# Den Europæiske Unions C 173/2012

| | ISSN 1977-0871
  doi:10.3000/19770871.C_2012.173.dan |
| --- | --- |
| Den Europæiske Unions
  Tidende | C 173 |
| | |
| Dansk udgave | Meddelelser og oplysninger | 55. årgang16. juni 2012 |

ISSN 1977-0871

doi:10.3000/19770871.C_2012.173.dan

Den Europæiske Unions

Tidende

C 173

Dansk udgave

Meddelelser og oplysninger

55. årgang16. juni 2012

---

| Informationsnummer | Indhold | Side |
| --- | --- | --- |
| | IV   Oplysninger |
| | OPLYSNINGER FRA DEN EUROPÆISKE UNIONS INSTITUTIONER, ORGANER, KONTORER OG AGENTURER |
| | Revisionsretten |
| 2012/C 173/01 | Beretning om Rettens revision af Den Europæiske Centralbanks risikostyring i regnskabsåret 2010 med Den Europæiske Centralbanks svar | 1 |

Informationsnummer

Indhold

Side

IV   Oplysninger

OPLYSNINGER FRA DEN EUROPÆISKE UNIONS INSTITUTIONER, ORGANER, KONTORER OG AGENTURER

Revisionsretten

2012/C 173/01

Beretning om Rettens revision af Den Europæiske Centralbanks risikostyring i regnskabsåret 2010 med Den Europæiske Centralbanks svar

1

| DA | |
| --- | --- |

DA

---

IV Oplysninger

OPLYSNINGER FRA DEN EUROPÆISKE UNIONS INSTITUTIONER, ORGANER, KONTORER OG AGENTURER

Revisionsretten

| 16.6.2012 | DA | Den Europæiske Unions Tidende | C 173/1 |
| --- | --- | --- | --- |

16.6.2012

DA

Den Europæiske Unions Tidende

C 173/1

---

BERETNING

om Rettens revision af Den Europæiske Centralbanks risikostyring i regnskabsåret 2010 med Den Europæiske Centralbanks svar

2012/C 173/01

INDHOLD

| | Punkt | Side |
| --- | --- | --- |
| INDLEDNING ... | 1-4 | 3 |
| REVISIONENS OMFANG OG REVISIONSMETODEN ... | 5-6 | 3 |
| REVISIONSRESULTATER ... | 7-91 | 3 |
| Har ECB fastlagt en samlet og hensigtsmæssig ledelsesstruktur for risikostyring? ... | 7-18 | 3 |
| Samlet risikostyringsstruktur ... | 8-14 | 3 |
| Oplysninger til eksterne parter om ECB's risikostyringsstruktur ... | 15-18 | 4 |
| Har ECB styret sine operationelle risici effektivt? ... | 19-66 | 5 |
| Styring af operationelle risici ... | 20-39 | 5 |
| ECB's planlægning af forretningskontinuitet ... | 40-66 | 7 |
| Har ECB styret sine finansielle risici effektivt? ... | 67-91 | 10 |
| Strukturen for styring af finansielle risici i forbindelse med investeringer og politiske operationer ... | 69-74 | 10 |
| Metoder til styring af finansielle risici ... | 75-83 | 11 |
| Anvendelse af metoderne til styring af finansielle risici ... | 84-88 | 12 |
| Rapportering om finansielle risici ... | 89-91 | 12 |
| KONKLUSIONER OG ANBEFALINGER ... | 92-100 | 13 |
| Har ECB fastlagt en samlet og hensigtsmæssig ledelsesstruktur for risikostyring? ... | 92-93 | 13 |
| Har ECB styret sine operationelle risici effektivt? ... | 94-98 | 13 |
| Har ECB styret sine finansielle risici effektivt? ... | 99-100 | 13 |
| Den Europæiske Centralbanks svar ... | 15 |

Punkt

Side

INDLEDNING ...

1-4

3

REVISIONENS OMFANG OG REVISIONSMETODEN ...

5-6

3

REVISIONSRESULTATER ...

7-91

3

Har ECB fastlagt en samlet og hensigtsmæssig ledelsesstruktur for risikostyring? ...

7-18

3

Samlet risikostyringsstruktur ...

8-14

3

Oplysninger til eksterne parter om ECB's risikostyringsstruktur ...

15-18

4

Har ECB styret sine operationelle risici effektivt? ...

19-66

5

Styring af operationelle risici ...

20-39

5

ECB's planlægning af forretningskontinuitet ...

40-66

7

Har ECB styret sine finansielle risici effektivt? ...

67-91

10

Strukturen for styring af finansielle risici i forbindelse med investeringer og politiske operationer ...

69-74

10

Metoder til styring af finansielle risici ...

75-83

11

Anvendelse af metoderne til styring af finansielle risici ...

84-88

12

Rapportering om finansielle risici ...

89-91

12

KONKLUSIONER OG ANBEFALINGER ...

92-100

13

Har ECB fastlagt en samlet og hensigtsmæssig ledelsesstruktur for risikostyring? ...

92-93

13

Har ECB styret sine operationelle risici effektivt? ...

94-98

13

Har ECB styret sine finansielle risici effektivt? ...

99-100

13

Den Europæiske Centralbanks svar ...

15

FORKORTELSER

| BCM | Planlægning af forretningskontinuitet (Business Continuity Management) |
| --- | --- |
| BCP | Forretningskontinuitetsplan (Business Continuity Plan) |
| BIA | Virksomhedsanalyse (Business Impact Analysis) |
| BIS | Den Internationale Betalingsbank (Bank for International Settlements) |
| BPH | Business Practice Handbook |
| CBPP | Programmet for indkøb af dækkede obligationer (Covered Bonds Purchase Programme) |
| D-CO | Direktoratet for Kommunikation |
| DG-A | Generaldirektoratet for Administration |
| DG-H | Generaldirektoratet for HR, Budget og Organisation |
| DG-IS | Generaldirektoratet for Informationssystemer |
| DG-M | Generaldirektoratet for Markedsoperationer |
| DG-P | Generaldirektoratet for Betalingssystemer |
| DG-S | Generaldirektoratet for Statistik |
| ECB | Den Europæiske Centralbank |
| ESCB | Det Europæiske System af Centralbanker |
| GIPS | Global Investment Performance Standards |
| IAS | International Accounting Standards |
| IASB | International Accounting Standards Board |
| IFRS | International Financial Reporting Standards |
| OFM | Forvaltning af egenportefølje (Own Funds Management) |
| ORC | Komitéen for Operationelle Risici (Operational Risk Committee) |
| ORM | Styring af operationelle risici (Operational Risk Management) |
| RMA | Afdelingen for Risikostyring (i DG-H) (Risk Management Division) |
| SMP | Programmet for værdipapirmarkeder (Securities Markets Programme) |
| VaR | Value-at-Risk |

BCM

Planlægning af forretningskontinuitet (Business Continuity Management)

BCP

Forretningskontinuitetsplan (Business Continuity Plan)

BIA

Virksomhedsanalyse (Business Impact Analysis)

BIS

Den Internationale Betalingsbank (Bank for International Settlements)

BPH

Business Practice Handbook

CBPP

Programmet for indkøb af dækkede obligationer (Covered Bonds Purchase Programme)

D-CO

Direktoratet for Kommunikation

DG-A

Generaldirektoratet for Administration

DG-H

Generaldirektoratet for HR, Budget og Organisation

DG-IS

Generaldirektoratet for Informationssystemer

DG-M

Generaldirektoratet for Markedsoperationer

DG-P

Generaldirektoratet for Betalingssystemer

DG-S

Generaldirektoratet for Statistik

ECB

Den Europæiske Centralbank

ESCB

Det Europæiske System af Centralbanker

GIPS

Global Investment Performance Standards

IAS

International Accounting Standards

IASB

International Accounting Standards Board

IFRS

International Financial Reporting Standards

OFM

Forvaltning af egenportefølje (Own Funds Management)

ORC

Komitéen for Operationelle Risici (Operational Risk Committee)

ORM

Styring af operationelle risici (Operational Risk Management)

RMA

Afdelingen for Risikostyring (i DG-H) (Risk Management Division)

SMP

Programmet for værdipapirmarkeder (Securities Markets Programme)

VaR

Value-at-Risk

INDLEDNING

| 1. | Den Europæiske Centralbank (ECB) og de nationale centralbanker i EU's medlemsstater udgør tilsammen Det Europæiske System af Centralbanker (ESCB). Hovedmålet for ESCB er at fastholde prisstabilitet. ESCB støtter også de generelle økonomiske politikker i Unionen med henblik på at bidrage til gennemførelsen af Unionens mål (1). Med henblik herpå udfører ECB de opgaver, som er fastlagt i dens statut (2), og den er ansvarlig for forvaltningen af sine egne aktiviteter og finanser. |
| --- | --- |

1.

Den Europæiske Centralbank (ECB) og de nationale centralbanker i EU's medlemsstater udgør tilsammen Det Europæiske System af Centralbanker (ESCB). Hovedmålet for ESCB er at fastholde prisstabilitet. ESCB støtter også de generelle økonomiske politikker i Unionen med henblik på at bidrage til gennemførelsen af Unionens mål (1). Med henblik herpå udfører ECB de opgaver, som er fastlagt i dens statut (2), og den er ansvarlig for forvaltningen af sine egne aktiviteter og finanser.

| 2. | Den Europæiske Revisionsret (Retten) reviderer effektiviteten af ECB's forvaltning på grundlag af artikel 27, stk. 2, i protokollen om statutten for ESCB og ECB (3). Revisionen vedrørende 2010 omfattede de risikostyringsprocedurer og -systemer, som ECB havde fastlagt, samt anvendelsen af dem. |
| --- | --- |

2.

Den Europæiske Revisionsret (Retten) reviderer effektiviteten af ECB's forvaltning på grundlag af artikel 27, stk. 2, i protokollen om statutten for ESCB og ECB (3). Revisionen vedrørende 2010 omfattede de risikostyringsprocedurer og -systemer, som ECB havde fastlagt, samt anvendelsen af dem.

| 3. | ECB's besluttende organer er Styrelsesrådet og direktionen (4). Direktionen gennemfører den monetære politik i overensstemmelse med de retningslinjer og beslutninger, der er vedtaget af Styrelsesrådet (5), og har det overordnede ansvar for ECB's daglige drift og for styringen af ECB's ressourcer. Direktionen er også endeligt ansvarlig for risikostyringen i ECB. |
| --- | --- |

3.

ECB's besluttende organer er Styrelsesrådet og direktionen (4). Direktionen gennemfører den monetære politik i overensstemmelse med de retningslinjer og beslutninger, der er vedtaget af Styrelsesrådet (5), og har det overordnede ansvar for ECB's daglige drift og for styringen af ECB's ressourcer. Direktionen er også endeligt ansvarlig for risikostyringen i ECB.

| 4. | Risikostyringen varetages af to separate strukturer i ECB: Enheden for styring af operationelle risici (Operational Risk Management — ORM (6)) dækker samtlige operationelle risici (jf. fodnote 22), herunder i forbindelse med planlægning af forretningskontinuitet (Business Continuity Management — BCM), mens Afdelingen for Risikostyring (RMA) tager sig af styringen af finansielle risici (jf. punkt 70), herunder i forbindelse med ECB's investeringsaktiviteter og kreditoperationer. |
| --- | --- |

4.

Risikostyringen varetages af to separate strukturer i ECB: Enheden for styring af operationelle risici (Operational Risk Management — ORM (6)) dækker samtlige operationelle risici (jf. fodnote 22), herunder i forbindelse med planlægning af forretningskontinuitet (Business Continuity Management — BCM), mens Afdelingen for Risikostyring (RMA) tager sig af styringen af finansielle risici (jf. punkt 70), herunder i forbindelse med ECB's investeringsaktiviteter og kreditoperationer.

REVISIONENS OMFANG OG REVISIONSMETODEN

| 5. | Formålet med Rettens revision vedrørende regnskabsåret 2010 var at vurdere, om ECB's strukturer for styring af operationelle og finansielle risici er tilfredsstillende (7). ECB's risikostyring blev vurderet ud fra følgende revisionsspørgsmål:






  — | Har ECB fastlagt en samlet og hensigtsmæssig ledelsesstruktur for risikostyring? |
| --- | --- | --- |

5.

Formålet med Rettens revision vedrørende regnskabsåret 2010 var at vurdere, om ECB's strukturer for styring af operationelle og finansielle risici er tilfredsstillende (7). ECB's risikostyring blev vurderet ud fra følgende revisionsspørgsmål:

—

Har ECB fastlagt en samlet og hensigtsmæssig ledelsesstruktur for risikostyring?

| — | Har ECB styret sine operationelle risici effektivt? |
| --- | --- |

—

Har ECB styret sine operationelle risici effektivt?

| — | Har ECB styret sine finansielle risici effektivt? |
| --- | --- |

—

Har ECB styret sine finansielle risici effektivt?

| 6. | Følgende elementer indgik i Rettens revision af ECB's risikostyring (8):






  a) | En gennemgang af ECB's samlede risikostyringsstruktur, inklusive en gennemgang af bedste praksis på risikostyringsområdet i lignende internationale organisationer (9). |
| --- | --- | --- |

6.

Følgende elementer indgik i Rettens revision af ECB's risikostyring (8):

a)

En gennemgang af ECB's samlede risikostyringsstruktur, inklusive en gennemgang af bedste praksis på risikostyringsområdet i lignende internationale organisationer (9).

| b) | En gennemgang af strukturen for styring af operationelle risici og test af seks udvalgte forretningsområder (generaldirektorater) med henblik på at vurdere implementeringen af risikostyringsstrukturen. Rettens hensigt med udvælgelsen var at: i) sikre dækning af væsentlige operationelle risici, ii) dække både kerneaktiviteter og ikke-kerneaktiviteter i ECB og iii) dække aktiviteter, der kræver horisontal risikostyring. De udvalgte forretningsområder var: Generaldirektoratet for Markedsoperationer (DG-M), Generaldirektoratet for Betalingssystemer (DG-P), Generaldirektoratet for Statistik (DG-S), Generaldirektoratet for Administration (DG-A), Generaldirektoratet for Informationssystemer (DG-IS) og Direktoratet for Kommunikation (D-CO). |
| --- | --- |

b)

En gennemgang af strukturen for styring af operationelle risici og test af seks udvalgte forretningsområder (generaldirektorater) med henblik på at vurdere implementeringen af risikostyringsstrukturen. Rettens hensigt med udvælgelsen var at: i) sikre dækning af væsentlige operationelle risici, ii) dække både kerneaktiviteter og ikke-kerneaktiviteter i ECB og iii) dække aktiviteter, der kræver horisontal risikostyring. De udvalgte forretningsområder var: Generaldirektoratet for Markedsoperationer (DG-M), Generaldirektoratet for Betalingssystemer (DG-P), Generaldirektoratet for Statistik (DG-S), Generaldirektoratet for Administration (DG-A), Generaldirektoratet for Informationssystemer (DG-IS) og Direktoratet for Kommunikation (D-CO).

| c) | En gennemgang af strukturen for styring af finansielle risici og detaljerede test af Afdelingen for Risikostyring (RMA) i Generaldirektoratet for HR, Budget og Organisation (DG-H) samt Afdelingen for Markedsoperationssystemer, Afdelingen for Finansielle Operationer og Afdelingen for Investering i DG-M. Revisorerne vurderede ECB's risikostyringsmetoder og anvendelsen af dem med teknisk bistand fra et hold eksperter i finansiel risiko fra Ernst & Young, Luxembourg. |
| --- | --- |

c)

En gennemgang af strukturen for styring af finansielle risici og detaljerede test af Afdelingen for Risikostyring (RMA) i Generaldirektoratet for HR, Budget og Organisation (DG-H) samt Afdelingen for Markedsoperationssystemer, Afdelingen for Finansielle Operationer og Afdelingen for Investering i DG-M. Revisorerne vurderede ECB's risikostyringsmetoder og anvendelsen af dem med teknisk bistand fra et hold eksperter i finansiel risiko fra Ernst & Young, Luxembourg.

REVISIONSRESULTATER

Har ECB fastlagt en samlet og hensigtsmæssig ledelsesstruktur for risikostyring?

| 7. | Det er ECB's erklærede ambition at anvende bedste praksis i forbindelse med risikostyring: »Helt fra begyndelsen var Den Europæiske Centralbank særlig opmærksom på risikostyring. Som ny centralbank havde den en ambition om at leve op til de højeste ledelsesstandarder ved organiseringen af risikostyringsfunktionen og at anvende de mest avancerede værktøjer« (10). |
| --- | --- |

7.

Det er ECB's erklærede ambition at anvende bedste praksis i forbindelse med risikostyring: »Helt fra begyndelsen var Den Europæiske Centralbank særlig opmærksom på risikostyring. Som ny centralbank havde den en ambition om at leve op til de højeste ledelsesstandarder ved organiseringen af risikostyringsfunktionen og at anvende de mest avancerede værktøjer« (10).

Samlet risikostyringsstruktur

| 8. | Et af de centrale elementer i en effektiv risikostyring er, at der i hele organisationen findes en stærk risikokultur. En forudsætning for at skabe en sådan risikokultur er, at der oprettes en samlet (dækkende alle risikotyper, forretningsområder og relevante risici) og uafhængig risikostyringsfunktion, som i overensstemmelse med proportionalitetsprincippet hører under risikostyringschefens direkte ansvar — eller under den øverste ledelses direkte ansvar, hvis der ikke er udpeget en risikostyringschef
   (11). |
| --- | --- |

8.

Et af de centrale elementer i en effektiv risikostyring er, at der i hele organisationen findes en stærk risikokultur. En forudsætning for at skabe en sådan risikokultur er, at der oprettes en samlet (dækkende alle risikotyper, forretningsområder og relevante risici) og uafhængig risikostyringsfunktion, som i overensstemmelse med proportionalitetsprincippet hører under risikostyringschefens direkte ansvar — eller under den øverste ledelses direkte ansvar, hvis der ikke er udpeget en risikostyringschef
   (11).

| 9. | I ECB er hver enkelt enhed i organisationen (12) selv ansvarlig for risikostyring og kontrol. To funktioner/afdelinger støtter enhederne i forbindelse med risikostyring:






  — | ORM/BCM-funktionen (13) er ansvarlig for vedligeholdelse af metoder, koordinering af alle aktiviteter vedrørende operationelle risici og proaktiv rådgivning af forretningsområderne (14). |
| --- | --- | --- |

9.

I ECB er hver enkelt enhed i organisationen (12) selv ansvarlig for risikostyring og kontrol. To funktioner/afdelinger støtter enhederne i forbindelse med risikostyring:

—

ORM/BCM-funktionen (13) er ansvarlig for vedligeholdelse af metoder, koordinering af alle aktiviteter vedrørende operationelle risici og proaktiv rådgivning af forretningsområderne (14).

| — | Afdelingen for Risikostyring (RMA) tager sig af finansielle risici (15). Denne afdeling er ansvarlig for at fremsætte forslag til politikker og procedurer og at yde organisatorisk støtte vedrørende risikostyring i forbindelse med alle operationer på finansmarkedet, som foretages af ECB eller af eurosystemet på vegne af ECB. Afdelingen er opdelt i to sektioner: Risikoanalyse og Risikostrategi. |
| --- | --- |

—

Afdelingen for Risikostyring (RMA) tager sig af finansielle risici (15). Denne afdeling er ansvarlig for at fremsætte forslag til politikker og procedurer og at yde organisatorisk støtte vedrørende risikostyring i forbindelse med alle operationer på finansmarkedet, som foretages af ECB eller af eurosystemet på vegne af ECB. Afdelingen er opdelt i to sektioner: Risikoanalyse og Risikostrategi.

| 10. | Med henblik på at støtte direktionens beslutningstagning er der nedsat adskillige komitéer, som tager sig af forskellige risikostyringsaspekter, herunder Komitéen for Operationelle Risici, Investeringskomitéen, Komitéen for Aktiver og Passiver samt Kreditkomitéen. |
| --- | --- |

10.

Med henblik på at støtte direktionens beslutningstagning er der nedsat adskillige komitéer, som tager sig af forskellige risikostyringsaspekter, herunder Komitéen for Operationelle Risici, Investeringskomitéen, Komitéen for Aktiver og Passiver samt Kreditkomitéen.

| 11. | ECB har en samlet organisationsstruktur med klare roller og ansvarsområder. Styringen af finansielle risici og styringen af operationelle risici er imidlertid skarpt adskilt, og det øger risikoen for, at billedet af ECB's samlede eksponering ikke er dækkende. |
| --- | --- |

11.

ECB har en samlet organisationsstruktur med klare roller og ansvarsområder. Styringen af finansielle risici og styringen af operationelle risici er imidlertid skarpt adskilt, og det øger risikoen for, at billedet af ECB's samlede eksponering ikke er dækkende.

| 12. | Der findes ikke et enkelt, uafhængigt organ såsom en risikostyringschef eller en overordnet risikostyringskomité mellem direktionen og de to funktioner/afdelinger med ansvar for risikostyring, ORM/BCM og RMA. Da revisionen fandt sted, havde det medlem af direktionen, som var ansvarlig for risikostyring, også en række andre ansvarsområder, hvorimod en risikostyringschef ville fokusere udelukkende på risikostyring. |
| --- | --- |

12.

Der findes ikke et enkelt, uafhængigt organ såsom en risikostyringschef eller en overordnet risikostyringskomité mellem direktionen og de to funktioner/afdelinger med ansvar for risikostyring, ORM/BCM og RMA. Da revisionen fandt sted, havde det medlem af direktionen, som var ansvarlig for risikostyring, også en række andre ansvarsområder, hvorimod en risikostyringschef ville fokusere udelukkende på risikostyring.

| 13. | Fraværet af en hierarkisk uafhængig risikostyringsfunktion øger endvidere risikoen for, at risikostyring ikke prioriteres tilstrækkelig højt, f.eks. i forbindelse med tildeling af personale, da sådanne spørgsmål afgøres af DG-H. |
| --- | --- |

13.

Fraværet af en hierarkisk uafhængig risikostyringsfunktion øger endvidere risikoen for, at risikostyring ikke prioriteres tilstrækkelig højt, f.eks. i forbindelse med tildeling af personale, da sådanne spørgsmål afgøres af DG-H.

| 14. | En gennemgang af bedste praksis i lignende internationale organisationer viste, at Canadas nationalbank har etableret en integreret risikostyringsstruktur, som omfatter en risikostyringschef og en arbejdsgruppe vedrørende risikostyring. Begge bidrager til at fastlægge en samlet risikoprofil for nationalbanken, som inkluderer forretningsrisici, operationelle risici og finansielle risici som beskrevet i tekstboks 1. Bankens risikostyringsstruktur er fuldt integreret i den strategiske planlægning, i budgetlægningen og i processerne for resultatevaluering ved årets udgang.

  Tekstboks 1


  Et eksempel på integreret risikostyring — Canadas nationalbank



  Risikostyringschefen
  har følgende opgaver:






  — | Leder udviklingen og forbedringen af politikrammen for den integrerede risikostyring under forudsætning af ledelsens godkendelse |
| --- | --- | --- |

14.

En gennemgang af bedste praksis i lignende internationale organisationer viste, at Canadas nationalbank har etableret en integreret risikostyringsstruktur, som omfatter en risikostyringschef og en arbejdsgruppe vedrørende risikostyring. Begge bidrager til at fastlægge en samlet risikoprofil for nationalbanken, som inkluderer forretningsrisici, operationelle risici og finansielle risici som beskrevet i tekstboks 1. Bankens risikostyringsstruktur er fuldt integreret i den strategiske planlægning, i budgetlægningen og i processerne for resultatevaluering ved årets udgang.

Tekstboks 1

Et eksempel på integreret risikostyring — Canadas nationalbank

Risikostyringschefen
  har følgende opgaver:

—

Leder udviklingen og forbedringen af politikrammen for den integrerede risikostyring under forudsætning af ledelsens godkendelse

| — | Yder vejledning og rådgivning til andre medlemmer af den øverste ledelse og leder arbejdsgruppen vedrørende risikostyring |
| --- | --- |

—

Yder vejledning og rådgivning til andre medlemmer af den øverste ledelse og leder arbejdsgruppen vedrørende risikostyring

| — | Leder risikoudvalget under kapitalforvaltningsudvalget sammen med Finansministeriet. |
| --- | --- |

—

Leder risikoudvalget under kapitalforvaltningsudvalget sammen med Finansministeriet.

Arbejdsgruppen vedrørende risikostyring
  har følgende opgaver:

| — | Faciliteter den samlede ajourføring af nationalbankens vurdering af egne risici og udarbejdelsen af den årlige og halvårlige risikostyringsrapport |
| --- | --- |

—

Faciliteter den samlede ajourføring af nationalbankens vurdering af egne risici og udarbejdelsen af den årlige og halvårlige risikostyringsrapport

| — | Mødes tre eller fire gange om året for at gennemgå nationalbankens risikoprofil og underrette repræsentanternes funktioner/afdelinger om risikostyringsinitiativer. |
| --- | --- |

—

Mødes tre eller fire gange om året for at gennemgå nationalbankens risikoprofil og underrette repræsentanternes funktioner/afdelinger om risikostyringsinitiativer.

Oplysninger til eksterne parter om ECB's risikostyringsstruktur

| 15. | De oplysninger, der stilles til rådighed for offentligheden, bør være tilstrækkelige til, at eksterne parter kan vurdere ECB's tilgang til risikostyring. |
| --- | --- |

15.

| 16. | ECB offentliggør en årsberetning, som indeholder årsregnskabet og de ledsagende noter (16). Årsregnskabets oplysninger om risikostyring er forholdsvis begrænsede, og offentligheden har ikke adgang til oplysninger om ECB's risikostyringsprincipper og tal vedrørende risikostyring (undtagen den konsoliderede Value-at-Risk (17) (VaR)). ECB's årsberetning indeholder kortfattede oplysninger om visse risikostyringsspørgsmål, men giver ingen oversigt over organisationens risikostyringsproces, de risici, den er udsat for, og ledelsens tilgang til disse. |
| --- | --- |

16.

ECB offentliggør en årsberetning, som indeholder årsregnskabet og de ledsagende noter (16). Årsregnskabets oplysninger om risikostyring er forholdsvis begrænsede, og offentligheden har ikke adgang til oplysninger om ECB's risikostyringsprincipper og tal vedrørende risikostyring (undtagen den konsoliderede Value-at-Risk (17) (VaR)). ECB's årsberetning indeholder kortfattede oplysninger om visse risikostyringsspørgsmål, men giver ingen oversigt over organisationens risikostyringsproces, de risici, den er udsat for, og ledelsens tilgang til disse.

| 17. | Anvendelse af internationale regnskabsstandarder (International Financial Reporting Standards (IFRS)) (18) er bedste praksis i forbindelse med præsentation af en enheds regnskab. Det er fastlagt i IFRS 7 »Finansielle instrumenter: Oplysninger«, hvordan en organisation i sit regnskab skal præsentere de risici, den er udsat for, men ECB anvender ikke denne standard. |
| --- | --- |

17.

Anvendelse af internationale regnskabsstandarder (International Financial Reporting Standards (IFRS)) (18) er bedste praksis i forbindelse med præsentation af en enheds regnskab. Det er fastlagt i IFRS 7 »Finansielle instrumenter: Oplysninger«, hvordan en organisation i sit regnskab skal præsentere de risici, den er udsat for, men ECB anvender ikke denne standard.

| 18. | Andre internationale og nationale centralbanker såsom Den Internationale Betalingsbank (BIS) og Canadas nationalbank giver i deres årsregnskaber oplysninger om risikostyring, selv om den ene af disse ikke anvender IFRS (jf. tekstboks 2).


  Tekstboks 2


  Praksis vedrørende oplysninger om risikostyring








  Organisation | Oplysninger om risikostyring i årsregnskabet | Ramme for regnskabsrapportering |
| --- | --- | --- | --- |
| Den Internationale Betalingsbank (BIS) | Årsregnskabet indeholder oplysninger om de risici, banken er udsat for, dens risikostyringstilgang og -organisation samt en detaljeret oversigt over kreditrisiko, markedsrisiko, likviditetsrisiko og operationel risiko. | Særlig ramme for regnskabsrapportering fastlagt i bankens vedtægter |
| Canadas nationalbank | Årsregnskabet giver en oversigt over risikostyringsprocessen, risikostyringsstrukturen, risikostyringschefens rolle og den finansielle risiko, banken er udsat for, samt en detaljeret oversigt over kreditrisiko, markedsrisiko og likviditetsrisiko. | IFRS (19) |

18.

Andre internationale og nationale centralbanker såsom Den Internationale Betalingsbank (BIS) og Canadas nationalbank giver i deres årsregnskaber oplysninger om risikostyring, selv om den ene af disse ikke anvender IFRS (jf. tekstboks 2).

Tekstboks 2

Praksis vedrørende oplysninger om risikostyring

Organisation

Oplysninger om risikostyring i årsregnskabet

Ramme for regnskabsrapportering

Den Internationale Betalingsbank (BIS)

Årsregnskabet indeholder oplysninger om de risici, banken er udsat for, dens risikostyringstilgang og -organisation samt en detaljeret oversigt over kreditrisiko, markedsrisiko, likviditetsrisiko og operationel risiko.

Særlig ramme for regnskabsrapportering fastlagt i bankens vedtægter

Canadas nationalbank

Årsregnskabet giver en oversigt over risikostyringsprocessen, risikostyringsstrukturen, risikostyringschefens rolle og den finansielle risiko, banken er udsat for, samt en detaljeret oversigt over kreditrisiko, markedsrisiko og likviditetsrisiko.

IFRS (19)

Har ECB styret sine operationelle risici effektivt?

| 19. | ECB's planlægning af forretningskontinuitet supplerer strukturen for styring af operationelle risici (ORM-strukturen), og begge er vigtige elementer i virksomhedsledelse (20). |
| --- | --- |

19.

ECB's planlægning af forretningskontinuitet supplerer strukturen for styring af operationelle risici (ORM-strukturen), og begge er vigtige elementer i virksomhedsledelse (20).

Styring af operationelle risici

| 20. | En effektiv struktur for styring af operationelle risici kræver klare strategier og tilsyn fra bestyrelsen og den øverste ledelse, en stærk kultur med fokus på operationelle risici og intern kontrol (herunder klar ansvarsfordeling og funktionsadskillelse) og en effektiv intern rapportering. |
| --- | --- |

20.

En effektiv struktur for styring af operationelle risici kræver klare strategier og tilsyn fra bestyrelsen og den øverste ledelse, en stærk kultur med fokus på operationelle risici og intern kontrol (herunder klar ansvarsfordeling og funktionsadskillelse) og en effektiv intern rapportering.

| 21. | Med henblik på at vurdere styringen af operationelle risici i ECB undersøgte Retten:






  — | ECB's ORM-politikker |
| --- | --- | --- |

21.

Med henblik på at vurdere styringen af operationelle risici i ECB undersøgte Retten:

—

ECB's ORM-politikker

| — | den organisatoriske struktur og ansvarsfordelingen vedrørende styring af operationelle risici |
| --- | --- |

—

den organisatoriske struktur og ansvarsfordelingen vedrørende styring af operationelle risici

| — | sammenhængen med den strategiske og finansielle planlægning (den årlige budgetcyklus) |
| --- | --- |

—

sammenhængen med den strategiske og finansielle planlægning (den årlige budgetcyklus)

| — | risikoidentificering, vurdering og reaktion, rapportering, overvågning og opfølgning — både i forretningsområderne og på centralt plan. |
| --- | --- |

—

risikoidentificering, vurdering og reaktion, rapportering, overvågning og opfølgning — både i forretningsområderne og på centralt plan.

Politikker vedrørende operationelle risici

| 22. | ORM-politikkerne bør give en klar definition af operationelle risici, som er gældende i hele banken, og fastlægge bankens tilgang til identificering, vurdering, overvågning og kontrol/begrænsning af disse risici. |
| --- | --- |

22.

| 23. | ECB's struktur for styring af operationelle risici blev godkendt af direktionen i oktober 2007 (21) og er beskrevet i »Business Practice Handbook« (BPH), som ligger på intranettet og er tilgængelig for alle ansatte. BPH indeholder en beskrivelse af ECB's ORM-definition (22) og risikotolerancepolitik, af de relevante roller og ansvarsfordelingen samt af politikkerne vedrørende vurdering, reaktion, rapportering og overvågning. |
| --- | --- |

23.

ECB's struktur for styring af operationelle risici blev godkendt af direktionen i oktober 2007 (21) og er beskrevet i »Business Practice Handbook« (BPH), som ligger på intranettet og er tilgængelig for alle ansatte. BPH indeholder en beskrivelse af ECB's ORM-definition (22) og risikotolerancepolitik, af de relevante roller og ansvarsfordelingen samt af politikkerne vedrørende vurdering, reaktion, rapportering og overvågning.

| 24. | ECB's ORM-politikker giver en klar definition af operationelle risici, som er gældende i hele banken, og fastlægger bankens tilgang til vurdering, overvågning og kontrol/begrænsning af sådanne risici. BPH indeholder imidlertid ingen detaljer om ECB's tilgang til identificering af risici. |
| --- | --- |

24.

ECB's ORM-politikker giver en klar definition af operationelle risici, som er gældende i hele banken, og fastlægger bankens tilgang til vurdering, overvågning og kontrol/begrænsning af sådanne risici. BPH indeholder imidlertid ingen detaljer om ECB's tilgang til identificering af risici.

Organisatorisk struktur og ansvarsfordeling

| 25. | Det enkelte forretningsområdes ledelse bør være ansvarlig for at implementere de fastlagte politikker, processer og procedurer vedrørende styring af operationelle risici i alle bankens væsentlige aktiviteter, processer og systemer. ECB bør også have et system til styring af operationelle risici, hvor klare ansvarsopgaver er tildelt en risikostyringsfunktion. |
| --- | --- |

25.

| 26. | Direktionen er endeligt ansvarlig for styring af operationelle risici i ECB. Komitéen for Operationelle Risici (ORC) tager sig af strategiske og mellemlangsigtede spørgsmål såvel som relevante kortsigtede og ad hoc-spørgsmål (23). Komitéen består af et medlem af direktionen (som er formand) og syv af bankens ledende medarbejdere (24). Den er beføjet til at træffe beslutninger om accept af risici på mellemniveau, mens risici på højt niveau altid skal accepteres af direktionen. Komitéen mødes hver anden måned eller oftere, hvis det er påkrævet. |
| --- | --- |

26.

Direktionen er endeligt ansvarlig for styring af operationelle risici i ECB. Komitéen for Operationelle Risici (ORC) tager sig af strategiske og mellemlangsigtede spørgsmål såvel som relevante kortsigtede og ad hoc-spørgsmål (23). Komitéen består af et medlem af direktionen (som er formand) og syv af bankens ledende medarbejdere (24). Den er beføjet til at træffe beslutninger om accept af risici på mellemniveau, mens risici på højt niveau altid skal accepteres af direktionen. Komitéen mødes hver anden måned eller oftere, hvis det er påkrævet.

| 27. | BPH fastlægger klart, at forretningsområderne selv er ansvarlige for at styre deres operationelle risici (25). Det følger heraf, at hvert forretningsområde bør udpege (mindst) én risikokoordinator, som støtter forretningsområdelederne med hensyn til ORM og fungerer som første kontaktpunkt i forbindelse med ORM-spørgsmål inden for forretningsområdet. Forretningsområdelederne er også ansvarlige for at sikre, at de ansatte tilegner sig og vedligeholder de nødvendige kompetencer, så de kan påtage sig ansvar og pligter med hensyn til ORM. ORM/BCM-funktionen bør udvikle og vedligeholde ORM-strukturen, og den koordinerer forretningsområdernes tilgang til ORM. |
| --- | --- |

27.

BPH fastlægger klart, at forretningsområderne selv er ansvarlige for at styre deres operationelle risici (25). Det følger heraf, at hvert forretningsområde bør udpege (mindst) én risikokoordinator, som støtter forretningsområdelederne med hensyn til ORM og fungerer som første kontaktpunkt i forbindelse med ORM-spørgsmål inden for forretningsområdet. Forretningsområdelederne er også ansvarlige for at sikre, at de ansatte tilegner sig og vedligeholder de nødvendige kompetencer, så de kan påtage sig ansvar og pligter med hensyn til ORM. ORM/BCM-funktionen bør udvikle og vedligeholde ORM-strukturen, og den koordinerer forretningsområdernes tilgang til ORM.

| 28. | Af de otte ansatte i ORM/BCM-funktionen var kun de fire fastansatte, da revisionen fandt sted. De øvrige var udstationeret fra nationale centralbanker eller ansat på tidsbestemte kontrakter, der varer fra tre måneder til to år. Det fører til stor personaleudskiftning, hvilket igen fører til manglende kontinuitet i denne vigtige funktion og øger risikoen for, at ORM-strukturen ikke implementeres tilstrækkeligt i ECB. |
| --- | --- |

28.

Af de otte ansatte i ORM/BCM-funktionen var kun de fire fastansatte, da revisionen fandt sted. De øvrige var udstationeret fra nationale centralbanker eller ansat på tidsbestemte kontrakter, der varer fra tre måneder til to år. Det fører til stor personaleudskiftning, hvilket igen fører til manglende kontinuitet i denne vigtige funktion og øger risikoen for, at ORM-strukturen ikke implementeres tilstrækkeligt i ECB.

| 29. | De ansattes viden om ORM-strukturen blev undersøgt i personaleundersøgelser i 2009 og 2010. I 2009-undersøgelsen angav ca. 40 % af svarerne, at de ikke modtog oplysninger nok om ORM, 56 % vidste ikke, hvem der var udpeget til risikokoordinator i deres forretningsområde, og 45 % vidste ikke, hvor de kunne finde oplysninger om ORM på intranettet. I 2010-undersøgelsen var der stadig 40 %, der ikke vidste, hvor de kunne finde oplysninger om ORM. |
| --- | --- |

29.

De ansattes viden om ORM-strukturen blev undersøgt i personaleundersøgelser i 2009 og 2010. I 2009-undersøgelsen angav ca. 40 % af svarerne, at de ikke modtog oplysninger nok om ORM, 56 % vidste ikke, hvem der var udpeget til risikokoordinator i deres forretningsområde, og 45 % vidste ikke, hvor de kunne finde oplysninger om ORM på intranettet. I 2010-undersøgelsen var der stadig 40 %, der ikke vidste, hvor de kunne finde oplysninger om ORM.

Sammenhæng med den strategiske og finansielle planlægning (den årlige budgetcyklus)

| 30. | Risikostyring bør være indbygget i ECB's forvaltning som en integrerende del af bankens strategiske, forretningsmæssige og finansielle planlægning. |
| --- | --- |

30.

| 31. | Et vigtigt element i forbindelse med fastlæggelsen af ECB's risikoprofil er forretningsområdernes og ORM/BCM-funktionens årlige vurdering af operationelle risici. Forretningsområdernes vurderinger for 2009 blev foretaget fra juni til august 2009, og derefter blev der afholdt et kalibreringsmøde med risikokoordinatorerne. Top-down-rapporten blev færdiggjort i januar 2010. |
| --- | --- |

31.

Et vigtigt element i forbindelse med fastlæggelsen af ECB's risikoprofil er forretningsområdernes og ORM/BCM-funktionens årlige vurdering af operationelle risici. Forretningsområdernes vurderinger for 2009 blev foretaget fra juni til august 2009, og derefter blev der afholdt et kalibreringsmøde med risikokoordinatorerne. Top-down-rapporten blev færdiggjort i januar 2010.

| 32. | Risikoprofilen bør være et input i den strategiske planlægning, som driver den finansielle planlægning. Revisionen viste imidlertid, at den årlige vurdering af operationelle risici ikke er integreret i ECB's strategiske og finansielle planlægningscyklus. Der er således en risiko for, at ORM bliver en løsrevet begivenhed, og at den finansielle plan ikke sikrer en hensigtsmæssig fordeling af ressourcerne med henblik på opnåelse af de strategiske mål (26). |
| --- | --- |

32.

Risikoprofilen bør være et input i den strategiske planlægning, som driver den finansielle planlægning. Revisionen viste imidlertid, at den årlige vurdering af operationelle risici ikke er integreret i ECB's strategiske og finansielle planlægningscyklus. Der er således en risiko for, at ORM bliver en løsrevet begivenhed, og at den finansielle plan ikke sikrer en hensigtsmæssig fordeling af ressourcerne med henblik på opnåelse af de strategiske mål (26).

| 33. | Et eksempel på god praksis ses i Canadas nationalbank, hvor bankens risikoprofil er en integreret del af den samlede strategiske og finansielle planlægningscyklus (27). |
| --- | --- |

33.

Et eksempel på god praksis ses i Canadas nationalbank, hvor bankens risikoprofil er en integreret del af den samlede strategiske og finansielle planlægningscyklus (27).

ORM-processen: risikoidentificering, vurdering og reaktion, rapportering, overvågning og opfølgning

Risikoidentificering, vurdering og reaktion

| 34. | Alle iboende operationelle risici i aktiviteter, processer og systemer bør identificeres og vurderes. Risici bør evalueres ud fra den gældende politik og det gældende toleranceniveau med henblik på fastlæggelse af en hensigtsmæssig reaktion baseret på tilstrækkelige omkostningsberegninger. Relevante oplysninger bør regelmæssigt rapporteres til den øverste ledelse og til direktionen, som støtter den proaktive styring af operationelle risici. |
| --- | --- |

34.

| 35. | ORM-strukturen er hovedsagelig blevet implementeret gennem top-down-vurderinger. I henhold til ECB's risikopolitik bør forretningsområderne også kontinuerligt foretage bottom-up-vurderinger af deres egne processer, og de identificerede risiko bør godkendes (28). |
| --- | --- |

35.

ORM-strukturen er hovedsagelig blevet implementeret gennem top-down-vurderinger. I henhold til ECB's risikopolitik bør forretningsområderne også kontinuerligt foretage bottom-up-vurderinger af deres egne processer, og de identificerede risiko bør godkendes (28).

| 36. | ECB foretog top-down-risikovurderinger i 2008 og 2009. ORM/BCM-funktionen gav forretningsområderne nogle forud fastsatte risici på højt niveau, som dannede grundlag for deres risikovurderinger. Den endelige rapport indeholdt en handlingsplan for hvert forretningsområde. Det er fastsat i BPH, at forretningsområderne bør analysere og fastlægge reaktionsstrategier og foretage en cost-benefit-analyse af de mulige løsninger. |
| --- | --- |

36.

ECB foretog top-down-risikovurderinger i 2008 og 2009. ORM/BCM-funktionen gav forretningsområderne nogle forud fastsatte risici på højt niveau, som dannede grundlag for deres risikovurderinger. Den endelige rapport indeholdt en handlingsplan for hvert forretningsområde. Det er fastsat i BPH, at forretningsområderne bør analysere og fastlægge reaktionsstrategier og foretage en cost-benefit-analyse af de mulige løsninger.

| 37. | I forbindelse med top-down-vurderingen i 2009 identificerede samtlige forretningsområder risici og løsninger. Rapporten vedrørende top-down-vurderingen i 2009 indeholdt indsatspunkter til opfølgning i hvert enkelt forretningsområde. Der var imidlertid ingen dokumentation for cost-benefit-analyser i de forretningsområder, der indgik i Rettens stikprøve. |
| --- | --- |

37.

I forbindelse med top-down-vurderingen i 2009 identificerede samtlige forretningsområder risici og løsninger. Rapporten vedrørende top-down-vurderingen i 2009 indeholdt indsatspunkter til opfølgning i hvert enkelt forretningsområde. Der var imidlertid ingen dokumentation for cost-benefit-analyser i de forretningsområder, der indgik i Rettens stikprøve.

| 38. | Med hensyn til nogle risici var proceduren for ORC's eller direktionens godkendelse af risici, der var identificeret af forretningsområderne, meget langsom. F.eks. var to risici, der blev identificeret i juli-august 2009, endnu ikke blevet godkendt i december 2010. Det fremgår også af den liste over åbne indsatspunkter, som blev gennemgået på ORC's møder, at nogle stod åbne i over et år og helt op til to år. |
| --- | --- |

38.

Med hensyn til nogle risici var proceduren for ORC's eller direktionens godkendelse af risici, der var identificeret af forretningsområderne, meget langsom. F.eks. var to risici, der blev identificeret i juli-august 2009, endnu ikke blevet godkendt i december 2010. Det fremgår også af den liste over åbne indsatspunkter, som blev gennemgået på ORC's møder, at nogle stod åbne i over et år og helt op til to år.

| 39. | Kun i tre af de seks forretningsområder i stikprøven var det muligt at finde specifikke ressourcer tildelt til ORM-aktiviteterne i deres arbejdsprogrammer. Beskrivelsen af ORM-aktiviteterne var vag, og det var ikke muligt at spore indsatspunkterne fra top-down-undersøgelsen i 2009 til forretningsområdernes arbejdsprogrammer. |
| --- | --- |

39.

Kun i tre af de seks forretningsområder i stikprøven var det muligt at finde specifikke ressourcer tildelt til ORM-aktiviteterne i deres arbejdsprogrammer. Beskrivelsen af ORM-aktiviteterne var vag, og det var ikke muligt at spore indsatspunkterne fra top-down-undersøgelsen i 2009 til forretningsområdernes arbejdsprogrammer.

ECB's planlægning af forretningskontinuitet

| 40. | Planlægning af forretningskontinuitet (Business Continuity Management — BCM) er et vigtigt element i styringen af operationelle risici. Der skal foreligge katastrofe- og genoprettelsesplaner for de værst tænkelige scenarier, så alle væsentlige aktiviteter og processer kan fortsætte i en krisesituation. |
| --- | --- |

40.

Planlægning af forretningskontinuitet (Business Continuity Management — BCM) er et vigtigt element i styringen af operationelle risici. Der skal foreligge katastrofe- og genoprettelsesplaner for de værst tænkelige scenarier, så alle væsentlige aktiviteter og processer kan fortsætte i en krisesituation.

| 41. | Retten undersøgte:






  i) | om ECB's samlede BCM-struktur er tilfredsstillende og i overensstemmelse med bedste praksis |
| --- | --- | --- |

41.

Retten undersøgte:

i)

om ECB's samlede BCM-struktur er tilfredsstillende og i overensstemmelse med bedste praksis

| ii) | om de væsentlige processer er defineret tilstrækkeligt |
| --- | --- |

ii)

om de væsentlige processer er defineret tilstrækkeligt

| iii) | om de udvalgte forretningsområders forretningskontinuitetsplaner (Business Continuity Plans — BCP) tager tilstrækkelig højde for risiciene til at sikre, at alle væsentlige aktiviteter kan fortsætte |
| --- | --- |

iii)

om de udvalgte forretningsområders forretningskontinuitetsplaner (Business Continuity Plans — BCP) tager tilstrækkelig højde for risiciene til at sikre, at alle væsentlige aktiviteter kan fortsætte

| iv) | om forretningskontinuitetsforanstaltningerne var blevet testet tilstrækkeligt |
| --- | --- |

iv)

om forretningskontinuitetsforanstaltningerne var blevet testet tilstrækkeligt

| v) | om de ansatte kendte til og havde fået kurser om forretningskontinuitetsforanstaltningerne. |
| --- | --- |

v)

om de ansatte kendte til og havde fået kurser om forretningskontinuitetsforanstaltningerne.

BCM-strukturen

| 42. | Planlægning af forretningskontinuitet er en overordnet forretningstilgang, som omfatter politikker, standarder og procedurer til sikring af, at bestemte aktiviteter kan opretholdes eller genoprettes hurtigt, hvis driften afbrydes. Formålet er at minimere de operationelle, finansielle, juridiske, omdømmemæssige og øvrige væsentlige konsekvenser af en driftsafbrydelse
   (29). |
| --- | --- |

42.

Planlægning af forretningskontinuitet er en overordnet forretningstilgang, som omfatter politikker, standarder og procedurer til sikring af, at bestemte aktiviteter kan opretholdes eller genoprettes hurtigt, hvis driften afbrydes. Formålet er at minimere de operationelle, finansielle, juridiske, omdømmemæssige og øvrige væsentlige konsekvenser af en driftsafbrydelse
   (29).

| 43. | Formålet med BCM er at sikre, at foranstaltningerne og løsningerne vedrørende forretningskontinuitet er i overensstemmelse med ECB's mål, forpligtelser, lovbestemte opgaver og risikotolerancepolitik (30). |
| --- | --- |

43.

Formålet med BCM er at sikre, at foranstaltningerne og løsningerne vedrørende forretningskontinuitet er i overensstemmelse med ECB's mål, forpligtelser, lovbestemte opgaver og risikotolerancepolitik (30).

| 44. | Revisionen omfattede en gennemgang af de centrale dokumenter, der udgør BCM-strukturen:






  — | kapitel 26 i »Business Practice Handbook«, som udstikker de brede rammer, definerer processerne og de output, der skal leveres, samt definerer roller og ansvarsområder |
| --- | --- | --- |

44.

Revisionen omfattede en gennemgang af de centrale dokumenter, der udgør BCM-strukturen:

—

kapitel 26 i »Business Practice Handbook«, som udstikker de brede rammer, definerer processerne og de output, der skal leveres, samt definerer roller og ansvarsområder

| — | ECB's strategi for forretningskontinuitetstest og -uddannelse |
| --- | --- |

—

ECB's strategi for forretningskontinuitetstest og -uddannelse

| — | ECB's program for forretningskontinuitetstest |
| --- | --- |

—

ECB's program for forretningskontinuitetstest

| — | ECB's krisestyringsmanual. |
| --- | --- |

—

ECB's krisestyringsmanual.

| 45. | ECB har udviklet en krisemanual, som definerer roller, ansvarsområder og processer i en krisesituation og indeholder oplysninger om, hvordan krisestyringsholdet kan kontaktes. Hvert forretningsområde har det fulde ansvar for at udvikle sit eget BCP. Den overordnede BCP-model kræver imidlertid ikke et samlet BCP for hele ECB, og et sådant er ikke blevet udarbejdet. |
| --- | --- |

45.

ECB har udviklet en krisemanual, som definerer roller, ansvarsområder og processer i en krisesituation og indeholder oplysninger om, hvordan krisestyringsholdet kan kontaktes. Hvert forretningsområde har det fulde ansvar for at udvikle sit eget BCP. Den overordnede BCP-model kræver imidlertid ikke et samlet BCP for hele ECB, og et sådant er ikke blevet udarbejdet.

| 46. | ECB har etableret en forsvarlig struktur, der giver vejledning om BCM-politikker, -processer og -ansvarsområder i organisationen. Den decentrale tilgang skaber imidlertid også en risiko for, at implementeringen af BCM ikke er ensartet i hele organisationen, fordi den ikke er strengt koordineret. |
| --- | --- |

46.

ECB har etableret en forsvarlig struktur, der giver vejledning om BCM-politikker, -processer og -ansvarsområder i organisationen. Den decentrale tilgang skaber imidlertid også en risiko for, at implementeringen af BCM ikke er ensartet i hele organisationen, fordi den ikke er strengt koordineret.

Identificering af væsentlige processer

| 47. | Virksomhedsanalyse (Business Impact Analysis — BIA) er en dynamisk proces til identificering af væsentlige aktiviteter og tjenester, centrale interne og eksterne afhængighedsforhold samt hensigtsmæssige grader af modstandsdygtighed. Ved analysen vurderes det, hvilke risici der er forbundet med forskellige scenarier for driftsafbrydelse, og hvordan disse scenarier kan påvirke organisationens aktiviteter og omdømme
   (31). |
| --- | --- |

47.

Virksomhedsanalyse (Business Impact Analysis — BIA) er en dynamisk proces til identificering af væsentlige aktiviteter og tjenester, centrale interne og eksterne afhængighedsforhold samt hensigtsmæssige grader af modstandsdygtighed. Ved analysen vurderes det, hvilke risici der er forbundet med forskellige scenarier for driftsafbrydelse, og hvordan disse scenarier kan påvirke organisationens aktiviteter og omdømme
   (31).

| 48. | Den seneste fuldstændige virksomhedsanalyse (BIA) blev udført i 2006 (32) med henblik på at identificere de af ECB's produkter og tjenester, som er afgørende for kontinuiteten i bankens vigtigste aktiviteter. Den udførte BIA havde bl.a. følgende centrale fokusområder:






  — | identificering af de væsentlige forretningsprocesser |
| --- | --- | --- |

48.

Den seneste fuldstændige virksomhedsanalyse (BIA) blev udført i 2006 (32) med henblik på at identificere de af ECB's produkter og tjenester, som er afgørende for kontinuiteten i bankens vigtigste aktiviteter. Den udførte BIA havde bl.a. følgende centrale fokusområder:

—

identificering af de væsentlige forretningsprocesser

| — | kategorisering af de væsentlige krav |
| --- | --- |

—

kategorisering af de væsentlige krav

| — | vejledning om håndtering af enkeltstående eller sjældne processer |
| --- | --- |

—

vejledning om håndtering af enkeltstående eller sjældne processer

| — | identificering af yderligere støttebehov. |
| --- | --- |

—

identificering af yderligere støttebehov.

| 49. | En omfattende BIA-ajourføring i 2007 identificerede mangler med hensyn til forretningskontinuitet og de foranstaltninger, der var gældende på det tidspunkt. Der blev fastlagt en opfølgningsstrategi, som gav mulighed for enten at afhjælpe de identificerede mangler eller at acceptere de dermed forbundne risici og omkostninger. Dette dokument præsenterede omkostningerne i form af it-løsninger og logistisk infrastruktur, men beskrev ikke i detaljer de forskellige risikoniveauers effekt på omkostningerne. |
| --- | --- |

49.

En omfattende BIA-ajourføring i 2007 identificerede mangler med hensyn til forretningskontinuitet og de foranstaltninger, der var gældende på det tidspunkt. Der blev fastlagt en opfølgningsstrategi, som gav mulighed for enten at afhjælpe de identificerede mangler eller at acceptere de dermed forbundne risici og omkostninger. Dette dokument præsenterede omkostningerne i form af it-løsninger og logistisk infrastruktur, men beskrev ikke i detaljer de forskellige risikoniveauers effekt på omkostningerne.

| 50. | Den seneste BIA-ajourføring til afhjælpning af de mangler, der blev identificeret i 2007, blev afsluttet i 2010. Der er ikke udført en fuldstændig virksomhedsanalyse siden finanskrisen. |
| --- | --- |

50.

Den seneste BIA-ajourføring til afhjælpning af de mangler, der blev identificeret i 2007, blev afsluttet i 2010. Der er ikke udført en fuldstændig virksomhedsanalyse siden finanskrisen.

Forretningskontinuitetsplaner (Business Continuity Plans — BCP)

Væsentlige aktiviteter

| 51. | BCP'erne bør udformes, så de identificerer de væsentlige aktiviteter med henblik på at sikre, at ECB kan opfylde sine lovbestemte forpligtelser som defineret i den relevante protokol om statutten for ECB
   (33). BCP'erne bør tage udgangspunkt i det værst tænkelige scenario, dog således at reaktionen kan begrænses, så den står i et rimeligt forhold til den faktiske krise
   (34). |
| --- | --- |

51.

BCP'erne bør udformes, så de identificerer de væsentlige aktiviteter med henblik på at sikre, at ECB kan opfylde sine lovbestemte forpligtelser som defineret i den relevante protokol om statutten for ECB
   (33). BCP'erne bør tage udgangspunkt i det værst tænkelige scenario, dog således at reaktionen kan begrænses, så den står i et rimeligt forhold til den faktiske krise
   (34).

| 52. | ECB har ud fra en række risici og på grundlag af sine lovbestemte forpligtelser fastlagt primære benchmarks for vurdering af væsentlighed (jf. tekstboks 3).

  Tekstboks 3


  Primære benchmarks for vurdering af væsentlighed

  Opfyldelse af de lovbestemte forpligtelser, herunder:






  — | at formulere og gennemføre euroområdets monetære politik |
| --- | --- | --- |

52.

ECB har ud fra en række risici og på grundlag af sine lovbestemte forpligtelser fastlagt primære benchmarks for vurdering af væsentlighed (jf. tekstboks 3).

Tekstboks 3

Primære benchmarks for vurdering af væsentlighed

Opfyldelse af de lovbestemte forpligtelser, herunder:

—

at formulere og gennemføre euroområdets monetære politik

| — | at foretage transaktioner i udenlandsk valuta |
| --- | --- |

—

at foretage transaktioner i udenlandsk valuta

| — | at besidde og forvalte euroområdelandenes officielle valutareserver |
| --- | --- |

—

at besidde og forvalte euroområdelandenes officielle valutareserver

| — | at fremme betalingssystemernes smidige funktion. |
| --- | --- |

—

at fremme betalingssystemernes smidige funktion.

Afbrydelse af en identificeret proces, som fører til:

| — | markedsustabilitet |
| --- | --- |

—

markedsustabilitet

| — | skadet troværdighed/image/omdømme |
| --- | --- |

—

skadet troværdighed/image/omdømme

| — | finansielt tab for ECB |
| --- | --- |

—

finansielt tab for ECB

| — | finansielt tab for andre institutioner |
| --- | --- |

—

finansielt tab for andre institutioner

| — | potentielle juridiske problemer |
| --- | --- |

—

potentielle juridiske problemer

| — | andre virkninger, som ikke er nævnt ovenfor. |
| --- | --- |

—

andre virkninger, som ikke er nævnt ovenfor.

Kilde: ECB's BIA-gennemgang, 2006.

| 53. | På grundlag af sin gennemgang af disse primære benchmarks og en foreløbig vurdering af det aktivitetsniveau, der potentielt kunne opretholdes under de opstillede scenarier (35), konstaterede Retten, at planerne var udformet med henblik på at sikre, at de lovbestemte forpligtelser kunne opfyldes. Rettens gennemgang af BCP'erne viste imidlertid, at der manglede planer, som tog højde for et stort tab af menneskelige ressourcer (36) i forbindelse med en katastrofe. De forretningsområder, der havde ansvaret for processerne, havde defineret, hvilke ansatte der var ansvarlige for forretningskontinuiteten, og identificeret deres afløsere, men ingen af dem havde en nødplan, der tog højde for en alvorlig mangel på personale. |
| --- | --- |

53.

På grundlag af sin gennemgang af disse primære benchmarks og en foreløbig vurdering af det aktivitetsniveau, der potentielt kunne opretholdes under de opstillede scenarier (35), konstaterede Retten, at planerne var udformet med henblik på at sikre, at de lovbestemte forpligtelser kunne opfyldes. Rettens gennemgang af BCP'erne viste imidlertid, at der manglede planer, som tog højde for et stort tab af menneskelige ressourcer (36) i forbindelse med en katastrofe. De forretningsområder, der havde ansvaret for processerne, havde defineret, hvilke ansatte der var ansvarlige for forretningskontinuiteten, og identificeret deres afløsere, men ingen af dem havde en nødplan, der tog højde for en alvorlig mangel på personale.

Overholdelse af den overordnede BCP-model

| 54. | I henhold til den overordnede BCP-model skal forretningsområdernes egne BCP'er dække:






  — | organisatoriske aspekter
   (37) |
| --- | --- | --- |

54.

—

organisatoriske aspekter
   (37)

| — | væsentlige processer
   (38) |
| --- | --- |

—

væsentlige processer
   (38)

| — | behov
   (39) |
| --- | --- |

—

behov
   (39)

| — | aktørliste. |
| --- | --- |

—

aktørliste.

De direkte fordele, som en organisation opnår ved foranstaltninger, der styrker dens modstandsdygtighed over for operationelle afbrydelser, skal afvejes mod disse foranstaltningers pris
   (40).

| 55. | ECB's overordnede BCP-model fastlægger den obligatoriske struktur og det obligatoriske indhold i de enkelte forretningsområders BCP'er. Modellen fastlægger således kun strukturen i de BCP-dokumenter, som forretningsområderne skal fremlægge. |
| --- | --- |

55.

ECB's overordnede BCP-model fastlægger den obligatoriske struktur og det obligatoriske indhold i de enkelte forretningsområders BCP'er. Modellen fastlægger således kun strukturen i de BCP-dokumenter, som forretningsområderne skal fremlægge.

| 56. | BCP'er udarbejdes på forretningsområde-, tjeneste- eller afdelingsniveau. Den overordnede BCP-model overholdes generelt med hensyn til det obligatoriske indhold, men det er meget forskelligt, hvor detaljerede oplysningerne er. Selv om ORM/BCM-funktionen spiller en central koordinerende rolle, afhænger den enkelte BCP's kvalitet af den person, som er ansvarlig på forretningsområdeniveau. Der var ikke noget bevis for, at ORM/BCM-funktionen foretager en tilstrækkelig gennemgang af de forskellige BCP'er. |
| --- | --- |

56.

BCP'er udarbejdes på forretningsområde-, tjeneste- eller afdelingsniveau. Den overordnede BCP-model overholdes generelt med hensyn til det obligatoriske indhold, men det er meget forskelligt, hvor detaljerede oplysningerne er. Selv om ORM/BCM-funktionen spiller en central koordinerende rolle, afhænger den enkelte BCP's kvalitet af den person, som er ansvarlig på forretningsområdeniveau. Der var ikke noget bevis for, at ORM/BCM-funktionen foretager en tilstrækkelig gennemgang af de forskellige BCP'er.

| 57. | Af de fem forretningsområder (41), som Retten udvalgte til detaljerede test, havde fire leveret BCP'er, som overholdt kravene, og tre af disse tog fuld højde for de væsentlige processer, der var identificeret i BIA'en. |
| --- | --- |

57.

Af de fem forretningsområder (41), som Retten udvalgte til detaljerede test, havde fire leveret BCP'er, som overholdt kravene, og tre af disse tog fuld højde for de væsentlige processer, der var identificeret i BIA'en.

| 58. | I de forretningsområder, der indgik i Rettens stikprøve, var der i de fleste tilfælde ingen dokumentation for, at der var foretaget en cost-benefit-analyse af forretningskontinuitetsmulighederne, f.eks. en undersøgelse af forskellige risikoniveauer. |
| --- | --- |

58.

I de forretningsområder, der indgik i Rettens stikprøve, var der i de fleste tilfælde ingen dokumentation for, at der var foretaget en cost-benefit-analyse af forretningskontinuitetsmulighederne, f.eks. en undersøgelse af forskellige risikoniveauer.

Test

| 59. | Organisationer bør teste deres forretningskontinuitetsplaner, evaluere disse planers effektivitet og ajourføre forretningskontinuitetsplanlægningen, hvis det er relevant
   (42). I henhold til BS25999
   (43)
  skal en organisation sikre, at dens BCM-foranstaltninger valideres ved efterprøvning og gennemgang og holdes ajour. |
| --- | --- |

59.

Organisationer bør teste deres forretningskontinuitetsplaner, evaluere disse planers effektivitet og ajourføre forretningskontinuitetsplanlægningen, hvis det er relevant
   (42). I henhold til BS25999
   (43)
  skal en organisation sikre, at dens BCM-foranstaltninger valideres ved efterprøvning og gennemgang og holdes ajour.

| 60. | Retten gennemgik følgende dokumenter:






  — | strategien for test af forretningskontinuitet (44) |
| --- | --- | --- |

60.

Retten gennemgik følgende dokumenter:

—

strategien for test af forretningskontinuitet (44)

| — | programmer og tidsplaner for test i perioden 2008-2010 |
| --- | --- |

—

programmer og tidsplaner for test i perioden 2008-2010

| — | testrapporter. |
| --- | --- |

—

testrapporter.

| 61. | Teststrategien fokuserer på de BCP'er og it-genoprettelsesplaner, som er udviklet med henblik på at gennemgå de processer, der i BIA'en identificeres som væsentlige. Teststrukturen omfatter en klar ansvarsfordeling og fastlægger testomfanget, rapporteringskravene, testhyppigheden og det relevante program for midtvejstest. Gennemgangen viste, at der er etableret en tilfredsstillende teststruktur, som opfylder kravene i BS 25999. |
| --- | --- |

61.

Teststrategien fokuserer på de BCP'er og it-genoprettelsesplaner, som er udviklet med henblik på at gennemgå de processer, der i BIA'en identificeres som væsentlige. Teststrukturen omfatter en klar ansvarsfordeling og fastlægger testomfanget, rapporteringskravene, testhyppigheden og det relevante program for midtvejstest. Gennemgangen viste, at der er etableret en tilfredsstillende teststruktur, som opfylder kravene i BS 25999.

| 62. | De gennemførte test viste, at selv om testøvelserne dækker nøglepersonalet og afholdes regelmæssigt, simulerer de ikke altid de omstændigheder, som ECB ville stå i ved en alvorlig driftsafbrydelse. De test, der var planlagt i 2009 og 2010, dækkede ikke alle de scenarier, som ECB havde opstillet, og det var ikke alle de oprindeligt planlagte test, der blev udført. |
| --- | --- |

62.

De gennemførte test viste, at selv om testøvelserne dækker nøglepersonalet og afholdes regelmæssigt, simulerer de ikke altid de omstændigheder, som ECB ville stå i ved en alvorlig driftsafbrydelse. De test, der var planlagt i 2009 og 2010, dækkede ikke alle de scenarier, som ECB havde opstillet, og det var ikke alle de oprindeligt planlagte test, der blev udført.

Uddannelse og bevidstgørelse

| 63. | Krisestyringsholdet og krisereaktionsholdet bør uddannes til at varetage deres ansvar og pligter. Holdene bør have kurser mindst en gang om året, og nye medlemmer bør uddannes, når de tiltræder. Alle ansatte bør uddannes til at varetage deres individuelle ansvar i en krisesituation. De bør også oplyses om de centrale elementer i forretningskontinuitetsplanen
   (45). |
| --- | --- |

63.

Krisestyringsholdet og krisereaktionsholdet bør uddannes til at varetage deres ansvar og pligter. Holdene bør have kurser mindst en gang om året, og nye medlemmer bør uddannes, når de tiltræder. Alle ansatte bør uddannes til at varetage deres individuelle ansvar i en krisesituation. De bør også oplyses om de centrale elementer i forretningskontinuitetsplanen
   (45).

| 64. | ECB's uddannelsesstrategi fastsætter, at alle ansatte skal gennemgå et BCM-bevidstgørelsesprogram (46). Med hensyn til test fastsætter uddannelsesstrategien, at der skal udarbejdes et træningsprogram med implementeringsdetaljer. |
| --- | --- |

64.

ECB's uddannelsesstrategi fastsætter, at alle ansatte skal gennemgå et BCM-bevidstgørelsesprogram (46). Med hensyn til test fastsætter uddannelsesstrategien, at der skal udarbejdes et træningsprogram med implementeringsdetaljer.

| 65. | I 2010 blev der afholdt fem halvdagskurser i krisestyring, hvor ECB's krisemanual blev gennemgået. Samlet set bedømte deltagerne både manualen og kurset positivt, men de bemærkede også, at de ville sætte meget pris på simulationstest. |
| --- | --- |

65.

I 2010 blev der afholdt fem halvdagskurser i krisestyring, hvor ECB's krisemanual blev gennemgået. Samlet set bedømte deltagerne både manualen og kurset positivt, men de bemærkede også, at de ville sætte meget pris på simulationstest.

| 66. | Retten fandt klart bevis for, at det relevante personale med ansvar for forretningskontinuitet blev uddannet i forbindelse med test af BCP'er, men fandt ikke noget bevis for, at der aktivt blev gjort noget for at bevidstgøre det øvrige personale om forretningskontinuitetsstrukturen og -processerne. Det erkendes i flere interne referencedokumenter (47), at test spiller en central rolle i forbindelse med uddannelse af personale, men at der også er behov for at bevidstgøre samtlige ansatte ved hjælp af et særligt program. Et sådant program er endnu ikke blevet udviklet, da den centrale ORM/BCM-funktion mener, at de ansattes viden om forretningskontinuitetsforanstaltningerne er tilfredsstillende. Ikke desto mindre viser resultaterne af en intern spørgeskemaundersøgelse (48), at over 12 % af svarerne (20 % i 2009) ikke kender til forretningskontinuitetsforanstaltningerne for deres forretningsområde og ikke ville vide, hvor de skulle finde oplysninger om, hvordan de skulle reagere i en krisesituation. |
| --- | --- |

66.

Retten fandt klart bevis for, at det relevante personale med ansvar for forretningskontinuitet blev uddannet i forbindelse med test af BCP'er, men fandt ikke noget bevis for, at der aktivt blev gjort noget for at bevidstgøre det øvrige personale om forretningskontinuitetsstrukturen og -processerne. Det erkendes i flere interne referencedokumenter (47), at test spiller en central rolle i forbindelse med uddannelse af personale, men at der også er behov for at bevidstgøre samtlige ansatte ved hjælp af et særligt program. Et sådant program er endnu ikke blevet udviklet, da den centrale ORM/BCM-funktion mener, at de ansattes viden om forretningskontinuitetsforanstaltningerne er tilfredsstillende. Ikke desto mindre viser resultaterne af en intern spørgeskemaundersøgelse (48), at over 12 % af svarerne (20 % i 2009) ikke kender til forretningskontinuitetsforanstaltningerne for deres forretningsområde og ikke ville vide, hvor de skulle finde oplysninger om, hvordan de skulle reagere i en krisesituation.

Har ECB styret sine finansielle risici effektivt?

| 67. | Styring af finansielle risici er en proces til håndtering af usikkerheder hidrørende fra finansielle markeder. Den omfatter vurdering af de finansielle risici, som en organisation er udsat for, og udvikling af styringsstrategier, som er i overensstemmelse med de interne prioriteter og politikker. |
| --- | --- |

67.

Styring af finansielle risici er en proces til håndtering af usikkerheder hidrørende fra finansielle markeder. Den omfatter vurdering af de finansielle risici, som en organisation er udsat for, og udvikling af styringsstrategier, som er i overensstemmelse med de interne prioriteter og politikker.

| 68. | Retten undersøgte:






  — | om den samlede struktur for styring af finansielle risici i forbindelse med investeringer og politiske operationer er i overensstemmelse med bedste praksis |
| --- | --- | --- |

68.

Retten undersøgte:

—

om den samlede struktur for styring af finansielle risici i forbindelse med investeringer og politiske operationer er i overensstemmelse med bedste praksis

| — | om ECB's metoder til styring af finansielle risici er tilstrækkelige til at styre de finansielle risici |
| --- | --- |

—

om ECB's metoder til styring af finansielle risici er tilstrækkelige til at styre de finansielle risici

| — | om metoderne til styring af finansielle risici anvendes effektivt af ECB |
| --- | --- |

—

om metoderne til styring af finansielle risici anvendes effektivt af ECB

| — | om rapporteringen om styring af finansielle risici er regelmæssig og pålidelig. |
| --- | --- |

—

om rapporteringen om styring af finansielle risici er regelmæssig og pålidelig.

Strukturen for styring af finansielle risici i forbindelse med investeringer og politiske operationer

| 69. | Strukturen bør give en definition af finansielle risici, som er gældende i hele organisationen, og fastlægge principperne for, hvordan finansielle risici skal identificeres, vurderes, overvåges og kontrolleres/begrænses
   (49). Banken skal have et system til styring af finansielle risici, hvor klare ansvarsopgaver er tildelt. |
| --- | --- |

69.

Strukturen bør give en definition af finansielle risici, som er gældende i hele organisationen, og fastlægge principperne for, hvordan finansielle risici skal identificeres, vurderes, overvåges og kontrolleres/begrænses
   (49). Banken skal have et system til styring af finansielle risici, hvor klare ansvarsopgaver er tildelt.

| 70. | ECB's struktur for styring af finansielle risici er udformet med henblik på at dække risici, der opstår i forbindelse med to ECB-operationer: i) investering og ii) kredit. Investeringsoperationerne vedrører de to investeringsporteføljer, valutareserverne (50) (60 600 millioner euro pr. 31. december 2010) og egenporteføljen (51) (13 300 millioner euro pr. 31. december 2010). Kreditoperationerne vedrører de pengepolitiske operationer (52). ECB's investeringsaktiviteter omfatter forvaltningen af ECB's valutareserver (53) og ECB's egenportefølje, forvaltningen af pensionsfonden og aktiviteter vedrørende de to porteføljer, der besiddes med henblik på pengepolitiske formål (54). |
| --- | --- |

70.

ECB's struktur for styring af finansielle risici er udformet med henblik på at dække risici, der opstår i forbindelse med to ECB-operationer: i) investering og ii) kredit. Investeringsoperationerne vedrører de to investeringsporteføljer, valutareserverne (50) (60 600 millioner euro pr. 31. december 2010) og egenporteføljen (51) (13 300 millioner euro pr. 31. december 2010). Kreditoperationerne vedrører de pengepolitiske operationer (52). ECB's investeringsaktiviteter omfatter forvaltningen af ECB's valutareserver (53) og ECB's egenportefølje, forvaltningen af pensionsfonden og aktiviteter vedrørende de to porteføljer, der besiddes med henblik på pengepolitiske formål (54).

| 71. | RMA-afdelingen har ansvaret for at vedligeholde den generelle risikostyringsstruktur for investeringsoperationer og står for overvågning, vurdering og kontrol af de risici, der er forbundet med disse operationer. Den overvåger også overholdelsen af de vedtagne politikker og processer vedrørende styring af markeds- og kreditrisici. Tilfælde af manglende overholdelse rapporteres i henhold til vedtagne eskaleringsprocedurer. |
| --- | --- |

71.

RMA-afdelingen har ansvaret for at vedligeholde den generelle risikostyringsstruktur for investeringsoperationer og står for overvågning, vurdering og kontrol af de risici, der er forbundet med disse operationer. Den overvåger også overholdelsen af de vedtagne politikker og processer vedrørende styring af markeds- og kreditrisici. Tilfælde af manglende overholdelse rapporteres i henhold til vedtagne eskaleringsprocedurer.

| 72. | Det er forretningsområdet DG-M, der foretager ECB's investeringsoperationer. Det er også ansvarligt for at vedligeholde og videreudvikle eurosystemets applikation til porteføljeforvaltning (55). DG-M's investeringsafdeling har ansvaret for at udarbejde Investeringskomitéens forslag til det taktiske benchmark for valutareserveporteføljen og varetager den direkte forvaltning af ECB's egenportefølje. |
| --- | --- |

72.

Det er forretningsområdet DG-M, der foretager ECB's investeringsoperationer. Det er også ansvarligt for at vedligeholde og videreudvikle eurosystemets applikation til porteføljeforvaltning (55). DG-M's investeringsafdeling har ansvaret for at udarbejde Investeringskomitéens forslag til det taktiske benchmark for valutareserveporteføljen og varetager den direkte forvaltning af ECB's egenportefølje.

| 73. | »Handbook of Financial Risk Management« (56), som er det væsentligste dokument vedrørende styring af finansielle risici i forbindelse med investeringsaktiviteter, giver en omfattende oversigt over alle de relevante politikker, processer og procedurer, navnlig med henvisning til de dokumenter, der er godkendt af ECB's besluttende organ. |
| --- | --- |

73.

»Handbook of Financial Risk Management« (56), som er det væsentligste dokument vedrørende styring af finansielle risici i forbindelse med investeringsaktiviteter, giver en omfattende oversigt over alle de relevante politikker, processer og procedurer, navnlig med henvisning til de dokumenter, der er godkendt af ECB's besluttende organ.

| 74. | Den samlede struktur for ECB's styring af finansielle risici i forbindelse med forvaltning af investeringer og politiske operationer giver en definition af finansielle risici, som er gældende i hele banken, og fastlægger principperne for, hvordan finansielle risici skal identificeres, vurderes, overvåges og kontrolleres/begrænses. |
| --- | --- |

74.

Den samlede struktur for ECB's styring af finansielle risici i forbindelse med forvaltning af investeringer og politiske operationer giver en definition af finansielle risici, som er gældende i hele banken, og fastlægger principperne for, hvordan finansielle risici skal identificeres, vurderes, overvåges og kontrolleres/begrænses.

Metoder til styring af finansielle risici

| 75. | Der bør udarbejdes passende retningslinjer, som fastlægger risikovilligheden i tilstrækkelig grad og giver omfattende vejledning med hensyn til investeringsoperationer. |
| --- | --- |

75.

| 76. | ECB's »Handbook of Financial Risk Management« definerer følgende elementer:






  i) | ECB's risikotolerance |
| --- | --- | --- |

76.

ECB's »Handbook of Financial Risk Management« definerer følgende elementer:

i)

ECB's risikotolerance

| ii) | godkendte instrumenter og operationer |
| --- | --- |

ii)

godkendte instrumenter og operationer

| iii) | mulige modparter og udstedere, fastsættelse af grænser |
| --- | --- |

iii)

mulige modparter og udstedere, fastsættelse af grænser

| iv) | strategisk aktivallokering |
| --- | --- |

iv)

strategisk aktivallokering

| v) | overvågning, rapportering og vurdering |
| --- | --- |

v)

overvågning, rapportering og vurdering

| vi) | gennemgang af rammerne (57). |
| --- | --- |

vi)

gennemgang af rammerne (57).

| 77. | Processen for investering af valutareserver bygger på en struktur med tre lag: det strategiske benchmark, det taktiske benchmark og de konkrete porteføljer. Det strategiske benchmark afspejler Styrelsesrådets langsigtede risiko/afkast-præferencer. |
| --- | --- |

77.

Processen for investering af valutareserver bygger på en struktur med tre lag: det strategiske benchmark, det taktiske benchmark og de konkrete porteføljer. Det strategiske benchmark afspejler Styrelsesrådets langsigtede risiko/afkast-præferencer.

| 78. | Processen for investering af egenporteføljen bygger på en struktur med to lag: det strategiske benchmark og den konkrete portefølje. Det strategiske benchmark fastsættes af direktionen. |
| --- | --- |

78.

Processen for investering af egenporteføljen bygger på en struktur med to lag: det strategiske benchmark og den konkrete portefølje. Det strategiske benchmark fastsættes af direktionen.

| 79. | Afkastet maksimeres under iagttagelse af begrænsningerne med hensyn til nulunderskud og aktivallokering og implementeres i henhold til en specifik strategisk aktivallokering (58). |
| --- | --- |

79.

Afkastet maksimeres under iagttagelse af begrænsningerne med hensyn til nulunderskud og aktivallokering og implementeres i henhold til en specifik strategisk aktivallokering (58).

| 80. | RMA fører lister over mulige lande, udstedere og modparter. RMA fastsætter også begrænsninger for modparterne efter de metoder, direktionen har godkendt. I forbindelse med forvaltningen af valutareserver fastsættes begrænsningerne af de nationale centralbanker efter de metoder, Styrelsesrådet har godkendt. En gang om året ajourføres alle begrænsninger systematisk. Vurderingsændringers indvirkning på modparternes egnethed og de gældende begrænsninger tages omgående i betragtning. |
| --- | --- |

80.

RMA fører lister over mulige lande, udstedere og modparter. RMA fastsætter også begrænsninger for modparterne efter de metoder, direktionen har godkendt. I forbindelse med forvaltningen af valutareserver fastsættes begrænsningerne af de nationale centralbanker efter de metoder, Styrelsesrådet har godkendt. En gang om året ajourføres alle begrænsninger systematisk. Vurderingsændringers indvirkning på modparternes egnethed og de gældende begrænsninger tages omgående i betragtning.

| 81. | Følgende politiske krav på højt plan tages i betragtning ved den strategiske aktivallokering:






  i) | mål for besiddelse af reserverne |
| --- | --- | --- |

81.

Følgende politiske krav på højt plan tages i betragtning ved den strategiske aktivallokering:

i)

mål for besiddelse af reserverne

| ii) | risiko/afkast-præferencer |
| --- | --- |

ii)

risiko/afkast-præferencer

| iii) | modelfilosofi |
| --- | --- |

iii)

modelfilosofi

| iv) | investeringshorisont og justeringsfrekvens |
| --- | --- |

iv)

investeringshorisont og justeringsfrekvens

| v) | ansvarsfordeling mellem det strategiske benchmark og de taktiske lag i investeringskæden |
| --- | --- |

v)

ansvarsfordeling mellem det strategiske benchmark og de taktiske lag i investeringskæden

| vi) | informationsindhold med betydning for investeringsbeslutninger |
| --- | --- |

vi)

informationsindhold med betydning for investeringsbeslutninger

| vii) | mulige investeringer |
| --- | --- |

vii)

mulige investeringer

| viii) | fastsatte investeringsbegrænsninger. |
| --- | --- |

viii)

fastsatte investeringsbegrænsninger.

Investerings- og risikohorisonten fastsættes til ét år for valutareserverne og fem år for egenporteføljen.

| 82. | Under revisionen undersøgte Retten:






  — | fuldstændigheden og tilstrækkeligheden af definitionerne på risikovillighed og risikostrategi |
| --- | --- | --- |

82.

Under revisionen undersøgte Retten:

—

fuldstændigheden og tilstrækkeligheden af definitionerne på risikovillighed og risikostrategi

| — | investeringsretningslinjerne |
| --- | --- |

—

investeringsretningslinjerne

| — | beslutningsprocessen for fastsættelse af investeringsbegrænsninger |
| --- | --- |

—

beslutningsprocessen for fastsættelse af investeringsbegrænsninger

| — | konsistensen i risikomålene: markedsrisiko, kreditrisiko, modpartsrisiko, likviditetsrisiko og operationel risiko i forbindelse med investeringsaktiviteter. |
| --- | --- |

—

konsistensen i risikomålene: markedsrisiko, kreditrisiko, modpartsrisiko, likviditetsrisiko og operationel risiko i forbindelse med investeringsaktiviteter.

| 83. | Gennemgangen af strukturen for styring af finansielle risici viste, at metoderne til styring af finansielle risici fastlægger risikovilligheden i tilstrækkelig grad og giver omfattende vejledning med hensyn til ECB's investeringsoperationer. |
| --- | --- |

83.

Gennemgangen af strukturen for styring af finansielle risici viste, at metoderne til styring af finansielle risici fastlægger risikovilligheden i tilstrækkelig grad og giver omfattende vejledning med hensyn til ECB's investeringsoperationer.

Anvendelse af metoderne til styring af finansielle risici

| 84. | De metoder til styring af finansielle risici, som er beskrevet i det foregående afsnit, bør anvendes effektivt i praksis. |
| --- | --- |

84.

| 85. | Under revisionen undersøgte Retten:






  i) | tilstrækkeligheden af de fastsatte benchmarks i forhold til porteføljerisikoprofilen, herunder fejlmeddelelser, datakvalitet, dataforvaltning og datasikkerhed i forbindelse med strategiske og taktiske benchmarks |
| --- | --- | --- |

85.

Under revisionen undersøgte Retten:

i)

tilstrækkeligheden af de fastsatte benchmarks i forhold til porteføljerisikoprofilen, herunder fejlmeddelelser, datakvalitet, dataforvaltning og datasikkerhed i forbindelse med strategiske og taktiske benchmarks

| ii) | de værktøjer og det system, der understøtter beregningen og ajourføringen af porteføljer og benchmarks |
| --- | --- |

ii)

de værktøjer og det system, der understøtter beregningen og ajourføringen af porteføljer og benchmarks

| iii) | forvaltningen af benchmarkjusteringer. |
| --- | --- |

iii)

forvaltningen af benchmarkjusteringer.

| 86. | Rettens gennemgang af Value-at-Risk-strukturen omfattede:






  i) | datakvalitets- og dataforvaltningsanalyser samt gennemgang af sikkerheds- og kontroldata |
| --- | --- | --- |

86.

Rettens gennemgang af Value-at-Risk-strukturen omfattede:

i)

datakvalitets- og dataforvaltningsanalyser samt gennemgang af sikkerheds- og kontroldata

| ii) | analyser af modelteknik, modelhypoteser og centrale modelkomponenter |
| --- | --- |

ii)

analyser af modelteknik, modelhypoteser og centrale modelkomponenter

| iii) | rimelighedstest, gennemgang af backtestresultater og rapporteringsanalyser. |
| --- | --- |

iii)

rimelighedstest, gennemgang af backtestresultater og rapporteringsanalyser.

| 87. | Testen viste, at implementeringen af metoderne var tilfredsstillende. Dog var »fire øjne-princippet« ikke dokumenteret. Gennemgangen af de modeller, der blev anvendt til beregning af strategiske og taktiske benchmarks samt til VaR-beregninger — inklusive modelvalideringen — viste desuden med hensyn til nogle af modellerne:






  a) | at der på det seneste ikke var foretaget og dokumenteret regelmæssig backtesting af modellerne |
| --- | --- | --- |

87.

Testen viste, at implementeringen af metoderne var tilfredsstillende. Dog var »fire øjne-princippet« ikke dokumenteret. Gennemgangen af de modeller, der blev anvendt til beregning af strategiske og taktiske benchmarks samt til VaR-beregninger — inklusive modelvalideringen — viste desuden med hensyn til nogle af modellerne:

a)

at der på det seneste ikke var foretaget og dokumenteret regelmæssig backtesting af modellerne

| b) | at de anvendte modeller ikke havde været genstand for en uafhængig validering eller nylig ajourføring |
| --- | --- |

b)

at de anvendte modeller ikke havde været genstand for en uafhængig validering eller nylig ajourføring

| c) | at modelhypoteserne ikke altid var tilstrækkeligt dokumenteret. |
| --- | --- |

c)

at modelhypoteserne ikke altid var tilstrækkeligt dokumenteret.

| 88. | En gennemgang af bedste praksis i lignende internationale organisationer viste, at Federal Reserve Bank of New York som led i styrkelsen af sin kapacitet til styring af finansielle risici efter den finansielle krise i USA oprettede et modelvalideringshold. Holdets nøgleopgaver er beskrevet i tekstboks 4.


  Tekstboks 4


  Modelvalideringshold i Federal Reserve Bank of New York

  Holdets nøgleopgaver er:






  — | at føre en fortegnelse over alle de modeller, der anvendes i forbindelse med styring af finansielle risici |
| --- | --- | --- |

88.

En gennemgang af bedste praksis i lignende internationale organisationer viste, at Federal Reserve Bank of New York som led i styrkelsen af sin kapacitet til styring af finansielle risici efter den finansielle krise i USA oprettede et modelvalideringshold. Holdets nøgleopgaver er beskrevet i tekstboks 4.

Tekstboks 4

Modelvalideringshold i Federal Reserve Bank of New York

Holdets nøgleopgaver er:

—

at føre en fortegnelse over alle de modeller, der anvendes i forbindelse med styring af finansielle risici

| — | at gennemgå og validere modeldokumentationen |
| --- | --- |

—

at gennemgå og validere modeldokumentationen

| — | at udarbejde detaljeret dokumentation i de tilfælde, hvor den eksisterende dokumentation anses for utilstrækkelig |
| --- | --- |

—

at udarbejde detaljeret dokumentation i de tilfælde, hvor den eksisterende dokumentation anses for utilstrækkelig

| — | at teste modellerne. |
| --- | --- |

—

at teste modellerne.

Rapportering om finansielle risici

| 89. | Der bør være en proces til regelmæssig overvågning af risikoprofiler og af væsentlig eksponering for tab. Der bør indføres et pålideligt overvågnings- og rapporteringssystem. |
| --- | --- |

89.

| 90. | Overholdelsen af de vedtagne politikker og processer vedrørende styring af markeds- og kreditrisici overvåges af RMA, som også er ansvarlig for at rapportere tilfælde af manglende overholdelse i henhold til vedtagne eskaleringsprocedurer. RMA rapporterer regelmæssigt om risiko/afkast og performance i både valutareserveporteføljen og ECB's egenportefølje samt om de dertil knyttede strategiske og taktiske benchmarks. Rapporteringen kan være daglig, ugentlig, månedlig, kvartalsbaseret eller årsbaseret. |
| --- | --- |

90.

Overholdelsen af de vedtagne politikker og processer vedrørende styring af markeds- og kreditrisici overvåges af RMA, som også er ansvarlig for at rapportere tilfælde af manglende overholdelse i henhold til vedtagne eskaleringsprocedurer. RMA rapporterer regelmæssigt om risiko/afkast og performance i både valutareserveporteføljen og ECB's egenportefølje samt om de dertil knyttede strategiske og taktiske benchmarks. Rapporteringen kan være daglig, ugentlig, månedlig, kvartalsbaseret eller årsbaseret.

| 91. | Revisorernes test og samtaler bekræftede, at performancerapportering finder sted regelmæssigt og formidles rettidigt til ledelsen. Revisorerne bemærkede imidlertid, at ECB's interne performancerapportering ikke fuldt ud lever op til GIPS-standarderne (59), som anses for at være bedste praksis. |
| --- | --- |

91.

Revisorernes test og samtaler bekræftede, at performancerapportering finder sted regelmæssigt og formidles rettidigt til ledelsen. Revisorerne bemærkede imidlertid, at ECB's interne performancerapportering ikke fuldt ud lever op til GIPS-standarderne (59), som anses for at være bedste praksis.

KONKLUSIONER OG ANBEFALINGER

Har ECB fastlagt en samlet og hensigtsmæssig ledelsesstruktur for risikostyring?

| 92. | ECB har fastlagt en samlet organisationsstruktur med klare roller og ansvarsområder. Styringen af finansielle risici og styringen af operationelle risici er imidlertid skarpt adskilt, og det øger risikoen for, at billedet af ECB's eksponering ikke er dækkende. Der findes ikke et enkelt, uafhængigt organ såsom en risikostyringschef eller -komité mellem direktionen og de to funktioner/afdelinger med ansvar for risikostyring, ORM/BCM og RMA. |
| --- | --- |

92.

ECB har fastlagt en samlet organisationsstruktur med klare roller og ansvarsområder. Styringen af finansielle risici og styringen af operationelle risici er imidlertid skarpt adskilt, og det øger risikoen for, at billedet af ECB's eksponering ikke er dækkende. Der findes ikke et enkelt, uafhængigt organ såsom en risikostyringschef eller -komité mellem direktionen og de to funktioner/afdelinger med ansvar for risikostyring, ORM/BCM og RMA.

| 93. | ECB's årsregnskab indeholder kun kortfattede oplysninger om visse risikostyringsspørgsmål og giver ingen oversigt over organisationens risikostyringsproces, de risici, den er udsat for, og ledelsens tilgang til disse.

  Anbefalinger







  1. | ECB bør overveje at oprette en enkelt, hierarkisk uafhængig risikostyringsfunktion såsom en risikostyringschef eller -komité, der udelukkende beskæftiger sig med risikostyring og kan sikre et dækkende billede af ECB's eksponering. |
| --- | --- | --- |

93.

ECB's årsregnskab indeholder kun kortfattede oplysninger om visse risikostyringsspørgsmål og giver ingen oversigt over organisationens risikostyringsproces, de risici, den er udsat for, og ledelsens tilgang til disse.

Anbefalinger

1.

ECB bør overveje at oprette en enkelt, hierarkisk uafhængig risikostyringsfunktion såsom en risikostyringschef eller -komité, der udelukkende beskæftiger sig med risikostyring og kan sikre et dækkende billede af ECB's eksponering.

| 2. | ECB bør yderligere forbedre de oplysninger om risikostyringspraksis, der stilles til rådighed for offentligheden i årsregnskabet, ved at anvende bedste praksis, f.eks. IFRS 7. |
| --- | --- |

2.

ECB bør yderligere forbedre de oplysninger om risikostyringspraksis, der stilles til rådighed for offentligheden i årsregnskabet, ved at anvende bedste praksis, f.eks. IFRS 7.

Har ECB styret sine operationelle risici effektivt?

| 94. | ECB har en klar organisationsstruktur og har udarbejdet tilfredsstillende politikker for styring af operationelle risici, som fastlægger bankens tilgang til vurdering, overvågning og kontrol/begrænsning af sådanne risici. |
| --- | --- |

94.

ECB har en klar organisationsstruktur og har udarbejdet tilfredsstillende politikker for styring af operationelle risici, som fastlægger bankens tilgang til vurdering, overvågning og kontrol/begrænsning af sådanne risici.

| 95. | Selv om ECB foretog top-down-risikovurderinger i 2008 og 2009 og opstillede en handlingsplan for hvert forretningsområde, var der ingen dokumentation for cost-benefit-analyser. |
| --- | --- |

95.

Selv om ECB foretog top-down-risikovurderinger i 2008 og 2009 og opstillede en handlingsplan for hvert forretningsområde, var der ingen dokumentation for cost-benefit-analyser.

| 96. | Der er fastlagt et system til rapportering, overvågning og opfølgning samt vedtaget en tidsplan for opfølgning af risikobegrænsende foranstaltninger i forbindelse med risici på mellemniveau og højt niveau. Med hensyn til nogle risici var proceduren for ORC's eller direktionens godkendelse imidlertid meget langvarig. Planlægningscyklusser og ORM-cyklusser er ikke integreret. Desuden var ORM-aktiviteterne ikke klart identificeret i arbejdsprogrammerne for nogle af de undersøgte forretningsområder. |
| --- | --- |

96.

Der er fastlagt et system til rapportering, overvågning og opfølgning samt vedtaget en tidsplan for opfølgning af risikobegrænsende foranstaltninger i forbindelse med risici på mellemniveau og højt niveau. Med hensyn til nogle risici var proceduren for ORC's eller direktionens godkendelse imidlertid meget langvarig. Planlægningscyklusser og ORM-cyklusser er ikke integreret. Desuden var ORM-aktiviteterne ikke klart identificeret i arbejdsprogrammerne for nogle af de undersøgte forretningsområder.

| 97. | ECB har udviklet en omfattende krisemanual, som definerer roller, ansvarsområder og processer i en krisesituation og indeholder oplysninger om, hvordan krisestyringsholdet kan kontaktes. Hvert forretningsområde har det fulde ansvar for at udvikle sit eget BCP. |
| --- | --- |

97.

ECB har udviklet en omfattende krisemanual, som definerer roller, ansvarsområder og processer i en krisesituation og indeholder oplysninger om, hvordan krisestyringsholdet kan kontaktes. Hvert forretningsområde har det fulde ansvar for at udvikle sit eget BCP.

| 98. | ECB har etableret en forsvarlig struktur, der giver vejledning om BCM-politikker, -processer og -ansvarsområder i organisationen. Men:






  a) | der er ikke foretaget en fuld virksomhedsanalyse siden den omfattende BIA-ajourføring, der blev påbegyndt i 2007 og afsluttet i 2010, dvs. siden finanskrisens begyndelse |
| --- | --- | --- |

98.

ECB har etableret en forsvarlig struktur, der giver vejledning om BCM-politikker, -processer og -ansvarsområder i organisationen. Men:

a)

der er ikke foretaget en fuld virksomhedsanalyse siden den omfattende BIA-ajourføring, der blev påbegyndt i 2007 og afsluttet i 2010, dvs. siden finanskrisens begyndelse

| b) | der manglede planer, som tog højde for et stort tab af menneskelige ressourcer |
| --- | --- |

b)

der manglede planer, som tog højde for et stort tab af menneskelige ressourcer

| c) | de planlagte test dækkede ikke alle de katastrofescenarier, som ECB havde opstillet |
| --- | --- |

c)

de planlagte test dækkede ikke alle de katastrofescenarier, som ECB havde opstillet

| d) | nogle af de test, der var planlagt i 2009 og 2010, blev ikke udført. |
| --- | --- |

d)

nogle af de test, der var planlagt i 2009 og 2010, blev ikke udført.

Anbefalinger

| 3. | Den årlige vurdering af operationelle risici bør indgå i ECB's strategiske og finansielle planlægningscyklus og i de årlige arbejdsprogrammer for de enkelte forretningsområder. |
| --- | --- |

3.

Den årlige vurdering af operationelle risici bør indgå i ECB's strategiske og finansielle planlægningscyklus og i de årlige arbejdsprogrammer for de enkelte forretningsområder.

| 4. | Spørgsmålet om foranstaltninger til håndtering af operationelle risici på mellemniveau og højt niveau bør løses hurtigt. |
| --- | --- |

4.

Spørgsmålet om foranstaltninger til håndtering af operationelle risici på mellemniveau og højt niveau bør løses hurtigt.

| 5. | ECB bør fortsat forbedre sine forretningskontinuitetsplaner og sit testprogram og bestræbe sig på at sikre, at alle planlagte test udføres. |
| --- | --- |

5.

ECB bør fortsat forbedre sine forretningskontinuitetsplaner og sit testprogram og bestræbe sig på at sikre, at alle planlagte test udføres.

Har ECB styret sine finansielle risici effektivt?

| 99. | Den samlede struktur for ECB's styring af finansielle risici i forbindelse med forvaltning af investeringer og politiske operationer er tilfredsstillende. Gennemgangen af strukturen for styring af finansielle risici viste, at metoderne til styring af finansielle risici er forsvarlige og hensigtsmæssige i forbindelse med ECB's forvaltning af investeringer og politiske operationer. Forbedringer er dog påkrævet i den praktiske anvendelse af metoderne, f.eks. med hensyn til de modeller, der anvendes til beregning af strategiske og taktiske benchmarks samt til VaR-beregninger. |
| --- | --- |

99.

Den samlede struktur for ECB's styring af finansielle risici i forbindelse med forvaltning af investeringer og politiske operationer er tilfredsstillende. Gennemgangen af strukturen for styring af finansielle risici viste, at metoderne til styring af finansielle risici er forsvarlige og hensigtsmæssige i forbindelse med ECB's forvaltning af investeringer og politiske operationer. Forbedringer er dog påkrævet i den praktiske anvendelse af metoderne, f.eks. med hensyn til de modeller, der anvendes til beregning af strategiske og taktiske benchmarks samt til VaR-beregninger.

| 100. | De interne risikostyringsrapporter giver præcise, tilstrækkelige og omfattende oplysninger om styring af finansielle risici til den øverste ledelse og ECB's direktion. Performancerapportering finder sted regelmæssigt, men der foretages ikke regelmæssig ajourføring med henblik på at afspejle ændringer i GIPS-standarderne.

  Anbefalinger







  6. | ECB bør fortsat forbedre gennemgangen og valideringen af de modeller, der anvendes til beregning af strategiske og taktiske benchmarks samt til VaR-beregninger, herunder udarbejde detaljeret dokumentation i de tilfælde, hvor den eksisterende dokumentation anses for utilstrækkelig, teste modellerne og regelmæssigt efterprøve modelhypoteserne. |
| --- | --- | --- |

100.

De interne risikostyringsrapporter giver præcise, tilstrækkelige og omfattende oplysninger om styring af finansielle risici til den øverste ledelse og ECB's direktion. Performancerapportering finder sted regelmæssigt, men der foretages ikke regelmæssig ajourføring med henblik på at afspejle ændringer i GIPS-standarderne.

Anbefalinger

6.

ECB bør fortsat forbedre gennemgangen og valideringen af de modeller, der anvendes til beregning af strategiske og taktiske benchmarks samt til VaR-beregninger, herunder udarbejde detaljeret dokumentation i de tilfælde, hvor den eksisterende dokumentation anses for utilstrækkelig, teste modellerne og regelmæssigt efterprøve modelhypoteserne.

| 7. | Ændringer i GIPS-standarderne bør gennemgås årligt, og det bør overvejes at implementere dem fuldt ud i ECB's interne performancerapportering. |
| --- | --- |

7.

Ændringer i GIPS-standarderne bør gennemgås årligt, og det bør overvejes at implementere dem fuldt ud i ECB's interne performancerapportering.

Vedtaget af Afdeling IV, der ledes af Louis GALEA, medlem af Revisionsretten, i Luxembourg på mødet den 27. marts 2012.

På Revisionsrettens vegne

Vítor Manuel da SILVA CALDEIRA

Formand

---

(1)  Artikel 127, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde.

1

(2)  Statutten for ESCB og ECB er en protokol til traktaten.

2

(3)  Artikel 27, stk. 2, i protokollen om statutten for ESCB og ECB: »Artikel 287 i traktaten om den Europæiske Unions funktionsmåde gælder kun for efterprøvning af, hvor effektiv ECB's forvaltning er i operationel henseende.«

3

(4)  Artikel 9, stk. 3, i protokollen om statutten for ESCB og ECB. Styrelsesrådet består af de seks medlemmer af direktionen og de nationale centralbankchefer i de medlemsstater, der har euroen som valuta. Direktionen består af ECB's formand og næstformand og fire andre medlemmer.

4

(5)  Artikel 12, stk. 1, i protokollen om statutten for ESCB og ECB.

5

(6)  ORM omfatter risici forbundet med ECB's aktiviteter, herunder aktiviteter relateret til processer og projekter under ESCB/eurosystemet.

6

(7)  De kriterier, Retten lagde til grund for sin vurdering af ECB's strukturer for styring af operationelle og finansielle risici, er gengivet i kursiv i denne beretning. Medmindre andet er anført, er kriterierne opstillet af Retten.

7

(8)  Revisionen omfattede ikke risikostyring i Det Europæiske System af Centralbanker (ESCB).

8

(9)  Revisorerne aflagde informationsbesøg hos Federal Reserve Bank of New York og Canadas nationalbank og sendte spørgeskemaer til Federal Reserve Bank of New York, Canadas nationalbank og Schweiz' nationalbank.

9

(10)  José Manuel González-Páramo, medlem af ECB's direktion, Ulrich Bindseil og Evangelos Tabakis: »Risk Management for Central Banks and Other Public Investors«, Cambridge University Press 2009 (Rettens oversættelse).

10

(11)  Det Europæiske Banktilsynsudvalg (CEBS): »High level principles for risk management«, februar 2010 (Rettens oversættelse og kursivering).

11

(12)  Sektion, afdeling, direktorat eller generaldirektorat.

12

(13)  Som er del af DG-H.

13

(14)  ORM/BCM-funktionen er også sekretariat for Komitéen for Operationelle Risici (ORC).

14

(15)  Administrativt er RMA del af DG-H, men afdelingen rapporterer direkte til det medlem af direktionen, som er ansvarlig for styring af finansielle risici.

15

(16)  ECB anvender sin egen ramme for regnskabsrapportering, som er fastlagt i afgørelse ECB/2006/17 om Den Europæiske Centralbanks årsregnskab (med senere ændringer).

16

(17)  Value-at-Risk (VaR) er et meget anvendt mål for risikoen for tab på en specifik portefølje af finansielle aktiver. For en given portefølje, sandsynlighed og tidsperiode defineres VaR som en tærskelværdi, hvor den givne sandsynlighed er sandsynligheden for, at porteføljens tab i markedsværdi under normale markedsbetingelser og uden handel i porteføljen overstiger denne tærskel i den givne tidsperiode (jf. »Value at Risk: The New Benchmark for Managing Financial Risk (3. udgave)«, Philippe Jorion, McGraw-Hill Professional, 2006).

17

(18)  International Financial Reporting Standards er principbaserede standarder, fortolkninger og rammer vedtaget af International Accounting Standards Board (IASB). De kendes også under deres tidligere betegnelse, International Accounting Standards (IAS). I februar 2001 stillede Europa-Kommissionen forslag til en forordning, som krævede, at alle selskaber i EU, der var børsnoteret på et reguleret marked, herunder banker og forsikringsselskaber, inden 2005 skulle gå over til at udarbejde deres koncernregnskaber i henhold til IAS. EU's medlemsstater fik mulighed for at udvide dette krav til også at omfatte ikke-børsnoterede selskaber og individuelle virksomhedsregnskaber. Der blev oprettet en godkendelsesmekanisme på både politisk og teknisk plan med det formål at føre tilsyn med implementeringen af IAS i EU.

18

(19)  Indtil 31. december 2010 rapporterede Canadas nationalbank i henhold til de canadiske »Generally Accepted Accounting Principles« (almindelig accepterede regnskabsprincipper), men fremlagde risikostyringsoplysninger, der var sammenlignelige med IFRS-oplysningerne. Siden 1. januar 2011 har Canadas nationalbank rapporteret i henhold til IFRS.

19

(20)  »Business Practice Handbook«, kapitel 26.

20

(21)  I 2008 besluttede direktionen at tilpasse ECB's ORM-struktur til den struktur, der anvendes i ESCB.

21

(22)  Operationel risiko er defineret som risikoen for en negativ finansiel, forretningsmæssig og/eller omdømmemæssig virkning forårsaget af utilstrækkelige eller svigtende interne forvaltnings- og forretningsprocesser eller af personer, systemer eller eksterne begivenheder.

22

(23)  Den har til opgave at stimulere og føre tilsyn med udvikling, implementering og vedligeholdelse af styringen af operationelle risici i ECB.

23

(24)  Medlemmerne er ledende medarbejdere fra Generaldirektoratet for Markedsoperationer, Generaldirektoratet for Informationssystemer, Generaldirektoratet for Administration, Generaldirektoratet for HR, Budget og Organisation og fra to kerneforretningsområder efter en etårig rotationsordning samt generaldirektørens rådgiver i Generaldirektoratet for HR, Budget og Organisation.

24

(25)  Et forretningsområde (en risikoejer), som er ansvarlig for en horisontal risiko (en risiko, som påvirker flere forretningsområder), bør anbefale og/eller implementere hensigtsmæssige risikobehandlingstiltag, som kan anvendes i hele ECB.

25

(26)  Baseret på konklusionen i Jack Dorminey og Richard Mohns artikel »ERM at the Federal Reserve Bank of Richmond«, 2007.

26

(27)  Kilde: Canadas nationalbanks netsted »Medium-term plan 2010-12« (www.bankofcanada.ca pr. 13. juli 2011).

27

Kilde

(28)  For projekter, f.eks. it-projekter, er der fastlagt specifikke procedurer i »Project Organisation and Control Procedures«. Projektrisici rapporteres særskilt via Projektstyringskomitéen/Projektstyringskomitéen for Nye Lokaler. Risikostyring vedrørende specifikke projekter er ikke omfattet af denne revision.

28

(29)  »High-level principles for business continuity«, Baselkomitéen for Banktilsyn, august 2006, punkt 9.

29

(30)  »Business Practice Handbook« (BPH), 5. udgave, ECB, 24. september 2010.

30

(31)  »High-level principles for business continuity«, Baselkomitéen for Banktilsyn, august 2006, punkt 10.

31

(32)  »ECB Business Impact Analyses, Review 2006«, Generaldirektoratet for HR, Budget og Organisation, 16. januar 2007.

32

(33)  Artikel 3 i protokol (nr. 4) om statutten for Det Europæiske System af Centralbanker og Den Europæiske Centralbank fastsætter de lovbestemte opgaver, som ECB skal varetage.

33

(34)  »Business Continuity Guideline: A Practical Approach for Emergency Preparedness, Crisis Management, and Disaster Recovery«, ASIS International, 2005, punkt 11.3.

34

(35)  I BIA'en vurderes effekten på de enkelte forretningsområders operationelle kapacitet ud fra seks katastrofescenarier.

35

(36)  Et krav fastsat i »High-level principles for business continuity«, Baselkomitéen for Banktilsyn, august 2006, punkt 23.

36

(37)  Dvs. beslutningsorganer i en krisesituation, forretningskontinuitetsholdets sammensætning, dets relationer til andre hold og dets placering.

37

(38)  Dvs. en liste over de processer, der blev identificeret og godkendt i forbindelse med BIA'en, og en liste over de specifikke aktiviteter, som er nødvendige for at sikre, at disse processer kan fortsætte.

38

(39)  Dvs. it- og kontorudstyr, manualer.

39

(40)  »High-level principles for business continuity«, Baselkomitéen for Banktilsyn, august 2006, punkt 13.

40

(41)  DG-IS har en særskilt forretningskontinuitetsproces. Den er underkastet ekstern revision med henblik på overholdelse af ISO 20000, og DG-IS's BCP er derfor ikke omfattet af Rettens 2010-revision.

41

(42)  »High-level principles for business continuity«, Baselkomitéen for Banktilsyn, august 2006, princip 6.

42

(43)  Britisk standard for BCM.

43

(44)  »ECB Business Continuity Testing and Training Strategy«, Komitéen for Operationelle Risici, 4. marts 2008.

44

(45)  »Business Continuity Guideline: A Practical Approach for Emergency Preparedness, Crisis Management, and Disaster Recovery«, ASIS international, 2005, punkt 12.1.1.

45

(46)  »ECB Business Continuity Testing and Training Strategy«, Komitéen for Operationelle Risici, 4. marts 2008.

46

(47)  »Business Continuity Testing and Training Strategy", s. 15, »Business Practice Handbook", punkt 26.1, "Business Continuity Framework« (på ECB's intranet) og dokumentet "Business Continuity Management Policy«.

47

(48)  Rapporten om ECB's interne brugertilfredshedsundersøgelser i 2009 og 2010.

48

(49)  Basel, ERM COSO (Enterprise Risk Management Committee of Sponsoring Organizations).

49

(50)  Den Europæiske Centralbanks retningslinje af 20. juni 2008 om de nationale centralbankers forvaltning af Den Europæiske Centralbanks valutareserveaktiver samt den juridiske dokumentation for transaktioner vedrørende disse aktiver (omarbejdning) (ECB/2008/5) (2008/596/EF).

50

(51)  »OFM Guideline«, juli 2010, »The ECB’s Own Funds Investment Guidelines«, september 2010.

51

(52)  Den Europæiske Centralbanks retningslinje af 26. september 2002 om minimumsstandarder for Den Europæiske Centralbank og de nationale centralbanker ved udførelse af pengepolitiske operationer, valutatransaktioner med ECB's valutareserver samt forvaltning af ECB's valutareserveaktiver (ECB/2002/6).

52

(53)  Inklusive guldreserverne.

53

(54)  Porteføljen for programmet for indkøb af dækkede obligationer (Covered Bonds Purchase Programme — CBPP) og porteføljen for programmet for værdipapirmarkeder (Securities Markets Programme — SMP).

54

(55)  En applikation, som anvendes i forvaltningen af ECB's valutareserver og egenportefølje, og som leverer tal vedrørende performance.

55

(56)  »Handbook of Financial Risk Management, Policies and Procedures«, marts 2008.

56

(57)  Punkt i)-v) skal regelmæssigt og mindst en gang om året gennemgås af direktionen eller Styrelsesrådet.

57

(58)  Fastlægges af Styrelsesrådet for valutareserverne og af direktionen for egenporteføljen på grundlag af forslag fra RMA.

58

(59)  GIPS (Global Investment Performance Standards) er et sæt etiske standarder for finanssektoren — udarbejdet og administreret af Chartered Financial Analyst Institute — som giver vejledning i, hvordan investeringsresultater beregnes og rapporteres. Det er frivilligt at følge disse standarder, hvis grundlæggende principper er fuld oplysning om og retvisende fremstilling af investeringsperformance.

59

---

DEN EUROPÆISKE CENTRALBANKS SVAR

Den Europæiske Centralbank (ECB) har med glæde modtaget Revisionsrettens beretning vedrørende regnskabsåret 2010 og påskønner Rettens bemærkninger og anbefalinger til forbedringer. ECB bemærker desuden Rettens anerkendelse af, at: i) ECB har en klar organisationsstruktur og har udarbejdet tilfredsstillende politikker for styring af operationelle risici, og ii) den samlede struktur for ECB's styring af finansielle risici i forbindelse med forvaltning af investeringer og pengepolitiske operationer er tilfredsstillende.

ECB tager Rettens bemærkninger og anbefalinger til forbedringer til efterretning. Nedenstående findes ECB's kommentarer til specifikke punkter samt til de syv anbefalinger.

Punkt 9 - 13 og 92

Med henvisning til Rettens beskrivelse af ECB's samlede struktur for risikostyringen vil ECB gerne bemærke følgende:

Strukturen for styring af finansielle risici, herunder målingen og overvågningen af operationelle risici i ECB, er omfattet af funktionerne styring af operationelle risici (Operational Risk Management, ORM) og planlægning af forretningskontinuitet (Business Continuity Management, BCM) under Generaldirektoratet for HR, Budget og Organisation. Strukturen for styring af finansielle risici vedrørende markedsoperationer samt måling og overvågning af risikoeksponering som følge af disse operationer hører under Risikostyringskontorets (RMO) ansvarsområde. Denne form for organisatorisk struktur er almindelig i centralbanker og tilsvarende organisationer. Derfor bør det forhold, at der findes en specialiseret funktion og et specialiseret kontor, ikke fortolkes som en afgrænsning mellem styringen af finansielle og operationelle risici, men snarere som et organisatorisk valg, som skal sikre en effektiv fordeling af ansvarsområderne under Direktionens fælles ansvar for den samlede risikostyring i ECB.

For så vidt angår den seneste udvikling, som har fundet sted efter Rettens revision, vil ECB gerne oplyse følgende:

| — | Hvad angår operationelle risici, er ECB's næstformand nu formand for Komitéen for Operationelle Risici (ORC), der er ansvarlig for at fremme og føre tilsyn med udvikling, implementering og vedligeholdelse af ORM |
| --- | --- |

—

Hvad angår operationelle risici, er ECB's næstformand nu formand for Komitéen for Operationelle Risici (ORC), der er ansvarlig for at fremme og føre tilsyn med udvikling, implementering og vedligeholdelse af ORM

| — | Hvad angår finansielle risici, omdannede ECB i juli 2011 den tidligere Afdeling for Risikostyring (RMA) til et selvstændigt Risikostyringskontor (RMO), som rapporterer til Direktionen gennem et andet direktionsmedlem end det medlem, der er ansvarlig for Generaldirektoratet for Markedsoperationer. Denne ændring skyldtes: i) den mere fremtrædende rolle, som styringen af finansielle risici spiller i centralbanker i almindelighed og ECB i særdeleshed, og ii) Styrelsesrådets vejledning til alle centralbanker i Eurosystemet om adskillelse af rapporteringslinjerne til direktionsmedlemmer med ansvar for henholdsvis markedsoperationer og styring af finansielle risici. |
| --- | --- |

—

Hvad angår finansielle risici, omdannede ECB i juli 2011 den tidligere Afdeling for Risikostyring (RMA) til et selvstændigt Risikostyringskontor (RMO), som rapporterer til Direktionen gennem et andet direktionsmedlem end det medlem, der er ansvarlig for Generaldirektoratet for Markedsoperationer. Denne ændring skyldtes: i) den mere fremtrædende rolle, som styringen af finansielle risici spiller i centralbanker i almindelighed og ECB i særdeleshed, og ii) Styrelsesrådets vejledning til alle centralbanker i Eurosystemet om adskillelse af rapporteringslinjerne til direktionsmedlemmer med ansvar for henholdsvis markedsoperationer og styring af finansielle risici.

Se i øvrigt svaret vedrørende anbefaling 1.

Punkt 16, 17 og 93

Oplysninger om risikostyring indgår i flere kapitler i ECB's Årsberetning, bl.a. ECB's årsregnskab, der er udarbejdet i overensstemmelse med den regnskabspraksis, som ECB's styrelsesråd anser for hensigtsmæssig i forbindelse med centralbankaktiviteter. Denne regnskabspraksis anvendes på samme måde af alle centralbanker i Eurosystemet i forbindelse med Eurosystemets operationer og er internationalt anerkendt som passende regnskabsstandarder for centralbanker.

ECB's juridiske krav vedrørende regnskabsrapportering er fastsat i afgørelsen om ECB's årsregnskab (afgørelse ECB/2010/21). ECB følger principper for værdiansættelse, der stemmer overens med de internationale regnskabsstandarder (IFRS), som er vedtaget af Den Europæiske Union, hvis en konkret regnskabsmæssig behandling ikke fremgår af afgørelse ECB/2010/21, og ECB's Styrelsesråd ikke har truffet anden beslutning. Desuden udarbejder ECB, i henhold til ovennævnte afgørelse, sit årsregnskab på grundlag af Styrelsesrådets vurdering med hensyn til et passende niveau for ledsagende informationer og er ikke forpligtet til at overholde oplysningskravene i IFRS 7.

Se i øvrigt svaret vedrørende anbefaling 2.

Punkt 24

ECB vil gerne gøre opmærksom på, at Bankens intranetkommunikation vedrørende ORM formidler alle relevante informationer til risikokoordinatorer og ledere, herunder informationer om klassificering af begivenheder og årsagerne hertil. I de årlige opdateringer af vurderingen, gældende for hele banken, af de operationelle risici gives yderligere vejledning til forretningsområderne om identificering af risici.

Punkt 28

Antallet af fastansatte medarbejdere i ORM-/BCM-funktionen blev for nylig øget til fem. Det er ECB's opfattelse, at personalets nuværende sammensætning på dette område gør det muligt at drage fordel af udstationeret centralbankpersonale og ikke øger risikoen for en utilstrækkelig implementering af ORM-strukturen.

Punkt 29 og 66

For yderligere at forbedre kendskabet til ORM-strukturen og forretningskontinuitetsforanstaltningerne vil ECB forbedre præsentationen af de relevante informationer på intranetsiderne om ORM og BCM og opfordre ledere af risikoteam til at udføre regelmæssige præsentationer for personalet i deres respektive forretningsområder.

Punkt 37, 58 og 95

ORM-politikken anbefaler, at der foretages en cost-benefit-analyse i forbindelse med den indledende fastlæggelse af mulige reaktionsstrategier for risici for at sikre, at disse strategier er omkostningseffektive. En sådan analyse er imidlertid af afgørende betydning, når der er truffet en beslutning om en konkret reaktionsforanstaltning i forbindelse med en risiko. En cost-benefit-analyse er fx altid påkrævet, når der indledes et projekt i ECB.

Punkt 50 og 98a

ECB anvender den praksis at opdatere sin virksomhedsanalyse, når det er nødvendigt, i stedet for med regelmæssige mellemrum, for at sikre en rettidig håndtering af yderligere forretningskontinuitetskrav, såsom organisatoriske eller systemmæssige ændringer, nye processer eller applikationer. Siden resultatet af en fuldstændig virksomhedsanalyse blev forelagt Direktionen i 2007, er yderligere virksomhedskontinuitetskrav ved flere lejligheder blevet indarbejdet i BCM-strukturen.

Punkt 53 og 98b

ECB anser sin fuldt udbyggede planlægning i tilfælde af en pandemi for tilstrækkelig til at håndtere et omfattende tab af menneskelige ressourcer. Såfremt den stærkt usandsynlige situation skulle opstå, at ECB er helt uden personale, er der desuden vedtaget nødordninger for at sikre, at de allervigtigste processer fortsat kan gennemføres.

Punkt 62 og punkt 98c og d

Den aktuelle finansielle krise, som har krævet, at centrale ECB-funktioner er til rådighed næsten hver weekend, har uundgåeligt medført begrænsninger af omfanget og hyppigheden af de generelle forretningskontinuitetstest. Selv om krisestyringsholdet regelmæssigt udfører test på grundlag af helt konkrete scenarier, er der anvendt en mere tilbageholdende tilgang til test af ECB's generelle forretningskontinuitetsplaner og it-backup-faciliteter for at mindske risikoen for afbrydelser af de løbende funktioner.

Se i øvrigt svaret vedrørende anbefaling 5.

Punkt 91 og 100

ECB har ikke indført Global Investment Performance Standards (GIPS), fordi denne ramme ikke er fuldt anvendelig for dens aktiviteter som centralbank.

Se i øvrigt svaret vedrørende anbefaling 7.

Anbefaling 1

ECB tager altid højde for og sætter pris på anbefalinger med henblik på yderligere forbedringer af risikostyringen og anvendelsen af avanceret centralbankpraksis. Den nuværende organisationsstruktur for risikostyring i ECB udgør en effektiv ramme for fordelingen af opgaver inden for Direktionens kollektive ansvar for bankens samlede risikostyring.

Anbefaling 2

ECB opfylder allerede de relevante juridiske krav med hensyn til finansiel rapportering, som er fastlagt i afgørelse ECB/2010/21. ECB har fulgt og vil fortsætte med at følge udviklingen inden for IFRS med særligt henblik på standardernes anvendelighed til ECB's finansielle rapportering.

Anbefaling 3

ECB accepterer anbefalingen. Selv om de enkelte forretningsområder i ECB altid har indarbejdet tiltag og omkostninger i forbindelse med gennemførelsen af risikobegrænsende foranstaltninger i deres årlige arbejdsprogrammer og budgetforelæggelser, har ECB for nylig ændret tidsplanen for de relevante processer gældende for hele ECB for at samordne den årlige opdatering af den operationelle risikovurdering fuldt ud med de strategiske og finansielle planlægningscyklusser.

Anbefaling 4

ECB accepterer anbefalingen.

Anbefaling 5

ECB accepterer anbefalingen. ECB lægger stor vægt på vedvarende forbedringer af forretningskontinuitetsplanerne og vil bestræbe sig på at sikre, at testprogrammerne for alle bankens relevante processer og produkter gennemføres rettidigt. Samtidig vil ECB imidlertid veje det akutte behov for at udføre planlagte test op imod kravet om at minimere risici i udførelsen af bankens funktioner, især i denne vigtige tid, hvor den aktuelle finansielle krise skal håndteres.

Anbefaling 6

ECB accepterer denne anbefaling og arbejder fortsat målrettet på også fremover at vurdere, teste og fuldt ud dokumentere sin allokering af aktiver og sine risikomodeller med henblik på at opfylde de højest mulige standarder.

Anbefaling 7

ECB har gennemgået og vil fortsætte med at gennemgå udviklingen inden for GIPS med særligt henblik på standardernes anvendelighed til ECB's interne rapportering af investeringsresultater.

---