sou · H7B352 · 2019-12-09 00:00:00 — Cybersäkerhetshot och risker kopplade till FinTech är nya sårbarheter i så motto att de är kopplade till teknolo- gisk utveckling. Varken klimatförändringar eller den geopolitiska utvecklingen är nya företeelser men de har tidigare inte kopplats lika tydligt till sårbarheter i det finansiella systemet. Förutsättningar för god tillsyn Förutsättningar för god tillsyn Befintliga (finansiella) riskkategorier är i hög grad tillämpliga även för nya sårbarheter. Men det finns skäl att tro att nya sårbarheter har vissa, unika egenskaper som kan kräva andra arbetssätt och metoder. Nya sårbarheter har därutöver, om än i olika grad, ofta berörings- punkter med andra reglerings- och tillsynsområden såsom betal- ningssystem, finansiell infrastruktur, dataskydd och penningtvätt.34 De nya sårbarheterna är också i betydande omfattning gränsöver- skridande. Det ställer inte bara krav på att det ska finnas gemen- samma regelverk, utan även på att det finns ett väl fungerande sam- arbete mellan olika länders tillsynsmyndigheter. Skillnader i regler och/eller i hur reglerna tillämpas mellan länder kan leda till dels sämre motståndskraft, dels att banker bedriver sin verksamhet med olika förutsättningar.35 26FSB definierar cybersäkerhet som bevarande av konfidentialitet och riktighet hos, samt till- gänglighet till, information och/eller informationssystem i cyberrymden. En cyberincident är en händelse som äventyrar informationssystemens cybersäkerhet eller den information som de hanterar, lagrar eller sänder. Med cyberrisk menas sannolikheten för, och konsekvensen av, en cyberincident sammantaget. Slutligen fastslås cyberhot vara en omständighet med potential att utnyttja en eller flera sårbarheter som påverkar cybersäkerheten negativt. Se vidare FSB (2018, ) Cyber Lexicon: /wp-content/uploads/P121118-1.pdf 27FSB (2017, ) FSB publishes stocktake on cybersecurity regulatory and supervi- sory practices, pressmeddelande. 28IMF har uppskattat att förluster som banker gjort till följd av cyberattacker till cirka 9 pro- cent av bankernas nettoinkomster på global basis. Se Lagarde (2018, ) Estimating Cyber Risk for the Financial Sector, blogginlägg, IMFBlog. 29www.bankingsupervision.europa.eu/press/publications/newsletter/2019/html/ssm.nl1905 30Finansinspektionen (2018) Bankernas arbete med informations- och cybersäkerhet. 31Detta avsnitt bygger på NGFS (2019) A call for action. NGFS är ett samarbete mellan 35centralbanker och tillsynsmyndigheter runtom i världen och har som mål att driva på att centralbanker och tillsynsmyndigheter tar en större roll när det gäller att göra den finansiella sektorn ”grönare” och att integrera klimatrelaterade risker i sitt arbete. och är representerade i NGFS. Även ECB och är representerade. 32Detta avsnitt bygger på FSB (2019) FinTech and market structure in financial services. 33FSB definierar FinTech som finansiella innovationer som möjliggörs av teknologi och som kan resultera i nya affärsmodeller, processer eller produkter. Dessa innovationer ska, vidare, ha en påtaglig effekt på finansiella företag och marknader samt tillhandahållandet av finansiella tjänster. Även betalningslösningar som bygger på s.k. kryptovalutor kan räknas in i FinTech. 34Penningtvättstillsyn i relation till bankunionen behandlas i avsnitt 5.3.1. 35För en diskussion om behovet av tillsynssamarbete (inklusive gemensam, direkt tillsyn) när det gäller FinTech, se Petralia m.fl. (2019). Förutsättningar för god tillsyn och tillsynsansatser är i grunden lika. Ett deltagande i bankunionen innebär att tillsynen, i första hand av de betydande bankerna, anpassas till ECB:s tillsynsansats. Finans- inspektions tillsynsansats kommer därmed att ändras när myndig- heten stödjer ECB i arbetet med tillsyn. till- synsansats skulle sannolikt komma att bli densamma som ECB:s även i tillsynen av de banker har ansvar för (dvs. de mindre betydande bankerna). Om fortsatt står kvar utanför bankunionen skulle , åtminstone på kort sikt, sannolikt inte ändra tillsynsansats. På är det tro- ligt att och tillsynsansatser närmar sig varandra eftersom riktlinjer, trots att de inte är bindande, in- nebär mindre utrymme för att avvika från ECB:s tillsynsansats. Det är även möjligt att tillsynsansats kan närma sig ECB:s i syfte att banker etablerade i ska behandlas lika som de banker som är etablerade inom bankunionen. Även om inte tillsynsansatserna skiljer sig åt på ett avgörande sätt finns det vissa skillnader i hur tillsynen utförs vilket gör det troligt att ett deltagande i bankunionen får vissa effekter på förutsätt- ningarna för god tillsyn av svenska banker i vissa avseenden. Skillnader hur tillsyn utförs ECB utför en tillsyn som till sin karaktär är mer inträngande och därför är mer resurskrävande – för såväl banker som nationella till- synsmyndigheter – än den tillsyn utför. Inspektioner på plats tillämpas både av ECB och av Finans- inspektionen om än på olika sätt. För ECB är inspektionerna ett vik- tigt och ofta tillämpat verktyg i arbetet för att insamla information från bankerna.36 Vid ett deltagande i bankunionen skulle betydande banker etablerade i behöva acceptera ett antal långvariga in- spektioner på plats. Omfattande tematiska, horisontella undersök- 36Enligt IMF kan skulle exempelvis arbetet med att utvärdera bankernas interna modeller san- nolikt inte kunna utföras utan den information som endast erhålls vid en inspektion på plats. IMF (2018) Euro Area Policies: Financial Sector Assessment Program – Technical note. Förutsättningar för god tillsyn ningar som ECB med viss regelbundenhet utför kan öka möjligheten att identifiera potentiella hot mot den finansiella stabiliteten.37 Det innebär även att resurser från skulle tas i anspråk. Avvägning mellan enhetlig och likartad tillsyn En enhetlig och konsekvent regeltillämpning bör göra det mindre intressant för banker att lokalisera verksamhet till länder som tilläm- par mindre strikta regler. En enhetlig tillsyn kan i viss utsträckning stå i motsats till riskbaserad tillsyn. Tillsynen kan visserligen utgå från tydliga, konstaterade risker men inte i tillräcklig utsträckning beakta skillnader i bankernas affärsmodeller. Tillsynen kan i så fall bli likriktad vilket kan medföra att banker stöps i samma form. I den utsträckningen så sker, kan det leda till att störningar blir mer syn- kroniserade och att systemriskerna i stället ökar.38 Med andra ord finns det en avvägning mellan enhetlighet och likriktad tillsyn. Mot bakgrund av dels att kvaliteten på tillsynen inom bankunionen har skiljt sig åt mellan medlemsstaterna, dels att det funnits (och fortfa- rande finns) många nationella undantag ter sig ECB:s prioritering av enhetlighet rimlig. Det finns dock en risk att tillsynen på kort sikt blir likriktad. Gemensam tillsyn kan ge upphov till stordriftsfördelar. Tillsyns- myndigheterna behöver i allt högre utsträckning skaffa sig specifik kompetens men även särskilda teknologiska verktyg som komple- ment till befintliga arbetssätt och metoder.39 ECB har tillgång till en bredare rekryteringsbas än vad en nationell tillsynsmyndighet rimli- gen har. Större organisationer kan också erbjuda en större, intern arbetsmarknad än mindre organisationer, vilket gör det lättare att 38Goodhart och (2012). 39Framför allt kan tillsynen över cybersäkerhetshot och nya aktörer som bygger på FinTech ställa krav på nya hjälpmedel. benämns sådana hjälpmedel Suptech. Suptech är ett sam- lingsnamn för innovativa, teknologiska hjälpmedel som tillsynsmyndigheter kan använda sig av. Det kan t.ex. handla om avancerad databearbetning. I många fall är sådant utvecklingsar- bete kostsamt och möjligheterna att locka till sig rätt kompetens begränsad inom enskilda länder. Se vidare Broeders och Prenio (2018). Förutsättningar för god tillsyn behålla kvalificerad personal. Ett svenskt deltagande i bankunionen skulle ge ett mervärde i form av de stordriftsfördelar som koncent- rationen av resurser innebär för metodutveckling och möjligheterna till att göra jämförelser av banker av motsvarande typ (storlek, affärsmodell, riskprofil etc.).40 Möjligheterna till lärande och spri- dande av ”best practice” torde också vara bättre inom Tillsynsmeka- nismen i jämförelse med enbart samarbete mellan nationella tillsyns- myndigheter.41 kan det finnas stordriftsnackdelar i större organisationer eftersom teknologiskt drivna risker ställer krav på flexibla, innovativa och snabba lösningar.42 Gränsöverskridande tillsyn - tillsynskollegier Vid ett deltagande i bankunionen finns det potentiella fördelar med att det är en myndighet som får tillsynsansvaret för flera legala en- heter i en koncern med gränsöverskridande verksamhet i stället för att samordning behöver ske inom ramen för ett tillsynskollegium där det inte finns ett samlat beslutsmandat. Vid ett svenskt deltagande i bankunionen ersätter ECB som samordnande tillsynsmyndighet och leder arbetet i kollegierna för bankkoncerner med huvudkontor i . kommer att delta som observatör. Ett svenskt deltagande i bankunionen innebär, således, att får mindre direkt inflytande över arbetet i tillsynskollegierna. 40En studie av tillsyn av banker under Federal Reserves ansvar visar att det finns stordriftsför- delar i tillsyn. Se Eisenbach m.fl. (2016). Studien finner att när resurserna för tillsyn ökar, riktas den i större utsträckning mot större och mer komplexa banker. Resurserna ökar inte proportionerligt mot bankstorlek, vilket indikerar stordriftsfördelar. 41Anginer m.fl. (2019) s. 26. 42Oliver (2018). Förutsättningar för god tillsyn 5.3Konsekvenser för annan finansiell tillsyn Det finns skillnader mellan EU:s medlemsstater när det gäller hur tillsynen av banker är organiserad. Vid ett deltagande i bankunionen skulle genomföra beslut som fattas av ECB vad avser betydande banker som skulle fortsätta att utföra tillsyn över mindre betydande banker. Finans- inspektionens befogenheter att utföra tillsyn i övrigt, vilka är mycket breda, kvarstår oförändrade. Det medför att tillsynen av stora banker i viss utsträckning separeras från övrig finansiell tillsyn. Detta avsnitt behandlar skillnader i omfattningen av tillsynsupp- gifter mellan och framför allt ur perspek- tivet hur bankunionen kan påverka informationsutbyte och sam- arbete mellan olika tillsynsområden. 5.3.1Omfattningen av och tillsynsuppgifter ECB:s tillsynsuppgifter och -befogenheter (när det gäller betydande banker) är begränsad jämfört med . ECB utför förvisso tillsyn över finansiella konglomerat,43 men den är begränsad till de banker som ingår i konglomeraten.44 har utöver mikro- och makrotillsyn av banker, även i uppgift att utföra tillsyn av försäkringsbolag och värdepappersbolag. Därtill ansvarar för konsumentskydd samt tillsyn över att bank- erna följer de regelverk som finns för att motverka penningtvätt,45 finansiering av terrorism och marknadsmissbruk.46 Informationsutbyte och samarbete i den löpande tillsynen Uppdelningen av tillsynsuppgifter mellan ECB och en nationell till- synsmyndighet ställer höga krav på samarbete, informationsutbyte och en tydlig ansvarsfördelning. Erfarenheter från deltagande med- 43Företagsgrupper som innehåller företag som driver verksamhet inom både försäkrings- sektorn och bank- och värdepapperssektorn. 44Artikel 4.1.h i SSM-förordningen. 45I samarbete med rättsvårdande myndigheter, , polis och domstolar. 46IMF har i en rapport om 2017 (country report no. 17/305) noterat att omfattningen av uppdrag utgör en utmaning eftersom resurserna är be- gränsade och konkurrens kan uppstå mellan olika verksamhetsområden. organiserar sin verksamhet i fyra områden: Bank, Försäkring, Marknader och Administration. är området Konsument integrerat i de andra områdena. Förutsättningar för god tillsyn lemsstater tyder på att informationsdelning mellan ECB och natio- nella tillsynsmyndigheter fungerar väl. skulle vid ett deltagande i bankunionen behöva anpassa sina system för in- formationsöverföring så att de överensstämmer med de ECB använ- der sig av. Det kan, åtminstone på kort sikt, innebära att den del av som utför tillsyn över banker inte kan dela in- formation med övriga avdelningar inom myndigheten i samma om- fattning som . Däremot kan få del av in- formation om banker inom bankunionen som kan underlätta arbetet inom andra delar av myndigheten.47 Genom samarbetet i och i tillsynskollegierna sker samordning och informationsutbyte oavsett deltagande i bankunionen.48 Tillsyn för att förhindra penningtvätt Banktillsyn kan på komma att kräva att medlemsstaterna använder gemensamma resurser i syfte att hantera alltmer komplexa marknader och regelverk. Kampen mot penningtvätt och annan kriminell aktivitet som har koppling till finansiell tillsyn är exempel på områden som gynnas av nära samarbete både inom myndigheter och mellan myndigheter. Därtill krävs ett nära samarbete med rätts- vårdande myndigheter vilket ökar komplexiteten i arbetet med att förhindra penningtvätt på EU-nivå eftersom det ännu inte finns har- moniserade regler inom alla områden. Bankunionens regelverk innehåller ingen uttrycklig befogenhet för ECB49 att utöva tillsyn över att bankerna följer de regelverk om finns för att motverka penningtvätt och marknadsmissbruk.50 Däre- 47ECB (2019) ECB:s årsrapport . Europeiska förordning (EU) 2016/867 om insamling av detaljerade data om krediter och kreditrisker, samt kommentar av Ferretti i Grundmann och Micklitz (red.) 48EUCLID (European Centralized Infrastructure of Data) inom ramen för . 49Enligt skäl 29 i SSM-förordningen kan ECB samordna sig med nationella behöriga myndig- heter vad gäller bl.a. kampen mot penningtvätt. Inom ECB:s banktillsyn har en samord- ningsfunktion för penningtvättsfrågor upprättats. Den utgör en gemensam kontaktpunkt för det direkta informationsutbytet om penningtvättsfrågor mellan ECB i egenskap av tillsyns- myndighet och berörda nationella myndigheter. Samordningsfunktionen upprättar och leder ett penningtvättsnätverk för gemensamma tillsynsgrupper för banker vars affärsmodell är förenad med penningtvättsrisker. Syftet med detta nätverk är att tillsynen i högre grad ska integrera överväganden som penningtvättsfrågor. Samordningsfunktionen fungerar även som ett för SSM-relevanta frågor om penningtvätt/terrorismfinansiering. 50Europaparlamentets och rådets förordning (EU) 596/2014. Förutsättningar för god tillsyn mot ingår indirekt vissa element av övervakning av misstänkt pen- ningtvätt i riskbedömning under den löpande tillsynen inklusive vid tillståndsbedömning.51 genomförs EU:s femte penning- tvättsdirektiv i nationell rätt.52 Det innebär ökade möjligheter till ut- byte av information, framför allt känslig information, mellan tillsyns- myndigheter.53 Kommissionen förväntas lägga förslag för att ytterli- gare intensifiera arbetet med att förhindra penningtvätt.54 Det är dock inte troligt att ECB får en uttrycklig befogenhet att utföra penningtvättstillsyn. Ett deltagande i bankunionen bedöms inte ha några direkta kon- sekvenser för den penningtvättstillsyn utför. ECB beaktar emellertid risker som kan ha kopplingar till penning- tvätt i sin löpande tillsyn. Ett deltagande i bankunionen innebär så- ledes att tillsynen av betydande svenska banker kommer att inkludera även sådana risker. Tillräckliga och förutsägbara resurser framgår i grundprinciperna för god tillsyn från Baselkommittén.55 Detta avsnitt behandlar Finans- inspektionens och ECB:s resurser för banktillsyn. 5.4.1Finansinspektionens och ECB:s resurser för tillsyn ECB:s tillsynsverksamhet har varit operationell . Under uppstartsfasen rekryterades ett stort antal personer till den löpande tillsynen. hade ECB:s tillsynsverksamhet totalt 51Se ECB:s hemsida om bekämpning av penningtvätt: /banking/tasks/anti- moneylaundering/html/index.en.html; samt (2018) Penningtvättstillsyn, tillsynsdialog och sanktioner. 52Europaparlamentets och rådets direktiv (EU) 2018/843 av om ändring av direktiv (EU) 2015/849 om åtgärder för att förhindra att det finansiella systemet används för penningtvätt eller finansiering av terrorism, och om ändring av direktiven /138/EG och 2013/36/EU (EUT L 156, , s. 43). Proposition 2018/19:150 Skärpta åtgärder mot penningtvätt och finansiering av terrorism. 53Även och rådets förordning (EU) nr 600/2014 av om marknader för finansiella instrument (MIFIR). 54Europeiska kommissionen (2019) Bedömningen av uppdagade fall av misstänkt pen- ningtvätt. 55Baselkommitténs grundprincip () nr 2. Förutsättningar för god tillsyn ungefär 1 100 anställda.56 Även de nationella myndigheterna har ökat sina resurser efter tillsynsmekanismens inrättande. Tre nationella tillsynsmyndigheter inom bankunionen ökade antalet anställda inom mikrotillsyn med 13, efter det att ECB:s tillsynsverksamhet blev operationell.57 Det är dock mycket svårt att göra en uppskattning, utifrån en jämförelse med andra till- synsmyndigheter, om hur resursbehovet skulle påverkas för Finans- inspektionens del vid ett deltagande. Det samlade intrycket är dock att resursbehovet ökar när tillsynsmyndigheter deltar i Tillsyns- mekanismen. har haft en jämn resurstilldelning . Resurserna för tillsyn av banker ökade däremot med 2018 jämfört med året innan. hade vid utgången av 2019 570 anställda, varav 160 inom verksamhetsom- rådet bank. Både och får ökade resurser för att i den löpande tillsynen ytterligare verka för att upptäcka miss- tänkt penningtvätt. Ett deltagande i bankunionen skulle ställa krav på att Finans- inspektionen har en organisation som motsvarar de krav som ECB ställer, framför allt vad gäller samarbete och informationsutbyte i den löpande tillsynen. skulle behöva tillräckliga administrativa resurser för att verkställa instruktioner och för att hantera kontakterna med , tillsynsavdel- ningarna inom ECB samt nationella tillsynsmyndigheter i de delta- gande medlemsstaterna. Det är, vidare, troligt att antalet undersök- ningar på plats skulle öka vilket även det skulle kräva att Finans- inspektionen har tillräckligt med personal. Det är även möjligt att vid ett deltagande bedömer att det är nödvän- digt att tillföra mer resurser även för tillsyn av mindre betydande banker. Två faktorer talar för att banktillsynen inom kan behöva ytterligare resurser, oavsett om deltar i bank- 56ECB (2019) ECB:s årsrapport om tillsynsverksamheten 2018. 57Enligt uppgifter från tillsynsmyndigheterna. Förutsättningar för god tillsyn unionen eller inte. För det första att den fortsatta utvecklingen av det regelverk som styr tillsyn av banker i hela EU väntas leda till en mer detaljerad tillsyn. För det andra att troligen kommer att anpassa sin tillsyn till ECB:s mer inträngande och resurskrävande tillsynsansats. Avsnitt 12.5.2 behandlar resurs- konsekvenser för och effekter på statens budget av ett deltagande i bankunionen. 6Förutsättningar för effektiv resolution Det övergripande verktyget i det krishanteringsregelverk som utar- betats efter den globala finanskrisen är resolution.1 Huvudsyftet med resolution är att banker i kris ska kunna rekonstrueras eller av- vecklas utan att det sker betydande störningar i det finansiella syste- met och att bankens s.k. kritiska verksamheter kan bevaras. Ett ytterligare syfte med resolution är att banken ska rekonstrueras utan att offentliga medel behöver användas. I stället är det bankens aktie- och fordringsägare (eller andra privata aktörer) som ska bära för- luster och ansvara för att återställa bankens balansräkning så att den kan drivas vidare. När en bank försätts i resolution tar resolutions- myndigheten över förvaltningen och kontrollen av den. Resolution genomförs för banker som bedöms vara i fallissemang eller sannolikt kommer att hamna i fallissemang (FOLTF) förutsatt att resolution anses vara i det allmännas intresse och inga andra åtgärder finns för att avhjälpa krisen. Inom EU regleras formerna för resolution i krishanteringsdirektivet. Den gemensamma resolutionsnämnden () har det övergripande ansvaret för att, i nära samarbete med nationella resolutionsmyndigheter, tilllämpa kris- hanteringsdirektivet inom bankunionen. har det direkta ansvaret för att tillämpa direktivet för betydande banker och vissa mindre betydande banker med gränsöverskridande verk- samhet. I har Riksgälden motsvarande uppgifter och befo- genheter. Krishanteringsdirektivet tilldelar även tillsynsmyndigheterna vissa uppgifter och befogenheter när det gäller krishantering. Det handlar främst om insatser för att undvika att problem i banker förvär- 1I regleras formerna för resolution i lagen (2015:1016) om resolution. Förutsättningar för effektiv resolution ras så att resolution eller konkurs kan undvikas. ECB har det direkta ansvaret när det gäller att vidta krisundvikande åtgärder för betydande banker inom bankunionen. I har motsva- rande uppgifter och befogenheter. Krishanteringsdirektivet gäller i samtliga EU:s medlemsstater, oberoende av om en medlemsstat deltar i bankunionen eller inte. Krishanteringsdirektivet ger emellertid visst utrymme att anpassa nationell lagstiftning utifrån särskilda förutsättningar i medlemssta- ternas banksystem. Därtill finns visst utrymme för resolutionsmyn- digheterna att ställa egna krav på bankerna, t.ex. ett krav ska vara uppfyllt. Krishanteringsdirektivet ställer inga tyd- liga krav på vilka metoder och arbetssätt resolutionsmyndigheterna (och i vissa fall tillsynsmyndigheterna) använder sig av. Det finns heller inga gemensamma krav avseende resolutionsmyndigheternas organisation och resurser.2 Möjligheter till nationell flexibilitet och anpassning innebär att ett deltagande i bankunionen i vissa avseen- den kan påverka förutsättningarna för effektiv resolution av svenska banker i den utsträckning ställer andra krav eller har andra arbetssätt och metoder än Riksgälden. Detta kapitel jämför förhållanden i och inom Resolu- tionsmekanismen när det gäller insatser för att banker ska vara väl förberedda för resolution, kunna undvika resolution samt vara reso- lutionsbara. Jämförelserna omfattar fem områden: –insatser för att förbereda och undvika resolution (6.2), –samarbete mellan myndigheter (6.3), –beslut om och genomförande av resolution (6.4), –resolution av banker med gränsöverskridande verksamhet (6.5) samt –de resurser som Riksgälden respektive för- fogar över (6.6). Det är värt att understryka att vare sig krishanteringsregelverkets ändamålsenlighet eller hur effektivt ansvariga myndigheter och organ agerar i samband med resolution av systemviktiga banker har 2Eba tar fram underlag för att skapa samsyn kring delar av det arbete resolutionsmyndig- heterna ska utföra enligt krishanteringsdirektivet. Det kan t.ex. röra sig om åtgärder för att förbättra det gränsöverskridande samarbetet mellan resolutionsmyndigheter. Förutsättningar för effektiv resolution prövats i någon större omfattning, än mindre i en systemkris. Därtill har bara varit verksam och är i vissa avseenden alltjämt i en uppbyggnadsfas. Mot den bakgrun- den är osäkerheten om hur förutsättningarna för effektiv resolution skulle förändras vid ett svenskt deltagande i bankunionen stor. För att underlätta genomförandet av resolution och undvika att skattemedel behöver tas i anspråk för att göra banken livskraftig igen, ställer krishanteringsdirektivet krav på att banker ska har till- räckligt med s.k. nedskrivningsbara skulder (MREL-krav). Dessa krav, vilka är en integrerad del av både förberedelser för och genom- förandet av resolution, behandlas i avsnitt 7.5. Kapitel 8 jämför för- hållanden i och inom bankunionen när det gäller regleringen av finansiering vid resolution, likviditetsstöd, inklusive centralbank- ernas likviditetsstödjande roll, samt insättningsgarantier inom EU. Dessa tre områden utgör de finansiella skyddsnäten. Väl fungerande finansiella skyddsnät är en förutsättning för effektiv krishantering. 6.2Insatser för att förbereda och undvika resolution