DA Den Europæiske Unions Tidende C 173/1

BERETNING

om Rettens revision af Den Europæiske Centralbanks risikostyring i regnskabsåret 2010 med Den Europæiske Centralbanks svar

2012/C 173/01

INDHOLD

Punkt Side INDLEDNING … 1-4 3 REVISIONENS OMFANG OG REVISIONSMETODEN … 5-6 3 REVISIONSRESULTATER … 7-91 3 Har ECB fastlagt en samlet og hensigtsmæssig ledelsesstruktur for risikostyring? … 7-18 3 Samlet risikostyringsstruktur … 8-14 3 Oplysninger til eksterne parter om ECB's risikostyringsstruktur … 15-18 4 Har ECB styret sine operationelle risici effektivt? … 19-66 5 Styring af operationelle risici … 20-39 5 ECB's planlægning af forretningskontinuitet … 40-66 7 Har ECB styret sine finansielle risici effektivt? … 67-91 10 Strukturen for styring af finansielle risici i forbindelse med investeringer og politiske operationer … 69-74 10 Metoder til styring af finansielle risici … 75-83 11 Anvendelse af metoderne til styring af finansielle risici … 84-88 12 Rapportering om finansielle risici … 89-91 12 KONKLUSIONER OG ANBEFALINGER … 92-100 13 Har ECB fastlagt en samlet og hensigtsmæssig ledelsesstruktur for risikostyring? … 92-93 13 Har ECB styret sine operationelle risici effektivt? … 94-98 13 Har ECB styret sine finansielle risici effektivt? … 99-100 13 Den Europæiske Centralbanks svar … 15

FORKORTELSER

BCM Planlægning af forretningskontinuitet (Business Continuity Management) BCP Forretningskontinuitetsplan (Business Continuity Plan) BIA Virksomhedsanalyse (Business Impact Analysis) BIS Den Internationale Betalingsbank (Bank for International Settlements) BPH Business Practice Handbook CBPP Programmet for indkøb af dækkede obligationer (Covered Bonds Purchase Programme) D-CO Direktoratet for Kommunikation DG-A Generaldirektoratet for Administration DG-H Generaldirektoratet for HR, Budget og Organisation DG-IS Generaldirektoratet for Informationssystemer DG-M Generaldirektoratet for Markedsoperationer DG-P Generaldirektoratet for Betalingssystemer DG-S Generaldirektoratet for Statistik ECB Den Europæiske Centralbank ESCB Det Europæiske System af Centralbanker GIPS Global Investment Performance Standards IAS International Accounting Standards IASB International Accounting Standards Board IFRS International Financial Reporting Standards OFM Forvaltning af egenportefølje (Own Funds Management) ORC Komitéen for Operationelle Risici (Operational Risk Committee) ORM Styring af operationelle risici (Operational Risk Management) RMA Afdelingen for Risikostyring (i DG-H) (Risk Management Division) SMP Programmet for værdipapirmarkeder (Securities Markets Programme) VaR Value-at-Risk

INDLEDNING

1. Den Europæiske Centralbank (ECB) og de nationale centralbanker i EU's medlemsstater udgør tilsammen Det Europæiske System af Centralbanker (ESCB). Hovedmålet for ESCB er at fastholde prisstabilitet. ESCB støtter også de generelle økonomiske politikker i Unionen med henblik på at bidrage til gennemførelsen af Unionens mål (1). Med henblik herpå udfører ECB de opgaver, som er fastlagt i dens statut (2), og den er ansvarlig for forvaltningen af sine egne aktiviteter og finanser.

2. Den Europæiske Revisionsret (Retten) reviderer effektiviteten af ECB's forvaltning på grundlag af artikel 27, stk. 2, i protokollen om statutten for ESCB og ECB (3). Revisionen vedrørende 2010 omfattede de risikostyringsprocedurer og -systemer, som ECB havde fastlagt, samt anvendelsen af dem.

3. ECB's besluttende organer er Styrelsesrådet og direktionen (4). Direktionen gennemfører den monetære politik i overensstemmelse med de retningslinjer og beslutninger, der er vedtaget af Styrelsesrådet (5), og har det overordnede ansvar for ECB's daglige drift og for styringen af ECB's ressourcer. Direktionen er også endeligt ansvarlig for risikostyringen i ECB.

4. Risikostyringen varetages af to separate strukturer i ECB: Enheden for styring af operationelle risici (Operational Risk Management — ORM (6)) dækker samtlige operationelle risici (jf. fodnote 22), herunder i forbindelse med planlægning af forretningskontinuitet (Business Continuity Management — BCM), mens Afdelingen for Risikostyring (RMA) tager sig af styringen af finansielle risici (jf. punkt 70), herunder i forbindelse med ECB's investeringsaktiviteter og kreditoperationer.

REVISIONENS OMFANG OG REVISIONSMETODEN

5. Formålet med Rettens revision vedrørende regnskabsåret 2010 var at vurdere, om ECB's strukturer for styring af operationelle og finansielle risici er tilfredsstillende (7). ECB's risikostyring blev vurderet ud fra følgende revisionsspørgsmål: — Har ECB fastlagt en samlet og hensigtsmæssig ledelsesstruktur for risikostyring? — Har ECB styret sine operationelle risici effektivt? — Har ECB styret sine finansielle risici effektivt?

6. Følgende elementer indgik i Rettens revision af ECB's risikostyring (8): a) En gennemgang af ECB's samlede risikostyringsstruktur, inklusive en gennemgang af bedste praksis på risikostyringsområdet i lignende internationale organisationer (9). b) En gennemgang af strukturen for styring af operationelle risici og test af seks udvalgte forretningsområder (generaldirektorater) med henblik på at vurdere implementeringen af risikostyringsstrukturen. Rettens hensigt med udvælgelsen var at: i) sikre dækning af væsentlige operationelle risici, ii) dække både kerneaktiviteter og ikke-kerneaktiviteter i ECB og iii) dække aktiviteter, der kræver horisontal risikostyring. De udvalgte forretningsområder var: Generaldirektoratet for Markedsoperationer (DG-M), Generaldirektoratet for Betalingssystemer (DG-P), Generaldirektoratet for Statistik (DG-S), Generaldirektoratet for Administration (DG-A), Generaldirektoratet for Informationssystemer (DG-IS) og Direktoratet for Kommunikation (D-CO). c) En gennemgang af strukturen for styring af finansielle risici og detaljerede test af Afdelingen for Risikostyring (RMA) i Generaldirektoratet for HR, Budget og Organisation (DG-H) samt Afdelingen for Markedsoperationssystemer, Afdelingen for Finansielle Operationer og Afdelingen for Investering i DG-M. Revisorerne vurderede ECB's risikostyringsmetoder og anvendelsen af dem med teknisk bistand fra et hold eksperter i finansiel risiko fra Ernst & Young, Luxembourg.

REVISIONSRESULTATER

Har ECB fastlagt en samlet og hensigtsmæssig ledelsesstruktur for risikostyring?

7. Det er ECB's erklærede ambition at anvende bedste praksis i forbindelse med risikostyring: »Helt fra begyndelsen var Den Europæiske Centralbank særlig opmærksom på risikostyring. Som ny centralbank havde den en ambition om at leve op til de højeste ledelsesstandarder ved organiseringen af risikostyringsfunktionen og at anvende de mest avancerede værktøjer« (10).

Samlet risikostyringsstruktur

8. Et af de centrale elementer i en effektiv risikostyring er, at der i hele organisationen findes en stærk risikokultur. En forudsætning for at skabe en sådan risikokultur er, at der oprettes en samlet (dækkende alle risikotyper, forretningsområder og relevante risici) og uafhængig risikostyringsfunktion, som i overensstemmelse med proportionalitetsprincippet hører under risikostyringschefens direkte ansvar — eller under den øverste ledelses direkte ansvar, hvis der ikke er udpeget en risikostyringschef (11).

9. I ECB er hver enkelt enhed i organisationen (12) selv ansvarlig for risikostyring og kontrol. To funktioner/afdelinger støtter enhederne i forbindelse med risikostyring: — ORM/BCM-funktionen (13) er ansvarlig for vedligeholdelse af metoder, koordinering af alle aktiviteter vedrørende operationelle risici og proaktiv rådgivning af forretningsområderne (14). — Afdelingen for Risikostyring (RMA) tager sig af finansielle risici (15). Denne afdeling er ansvarlig for at fremsætte forslag til politikker og procedurer og at yde organisatorisk støtte vedrørende risikostyring i forbindelse med alle operationer på finansmarkedet, som foretages af ECB eller af eurosystemet på vegne af ECB. Afdelingen er opdelt i to sektioner: Risikoanalyse og Risikostrategi.

10. Med henblik på at støtte direktionens beslutningstagning er der nedsat adskillige komitéer, som tager sig af forskellige risikostyringsaspekter, herunder Komitéen for Operationelle Risici, Investeringskomitéen, Komitéen for Aktiver og Passiver samt Kreditkomitéen.

11. ECB har en samlet organisationsstruktur med klare roller og ansvarsområder. Styringen af finansielle risici og styringen af operationelle risici er imidlertid skarpt adskilt, og det øger risikoen for, at billedet af ECB's samlede eksponering ikke er dækkende.

12. Der findes ikke et enkelt, uafhængigt organ såsom en risikostyringschef eller en overordnet risikostyringskomité mellem direktionen og de to funktioner/afdelinger med ansvar for risikostyring, ORM/BCM og RMA. Da revisionen fandt sted, havde det medlem af direktionen, som var ansvarlig for risikostyring, også en række andre ansvarsområder, hvorimod en risikostyringschef ville fokusere udelukkende på risikostyring.

13. Fraværet af en hierarkisk uafhængig risikostyringsfunktion øger endvidere risikoen for, at risikostyring ikke prioriteres tilstrækkelig højt, f.eks. i forbindelse med tildeling af personale, da sådanne spørgsmål afgøres af DG-H.

14. En gennemgang af bedste praksis i lignende internationale organisationer viste, at Canadas nationalbank har etableret en integreret risikostyringsstruktur, som omfatter en risikostyringschef og en arbejdsgruppe vedrørende risikostyring. Begge bidrager til at fastlægge en samlet risikoprofil for nationalbanken, som inkluderer forretningsrisici, operationelle risici og finansielle risici som beskrevet i tekstboks 1. Bankens risikostyringsstruktur er fuldt integreret i den strategiske planlægning, i budgetlægningen og i processerne for resultatevaluering ved årets udgang. Tekstboks 1 Et eksempel på integreret risikostyring — Canadas nationalbank Risikostyringschefen har følgende opgaver: — Leder udviklingen og forbedringen af politikrammen for den integrerede risikostyring under forudsætning af ledelsens godkendelse — Yder vejledning og rådgivning til andre medlemmer af den øverste ledelse og leder arbejdsgruppen vedrørende risikostyring — Leder risikoudvalget under kapitalforvaltningsudvalget sammen med Finansministeriet. Arbejdsgruppen vedrørende risikostyring har følgende opgaver: — Faciliteter den samlede ajourføring af nationalbankens vurdering af egne risici og udarbejdelsen af den årlige og halvårlige risikostyringsrapport — Mødes tre eller fire gange om året for at gennemgå nationalbankens risikoprofil og underrette repræsentanternes funktioner/afdelinger om risikostyringsinitiativer.

Oplysninger til eksterne parter om ECB's risikostyringsstruktur

15. De oplysninger, der stilles til rådighed for offentligheden, bør være tilstrækkelige til, at eksterne parter kan vurdere ECB's tilgang til risikostyring.

16. ECB offentliggør en årsberetning, som indeholder årsregnskabet og de ledsagende noter (16). Årsregnskabets oplysninger om risikostyring er forholdsvis begrænsede, og offentligheden har ikke adgang til oplysninger om ECB's risikostyringsprincipper og tal vedrørende risikostyring (undtagen den konsoliderede Value-at-Risk (17) (VaR)). ECB's årsberetning indeholder kortfattede oplysninger om visse risikostyringsspørgsmål, men giver ingen oversigt over organisationens risikostyringsproces, de risici, den er udsat for, og ledelsens tilgang til disse.

17. Anvendelse af internationale regnskabsstandarder (International Financial Reporting Standards (IFRS)) (18) er bedste praksis i forbindelse med præsentation af en enheds regnskab. Det er fastlagt i IFRS 7 »Finansielle instrumenter: Oplysninger«, hvordan en organisation i sit regnskab skal præsentere de risici, den er udsat for, men ECB anvender ikke denne standard.

18. Andre internationale og nationale centralbanker såsom Den Internationale Betalingsbank (BIS) og Canadas nationalbank giver i deres årsregnskaber oplysninger om risikostyring, selv om den ene af disse ikke anvender IFRS (jf. tekstboks 2). Tekstboks 2 Praksis vedrørende oplysninger om risikostyring Organisation Oplysninger om risikostyring i årsregnskabet Ramme for regnskabsrapportering Den Internationale Betalingsbank (BIS) Årsregnskabet indeholder oplysninger om de risici, banken er udsat for, dens risikostyringstilgang og -organisation samt en detaljeret oversigt over kreditrisiko, markedsrisiko, likviditetsrisiko og operationel risiko. Særlig ramme for regnskabsrapportering fastlagt i bankens vedtægter Canadas nationalbank Årsregnskabet giver en oversigt over risikostyringsprocessen, risikostyringsstrukturen, risikostyringschefens rolle og den finansielle risiko, banken er udsat for, samt en detaljeret oversigt over kreditrisiko, markedsrisiko og likviditetsrisiko. IFRS (19)

Har ECB styret sine operationelle risici effektivt?

19. ECB's planlægning af forretningskontinuitet supplerer strukturen for styring af operationelle risici (ORM-strukturen), og begge er vigtige elementer i virksomhedsledelse (20).

Styring af operationelle risici

20. En effektiv struktur for styring af operationelle risici kræver klare strategier og tilsyn fra bestyrelsen og den øverste ledelse, en stærk kultur med fokus på operationelle risici og intern kontrol (herunder klar ansvarsfordeling og funktionsadskillelse) og en effektiv intern rapportering.

21. Med henblik på at vurdere styringen af operationelle risici i ECB undersøgte Retten: — ECB's ORM-politikker — den organisatoriske struktur og ansvarsfordelingen vedrørende styring af operationelle risici — sammenhængen med den strategiske og finansielle planlægning (den årlige budgetcyklus) — risikoidentificering, vurdering og reaktion, rapportering, overvågning og opfølgning — både i forretningsområderne og på centralt plan.

Politikker vedrørende operationelle risici

22. ORM-politikkerne bør give en klar definition af operationelle risici, som er gældende i hele banken, og fastlægge bankens tilgang til identificering, vurdering, overvågning og kontrol/begrænsning af disse risici.

23. ECB's struktur for styring af operationelle risici blev godkendt af direktionen i oktober 2007 (21) og er beskrevet i »Business Practice Handbook« (BPH), som ligger på intranettet og er tilgængelig for alle ansatte. BPH indeholder en beskrivelse af ECB's ORM-definition (22) og risikotolerancepolitik, af de relevante roller og ansvarsfordelingen samt af politikkerne vedrørende vurdering, reaktion, rapportering og overvågning.

24. ECB's ORM-politikker giver en klar definition af operationelle risici, som er gældende i hele banken, og fastlægger bankens tilgang til vurdering, overvågning og kontrol/begrænsning af sådanne risici. BPH indeholder imidlertid ingen detaljer om ECB's tilgang til identificering af risici.

Organisatorisk struktur og ansvarsfordeling

25. Det enkelte forretningsområdes ledelse bør være ansvarlig for at implementere de fastlagte politikker, processer og procedurer vedrørende styring af operationelle risici i alle bankens væsentlige aktiviteter, processer og systemer. ECB bør også have et system til styring af operationelle risici, hvor klare ansvarsopgaver er tildelt en risikostyringsfunktion.

26. Direktionen er endeligt ansvarlig for styring af operationelle risici i ECB. Komitéen for Operationelle Risici (ORC) tager sig af strategiske og mellemlangsigtede spørgsmål såvel som relevante kortsigtede og ad hoc-spørgsmål (23). Komitéen består af et medlem af direktionen (som er formand) og syv af bankens ledende medarbejdere (24). Den er beføjet til at træffe beslutninger om accept af risici på mellemniveau, mens risici på højt niveau altid skal accepteres af direktionen. Komitéen mødes hver anden måned eller oftere, hvis det er påkrævet.

27. BPH fastlægger klart, at forretningsområderne selv er ansvarlige for at styre deres operationelle risici (25). Det følger heraf, at hvert forretningsområde bør udpege (mindst) én risikokoordinator, som støtter forretningsområdelederne med hensyn til ORM og fungerer som første kontaktpunkt i forbindelse med ORM-spørgsmål inden for forretningsområdet. Forretningsområdelederne er også ansvarlige for at sikre, at de ansatte tilegner sig og vedligeholder de nødvendige kompetencer, så de kan påtage sig ansvar og pligter med hensyn til ORM. ORM/BCM-funktionen bør udvikle og vedligeholde ORM-strukturen, og den koordinerer forretningsområdernes tilgang til ORM.

28. Af de otte ansatte i ORM/BCM-funktionen var kun de fire fastansatte, da revisionen fandt sted. De øvrige var udstationeret fra nationale centralbanker eller ansat på tidsbestemte kontrakter, der varer fra tre måneder til to år. Det fører til stor personaleudskiftning, hvilket igen fører til manglende kontinuitet i denne vigtige funktion og øger risikoen for, at ORM-strukturen ikke implementeres tilstrækkeligt i ECB.

29. De ansattes viden om ORM-strukturen blev undersøgt i personaleundersøgelser i 2009 og 2010. I 2009-undersøgelsen angav ca. 40 % af svarerne, at de ikke modtog oplysninger nok om ORM, 56 % vidste ikke, hvem der var udpeget til risikokoordinator i deres forretningsområde, og 45 % vidste ikke, hvor de kunne finde oplysninger om ORM på intranettet. I 2010-undersøgelsen var der stadig 40 %, der ikke vidste, hvor de kunne finde oplysninger om ORM.

Sammenhæng med den strategiske og finansielle planlægning (den årlige budgetcyklus)

30. Risikostyring bør være indbygget i ECB's forvaltning som en integrerende del af bankens strategiske, forretningsmæssige og finansielle planlægning.

31. Et vigtigt element i forbindelse med fastlæggelsen af ECB's risikoprofil er forretningsområdernes og ORM/BCM-funktionens årlige vurdering af operationelle risici. Forretningsområdernes vurderinger for 2009 blev foretaget fra juni til august 2009, og derefter blev der afholdt et kalibreringsmøde med risikokoordinatorerne. Top-down-rapporten blev færdiggjort i januar 2010.

32. Risikoprofilen bør være et input i den strategiske planlægning, som driver den finansielle planlægning. Revisionen viste imidlertid, at den årlige vurdering af operationelle risici ikke er integreret i ECB's strategiske og finansielle planlægningscyklus. Der er således en risiko for, at ORM bliver en løsrevet begivenhed, og at den finansielle plan ikke sikrer en hensigtsmæssig fordeling af ressourcerne med henblik på opnåelse af de strategiske mål (26).

33. Et eksempel på god praksis ses i Canadas nationalbank, hvor bankens risikoprofil er en integreret del af den samlede strategiske og finansielle planlægningscyklus (27).

ORM-processen: risikoidentificering, vurdering og reaktion, rapportering, overvågning og opfølgning

Risikoidentificering, vurdering og reaktion

34. Alle iboende operationelle risici i aktiviteter, processer og systemer bør identificeres og vurderes. Risici bør evalueres ud fra den gældende politik og det gældende toleranceniveau med henblik på fastlæggelse af en hensigtsmæssig reaktion baseret på tilstrækkelige omkostningsberegninger. Relevante oplysninger bør regelmæssigt rapporteres til den øverste ledelse og til direktionen, som støtter den proaktive styring af operationelle risici.

35. ORM-strukturen er hovedsagelig blevet implementeret gennem top-down-vurderinger. I henhold til ECB's risikopolitik bør forretningsområderne også kontinuerligt foretage bottom-up-vurderinger af deres egne processer, og de identificerede risiko bør godkendes (28).

36. ECB foretog top-down-risikovurderinger i 2008 og 2009. ORM/BCM-funktionen gav forretningsområderne nogle forud fastsatte risici på højt niveau, som dannede grundlag for deres risikovurderinger. Den endelige rapport indeholdt en handlingsplan for hvert forretningsområde. Det er fastsat i BPH, at forretningsområderne bør analysere og fastlægge reaktionsstrategier og foretage en cost-benefit-analyse af de mulige løsninger.

37. I forbindelse med top-down-vurderingen i 2009 identificerede samtlige forretningsområder risici og løsninger. Rapporten vedrørende top-down-vurderingen i 2009 indeholdt indsatspunkter til opfølgning i hvert enkelt forretningsområde. Der var imidlertid ingen dokumentation for cost-benefit-analyser i de forretningsområder, der indgik i Rettens stikprøve.

38. Med hensyn til nogle risici var proceduren for ORC's eller direktionens godkendelse af risici, der var identificeret af forretningsområderne, meget langsom. F.eks. var to risici, der blev identificeret i juli-august 2009, endnu ikke blevet godkendt i december 2010. Det fremgår også af den liste over åbne indsatspunkter, som blev gennemgået på ORC's møder, at nogle stod åbne i over et år og helt op til to år.

39. Kun i tre af de seks forretningsområder i stikprøven var det muligt at finde specifikke ressourcer tildelt til ORM-aktiviteterne i deres arbejdsprogrammer. Beskrivelsen af ORM-aktiviteterne var vag, og det var ikke muligt at spore indsatspunkterne fra top-down-undersøgelsen i 2009 til forretningsområdernes arbejdsprogrammer.

ECB's planlægning af forretningskontinuitet

40. Planlægning af forretningskontinuitet (Business Continuity Management — BCM) er et vigtigt element i styringen af operationelle risici. Der skal foreligge katastrofe- og genoprettelsesplaner for de værst tænkelige scenarier, så alle væsentlige aktiviteter og processer kan fortsætte i en krisesituation.

41. Retten undersøgte: i) om ECB's samlede BCM-struktur er tilfredsstillende og i overensstemmelse med bedste praksis ii) om de væsentlige processer er defineret tilstrækkeligt iii) om de udvalgte forretningsområders forretningskontinuitetsplaner (Business Continuity Plans — BCP) tager tilstrækkelig højde for risiciene til at sikre, at alle væsentlige aktiviteter kan fortsætte iv) om forretningskontinuitetsforanstaltningerne var blevet testet tilstrækkeligt v) om de ansatte kendte til og havde fået kurser om forretningskontinuitetsforanstaltningerne.

BCM-strukturen

42. Planlægning af forretningskontinuitet er en overordnet forretningstilgang, som omfatter politikker, standarder og procedurer til sikring af, at bestemte aktiviteter kan opretholdes eller genoprettes hurtigt, hvis driften afbrydes. Formålet er at minimere de operationelle, finansielle, juridiske, omdømmemæssige og øvrige væsentlige konsekvenser af en driftsafbrydelse (29).

43. Formålet med BCM er at sikre, at foranstaltningerne og løsningerne vedrørende forretningskontinuitet er i overensstemmelse med ECB's mål, forpligtelser, lovbestemte opgaver og risikotolerancepolitik (30).

44. Revisionen omfattede en gennemgang af de centrale dokumenter, der udgør BCM-strukturen: — kapitel 26 i »Business Practice Handbook«, som udstikker de brede rammer, definerer processerne og de output, der skal leveres, samt definerer roller og ansvarsområder — ECB's strategi for forretningskontinuitetstest og -uddannelse — ECB's program for forretningskontinuitetstest — ECB's krisestyringsmanual.

45. ECB har udviklet en krisemanual, som definerer roller, ansvarsområder og processer i en krisesituation og indeholder oplysninger om, hvordan krisestyringsholdet kan kontaktes. Hvert forretningsområde har det fulde ansvar for at udvikle sit eget BCP. Den overordnede BCP-model kræver imidlertid ikke et samlet BCP for hele ECB, og et sådant er ikke blevet udarbejdet.

46. ECB har etableret en forsvarlig struktur, der giver vejledning om BCM-politikker, -processer og -ansvarsområder i organisationen. Den decentrale tilgang skaber imidlertid også en risiko for, at implementeringen af BCM ikke er ensartet i hele organisationen, fordi den ikke er strengt koordineret.

Identificering af væsentlige processer

47. Virksomhedsanalyse (Business Impact Analysis — BIA) er en dynamisk proces til identificering af væsentlige aktiviteter og tjenester, centrale interne og eksterne afhængighedsforhold samt hensigtsmæssige grader af modstandsdygtighed. Ved analysen vurderes det, hvilke risici der er forbundet med forskellige scenarier for driftsafbrydelse, og hvordan disse scenarier kan påvirke organisationens aktiviteter og omdømme (31).

48. Den seneste fuldstændige virksomhedsanalyse (BIA) blev udført i 2006 (32) med henblik på at identificere de af ECB's produkter og tjenester, som er afgørende for kontinuiteten i bankens vigtigste aktiviteter. Den udførte BIA havde bl.a. følgende centrale fokusområder: — identificering af de væsentlige forretningsprocesser — kategorisering af de væsentlige krav — vejledning om håndtering af enkeltstående eller sjældne processer — identificering af yderligere støttebehov.

49. En omfattende BIA-ajourføring i 2007 identificerede mangler med hensyn til forretningskontinuitet og de foranstaltninger, der var gældende på det tidspunkt. Der blev fastlagt en opfølgningsstrategi, som gav mulighed for enten at afhjælpe de identificerede mangler eller at acceptere de dermed forbundne risici og omkostninger. Dette dokument præsenterede omkostningerne i form af it-løsninger og logistisk infrastruktur, men beskrev ikke i detaljer de forskellige risikoniveauers effekt på omkostningerne.

50. Den seneste BIA-ajourføring til afhjælpning af de mangler, der blev identificeret i 2007, blev afsluttet i 2010. Der er ikke udført en fuldstændig virksomhedsanalyse siden finanskrisen.

Forretningskontinuitetsplaner (Business Continuity Plans — BCP)

Væsentlige aktiviteter

51. BCP'erne bør udformes, så de identificerer de væsentlige aktiviteter med henblik på at sikre, at ECB kan opfylde sine lovbestemte forpligtelser som defineret i den relevante protokol om statutten for ECB (33). BCP'erne bør tage udgangspunkt i det værst tænkelige scenario, dog således at reaktionen kan begrænses, så den står i et rimeligt forhold til den faktiske krise (34).

52. ECB har ud fra en række risici og på grundlag af sine lovbestemte forpligtelser fastlagt primære benchmarks for vurdering af væsentlighed (jf. tekstboks 3). Tekstboks 3 Primære benchmarks for vurdering af væsentlighed Opfyldelse af de lovbestemte forpligtelser, herunder: — at formulere og gennemføre euroområdets monetære politik — at foretage transaktioner i udenlandsk valuta — at besidde og forvalte euroområdelandenes officielle valutareserver — at fremme betalingssystemernes smidige funktion. Afbrydelse af en identificeret proces, som fører til: — markedsustabilitet — skadet troværdighed/image/omdømme — finansielt tab for ECB — finansielt tab for andre institutioner — potentielle juridiske problemer — andre virkninger, som ikke er nævnt ovenfor. Kilde: ECB's BIA-gennemgang, 2006.

53. På grundlag af sin gennemgang af disse primære benchmarks og en foreløbig vurdering af det aktivitetsniveau, der potentielt kunne opretholdes under de opstillede scenarier (35), konstaterede Retten, at planerne var udformet med henblik på at sikre, at de lovbestemte forpligtelser kunne opfyldes. Rettens gennemgang af BCP'erne viste imidlertid, at der manglede planer, som tog højde for et stort tab af menneskelige ressourcer (36) i forbindelse med en katastrofe. De forretningsområder, der havde ansvaret for processerne, havde defineret, hvilke ansatte der var ansvarlige for forretningskontinuiteten, og identificeret deres afløsere, men ingen af dem havde en nødplan, der tog højde for en alvorlig mangel på personale.

Overholdelse af den overordnede BCP-model

54. I henhold til den overordnede BCP-model skal forretningsområdernes egne BCP'er dække: — organisatoriske aspekter (37) — væsentlige processer (38) — behov (39) — aktørliste. De direkte fordele, som en organisation opnår ved foranstaltninger, der styrker dens modstandsdygtighed over for operationelle afbrydelser, skal afvejes mod disse foranstaltningers pris (40).

55. ECB's overordnede BCP-model fastlægger den obligatoriske struktur og det obligatoriske indhold i de enkelte forretningsområders BCP'er. Modellen fastlægger således kun strukturen i de BCP-dokumenter, som forretningsområderne skal fremlægge.

56. BCP'er udarbejdes på forretningsområde-, tjeneste- eller afdelingsniveau. Den overordnede BCP-model overholdes generelt med hensyn til det obligatoriske indhold, men det er meget forskelligt, hvor detaljerede oplysningerne er. Selv om ORM/BCM-funktionen spiller en central koordinerende rolle, afhænger den enkelte BCP's kvalitet af den person, som er ansvarlig på forretningsområdeniveau. Der var ikke noget bevis for, at ORM/BCM-funktionen foretager en tilstrækkelig gennemgang af de forskellige BCP'er.

57. Af de fem forretningsområder (41), som Retten udvalgte til detaljerede test, havde fire leveret BCP'er, som overholdt kravene, og tre af disse tog fuld højde for de væsentlige processer, der var identificeret i BIA'en.

58. I de forretningsområder, der indgik i Rettens stikprøve, var der i de fleste tilfælde ingen dokumentation for, at der var foretaget en cost-benefit-analyse af forretningskontinuitetsmulighederne, f.eks. en undersøgelse af forskellige risikoniveauer.

Test

59. Organisationer bør teste deres forretningskontinuitetsplaner, evaluere disse planers effektivitet og ajourføre forretningskontinuitetsplanlægningen, hvis det er relevant (42). I henhold til BS25999 (43) skal en organisation sikre, at dens BCM-foranstaltninger valideres ved efterprøvning og gennemgang og holdes ajour.

60. Retten gennemgik følgende dokumenter: — strategien for test af forretningskontinuitet (44) — programmer og tidsplaner for test i perioden 2008-2010 — testrapporter.

61. Teststrategien fokuserer på de BCP'er og it-genoprettelsesplaner, som er udviklet med henblik på at gennemgå de processer, der i BIA'en identificeres som væsentlige. Teststrukturen omfatter en klar ansvarsfordeling og fastlægger testomfanget, rapporteringskravene, testhyppigheden og det relevante program for midtvejstest. Gennemgangen viste, at der er etableret en tilfredsstillende teststruktur, som opfylder kravene i BS 25999.

62. De gennemførte test viste, at selv om testøvelserne dækker nøglepersonalet og afholdes regelmæssigt, simulerer de ikke altid de omstændigheder, som ECB ville stå i ved en alvorlig driftsafbrydelse. De test, der var planlagt i 2009 og 2010, dækkede ikke alle de scenarier, som ECB havde opstillet, og det var ikke alle de oprindeligt planlagte test, der blev udført.

Uddannelse og bevidstgørelse

63. Krisestyringsholdet og krisereaktionsholdet bør uddannes til at varetage deres ansvar og pligter. Holdene bør have kurser mindst en gang om året, og nye medlemmer bør uddannes, når de tiltræder. Alle ansatte bør uddannes til at varetage deres individuelle ansvar i en krisesituation. De bør også oplyses om de centrale elementer i forretningskontinuitetsplanen (45).

64. ECB's uddannelsesstrategi fastsætter, at alle ansatte skal gennemgå et BCM-bevidstgørelsesprogram (46). Med hensyn til test fastsætter uddannelsesstrategien, at der skal udarbejdes et træningsprogram med implementeringsdetaljer.

65. I 2010 blev der afholdt fem halvdagskurser i krisestyring, hvor ECB's krisemanual blev gennemgået. Samlet set bedømte deltagerne både manualen og kurset positivt, men de bemærkede også, at de ville sætte meget pris på simulationstest.

66. Retten fandt klart bevis for, at det relevante personale med ansvar for forretningskontinuitet blev uddannet i forbindelse med test af BCP'er, men fandt ikke noget bevis for, at der aktivt blev gjort noget for at bevidstgøre det øvrige personale om forretningskontinuitetsstrukturen og -processerne. Det erkendes i flere interne referencedokumenter (47), at test spiller en central rolle i forbindelse med uddannelse af personale, men at der også er behov for at bevidstgøre samtlige ansatte ved hjælp af et særligt program. Et sådant program er endnu ikke blevet udviklet, da den centrale ORM/BCM-funktion mener, at de ansattes viden om forretningskontinuitetsforanstaltningerne er tilfredsstillende. Ikke desto mindre viser resultaterne af en intern spørgeskemaundersøgelse (48), at over 12 % af svarerne (20 % i 2009) ikke kender til forretningskontinuitetsforanstaltningerne for deres forretningsområde og ikke ville vide, hvor de skulle finde oplysninger om, hvordan de skulle reagere i en krisesituation.

Har ECB styret sine finansielle risici effektivt?

67. Styring af finansielle risici er en proces til håndtering af usikkerheder hidrørende fra finansielle markeder. Den omfatter vurdering af de finansielle risici, som en organisation er udsat for, og udvikling af styringsstrategier, som er i overensstemmelse med de interne prioriteter og politikker.

68. Retten undersøgte: — om den samlede struktur for styring af finansielle risici i forbindelse med investeringer og politiske operationer er i overensstemmelse med bedste praksis — om ECB's metoder til styring af finansielle risici er tilstrækkelige til at styre de finansielle risici — om metoderne til styring af finansielle risici anvendes effektivt af ECB — om rapporteringen om styring af finansielle risici er regelmæssig og pålidelig.

Strukturen for styring af finansielle risici i forbindelse med investeringer og politiske operationer

69. Strukturen bør give en definition af finansielle risici, som er gældende i hele organisationen, og fastlægge principperne for, hvordan finansielle risici skal identificeres, vurderes, overvåges og kontrolleres/begrænses (49). Banken skal have et system til styring af finansielle risici, hvor klare ansvarsopgaver er tildelt.

70. ECB's struktur for styring af finansielle risici er udformet med henblik på at dække risici, der opstår i forbindelse med to ECB-operationer: i) investering og ii) kredit. Investeringsoperationerne vedrører de to investeringsporteføljer, valutareserverne (50) (60 600 millioner euro pr. 31. december 2010) og egenporteføljen (51) (13 300 millioner euro pr. 31. december 2010). Kreditoperationerne vedrører de pengepolitiske operationer (52). ECB's investeringsaktiviteter omfatter forvaltningen af ECB's valutareserver (53) og ECB's egenportefølje, forvaltningen af pensionsfonden og aktiviteter vedrørende de to porteføljer, der besiddes med henblik på pengepolitiske formål (54).

71. RMA-afdelingen har ansvaret for at vedligeholde den generelle risikostyringsstruktur for investeringsoperationer og står for overvågning, vurdering og kontrol af de risici, der er forbundet med disse operationer. Den overvåger også overholdelsen af de vedtagne politikker og processer vedrørende styring af markeds- og kreditrisici. Tilfælde af manglende overholdelse rapporteres i henhold til vedtagne eskaleringsprocedurer.

72. Det er forretningsområdet DG-M, der foretager ECB's investeringsoperationer. Det er også ansvarligt for at vedligeholde og videreudvikle eurosystemets applikation til porteføljeforvaltning (55). DG-M's investeringsafdeling har ansvaret for at udarbejde Investeringskomitéens forslag til det taktiske benchmark for valutareserveporteføljen og varetager den direkte forvaltning af ECB's egenportefølje.

73. »Handbook of Financial Risk Management« (56), som er det væsentligste dokument vedrørende styring af finansielle risici i forbindelse med investeringsaktiviteter, giver en omfattende oversigt over alle de relevante politikker, processer og procedurer, navnlig med henvisning til de dokumenter, der er godkendt af ECB's besluttende organ.

74. Den samlede struktur for ECB's styring af finansielle risici i forbindelse med forvaltning af investeringer og politiske operationer giver en definition af finansielle risici, som er gældende i hele banken, og fastlægger principperne for, hvordan finansielle risici skal identificeres, vurderes, overvåges og kontrolleres/begrænses.

Metoder til styring af finansielle risici

75. Der bør udarbejdes passende retningslinjer, som fastlægger risikovilligheden i tilstrækkelig grad og giver omfattende vejledning med hensyn til investeringsoperationer.

76. ECB's »Handbook of Financial Risk Management« definerer følgende elementer: i) ECB's risikotolerance ii) godkendte instrumenter og operationer iii) mulige modparter og udstedere, fastsættelse af grænser iv) strategisk aktivallokering v) overvågning, rapportering og vurdering vi) gennemgang af rammerne (57).

77. Processen for investering af valutareserver bygger på en struktur med tre lag: det strategiske benchmark, det taktiske benchmark og de konkrete porteføljer. Det strategiske benchmark afspejler Styrelsesrådets langsigtede risiko/afkast-præferencer.

78. Processen for investering af egenporteføljen bygger på en struktur med to lag: det strategiske benchmark og den konkrete portefølje. Det strategiske benchmark fastsættes af direktionen.

79. Afkastet maksimeres under iagttagelse af begrænsningerne med hensyn til nulunderskud og aktivallokering og implementeres i henhold til en specifik strategisk aktivallokering (58).

80. RMA fører lister over mulige lande, udstedere og modparter. RMA fastsætter også begrænsninger for modparterne efter de metoder, direktionen har godkendt. I forbindelse med forvaltningen af valutareserver fastsættes begrænsningerne af de nationale centralbanker efter de metoder, Styrelsesrådet har godkendt. En gang om året ajourføres alle begrænsninger systematisk. Vurderingsændringers indvirkning på modparternes egnethed og de gældende begrænsninger tages omgående i betragtning.

81. Følgende politiske krav på højt plan tages i betragtning ved den strategiske aktivallokering: i) mål for besiddelse af reserverne ii) risiko/afkast-præferencer iii) modelfilosofi iv) investeringshorisont og justeringsfrekvens v) ansvarsfordeling mellem det strategiske benchmark og de taktiske lag i investeringskæden vi) informationsindhold med betydning for investeringsbeslutninger vii) mulige investeringer viii) fastsatte investeringsbegrænsninger. Investerings- og risikohorisonten fastsættes til ét år for valutareserverne og fem år for egenporteføljen.

82. Under revisionen undersøgte Retten: — fuldstændigheden og tilstrækkeligheden af definitionerne på risikovillighed og risikostrategi — investeringsretningslinjerne — beslutningsprocessen for fastsættelse af investeringsbegrænsninger — konsistensen i risikomålene: markedsrisiko, kreditrisiko, modpartsrisiko, likviditetsrisiko og operationel risiko i forbindelse med investeringsaktiviteter.

83. Gennemgangen af strukturen for styring af finansielle risici viste, at metoderne til styring af finansielle risici fastlægger risikovilligheden i tilstrækkelig grad og giver omfattende vejledning med hensyn til ECB's investeringsoperationer.

Anvendelse af metoderne til styring af finansielle risici

84. De metoder til styring af finansielle risici, som er beskrevet i det foregående afsnit, bør anvendes effektivt i praksis.

85. Under revisionen undersøgte Retten: i) tilstrækkeligheden af de fastsatte benchmarks i forhold til porteføljerisikoprofilen, herunder fejlmeddelelser, datakvalitet, dataforvaltning og datasikkerhed i forbindelse med strategiske og taktiske benchmarks ii) de værktøjer og det system, der understøtter beregningen og ajourføringen af porteføljer og benchmarks iii) forvaltningen af benchmarkjusteringer.

86. Rettens gennemgang af Value-at-Risk-strukturen omfattede: i) datakvalitets- og dataforvaltningsanalyser samt gennemgang af sikkerheds- og kontroldata ii) analyser af modelteknik, modelhypoteser og centrale modelkomponenter iii) rimelighedstest, gennemgang af backtestresultater og rapporteringsanalyser.

87. Testen viste, at implementeringen af metoderne var tilfredsstillende. Dog var »fire øjne-princippet« ikke dokumenteret. Gennemgangen af de modeller, der blev anvendt til beregning af strategiske og taktiske benchmarks samt til VaR-beregninger — inklusive modelvalideringen — viste desuden med hensyn til nogle af modellerne: a) at der på det seneste ikke var foretaget og dokumenteret regelmæssig backtesting af modellerne b) at de anvendte modeller ikke havde været genstand for en uafhængig validering eller nylig ajourføring c) at modelhypoteserne ikke altid var tilstrækkeligt dokumenteret.

88. En gennemgang af bedste praksis i lignende internationale organisationer viste, at Federal Reserve Bank of New York som led i styrkelsen af sin kapacitet til styring af finansielle risici efter den finansielle krise i USA oprettede et modelvalideringshold. Holdets nøgleopgaver er beskrevet i tekstboks 4. Tekstboks 4 Modelvalideringshold i Federal Reserve Bank of New York Holdets nøgleopgaver er: — at føre en fortegnelse over alle de modeller, der anvendes i forbindelse med styring af finansielle risici — at gennemgå og validere modeldokumentationen — at udarbejde detaljeret dokumentation i de tilfælde, hvor den eksisterende dokumentation anses for utilstrækkelig — at teste modellerne.

Rapportering om finansielle risici

89. Der bør være en proces til regelmæssig overvågning af risikoprofiler og af væsentlig eksponering for tab. Der bør indføres et pålideligt overvågnings- og rapporteringssystem.

90. Overholdelsen af de vedtagne politikker og processer vedrørende styring af markeds- og kreditrisici overvåges af RMA, som også er ansvarlig for at rapportere tilfælde af manglende overholdelse i henhold til vedtagne eskaleringsprocedurer. RMA rapporterer regelmæssigt om risiko/afkast og performance i både valutareserveporteføljen og ECB's egenportefølje samt om de dertil knyttede strategiske og taktiske benchmarks. Rapporteringen kan være daglig, ugentlig, månedlig, kvartalsbaseret eller årsbaseret.

91. Revisorernes test og samtaler bekræftede, at performancerapportering finder sted regelmæssigt og formidles rettidigt til ledelsen. Revisorerne bemærkede imidlertid, at ECB's interne performancerapportering ikke fuldt ud lever op til GIPS-standarderne (59), som anses for at være bedste praksis.

KONKLUSIONER OG ANBEFALINGER

Har ECB fastlagt en samlet og hensigtsmæssig ledelsesstruktur for risikostyring?

92. ECB har fastlagt en samlet organisationsstruktur med klare roller og ansvarsområder. Styringen af finansielle risici og styringen af operationelle risici er imidlertid skarpt adskilt, og det øger risikoen for, at billedet af ECB's eksponering ikke er dækkende. Der findes ikke et enkelt, uafhængigt organ såsom en risikostyringschef eller -komité mellem direktionen og de to funktioner/afdelinger med ansvar for risikostyring, ORM/BCM og RMA.

93. ECB's årsregnskab indeholder kun kortfattede oplysninger om visse risikostyringsspørgsmål og giver ingen oversigt over organisationens risikostyringsproces, de risici, den er udsat for, og ledelsens tilgang til disse. Anbefalinger 1. ECB bør overveje at oprette en enkelt, hierarkisk uafhængig risikostyringsfunktion såsom en risikostyringschef eller -komité, der udelukkende beskæftiger sig med risikostyring og kan sikre et dækkende billede af ECB's eksponering. 2. ECB bør yderligere forbedre de oplysninger om risikostyringspraksis, der stilles til rådighed for offentligheden i årsregnskabet, ved at anvende bedste praksis, f.eks. IFRS 7.

Har ECB styret sine operationelle risici effektivt?

94. ECB har en klar organisationsstruktur og har udarbejdet tilfredsstillende politikker for styring af operationelle risici, som fastlægger bankens tilgang til vurdering, overvågning og kontrol/begrænsning af sådanne risici.

95. Selv om ECB foretog top-down-risikovurderinger i 2008 og 2009 og opstillede en handlingsplan for hvert forretningsområde, var der ingen dokumentation for cost-benefit-analyser.

96. Der er fastlagt et system til rapportering, overvågning og opfølgning samt vedtaget en tidsplan for opfølgning af risikobegrænsende foranstaltninger i forbindelse med risici på mellemniveau og højt niveau. Med hensyn til nogle risici var proceduren for ORC's eller direktionens godkendelse imidlertid meget langvarig. Planlægningscyklusser og ORM-cyklusser er ikke integreret. Desuden var ORM-aktiviteterne ikke klart identificeret i arbejdsprogrammerne for nogle af de undersøgte forretningsområder.

97. ECB har udviklet en omfattende krisemanual, som definerer roller, ansvarsområder og processer i en krisesituation og indeholder oplysninger om, hvordan krisestyringsholdet kan kontaktes. Hvert forretningsområde har det fulde ansvar for at udvikle sit eget BCP.

98. ECB har etableret en forsvarlig struktur, der giver vejledning om BCM-politikker, -processer og -ansvarsområder i organisationen. Men: a) der er ikke foretaget en fuld virksomhedsanalyse siden den omfattende BIA-ajourføring, der blev påbegyndt i 2007 og afsluttet i 2010, dvs. siden finanskrisens begyndelse b) der manglede planer, som tog højde for et stort tab af menneskelige ressourcer c) de planlagte test dækkede ikke alle de katastrofescenarier, som ECB havde opstillet d) nogle af de test, der var planlagt i 2009 og 2010, blev ikke udført. Anbefalinger 3. Den årlige vurdering af operationelle risici bør indgå i ECB's strategiske og finansielle planlægningscyklus og i de årlige arbejdsprogrammer for de enkelte forretningsområder. 4. Spørgsmålet om foranstaltninger til håndtering af operationelle risici på mellemniveau og højt niveau bør løses hurtigt. 5. ECB bør fortsat forbedre sine forretningskontinuitetsplaner og sit testprogram og bestræbe sig på at sikre, at alle planlagte test udføres.

Har ECB styret sine finansielle risici effektivt?

99. Den samlede struktur for ECB's styring af finansielle risici i forbindelse med forvaltning af investeringer og politiske operationer er tilfredsstillende. Gennemgangen af strukturen for styring af finansielle risici viste, at metoderne til styring af finansielle risici er forsvarlige og hensigtsmæssige i forbindelse med ECB's forvaltning af investeringer og politiske operationer. Forbedringer er dog påkrævet i den praktiske anvendelse af metoderne, f.eks. med hensyn til de modeller, der anvendes til beregning af strategiske og taktiske benchmarks samt til VaR-beregninger.

100. De interne risikostyringsrapporter giver præcise, tilstrækkelige og omfattende oplysninger om styring af finansielle risici til den øverste ledelse og ECB's direktion. Performancerapportering finder sted regelmæssigt, men der foretages ikke regelmæssig ajourføring med henblik på at afspejle ændringer i GIPS-standarderne. Anbefalinger 6. ECB bør fortsat forbedre gennemgangen og valideringen af de modeller, der anvendes til beregning af strategiske og taktiske benchmarks samt til VaR-beregninger, herunder udarbejde detaljeret dokumentation i de tilfælde, hvor den eksisterende dokumentation anses for utilstrækkelig, teste modellerne og regelmæssigt efterprøve modelhypoteserne. 7. Ændringer i GIPS-standarderne bør gennemgås årligt, og det bør overvejes at implementere dem fuldt ud i ECB's interne performancerapportering.

Vedtaget af Afdeling IV, der ledes af Louis GALEA, medlem af Revisionsretten, i Luxembourg på mødet den 27. marts 2012. På Revisionsrettens vegne Vítor Manuel da SILVA CALDEIRA Formand

(1) Artikel 127, stk. 1, i traktaten om Den Europæiske Unions funktionsmåde.

(2) Statutten for ESCB og ECB er en protokol til traktaten.

(3) Artikel 27, stk. 2, i protokollen om statutten for ESCB og ECB: »Artikel 287 i traktaten om den Europæiske Unions funktionsmåde gælder kun for efterprøvning af, hvor effektiv ECB's forvaltning er i operationel henseende.«

(4) Artikel 9, stk. 3, i protokollen om statutten for ESCB og ECB. Styrelsesrådet består af de seks medlemmer af direktionen og de nationale centralbankchefer i de medlemsstater, der har euroen som valuta. Direktionen består af ECB's formand og næstformand og fire andre medlemmer.

(5) Artikel 12, stk. 1, i protokollen om statutten for ESCB og ECB.

(6) ORM omfatter risici forbundet med ECB's aktiviteter, herunder aktiviteter relateret til processer og projekter under ESCB/eurosystemet.

(7) De kriterier, Retten lagde til grund for sin vurdering af ECB's strukturer for styring af operationelle og finansielle risici, er gengivet i kursiv i denne beretning. Medmindre andet er anført, er kriterierne opstillet af Retten.

(8) Revisionen omfattede ikke risikostyring i Det Europæiske System af Centralbanker (ESCB).

(9) Revisorerne aflagde informationsbesøg hos Federal Reserve Bank of New York og Canadas nationalbank og sendte spørgeskemaer til Federal Reserve Bank of New York, Canadas nationalbank og Schweiz' nationalbank.

(10) José Manuel González-Páramo, medlem af ECB's direktion, Ulrich Bindseil og Evangelos Tabakis: »Risk Management for Central Banks and Other Public Investors«, Cambridge University Press 2009 (Rettens oversættelse).

(11) Det Europæiske Banktilsynsudvalg (CEBS): »High level principles for risk management«, februar 2010 (Rettens oversættelse og kursivering).

(12) Sektion, afdeling, direktorat eller generaldirektorat.

(13) Som er del af DG-H.

(14) ORM/BCM-funktionen er også sekretariat for Komitéen for Operationelle Risici (ORC).

(15) Administrativt er RMA del af DG-H, men afdelingen rapporterer direkte til det medlem af direktionen, som er ansvarlig for styring af finansielle risici.

(16) ECB anvender sin egen ramme for regnskabsrapportering, som er fastlagt i afgørelse ECB/2006/17 om Den Europæiske Centralbanks årsregnskab (med senere ændringer).

(17) Value-at-Risk (VaR) er et meget anvendt mål for risikoen for tab på en specifik portefølje af finansielle aktiver. For en given portefølje, sandsynlighed og tidsperiode defineres VaR som en tærskelværdi, hvor den givne sandsynlighed er sandsynligheden for, at porteføljens tab i markedsværdi under normale markedsbetingelser og uden handel i porteføljen overstiger denne tærskel i den givne tidsperiode (jf. »Value at Risk: The New Benchmark for Managing Financial Risk (3. udgave)«, Philippe Jorion, McGraw-Hill Professional, 2006).

(18) International Financial Reporting Standards er principbaserede standarder, fortolkninger og rammer vedtaget af International Accounting Standards Board (IASB). De kendes også under deres tidligere betegnelse, International Accounting Standards (IAS). I februar 2001 stillede Europa-Kommissionen forslag til en forordning, som krævede, at alle selskaber i EU, der var børsnoteret på et reguleret marked, herunder banker og forsikringsselskaber, inden 2005 skulle gå over til at udarbejde deres koncernregnskaber i henhold til IAS. EU's medlemsstater fik mulighed for at udvide dette krav til også at omfatte ikke-børsnoterede selskaber og individuelle virksomhedsregnskaber. Der blev oprettet en godkendelsesmekanisme på både politisk og teknisk plan med det formål at føre tilsyn med implementeringen af IAS i EU.

(19) Indtil 31. december 2010 rapporterede Canadas nationalbank i henhold til de canadiske »Generally Accepted Accounting Principles« (almindelig accepterede regnskabsprincipper), men fremlagde risikostyringsoplysninger, der var sammenlignelige med IFRS-oplysningerne. Siden 1. januar 2011 har Canadas nationalbank rapporteret i henhold til IFRS.

(20) »Business Practice Handbook«, kapitel 26.

(21) I 2008 besluttede direktionen at tilpasse ECB's ORM-struktur til den struktur, der anvendes i ESCB.

(22) Operationel risiko er defineret som risikoen for en negativ finansiel, forretningsmæssig og/eller omdømmemæssig virkning forårsaget af utilstrækkelige eller svigtende interne forvaltnings- og forretningsprocesser eller af personer, systemer eller eksterne begivenheder.

(23) Den har til opgave at stimulere og føre tilsyn med udvikling, implementering og vedligeholdelse af styringen af operationelle risici i ECB.

(24) Medlemmerne er ledende medarbejdere fra Generaldirektoratet for Markedsoperationer, Generaldirektoratet for Informationssystemer, Generaldirektoratet for Administration, Generaldirektoratet for HR, Budget og Organisation og fra to kerneforretningsområder efter en etårig rotationsordning samt generaldirektørens rådgiver i Generaldirektoratet for HR, Budget og Organisation.

(25) Et forretningsområde (en risikoejer), som er ansvarlig for en horisontal risiko (en risiko, som påvirker flere forretningsområder), bør anbefale og/eller implementere hensigtsmæssige risikobehandlingstiltag, som kan anvendes i hele ECB.

(26) Baseret på konklusionen i Jack Dorminey og Richard Mohns artikel »ERM at the Federal Reserve Bank of Richmond«, 2007.

(27) Kilde: Canadas nationalbanks netsted »Medium-term plan 2010-12« (www.bankofcanada.ca pr. 13. juli 2011).

(28) For projekter, f.eks. it-projekter, er der fastlagt specifikke procedurer i »Project Organisation and Control Procedures«. Projektrisici rapporteres særskilt via Projektstyringskomitéen/Projektstyringskomitéen for Nye Lokaler. Risikostyring vedrørende specifikke projekter er ikke omfattet af denne revision.

(29) »High-level principles for business continuity«, Baselkomitéen for Banktilsyn, august 2006, punkt 9.

(30) »Business Practice Handbook« (BPH), 5. udgave, ECB, 24. september 2010.

(31) »High-level principles for business continuity«, Baselkomitéen for Banktilsyn, august 2006, punkt 10.

(32) »ECB Business Impact Analyses, Review 2006«, Generaldirektoratet for HR, Budget og Organisation, 16. januar 2007.

(33) Artikel 3 i protokol (nr. 4) om statutten for Det Europæiske System af Centralbanker og Den Europæiske Centralbank fastsætter de lovbestemte opgaver, som ECB skal varetage.

(34) »Business Continuity Guideline: A Practical Approach for Emergency Preparedness, Crisis Management, and Disaster Recovery«, ASIS International, 2005, punkt 11.3.

(35) I BIA'en vurderes effekten på de enkelte forretningsområders operationelle kapacitet ud fra seks katastrofescenarier.

(36) Et krav fastsat i »High-level principles for business continuity«, Baselkomitéen for Banktilsyn, august 2006, punkt 23.

(37) Dvs. beslutningsorganer i en krisesituation, forretningskontinuitetsholdets sammensætning, dets relationer til andre hold og dets placering.

(38) Dvs. en liste over de processer, der blev identificeret og godkendt i forbindelse med BIA'en, og en liste over de specifikke aktiviteter, som er nødvendige for at sikre, at disse processer kan fortsætte.

(39) Dvs. it- og kontorudstyr, manualer.

(40) »High-level principles for business continuity«, Baselkomitéen for Banktilsyn, august 2006, punkt 13.

(41) DG-IS har en særskilt forretningskontinuitetsproces. Den er underkastet ekstern revision med henblik på overholdelse af ISO 20000, og DG-IS's BCP er derfor ikke omfattet af Rettens 2010-revision.

(42) »High-level principles for business continuity«, Baselkomitéen for Banktilsyn, august 2006, princip 6.

(43) Britisk standard for BCM.

(44) »ECB Business Continuity Testing and Training Strategy«, Komitéen for Operationelle Risici, 4. marts 2008.

(45) »Business Continuity Guideline: A Practical Approach for Emergency Preparedness, Crisis Management, and Disaster Recovery«, ASIS international, 2005, punkt 12.1.1.

(46) »ECB Business Continuity Testing and Training Strategy«, Komitéen for Operationelle Risici, 4. marts 2008.

(47) »Business Continuity Testing and Training Strategy", s. 15, »Business Practice Handbook", punkt 26.1, "Business Continuity Framework« (på ECB's intranet) og dokumentet "Business Continuity Management Policy«.

(48) Rapporten om ECB's interne brugertilfredshedsundersøgelser i 2009 og 2010.

(49) Basel, ERM COSO (Enterprise Risk Management Committee of Sponsoring Organizations).

(50) Den Europæiske Centralbanks retningslinje af 20. juni 2008 om de nationale centralbankers forvaltning af Den Europæiske Centralbanks valutareserveaktiver samt den juridiske dokumentation for transaktioner vedrørende disse aktiver (omarbejdning) (ECB/2008/5) (2008/596/EF).

(51) »OFM Guideline«, juli 2010, »The ECB’s Own Funds Investment Guidelines«, september 2010.

(52) Den Europæiske Centralbanks retningslinje af 26. september 2002 om minimumsstandarder for Den Europæiske Centralbank og de nationale centralbanker ved udførelse af pengepolitiske operationer, valutatransaktioner med ECB's valutareserver samt forvaltning af ECB's valutareserveaktiver (ECB/2002/6).

(53) Inklusive guldreserverne.

(54) Porteføljen for programmet for indkøb af dækkede obligationer (Covered Bonds Purchase Programme — CBPP) og porteføljen for programmet for værdipapirmarkeder (Securities Markets Programme — SMP).

(55) En applikation, som anvendes i forvaltningen af ECB's valutareserver og egenportefølje, og som leverer tal vedrørende performance.

(56) »Handbook of Financial Risk Management, Policies and Procedures«, marts 2008.

(57) Punkt i)-v) skal regelmæssigt og mindst en gang om året gennemgås af direktionen eller Styrelsesrådet.

(58) Fastlægges af Styrelsesrådet for valutareserverne og af direktionen for egenporteføljen på grundlag af forslag fra RMA.

(59) GIPS (Global Investment Performance Standards) er et sæt etiske standarder for finanssektoren — udarbejdet og administreret af Chartered Financial Analyst Institute — som giver vejledning i, hvordan investeringsresultater beregnes og rapporteres. Det er frivilligt at følge disse standarder, hvis grundlæggende principper er fuld oplysning om og retvisende fremstilling af investeringsperformance.