstilsynet
6 Uavhengig kontroll Formålet med dette kapittelet er å vurdere uavhengige kontrollfunksjoner. Med uavhengige kontrollfunksjoner menes her særlig intern og ekstern revisor. Kontrollfunksjoner i første linje (forretningsenheten) og andre linje (risikostyringsfunksjonen og compliance funksjonen) vurderes som del av gjennomgangen i foregående kapitler, og da spesielt kapittel 4 om kontroll og rapportering. Kun forhold som gjelder markedsrisikoområdet vurderes her. Nedenfor følger aktuelle momenter: Uavhengige evalueringer: Foretakets system for styring og kontroll av markedsrisiko bør jevnlig evalueres av uavhengige kontrollfunksjoner, jf. punkt 26, 27 og 65 i Baseldokumentet. Slike evalueringer bør dekke hovedelementene ved styring og kontroll av markedsrisiko for hele foretaket, herunder omfatte: o Vurderinger av om systemet for styring og kontroll av markedsrisiko er tilpasset virksomhetens kompleksitet og risikonivå. o Vurderinger av om foretaket har etablert tilstrekkelig uavhengighet og arbeidsdeling mellom enheter/personell med resultatansvar og enheter/personell med kontrollansvar. o Vurderinger av om interne retningslinjer og rutiner for styring og kontroll av markedsrisiko, er godt dokumentert. o Kontroll av om interne retningslinjer og rutiner for styring og kontroll av markedsrisiko, etterleves. o Kontroll av etterlevelse av lovkrav. o Vurderinger av om modeller og forutsetninger som ligger til grunn for måling av markedsrisiko er godt dokumentert, at kvalitetssikringen av modeller og underliggende data er og at aggregeringen av risiko er hensiktsmessig. o Vurderinger av hensiktsmessigheten og effektiviteten i foretakets kontrollhandlinger i måling og kontroll av markedsrisiko. o Vurderinger av ledelsens deltagelse i kontrollprosessen. o Vurderinger av om det er tilstrekkelig kompetanse og ressurser knyttet til markedsrisikoområdet i foretaket. Oppfølging av uavhengige evalueringer: Rapporter fra uavhengige kontrollfunksjoner bør behandles på et relevant og tilstrekkelig høyt nivå i organisasjonen. Det bør foreligge prosedyrer for hvordan påpekninger fra uavhengige kontrollfunksjoner skal behandles og følges opp. Gjentatte overtredelser av prosedyrene og store "back-logs" av påpekninger som ikke er rettet opp, indikerer at prosedyrene ikke er. I forbindelse med Finanstilsynets samlede risikovurdering for foretaket (SRV) rangeres vurderingene i én av kategoriene i tabellen nedenfor. Utgangspunktet for klassifiseringen bør blant annet være problemstillinger trukket frem i foreløpig rapport og endelige merknader fra stedlig tilsyn. God kontroll Tilfredsstillende Mindre Uavhengige Uavhengige kontrollkontrollfunksjoners funksjoners evalueringer er evalueringer er gode.. Uavhengige kontrollfunksjoners evalueringer er mindre. Uavhengige kontrollfunksjoners evalueringer er ikke. Oppfølgingen av uavhengige evalueringer/ kontroller er god. Oppfølgingen av Oppfølgingen av uavhengige evalueringer/ uavhengige evalueringer/ kontroller er. kontroller er mindre. Oppfølgingen av uavhengige evalueringer/ kontroller er ikke Finanstilsynet 19
7 Vedlegg 1: Eksempel på varsel om stedlig tilsyn A STYRING OG KONTROLL 1 STRATEGI OG OVERORDNEDE RETNINGSLINJER 1.1 Strategi og policy 1.1.1 Foretakets overordnede strategidokument samt strategi- og risikopolicy for markedsrisikoområdet. Eventuelle strategidokumenter for relevante underenheter og datterselskaper. 1.1.2 Dokumentasjon som viser foretakets planprosess, herunder rutiner for revisjon av strategi, policy og rammer for markedsrisiko. 1.2 Markedsrisikorammer 1.2.1 Dokumentasjon som viser rammestruktur og rammenivå for foretakets konsoliderte virksomhet innen markedsrisikoområdet. 1.2.2 Dokumentasjon som viser delegering av rammer og fullmakter til ulike organisatoriske enheter og nivå i organisasjonen (fullmaktstruktur), herunder rammer til forretningsområder og datterselskaper. 1.2.3 Dokumentasjon som viser systemer og rutiner for å hindre rammebrudd, eventuelle adganger til å overstige rammer, samt rutiner for oppfølging av oppståtte rammebrudd. 1.3 Sentrale retningslinjer 1.3.1 Prosedyrer for godkjennelse av nye produkter/aktiviteter og viktige sikringsstrategier på markedsrisikoområdet. Dokumentasjon av godkjennelsesbehandlingen av nye produkter/aktiviteter introdusert de seneste to årene. 1.3.2 Eventuelle forvaltningsavtaler inngått med konserninterne eller konserneksterne forvaltere. 1.3.3 Øvrige sentrale retningslinjer for virksomhet knyttet til markedsrisikoområdet. 2 ORGANISERING OG ANSVARSFORHOLD MV. 2.1 Organisering og ansvarsfordeling 2.1.1 Organisasjonskart som viser foretakets juridiske struktur og funksjonelle organisering. 2.1.2 Oversikt over relevante styrende og besluttende organer med angivelse av mandat, sammensetning og møtefrekvens. 2.1.3 Oversikt over enheter og personell som inngår i foretakets risikostyringsfunksjon innen markedsrisikoområdet. Dokumentasjon som viser enhetenes/personenes ansvarsområder og rapporteringslinjer. 2.1.4 Nærmere beskrivelse av den eller de enhetene som er ansvarlig for å utarbeide rapporter til styret og ledelsen vedrørende markedsrisikoeksponering og resultater. 20 Finanstilsynet