NL Publicatieblad van de Europese Unie C 173/1

VERSLAG

over de controle van het risicobeheer bij de Europese Centrale Bank betreffende het begrotingsjaar 2010, vergezeld van de antwoorden van de ECB

2012/C 173/01

INHOUD

Paragraaf Bladzijde INLEIDING … 1-4 3 REIKWIJDTE EN AANPAK VAN DE CONTROLE … 5-6 3 CONTROLEBEVINDINGEN … 7-91 3 Stelde de ECB een geschikt en alomvattend beheerskader op voor risicobeheer? … 7-18 3 Algemeen kader voor risicobeheer … 8-14 3 Openbaarmaking van het kader voor risicobeheer van de ECB aan derden … 15-18 4 Beheerde de ECB haar operationele risico’s op doeltreffende wijze? … 19-66 5 Operationeel risicobeheer … 20-39 5 Bedrijfscontinuïteitsbeheer van de ECB … 40-66 7 Beheerde de ECB haar financiële risico’s op doeltreffende wijze? … 67-91 10 Kader voor financieel risicobeheer op het gebied van beleggingen en beleidsactiviteiten … 69-74 10 Methodologie voor financieel risicobeheer … 75-83 11 Toepassing van de methodologie voor financieel risicobeheer … 84-88 12 Toereikendheid van de verslaglegging over financiële risico’s … 89-91 12 CONCLUSIES EN AANBEVELINGEN … 92-100 13 Stelde de ECB een geschikt en alomvattend beheerskader op voor risicobeheer? … 92-93 13 Beheerde de ECB haar operationele risico’s op doeltreffende wijze? … 94-98 13 Beheerde de ECB haar financiële risico’s op doeltreffende wijze? … 99-100 13 Antwoorden van de Europese Centrale Bank… 15

AFKORTINGEN

BCM Business Continuity Management (bedrijfscontinuïteitsbeheer) BCP Bedrijfscontinuïteitsplan BIA Bedrijfsimpactanalyse BIS Bank for International Settlements (Bank voor internationale betalingen) CBPP Covered Bonds Purchase Programme (programma voor de aankoop van gedekte obligaties) COR Comité operationeel risico CRO Chief Risk Officer (directeur Risicobeheer) D-CO Directoraat Communicatie DG-A Directoraat-generaal Algemeen Beheer DG-H Directoraat-generaal HR, Budget en Organisatie DG-IS Directoraat-generaal Informatiesystemen DG-M Directoraat-generaal Markttransacties DG-P Directoraat-generaal Betaalsystemen DG-S Directoraat-generaal Statistieken EB Directie ECB Europese Centrale Bank ESCB Europees Stelsel van centrale banken FOS Financial Operations Services (financiëletransactiediensten) GIPS Global Investment Performance Standards (wereldwijde standaarden voor de presentatie van beleggingsresultaten) HBP Handboek bedrijfspraktijken IAS International Accounting Standards (internationale standaarden voor jaarrekeningen) IASB International Accounting Standards Board (Raad voor internationale standaarden voor jaarrekeningen) IFRS International Financial Reporting Standards (internationale standaarden voor financiële verslaglegging) INV Investment Division (afdeling Beleggingen) MOS Market Operations Systems (markttransactiesystemen) NCB’s Nationale centrale banken OFM Own Funds Management (beheer van de eigen middelen) ORB Operationeel risicobeheer RBE Afdeling Risicobeheer (van DG H) SMP Securities Markets Programme (programma voor de effectenmarkten) VaR Value at Risk (potentiële verlieswaarde)

INLEIDING

1. De Europese Centrale Bank (ECB) en de nationale centrale banken van alle lidstaten van de Europese Unie (EU) vormen samen het Europees Stelsel van centrale banken (ESCB). Het hoofddoel van het ESCB is het handhaven van prijsstabiliteit. Het ESCB ondersteunt ook het algemene economische beleid in de EU teneinde bij te dragen tot de verwezenlijking van de doelstellingen van de EU (1). Hiertoe voert de ECB de in haar statuten (2) vermelde taken uit en is zij verantwoordelijk voor het beheer van haar activiteiten en financiën.

2. De Europese Rekenkamer (de Rekenkamer) verricht de doelmatigheidscontrole van de ECB op grond van artikel 27.2 van het Protocol betreffende de statuten van het ESCB en van de ECB (3). De controle over 2010 heeft betrekking op de door de ECB vastgestelde procedures en systemen voor risicobeheer en de toepassing ervan.

3. De besluitvormingsorganen van de ECB zijn de Raad van bestuur en de Directie (4). De Directie voert het monetair beleid uit overeenkomstig de richtsnoeren en besluiten van de Raad van bestuur (5) en draagt de algemene verantwoordelijkheid voor het dagelijks beheer van de ECB en haar middelen. De Directie draagt ook de eindverantwoordelijkheid voor het risicobeheer bij de ECB.

4. Risico’s worden bij de ECB beheerd aan de hand van twee afzonderlijke kaders. De eenheid Operationeel risicobeheer (ORB (6)/BCM) bestrijkt alle operationele risico’s (zie voetnoot 22) inclusief de bedrijfscontinuïteit. De afdeling Risicobeheer (RBE) gaat over financieel risicobeheer (zie paragraaf 70), met inbegrip van de beleggings- en kredietactiviteiten van de ECB.

REIKWIJDTE EN AANPAK VAN DE CONTROLE

5. Het doel van de controle door de Rekenkamer van het begrotingsjaar 2010 was, te beoordelen in hoeverre het kader van de ECB voor operationeel en financieel risicobeheer toereikend is (7). Het risicobeheer van de ECB werd beoordeeld aan de hand van de volgende essentiële controlevragen: — Stelde de ECB een geschikt en alomvattend beheerskader op voor risicobeheer? — Beheerde de ECB haar operationele risico’s op doeltreffende wijze? — Beheerde de ECB haar financiële risico’s op doeltreffende wijze?

6. De controle van het risicobeheer van de ECB (8) omvatte de volgende onderdelen: a) onderzoek van het algemene kader voor risicobeheer bij de ECB, inclusief een beoordeling van de beste praktijken bij andere vergelijkbare internationale organisaties op het gebied van risicobeheer (9); b) onderzoek van het kader voor operationeel risicobeheer en een toetsing van zes geselecteerde organisatie-eenheden (directoraten-generaal) om de tenuitvoerlegging van het kader voor risicobeheer te beoordelen. De selectie was gebaseerd op: i) het bestrijken van belangrijke operationele risico's, ii) het bestrijken van zowel kernactiviteiten als niet-kernactiviteiten van de ECB en iii) het bestrijken van activiteiten waarvoor horizontaal risicobeheer nodig is. De geselecteerde directoraten-generaal (DG’s) waren: Markttransacties (DG-M), Betalingsinfrastructuur (DG-P), Statistieken (DG-S), Algemeen Beheer (DG-A), Informatiesystemen (DG-IS) en het directoraat Communicatie (D-CO); c) onderzoek van het kader voor financieel risicobeheer en een gedetailleerde toetsing met betrekking tot de afdeling Risicobeheer (RBE) van DG HR, Budget en Organisatie (DG-H) en de afdelingen Markttransactiesystemen (MOS), Financiëletransactiediensten (FOS) en Beleggingen (INV) van DG-M. De beoordeling van de risicobeheermethodologie van de ECB en de toepassing daarvan werd verricht met technische assistentie van een team van deskundigen op het gebied van financieel risico van Ernst and Young Luxemburg.

CONTROLEBEVINDINGEN

Stelde de ECB een geschikt en alomvattend beheerskader op voor risicobeheer?

7. De ECB heeft de ambitie om beste praktijken toe te passen in haar risicobeheer: „de Europese Centrale Bank heeft vanaf het allereerste begin in het bijzonder aandacht besteed aan risicobeheer. Als nieuw lid van de gemeenschap van centrale banken had zij de ambitie om aan de hoogste beheersnormen te voldoen wat betreft het organiseren van haar risicobeheerfunctie binnen de instellingen, en om instrumenten van de allerhoogste kwaliteit toe te passen” (10).

Algemeen kader voor risicobeheer

8. Een sterke, door de hele instelling gedragen risicocultuur is een van de kernelementen voor doeltreffend risicobeheer. Een van de voorwaarden voor het tot stand brengen van deze risicocultuur is de vaststelling van een alomvattende (betreffende alle soorten risico, bedrijfsactiviteiten en relevante risico’s) en onafhankelijke risicobeheersfunctie, onder directe verantwoordelijkheid van de „Chief Risk Officer” (CRO), of het hogere management indien geen CRO is aangewezen, op basis van het proportionaliteitsbeginsel (11).

9. Bij de ECB is iedere organisatorische eenheid (12) verantwoordelijk voor het beheer van haar eigen risico’s en controles. Twee functies/afdelingen ondersteunen de organisatorische eenheden bij het risicobeheersproces: — de ORB/BCM-functie (13) is verantwoordelijk voor het onderhoud van de methodologie, coördinatie van alle met operationeel risico verband houdende activiteiten, alsmede het proactief adviseren van organisatie-eenheden (14); — de afdeling Risicobeheer (RBE) gaat over financiële risico's (15). De afdeling Risicobeheer is verantwoordelijk voor het voorstellen van beleid en procedures, en voor organisatorische steun inzake risicobeheer bij alle door de ECB of door het Eurosysteem namens de ECB verrichte financiële markttransacties. De afdeling bestaat uit twee eenheden: Risicoanalyse en Risicostrategie.

10. Ter ondersteuning van de besluitvorming door de Directie zijn verschillende comités opgericht die gaan over de verschillende aspecten van risicobeheer, inclusief het Comité operationeel risico, het Beleggingscomité, het Comité activa en passiva en het Kredietcomité.

11. Er is een alomvattende organisatiestructuur met duidelijk toegewezen taken en verantwoordelijkheden. Binnen de ECB is echter een scherpe scheiding aangebracht tussen het beheer van financieel en operationeel risico, waardoor het risico toeneemt dat het zicht op bankbrede risicoblootstellingen wellicht niet alomvattend is.

12. Tussen de Directie en de twee risicofuncties/-eenheden, ORB/BCM en RBE, is geen onafhankelijk, afzonderlijk orgaan ingesteld, zoals een Chief Risk Officer (directeur risicobeheer) of een algemeen comité voor risicobeer. Ten tijde van de controle had het directielid dat belast is met risicobeheer ook een aantal andere verantwoordelijkheden, terwijl een CRO zich uitsluitend zou richten op risicobeheer.

13. Het ontbreken van een in hiërarchisch opzicht onafhankelijke risicobeheersfunctie doet bovendien het risico toenemen dat onvoldoende prioriteit wordt gegeven aan kwesties op het gebied van risicobeheer, zoals de toewijzing van personele middelen aan taken op het gebied van risicobeheer, aangezien DG-H over dergelijke kwesties besluit.

14. Een onderzoek van beste praktijken in andere vergelijkbare internationale organisaties heeft uitgewezen dat de Bank of Canada een kader voor geïntegreerd risicobeheer heeft vastgesteld, inclusief een Chief Risk Officer en een Werkgroep risicobeheer. Beide werken aan de vaststelling van een alomvattend risicoprofiel voor de bank, dat bedrijfs-, operationele en financiële risico’s omvat, zoals omschreven in tekstvak 1. Het kader voor risicobeheer van de bank is volledig ingebed in haar processen voor de strategische planning, begroting en prestatiebeoordeling aan het eind van het jaar. Tekstvak 1 Een voorbeeld van geïntegreerd risicobeheer — Bank of Canada De Chief Risk Officer heeft de volgende verantwoordelijkheden: — geeft leiding aan de ontwikkeling en verbetering van het beleidskader voor geïntegreerd risicobeheer en zorgt voor goedkeuring van het management; — geeft raad en advies op het gebied van risicobeheer aan andere leden van het hogere management, en is voorzitter van de Werkgroep risicobeheer; — Is medevoorzitter van het Risicocomité van het Comité fondsbeheer van de afdeling Financiën. De Werkgroep risicobeheer heeft de volgende taken: — verzorgt de volledige actualisering van de zelfbeoordeling van de bank op het gebied van risico en de vaststelling van het jaarlijkse en halfjaarlijkse verslag over het risicobeheer; — komt drie tot vier keer per jaar bijeen om het risicoprofiel van de bank te beoordelen en om initiatieven op het gebied van risicobeheer uit te wisselen met de vertegenwoordigers van functies/afdelingen.

Openbaarmaking van het kader voor risicobeheer van de ECB aan derden

15. De openbaarmaking dient toereikend te zijn opdat derden de aanpak van de ECB op het gebied van risicobeheer kunnen beoordelen.

16. De ECB publiceert een jaarverslag, inclusief de jaarrekening en de toelichtingen daarbij (16). De informatie bij de jaarrekening op het gebied van risicobeheer is vrij beperkt en de informatie over de beginselen van risicobeheer van de ECB en de getallen zijn niet openbaar (behoudens het cijfer van de geconsolideerde „Value at risk” (17) (VaR — potentiële verlieswaarde). Het jaarverslag van de ECB bevat korte informatie over bepaalde kwesties op het gebied van risicobeheer maar geeft geen overzicht van het risicobeheersproces in de organisatie, de bestaande risico's of de aanpak van het management ten aanzien van die risico’s.

17. Toepassing van de „International Financial Reporting Standards” (IFRS) (18) is een beste praktijk bij het presenteren van de jaarrekening van een organisatie. IFRS 7 „Financiële instrumenten: informatieverschaffing” gaat over de presentatie van de risico's waar een organisatie mee te maken heeft in haar rekeningen, maar wordt niet toegepast door de ECB.

18. Andere internationale of nationale centrale-bankorganisaties zoals de Bank for International Settlement (BIS — Bank voor internationale betalingen) en de Bank of Canada vermelden in hun jaarlijkse financiële staten informatie over risicobeheer, hoewel een van hen IFRS niet toepast (zie tekstvak 2 hierna). Tekstvak 2 Voorbeelden van de toepassing van informatieverschaffing op het gebied van risicobeheer Organisatie Informatie over risicobeheer in de jaarrekening Kader voor financiële verslaglegging Bank for International Settlements (BIS) De jaarrekening vermeldt het door de bank gelopen financieel risico, de aanpak en organisatie van het risicobeheer, een gedetailleerd overzicht van het kredietrisico, marktrisico, liquiditeitsrisico en het operationeel risico. Specifiek kader voor financiële verslaglegging, neergelegd in de statuten van de bank Bank of Canada De jaarrekening vermeldt een overzicht van het proces voor risicobeheer, de structuur voor risicobeheer, de rol van de „Financial Risk Officer” (directeur financieel risico), het financieel risico dat de bank loopt, en een gedetailleerd overzicht van het kredietrisico, marktrisico en liquiditeitsrisico. IFRS (19)

Beheerde de ECB haar operationele risico’s op doeltreffende wijze?

19. Het bedrijfscontinuïteitsbeheer vormt een aanvulling op het kader van de ECB voor het beheer van operationeel risico (ORB), en beide vormen een belangrijk onderdeel van het ondernemingsbestuur (20).

Operationeel risicobeheer

20. Een doeltreffend kader voor operationeel risicobeheer omvat duidelijke strategieën en toezicht door de Directie en het hogere management, een sterke cultuur op het gebied van operationeel risico en een sterke cultuur van interne controle (inclusief duidelijke afbakening van verantwoordelijkheden en scheiding van taken) alsmede een doeltreffende interne verslaglegging.

21. Om het beheer van operationele risico’s bij de ECB te beoordelen, onderzocht de Rekenkamer: — het bij de ECB geldende ORB-beleid; — de organisatiestructuur en verantwoordelijkheden voor het operationeel risicobeheer; — de koppeling daarvan aan de strategische en financiële planning (de jaarlijkse begrotingscyclus); — de identificatie en beoordeling van risico’s, de reactie op risico’s, en de verslaglegging, monitoring en follow-up in de organisatie-eenheden, alsmede op centraal niveau.

Beleid op het gebied van operationeel risico

22. Het ORB-beleid dient een duidelijke, bankbrede definitie te geven van operationeel risico en te bepalen welke aanpak de bank hanteert voor het identificeren, beoordelen, monitoren en controleren/beperken van risico.

23. Het kader voor het beheer van operationeel risico van de ECB werd in oktober 2007 (21) goedgekeurd door de Directie en wordt omschreven in het Handboek bedrijfspraktijken (HBP) dat op intranet is gepubliceerd en beschikbaar is voor alle personeelsleden. Het beschrijft de ORB-definitie (22) van de ECB, het risicotolerantiebeleid, de taken en verantwoordelijkheden, alsmede het beleid voor de beoordeling, reactie, verslaglegging en monitoring.

24. Het vastgestelde ORB-beleid geeft een duidelijke, bankbrede beschrijving van operationeel risico en bepaalt het beleid waarin wordt beschreven welke aanpak de bank hanteert voor het identificeren, beoordelen, monitoren en controleren/beperken van risico. Het HBP geeft echter geen details over de aanpak van de bank voor het identificeren van risico's.

Organisatiestructuur en verantwoordelijkheden

25. De leiding van een organisatie-eenheid dient verantwoordelijk te zijn voor de tenuitvoerlegging van het beleid en de processen en procedures voor het beheer van operationeel risico in alle materiële activiteiten, processen en systemen van de bank. De bank dient tevens te beschikken over een systeem voor operationeel risicobeheer met duidelijke verantwoordelijkheden die zijn toegewezen aan een risicobeheersfunctie.

26. De Directie draagt de eindverantwoordelijkheid voor het operationele risicobeheer bij de ECB. Het Comité operationeel risico (COR) gaat over strategische onderwerpen en onderwerpen op de middellange termijn, alsmede over relevante onderwerpen op de korte termijn en ad-hoconderwerpen (23). Het comité bestaat uit een lid van de Directie (voorzitter) en zeven hoge leidinggevenden van de bank (24). Het beschikt over besluitvormingsbevoegdheden voor de aanvaarding van risico’s van gemiddeld niveau, terwijl risico’s van hoog niveau altijd door de Directie aanvaard moeten worden. De vergaderingen vinden iedere twee maanden plaats, of vaker indien nodig.

27. Het HBP geeft duidelijk aan dat de organisatie-eenheden verantwoordelijk zijn voor het beheer van hun operationele risico's (25). Daarbij dient iedere organisatie-eenheid (ten minste) één risicocoördinator te benoemen die de leidinggevenden van organisatie-eenheden ondersteunt bij het ORB en optreedt als eerste contactpunt voor ORB-kwesties binnen de organisatie-eenheid. Leidinggevenden van organisatie-eenheden moeten ook waarborgen dat het personeel de benodigde vaardigheden verwerft en onderhoudt om de verantwoordelijkheid en aansprakelijkheid voor het ORB op zich te nemen. De ORB/BCM-functie dient het ORB-kader te ontwikkelen en onderhouden en coördineert de ORB-aanpak van de organisatie-eenheden.

28. Van de acht medewerkers in de ORB-BCM-functie waren er ten tijde van de controle slechts vier in vaste dienst. De anderen waren gedetacheerd door nationale centrale banken of werkten op basis van contracten voor bepaalde tijd met een looptijd van drie maanden tot twee jaar. Dit betekent dat er een groot personeelsverloop is, wat leidt tot een verlies aan continuïteit in een belangrijke functie en een toename van het risico dat het ORB-kader niet op adequate wijze wordt uitgevoerd binnen de ECB.

29. De mate waarin het personeel op de hoogte was van het ORB-kader maakte deel uit van personeelsenquêtes in 2009 en 2010. De enquête van 2009 wees uit dat ongeveer 40 % van de respondenten stelde dat zij niet voldoende informatie ontvingen over ORB; 56 % wist niet wie voor hun organisatie-eenheid de aangewezen risicocoördinator was en 45 % wist niet waar op het intranet informatie kon worden gevonden over ORB. In de enquête van 2010 wist 40 % nog altijd niet waar informatie over ORB kon worden gevonden.

Koppeling aan de strategische en financiële planning (de jaarlijkse begrotingscyclus)

30. Risicobeheer dient te zijn opgenomen in het bestuursmodel van de ECB, als integraal onderdeel van de strategische, bedrijfsmatige en financiële planning van de bank.

31. De door de organisatie-eenheden en de ORB/BCM-functie verrichte jaarlijkse beoordeling van operationele risico’s vormt een belangrijk onderdeel van de vaststelling van het risicoprofiel van de ECB. De organisatie -eenheden verrichtten de beoordelingen voor 2009 tussen juni en augustus 2009, en daarna vond er een afstemmingsvergadering plaats met de risicocoördinatoren. Het „top-downverslag” werd in januari 2010 afgerond.

32. Het risicoprofiel moet een van de inputs zijn voor het proces van de strategische planning, dat vervolgens bepalend is voor het financiële plan. Uit de controle bleek echter dat er geen integratie plaatsvindt van de jaarlijkse beoordelingen van de operationele risico’s en de strategische en financiële planningcyclus van de ECB. Het risico bestaat derhalve dat ORB een geïsoleerde activiteit wordt, en in het financiële plan worden de middelen mogelijk niet op passende wijze ingezet voor het behalen van de strategische doelen (26).

33. Een voorbeeld van een goede praktijk is de Bank of Canada, waar het risicoprofiel van de bank integraal deel uitmaakt van de algemene strategische en financiële planningcyclus van de bank (27).

Het ORB-proces: identificatie en beoordeling van risico’s, reactie op risico’s, en verslaglegging, monitoring en follow-up ten aanzien van risico’s

Identificatie, beoordeling, en reactie ten aanzien van risico’s

34. Alle operationele risico’s die inherent zijn aan activiteiten, processen en systemen moeten worden geïdentificeerd en beoordeeld. Risico’s moeten worden beoordeeld in het licht van het bestaande beleid en tolerantieniveau om een adequate reactie te bepalen op basis van toereikende kostenberekeningen. Er dient regelmatig verslag te worden gedaan van relevante informatie aan het hogere management en de Directie, ter ondersteuning van een proactief beheer van operationeel risico.

35. Het ORB-kader is hoofdzakelijk door middel van beoordelingen van bovenaf uitgevoerd. Volgens het risicobeleid van de ECB dienen de organisatie-eenheden ook voortdurend beoordelingen van onderaf te verrichten van de eigen processen, en de geïdentificeerde risico’s moeten worden aanvaard (28).

36. De ECB heeft in 2008 en 2009 risicobeoordelingen van bovenaf verricht. De ORB/BCM-functie verschafte de organisatie-eenheden enkele vooraf gedefinieerde algemene risico's die de basis vormden voor hun risicobeoordelingen. In het eindverslag werd voor elk van de organisatie-eenheden een actieplan opgenomen. Het HBP schrijft voor dat de organisatie-eenheden strategieën voor reacties op risico's analyseren en bepalen, en een kosten-batenanalyse verrichten van mogelijke oplossingen.

37. Alle organisatie-eenheden hadden in het kader van de aanpak van bovenaf in 2009 risico’s en reacties vastgesteld. Het verslag over de beoordeling van bovenaf van 2009 bevatte actiepunten voor follow-up bij iedere organisatie-eenheid. Bij de organisatie-eenheden uit de steekproef waren echter geen kosten-batenanalysen vastgelegd.

38. Voor een aantal risico’s was de aanvaardingsprocedure van het COR/de Directie, nadat het risico was geïdentificeerd door de organisatie-eenheid, bijzonder traag. Twee in juli en augustus 2009 geïdentificeerde risico’s waren per december 2010 bijvoorbeeld nog altijd niet goedgekeurd. De lijst van openstaande actiepunten die bij de vergaderingen van het COR wordt nagelopen wijst ook uit dat een aantal punten meer dan een jaar of soms tot twee jaar lang bleef openstaan.

39. Voor slechts drie van de zes organisatie-eenheden in de steekproef bleek het mogelijk om in hun werkprogramma de specifieke aan ORB-activiteiten toegewezen middelen te bepalen, maar de omschrijving van de ORB-activiteiten was vaag en het was niet mogelijk om de actiepunten van de aanpak van bovenaf van 2009 te herkennen in de werkprogramma’s van de organisatie-eenheden.

Bedrijfscontinuïteitsbeheer van de ECB

40. Bedrijfscontinuïteitsbeheer (BCM) vormt een belangrijk onderdeel van operationeel risicobeheer. Het vereist rampen- en herstelplannen voor de ernstigste scenario’s teneinde de continuïteit van essentiële activiteiten en processen te waarborgen wanneer zich een crisis voordoet.

41. De Rekenkamer onderzocht of: i) het algemene BCM-kader toereikend is en strookt met de beste praktijken; ii) de essentiële processen op adequate wijze zijn vastgesteld; iii) de afzonderlijke bedrijfscontinuïteitsplannen (BCP’s) van de geselecteerde organisatie-eenheden op adequate wijze inspelen op de risico’s ter waarborging van een goede continuïteit van de essentiële activiteiten; iv) de bedrijfscontinuïteitsregelingen op adequate wijze zijn getest; v) het personeel op de hoogte was en opleiding had ontvangen ten aanzien van de bedrijfscontinuïteitsregelingen.

BCM-kader

42. Bedrijfscontinuïteitsbeheer is een algemene bedrijfsaanpak die beleid, normen en procedures omvat om te waarborgen dat specifieke activiteiten doorgang kunnen vinden of na een onderbreking tijdig hersteld kunnen worden. Het doel ervan is de gevolgen op operationeel, financieel, juridisch en reputatiegebied en andere materiële gevolgen van de onderbreking, tot een minimum te beperken (29).

43. Het doel van BCM is te waarborgen dat de bedrijfscontinuïteitsregelingen en -oplossingen overeenkomen met de doelstellingen, verplichtingen, en statutaire taken van de ECB en het risicotolerantiebeleid van de ECB (30).

44. De controle omvatte een beoordeling van de kerndocumenten die het BCM-kader vormen: — in hoofdstuk 26 van het Handboek bedrijfspraktijken wordt het bredere kader beschreven, worden de nadere processen en te realiseren outputs gedefinieerd, en worden de taken en verantwoordelijkheden beschreven; — test- en opleidingsstrategie van de ECB inzake bedrijfscontinuïteit; — testprogramma voor bedrijfscontinuïteit; — handboek crisisbeheer.

45. De ECB heeft een handboek voor crisisbeheer ontwikkeld waarin de taken, verantwoordelijkheden en processen bij een crisis worden beschreven, alsmede de contactgegevens van het crisisbeheerteam. Elke organisatie-eenheid is volledig verantwoordelijk voor de ontwikkeling van zijn BCP. Het algemene BCP-model vereist echter geen algemeen BCP op het niveau van de ECB en een dergelijk plan bestaat dan ook niet.

46. De ECB heeft een goed kader opgezet dat binnen de organisatie richting geeft op het gebied van het beleid, de processen en verantwoordelijkheden ten aanzien van BCM. Door de gedecentraliseerde aanpak ontstaat echter ook het risico dat met het ontbreken van een strikte coördinatie, het BCM binnen de organisatie wellicht niet consistent wordt toegepast.

Vaststelling van essentiële processen

47. Bedrijfsimpactanalysen (BIA) vormen een dynamisch proces voor het identificeren van essentiële activiteiten en diensten, essentiële interne en externe afhankelijkheden en geschikte weerbaarheidniveaus. Ze beoordelen de risico’s en potentiële impact van verschillende onderbrekingsscenario's op de activiteiten en reputatie van een organisatie (31).

48. De meest recente volledige bedrijfsimpactanalyse (BIA) werd verricht in 2006 (32) om te bepalen welke producten en diensten van de ECB van essentieel belang zijn voor de continuïteit van de kernactiviteiten van de bank. De belangrijkste aandachtsgebieden voor de verrichte BIA waren: — vaststelling van de essentiële bedrijfsprocessen; — het in categorieën indelen van de essentiële vereisten; — richtsnoeren over de wijze waarop moet worden omgegaan met niet-terugkerende of weinig voorkomende processen; — vaststelling van bijkomende voorwaarden op het gebied van ondersteuning.

49. Een in 2007 verrichte alomvattende BIA-update wees op lacunes op het gebied van de bedrijfscontinuïteit en de op dat moment geldende regelingen. Er werd een strategie vastgesteld voor de follow-up. Deze omvatte opties om de vastgestelde lacunes op te vullen of de risico’s en kosten te aanvaarden. Hoewel dit document weergaf welke kosten verbonden waren aan de oplossingen op het gebied van IT en logistieke infrastructuur, werden deze niet uitgesplitst om te laten zien welke impact de verschillende risiconiveaus zouden hebben op de kosten.

50. De meest recente BIA-update om de in 2007 vastgestelde lacunes op te vullen, werd afgerond in 2010. Sinds de financiële crisis is er geen volledige bedrijfsimpactanalyse meer gemaakt.

Bedrijfscontinuïteitsplannen

Essentiële activiteiten

51. De BCP’s dienen zodanig te worden opgezet dat de essentiële activiteiten zijn bepaald om ervoor te zorgen dat de ECB in staat is te voldoen aan haar statutaire verplichtingen zoals vastgelegd in het ter zake dienende protocol betreffende de statuten van de ECB (33). De BCP’s moeten ontwikkeld worden op basis van een „worst-casescenario”, met dien verstande dat de reactie naar beneden kan worden bijgesteld naargelang van de werkelijke crisis (34).

52. De ECB heeft primaire benchmarks vastgesteld om op basis van haar statutaire verplichtingen het essentiële belang met betrekking tot een aantal risico’s te bepalen (zie tekstvak 3). Tekstvak 3 Primaire benchmarks om het essentiële belang te bepalen Voldoen aan de statutaire verplichtingen, inclusief: — het bepalen en ten uitvoer leggen van het monetair beleid van de eurozone; — het verrichten van valutamarktoperaties; — het aanhouden en beheren van de officiële externe reserves van de landen van de eurozone; — het bevorderen van een goede werking van het betalingsverkeer. De impact van een onderbreking van een bepaald proces met betrekking tot: — marktinstabiliteit; — verlies van geloofwaardigheid/imago/reputatie; — financieel verlies voor de ECB; — financieel verlies voor andere instellingen; — mogelijke juridische problemen; — andere, hiervoor niet genoemde impact. Bron: BIA-onderzoek 2006 van de ECB.

53. Uit het onderzoek door de Rekenkamer van deze primaire benchmarks en een preliminaire beoordeling van het potentiële niveau aan activiteiten die kunnen worden voortgezet onder de beschreven scenario’s (35), blijkt dat de plannen zodanig zijn ontwikkeld dat kan worden voldaan aan de statutaire verplichtingen. Bij haar onderzoek van de BCP's stelde de Rekenkamer echter vast dat er geen plannen zijn om iets te doen aan een ernstig verlies van personele middelen (36) in het geval van een ramp. Hoewel de voor de processen verantwoordelijke organisatie-eenheden de personeelsleden voor de bedrijfscontinuïteit en hun vervangers hadden aangewezen, beschikte geen enkele eenheid over een back-upplan voor een geval waarin personeelsleden op grote schaal niet beschikbaar zijn.

Naleving van het algemene BCP-model

54. Volgens het algemene BCP-model moeten de afzonderlijke BCP's van de organisatie-eenheden de volgende onderwerpen bestrijken: — organisatorische aspecten (37); — essentiële processen (38); — benodigdheden (39); — lijst van belanghebbenden. Een organisatie dient de mate waarin zij direct profiteert van maatregelen ter verbetering van haar weerbaarheid tegen onderbrekingen van de activiteiten af te zetten tegen de kosten van die maatregelen (40).

55. Het algemene BCP-model van de ECB verschaft de verplichte structuur en inhoud van de afzonderlijke BCP’s van de organisatie-eenheden. Dit model omvat derhalve alleen de structuur van de door de eenheden op te stellen BCP-documenten.

56. BCP’s worden opgesteld op het niveau van een organisatie-eenheid, afdeling of divisie. Het algemene BCP-model wordt doorgaans opgevolgd wat betreft de verplichte inhoud, maar er zijn grote verschillen in de mate van detail die wordt aangebracht. Hoewel de ORB/BCM-functie een centrale rol speelt in de coördinatie, is de kwaliteit van de afzonderlijke BCP’s afhankelijk van de persoon die op het niveau van de organisatie-eenheid verantwoordelijk is. Er was geen bewijs dat de afzonderlijke BCP’s voldoende worden beoordeeld door de ORB/BCM-functie.

57. Van de vijf organisatie-eenheden (41) die waren geselecteerd voor gedetailleerde toetsing, leverden er vier een BCP af die voldeed aan de voorschriften, en daarvan besteedden er drie ten volle aandacht aan de in de BIA vastgestelde essentiële processen.

58. In de meeste gevallen was voor de organisatie-eenheden uit de steekproef geen bewijs te vinden van enige kosten-batenanalyse verricht ten aanzien van de verschillende opties voor bedrijfscontinuïteit, inclusief de beoordeling van verschillende risiconiveaus.

Testen

59. Organisaties dienen hun plannen voor bedrijfscontinuïteit te testen, de doeltreffendheid ervan te evalueren, en hun bedrijfscontinuïteitsbeheer, waar nodig, bij te werken (42). BS25999 (43) schrijft voor dat de organisatie moet waarborgen dat haar BCM-regelingen worden gevalideerd door middel van oefening en beoordeling, en worden geactualiseerd.

60. De volgende documenten werden onderzocht: — de teststrategie voor bedrijfscontinuïteit (44); — de testprogramma’s en planningen voor de periode 2008-2010; — testverslagen.

61. De teststrategie is gericht op de BCP’s en de herstelplannen voor informatiesystemen die ontwikkeld zijn om essentiële processen te beoordelen overeenkomstig de BIA. Het testkader omvat een duidelijke toewijzing van verantwoordelijkheden, bepaalt de reikwijdte van het testen, de verslagleggingsvoorschriften, de testfrequentie alsmede het relevante testprogramma voor de middellange termijn. Uit het onderzoek bleek dat er een toereikend testkader is vastgesteld overeenkomstig de voorschriften van BS 25999.

62. De verrichte tests wezen uit dat de testoefeningen, hoewel ze betrekking hebben op kernpersoneel en regelmatig worden verricht, niet altijd de omstandigheden nabootsen waarmee de ECB te maken zou krijgen bij een ernstige onderbreking van de bedrijfsuitvoering. De in 2009 en 2010 geplande tests bestreken niet alle door de ECB opgestelde scenario’s, en niet alle oorspronkelijk geplande tests werden uitgevoerd.

Opleiding en bewustzijn

63. De crisisbeheer- en interventieteams moeten worden onderwezen met betrekking tot hun verantwoordelijkheden en taken. De teams dienen ten minste één keer per jaar opleiding te krijgen en nieuwe leden dienen te worden opgeleid wanneer zij toetreden. Alle personeelsleden moeten worden opgeleid om hun individuele verantwoordelijkheden in het geval van een crisis uit te voeren. Zij dienen tevens informatie te ontvangen over de kernonderdelen van het bedrijfscontinuïteitsplan (45).

64. In de door de ECB vastgestelde opleidingsstrategie wordt bepaald dat alle personeelsleden een programma moeten kunnen volgen om beter op de hoogte te zijn met BCM (46). Wat betreft het testen wordt in de opleidingsstrategie voorzien in de vaststelling van een opleidingsprogramma waarin de uitvoeringsbepalingen worden opgenomen.

65. In 2010 werd vijf keer een opleidingsprogramma „crisisbeheer” van een halve dag georganiseerd om het door de ECB vastgestelde crisishandboek door te nemen. Over het algemeen beoordeelden de deelnemers aan de cursus zowel de inleiding op het handboek als de opleidingssessie als positief, hoewel ook werd opgemerkt dat een simulatietest zeer op prijs zou worden gesteld.

66. Hoewel bij de controle duidelijke bewijzen werden aangetroffen waaruit blijkt dat de voor de bedrijfscontinuïteit relevante personeelsleden worden opgeleid, namelijk door het testen van de BCP's, werd geen bewijs aangetroffen waaruit blijkt dat actief werd gewerkt aan de mate waarin andere personeelsleden op de hoogte zijn met het kader en de processen voor bedrijfscontinuïteit. In verschillende interne referentiedocumenten (47) wordt onderkend dat, hoewel testen een belangrijke rol speelt in de opleiding van personeelsleden, het nodig is om alle personeelsleden erbij te betrekken door middel van een bewustmakingsprogramma voor het personeel. Een dergelijk programma is tot op heden niet ontwikkeld omdat de centrale ORB/BCM-functie van oordeel is dat de mate waarin het personeel op de hoogte is van de bedrijfscontinuïteitsregelingen, bevredigend is. Niettemin wijst een interne enquête (48) uit dat meer dan 12 % (20 % in 2009) van de respondenten niet op de hoogte is van de bedrijfscontinuïteitsregelingen voor hun organisatie-eenheid en niet zou weten waar informatie kan worden gevonden over hoe men moet reageren in het geval van een crisis.

Beheerde de ECB haar financiële risico’s op doeltreffende wijze?

67. Financieel risicobeheer is een proces om de onzekerheden die voortvloeien uit financiële markten op te vangen. Het betreft de beoordeling van de financiële risico’s die een organisatie loopt en de ontwikkeling van beheersstrategieën die aansluiten bij de interne prioriteiten en het interne beleid.

68. De Rekenkamer onderzocht of: — het algemene kader voor financieel risicobeheer voor beleggingen en beleidsactiviteiten toereikend is en strookt met de beste praktijken; — de door de ECB gehanteerde methodologie voor financieel risico toereikend is voor het beheer van financieel risico; — de methodologie voor financiële risico’s op doeltreffende wijze wordt toegepast door de ECB; — de verslaglegging over het financieel risicobeheer regelmatig en betrouwbaar is.

Kader voor financieel risicobeheer op het gebied van beleggingen en beleidsactiviteiten

69. Het kader dient een organisatiebrede definitie te geven van financieel risico en de beginselen te bepalen die aangeven op welke wijze financieel risico wordt geïdentificeerd, beoordeeld, gemonitord en gecontroleerd/beperkt (49). De bank dient een systeem te hebben voor financieel risicobeheer, met duidelijk toegewezen verantwoordelijkheden.

70. Het kader voor financieel risicobeheer van de ECB is ontworpen om de risico's af te dekken die voortvloeien uit twee activiteiten van de ECB: i) beleggingen en ii) krediet. De beleggingsactiviteiten hebben betrekking op de twee beleggingsportefeuilles: externe reserves (50) (60 600 miljoen euro per 31 december 2010) en eigen middelen (51) (13 300 miljoen euro per 31 december 2010). De kredietactiviteiten hebben betrekking op activiteiten in het kader van het monetair beleid (52). De beleggingsactiviteiten van de ECB omvatten het beheer van de externe reserves van de ECB (53), de eigenmiddelenportefeuille van de ECB, het beheer van het pensioenfonds en activiteiten met betrekking tot de twee portefeuilles die worden aangehouden voor doeleinden op het gebied van monetair beleid (54).

71. De afdeling RBE is verantwoordelijk voor het onderhouden van het algemene kader voor risicobeheer voor beleggingsactiviteiten en het monitoren, beoordelen en controleren van risico’s die voortvloeien uit deze activiteiten. Zij ziet toe op de naleving van het overeengekomen beleid en de overeengekomen processen voor het beheer van markt- en kredietrisico. Gevallen van niet-naleving worden gerapporteerd overeenkomstig de afgesproken escalatieprocedures.

72. DG-M is de organisatie-eenheid die beleggingsactiviteiten verricht bij de ECB; deze eenheid is tevens verantwoordelijk voor het onderhoud en de verdere ontwikkeling van de toepassing voor portefeuillebeheer van het Eurosysteem (55). De afdeling Beleggingen van DG-M is verantwoordelijk voor het opstellen van voorstellen van het Beleggingscomité inzake de tactische benchmark voor de portefeuilles van externe reserves en het rechtstreekse beheer van de eigenmiddelenportefeuille van de ECB.

73. Het Handboek voor financieel risicobeheer (56), het kerndocument voor financieel risicobeheer bij beleggingsactiviteiten, biedt een alomvattend overzicht van al het relevante beleid, de processen en procedures, met name door te verwijzen naar de door het besluitvormingsorgaan van de ECB goedgekeurde documenten.

74. Het algemene kader en het financieel risicobeheer dat is opgezet door de ECB voor het beheer van beleggings- en beleidsactiviteiten biedt een bankbrede definitie van financieel risico en bepaalt de beginselen voor de wijze waarop financieel risico moet worden geïdentificeerd, beoordeeld, gemonitord en gecontroleerd/beperkt.

Methodologie voor financieel risicobeheer

75. Er dienen passende beleggingsrichtsnoeren te worden vastgesteld om in voldoende mate de risicobereidheid te bepalen en alomvattende richtsnoeren te geven voor de beleggingsactiviteiten.

76. In het handboek voor financieel risicobeheer van de ECB worden de volgende elementen beschreven: i) de risicotolerantie van de ECB; ii) de goedgekeurde instrumenten en activiteiten; iii) in aanmerking komende tegenpartijen en emittenten, bepaling van limieten; iv) strategische toewijzing van activa; v) verslaglegging over het toezicht en beoordeling; vi) kaderbeoordeling (57).

77. Het beleggingsproces voor externe reserves wordt gestuurd door een structuur van drie lagen die de strategische benchmark, de tactische benchmark en de werkelijke portefeuilles omvat. De strategische benchmark geeft aan wat de risico-/rendementvoorkeuren zijn voor de lange termijn en wordt vastgesteld door de Raad van bestuur.

78. Het beleggingsproces voor eigen middelen is gebaseerd op een structuur van twee lagen: de strategische benchmark en de werkelijke portefeuille. De strategische benchmark wordt vastgesteld door de Directie.

79. De rendementen worden geoptimaliseerd naargelang van de beperkingen inzake „geen verlies” en de toewijzing van activa, en verkregen door middel van een specifieke strategische toewijzing van activa (58).

80. Lijsten van in aanmerking komende landen, emittenten en tegenpartijen worden bijgehouden door de RBE. De RBE bepaalt de limieten voor tegenpartijen op basis van de door de Directie goedgekeurde methodologie. Voor het beheer van externe reserves worden de limieten toegewezen aan NCB’s op basis van de door de Raad van bestuur goedgekeurde methodologie. Eén keer per jaar wordt een systematische bijwerking van alle limieten verricht. Daarnaast worden de gevolgen van veranderingen in de ratings voor de vraag of betrokkene in aanmerking komt en voor de limieten direct in aanmerking genomen.

81. Bij de strategische toewijzing van activa wordt rekening gehouden met de volgende algemene beleidsvoorschriften: i) doelstellingen voor aanhouden van de reserves; ii) risico-/rendementvoorkeuren; iii) de modelleringsfilofosie; iv) de beleggingshorizon en frequentie van herzieningen; v) de verdeling van verantwoordelijkheden tussen de strategische benchmark en de tactische lagen in de beleggingsketen; vi) de informatieve inhoud die gebruikt wordt bij beleggingsbesluiten; vii) in aanmerking komende beleggingen, viii) de opgelegde beleggingsbeperkingen. De beleggings- en risicohorizon wordt op één jaar gesteld voor de externe reserves en op vijf jaar voor de eigen middelen.

82. De controle van de Rekenkamer omvatte een onderzoek van: — de volledigheid en toereikendheid van de definities van risicobereidheid en risicostrategie; — de beleggingsrichtsnoeren; — het besluitvormingsproces dat leidt tot vaststelling van de beleggingslimieten; — risicomaatregelen en de consistentie daarvan; marktrisico, kredietrisico, tegenpartijrisico, liquiditeitsrisico en operationeel risico van beleggingsactiviteiten.

83. Het onderzoek van het kader voor financieel risicobeheer geeft aan dat de methodologie voor financieel risicobeheer in toereikende mate de risicobereidheid bepaalt en alomvattende richtsnoeren verschaft voor de beleggingsactiviteiten bij de ECB.

Toepassing van de methodologie voor financieel risicobeheer

84. De in het voorgaande onderdeel beschreven methodologie voor financieel risicobeheer dient in de praktijk op doeltreffende wijze te worden toegepast.

85. De controle van de Rekenkamer omvatte: i) een onderzoek van de toereikendheid van de benchmarks tegen het risicoprofiel van de portefeuille, inclusief foutenmaatregelen, gegevenskwaliteit, gegevensbeheer en gegevensbeveiliging op het gebied van strategische en tactische benchmarks; ii) een onderzoek van de instrumenten en het systeem ter ondersteuning van de berekening en bijwerking van de portefeuilles en benchmarks; iii) een onderzoek van het beheer voor het wijzigen van benchmarks.

86. Voor het onderzoek van het kader inzake „Value at Risk” werden de volgende aspecten in aanmerking genomen: i) analysen van gegevenskwaliteit en gegevensbeheer, onderzoek van de beveiliging en controlegegevens; ii) analysen van de modelleringstechniek, modelaannames, essentiële onderdelen van de modellering; iii) redelijkheidstests, onderzoek van back-testresultaten, analysen van de verslaglegging.

87. De testen wezen uit dat de methodologie adequaat ten uitvoer was gebracht. Het „four eyes”-beginsel was echter niet gedocumenteerd. Bovendien wees het onderzoek van de modellen die worden gebruikt voor de berekening van de strategische en tactische benchmarks alsmede voor VaR-berekeningen, inclusief de validering van de modellen, uit dat voor sommige van de modellen: a) deze niet recentelijk op regelmatige basis aan „back-testing” werden onderworpen en dit ook niet werd gedocumenteerd; b) geen onafhankelijke validering of recente actualisering heeft plaatsgevonden voor de toegepaste modellen; c) de modelaannamen niet altijd voldoende waren gedocumenteerd.

88. Een onderzoek van beste praktijken in andere vergelijkbare internationale organisaties heeft uitgewezen dat de Federal Reserve Bank of New York na de financiële crisis in de VS en als onderdeel van het versterken van haar capaciteiten voor financieel risicobeheer, een team heeft opgezet voor modelvalidering. De kerntaken van dit team worden beschreven in tekstvak 4. Tekstvak 4 Modelvalideringsteam bij de Federal Reserve Bank of New York De kerntaken van dit team worden hierna beschreven: — inventarisatie van alle gebruikte modellen met betrekking tot financieel risicobeheer; — beoordeling en validering van de modeldocumentatie; — vaststellen van gedetailleerde documentatie in gevallen waarin de documentatie als ontoereikend wordt bestempeld; — testen van modellen.

Toereikendheid van de verslaglegging over financiële risico’s

89. Er dient een proces te zijn om op regelmatige basis risicoprofielen en materiële blootstellingen aan verliezen te monitoren. Er dient een betrouwbaar systeem voor monitoring en verslaglegging te worden ingevoerd.

90. De RBE ziet toe op de naleving van het overeengekomen beleid en de overeengekomen processen voor het beheer van markt- en kredietrisico, en is ook verantwoordelijk voor het rapporteren van niet-naleving, overeenkomstig de afgesproken escalatieprocedures. De RBE van de ECB rapporteert regelmatig over het risicorendement en de prestaties van zowel de externereservesportefeuille als de eigenmiddelenportefeuille van de ECB en over de daaraan verbonden strategische en tactische benchmarks. De verslaglegging vindt plaats op dag-, week-, maand-, kwartaal- en jaarbasis.

91. De door de controleurs verrichte tests en interviews bevestigden dat de verslaglegging over de prestaties op regelmatige basis geschiedt en tijdig aan het uitvoerend management wordt toegezonden. Opgemerkt werd echter dat de GIPS (59)-norm, die wordt beschouwd als beste praktijk, niet ten volle werd nageleefd ten behoeve van de interne verslaglegging over de prestaties binnen de ECB.

CONCLUSIES EN AANBEVELINGEN

Stelde de ECB een geschikt en alomvattend beheerskader op voor risicobeheer?

92. De ECB heeft een alomvattende organisatiestructuur vastgesteld en de taken en verantwoordelijkheden zijn duidelijk toegewezen. Er is binnen de bank echter een scherpe scheiding tussen het beheer van financieel en operationeel risico, waardoor het risico toeneemt dat het zicht op risico’s waaraan de bank wordt blootgesteld wellicht niet alomvattend is. Tussen de Directie en de twee risicofuncties/-eenheden, ORB/BCM en RBE, is geen onafhankelijk, afzonderlijk orgaan ingesteld, zoals een „risk officer” of comité.

93. De jaarrekening van de ECB bevat slechts korte informatie over bepaalde kwesties op het gebied van risicobeheer, maar geeft geen overzicht van het risicobeheersproces in de organisatie, de bestaande risico’s en de aanpak van het management ten aanzien van die risico’s. Aanbevelingen 1. De ECB dient te overwegen een in hiërarchisch opzicht onafhankelijke, afzonderlijke risicobeheersfunctie op te zetten, zoals een „chief risk officer” of een comité dat zich uitsluitend richt op risicobeheer en ervoor zorgt dat er een alomvattend zicht is op de risicoblootstellingen van de bank. 2. De ECB dient haar openbaarmaking van risicobeheerpraktijken in de jaarrekening aan externe partijen te verbeteren door beste praktijken toe te passen, zoals IFRS 7.

Beheerde de ECB haar operationele risico’s op doeltreffende wijze?

94. De ECB beschikt over een duidelijke organisatiestructuur en stelde passend beleid vast voor operationeel risicobeheer waarin de aanpak van de bank voor het beoordelen, monitoren en controleren/beperken van risico wordt beschreven.

95. Hoewel er in 2008 en 2009 beoordelingen van bovenaf werden verricht en actieplannen werden vastgesteld voor iedere organisatie-eenheid, is er geen documentatie van kosten-batenanalysen.

96. Er is een systeem vastgesteld voor verslaglegging, monitoring en follow-up en er is een planning overeengekomen voor de follow-up van de risicobeperkingsmaatregelen voor gemiddelde en hoge risico’s. Maar voor een aantal risico's nam de aanvaardingsprocedure van de COR/Directie zeer veel tijd in beslag. De planning en ORB-cycli zijn niet geïntegreerd. De ORB-activiteiten werden evenmin duidelijk vermeld in de werkprogramma's van enkele gecontroleerde organisatie-eenheden.

97. De ECB heeft een alomvattend handboek voor crisisbeheer ontwikkeld waarin de rollen, verantwoordelijkheden en processen bij een crisis worden beschreven, alsmede de contactgegevens van het crisisbeheerteam. Elke organisatie-eenheid is volledig verantwoordelijk voor de ontwikkeling van zijn BCP.

98. De ECB heeft een goed kader opgezet dat binnen de organisatie richting geeft op het gebied van het beleid, de processen en verantwoordelijkheden ten aanzien van BCM. Echter: a) hoewel er in 2007 een alomvattende update van de bedrijfsimpactanalyse werd verricht die in 2010 werd voltooid, vond er na het begin van de financiële crisis geen volledige bedrijfsimpactanalyse meer plaats; b) er werd geconstateerd dat er geen plannen waren voor een ernstig verlies van personele middelen; c) de geplande tests bestreken niet ten volle alle door de ECB geplande rampenscenario’s; d) enkele voor 2009 en 2010 geplande tests werden niet uitgevoerd. Aanbevelingen 3. De jaarlijkse beoordeling van operationele risico’s dient te worden geïntegreerd in de strategische en financiële planningcyclus van de ECB en in de jaarlijkse werkprogramma’s van de afzonderlijke organisatie-eenheden. 4. De maatregelen om gemiddelde en hoge operationele risico’s te verhelpen moeten snel worden vastgesteld. 5. De ECB dient haar plannen voor bedrijfscontinuïteit en de daarbij behorende testprogramma's verder te verbeteren, en ernaar te streven dat de uitvoering van alle geplande tests wordt gewaarborgd.

Beheerde de ECB haar financiële risico’s op doeltreffende wijze?

99. Het algemene kader en het financieel risicobeheer dat is opgezet door de ECB voor het beheer van beleggings- en beleidsactiviteiten is toereikend. Het onderzoek van het kader voor financieel risicobeheer wees uit dat de ontwikkelde methodologie voor financieel risicobeheer goed is en toereikend voor het beheer van beleggings- en beleidsactiviteiten bij de ECB. Er zijn echter verbeteringen nodig in de praktische toepassing van de methodologie, bijvoorbeeld op het gebied van de modellen die worden gebruikt voor berekeningen van strategische en tactische benchmarks en voor VaR-berekeningen.

100. De interne verslagen over risicobeheer bieden nauwkeurige, toereikende en alomvattende informatie over financieel risicobeheer aan het hogere management en de Directie van de ECB. De verslaglegging over de resultaten is regelmatig en geschiedt op tijd, maar wordt niet regelmatig bijgewerkt om wijzigingen in de GIPS-normen weer te geven. Aanbevelingen 6. De ECB dient de beoordeling en validering van de modellen die worden gebruikt voor het berekenen van de strategische en tactische benchmarks en VaR-berekeningen te blijven verbeteren, inclusief de vaststelling van gedetailleerde documentatie in gevallen waarin de documentatie als ontoereikend wordt bestempeld, het testen van modellen en een regelmatige beoordeling van de aannames in de modellen. 7. Wijzigingen in de GIPS-normen moeten ieder jaar worden onderzocht, en volledig toepassing ervan moet worden overwogen voor de interne verslaglegging over de prestaties van de ECB.

Dit verslag werd door Kamer IV onder voorzitterschap van de heer Louis GALEA, lid van de Rekenkamer, te Luxemburg vastgesteld op haar vergadering van 27 maart 2012. Voor de Rekenkamer Vítor Manuel da SILVA CALDEIRA President

(1) Artikel 127, lid 1, van het Verdrag betreffende de werking van de Europese Unie.

(2) De statuten van het ESCB en van de ECB vormen een protocol dat aan het Verdrag is gehecht.

(3) Artikel 27.2 van het Protocol betreffende de statuten van het ESCB en van de ECB luidt: „De bepalingen van artikel 287 van het Verdrag betreffende de werking van de Europese Unie zijn uitsluitend van toepassing op een doelmatigheidscontrole van de ECB”.

(4) Artikel 9.3 van het Protocol betreffende de statuten van het ESCB en van de ECB. De Raad van bestuur bestaat uit de zes leden van de Directie, plus de presidenten van de nationale centrale banken van de lidstaten die de euro als munt hebben. De Directie bestaat uit de president, de vice-president en vier andere leden.

(5) Artikel 12.1 van het Protocol betreffende de statuten van het ESCB en van de ECB.

(6) De reikwijdte van ORB bestrijkt de risico’s die verband houden met activiteiten van de ECB, met inbegrip van die welke betrekking hebben op de processen en projecten van het ESCB/Eurosysteem.

(7) De criteria op basis waarvan de Rekenkamer het kader van de ECB voor operationeel en financieel risicobeheer beoordeelde, worden in dit document cursief weergegeven. Tenzij een andere verwijzing wordt gegeven, betreft het criteria van de Rekenkamer.

(8) Het risicobeheer op het niveau van het Europees Stelsel van centrale banken (ESCB) viel niet binnen de reikwijdte van de controle.

(9) Er werden informatiebezoeken gebracht aan de Federal Reserve Bank van New York en de Bank of Canada, en vragenlijsten verstuurd naar de Federal Reserve Bank van New York, de Bank of Canada en de Zwitserse nationale bank.

(10) José Manuel González-Páramo, directielid van de ECB, Ulrich Bindseil en Evangelos Tabakis, „Risk Management for Central Banks and Other Public Investors” (Risicobeheer voor centrale banken en andere overheidsinvesteerders), Cambridge University Press 2009.

(11) Algemene beginselen voor risicobeheer, Comité van Europese bankentoezichthouders (CEBT), februari 2010 (cursief Europese Rekenkamer, oorspronkelijke tekst in vet in normaal lettertype weergegeven).

(12) Eenheid, afdeling, directoraat of directoraat-generaal.

(13) Is onderdeel van DG-H.

(14) De ORB/BCM-functie is tevens het secretariaat voor het Comité operationeel risico (COR).

(15) De RBE maakt in administratieve zin onderdeel uit van DG-H maar brengt rechtstreeks verslag uit aan het directielid dat verantwoordelijk is voor het beheer van financiële risico’s.

(16) De ECB hanteert haar eigen kader voor financiële verslaglegging dat is vastgelegd bij Besluit ECB/2006/17 betreffende de jaarrekening van de ECB, zoals gewijzigd.

(17) „Value at risk” (VaR) is een vaakgebruikte risicomaatstaf voor het risico van verliezen op een specifieke portefeuille van financiële activa. Voor een bepaalde portefeuille, waarschijnlijkheid en tijdspanne wordt de VaR omschreven als een drempelwaarde, op zodanige wijze dat de waarschijnlijkheid dat het verlies aan marktwaarde op de portefeuille over die tijdspanne boven deze waarde uitkomt, bij veronderstelde normale marktomstandigheden en zonder handel binnen de portefeuille, het waarschijnlijkheidsniveau weergeeft (volgens: „Value at Risk: The New Benchmark for managing Financial Risk (3rd edition)” (Value at Risk: de nieuwe benchmark voor het beheer van financieel risico (3e druk), Philippe Jorion, McGraw-Hill Professional, 2006).

(18) „International Financial Reporting Standards” (internationale standaarden voor financiële verslaglegging) zijn op beginselen gebaseerde standaarden, interpretaties en het door de „International Accounting Standards Board” (IASB) vastgestelde kader, en zijn ook bekend onder de oude naam „International Accounting Standards” (IAS). In februari 2001 heeft de Europese Commissie een verordening voorgesteld waarin werd bepaald dat in de EU alle aan een gereglementeerde markt genoteerde bedrijven, inclusief banken en verzekeraars, uiterlijk in 2005 een geconsolideerde jaarrekening moesten opstellen overeenkomstig de IAS. De EU-lidstaten kregen de mogelijkheid om deze voorwaarde uit te breiden tot niet-beursgenoteerde bedrijven en rekeningen van individuele bedrijven. Op zowel politiek als technisch niveau werd een EU-valideringsmechanisme opgezet om toezicht te houden op de integratie van de IAS in de EU.

(19) Tot 31 december 2010 deed de Bank of Canada verslag volgens de „Generally accepted accounting principles” (algemeen aanvaarde Canadese boekhoudbeginselen), hoewel zij informatie over het risicobeheer bekendmaakte die vergelijkbaar was met IFRS. Vanaf 1 januari 2011 past de Bank of Canada IFRS toe voor haar verslaglegging.

(20) Handboek bedrijfspraktijken, hoofdstuk 26.

(21) In 2008 besloot de Directie het ORB-kader van de ECB af te stemmen op het kader dat is vastgesteld op ESCB-niveau.

(22) Operationeel risico wordt gedefinieerd als het risico dat een negatieve financiële, zakelijke en/of reputatie-impact optreedt als gevolg van ontoereikend of falend intern bestuur en ontoereikende of falende bedrijfsprocessen, of door toedoen van mensen, of als gevolg van systemen of externe gebeurtenissen.

(23) Het comité heeft het mandaat om de ontwikkeling, tenuitvoerlegging en het onderhoud van het operationeel risicobeheer bij de ECB te bevorderen en overzien.

(24) De leden zijn hooggeplaatste leidinggevenden van Markttransacties, Informatiesystemen, Administratie, HR, Budget en Organisatie, van twee kernorganisatie-eenheden op basis van een rotatiesysteem van één jaar, en de adviseur van de directeur-generaal HR, Budget en Organisatie.

(25) De organisatie-eenheid (de eigenaar van het risico) die verantwoordelijk is voor het horizontale risico (een risico met een impact op verschillende organisatie-eenheden) dient passende en voor de gehele ECB geldende maatregelen voor de aanpak van risico’s aan te bevelen en/of uit te voeren.

(26) Gebaseerd op de conclusie uit het artikel „ERM at the Federal Reserve Bank of Richmond” (Risicobeheer voor ondernemingen bij de Federal Reserve Bank van Richmond), 2007, Jack Dorminey en Richard Mohn.

(27) Bron: website van de Bank of Canada „Medium-term plan 2010-12” (Plan voor de middellange termijn 2010-2012) (www.bankofcanada.ca op 13 juli 2011).

(28) Voor projecten, zoals IT, bestaan specifieke procedures zoals beschreven in de procedures voor projectorganisatie en -controle. Projectrisico’s worden afzonderlijk gerapporteerd via de projectstuurgroep/projectstuurgroep „nieuw kantoor”. Risicobeheer met betrekking tot specifieke projecten valt niet binnen de reikwijdte van deze controle.

(29) Algemene beginselen voor bedrijfscontinuïteit, Bazels Comité voor bankentoezicht, augustus 2006, paragraaf 9.

(30) Handboek bedrijfspraktijken (HBP), 5e uitgave, ECB, 24 september 2010.

(31) Algemene beginselen voor bedrijfscontinuïteit, Bazels Comité voor bankentoezicht, augustus 2006, paragraaf 10.

(32) „ECB Business Impact Analyses, Review 2006” (Bedrijfsimpactanalysen van de ECB, beoordeling 2006), directoraat-generaal HR, Budget en Organisatie, 16 januari 2007.

(33) In artikel 3 van het Protocol (nr. 4) betreffende de statuten van het Europees Stelsel van centrale banken en van de Europese Centrale Bank worden de door de ECB te verrichten statutaire taken beschreven.

(34) Richtsnoer voor bedrijfscontinuïteit: „A Practical Approach for Emergency Preparedness, Crisis Management, and Disaster Recovery” (Een praktische aanpak om voorbereid te zijn op noodgevallen, en voor crisisbeheer en rampherstel); „ASIS international”; 2005; paragraaf 11.3.

(35) Op basis van zes rampscenario’s wordt bij de BIA de impact ingeschat op de operationele capaciteit van iedere organisatie-eenheid.

(36) Zoals voorgeschreven in de „Algemene beginselen voor bedrijfscontinuïteit”, Bazels Comité voor bankentoezicht, augustus 2006, paragraaf 23.

(37) D.w.z. besluitvormingsorganen wanneer er een crisis optreedt, samenstelling van het bedrijfscontinuïteitsteam, relaties met andere teams, locaties van het bedrijfscontinuïteitsteam.

(38) D.w.z. die welke werden geïdentificeerd en goedgekeurd in het kader van de BIA, een takenlijst die aangeeft welke specifieke activiteiten nodig zijn om de continuïteit van de hiervoor genoemde essentiële processen te waarborgen.

(39) D.w.z. IT- en kantooruitrusting, handboeken.

(40) Algemene beginselen voor bedrijfscontinuïteit, Bazels Comité voor bankentoezicht, augustus 2006, paragraaf 13.

(41) DG-IS heeft een eigen proces voor bedrijfscontinuïteit. Het maakt voorwerp uit van een externe audit inzake de naleving van ISO 20000, en het BCP van DG-IS valt derhalve niet binnen de reikwijdte van de controle van de Rekenkamer over 2010.

(42) Algemene beginselen voor bedrijfscontinuïteit, Bazels Comité voor bankentoezicht, augustus 2006, beginsel 6.

(43) British Standard’s Code of Practice for BCM (Praktijkcode voor BCM van „Bristish Standard”)

(44) Test- en opleidingstrategie van de ECB inzake bedrijfscontinuïteit, Comité operationeel risico, 4 maart 2008.

(45) Richtsnoer voor bedrijfscontinuïteit: „A Practical Approach for Emergency Preparedness, Crisis Management, and Disaster Recovery” (Een praktische aanpak om voorbereid te zijn op noodgevallen, en voor crisisbeheer en rampherstel); „ASIS international”; 2005; paragraaf 12.1.1.

(46) Test- en opleidingstrategie van de ECB inzake bedrijfscontinuïteit, Comité operationeel risico, 4 maart 2008.

(47) Test- en opleidingstrategie inzake bedrijfscontinuïteit, blz. 15; Handboek bedrijfspraktijken, 26.1; Bedrijfscontinuïteitskader (ECB intranet); Beleidsdocument bedrijfscontinuïteitsbeheer.

(48) Verslag over de interne klanttevredenheidsonderzoeken 2009 en 2010 van de ECB.

(49) Bazel, ERM COSO (Enterprise Risk Management Committee of Sponsoring Organizations — Comité van sponsororganisaties voor risicobeheer in ondernemingen).

(50) Richtsnoer van de Europese Centrale Bank van 20 juni 2008 betreffende het beheer van de externe reserves van de Europese Centrale Bank door de nationale centrale banken en de juridische documentatie voor operaties met betrekking tot de externe reserves van de Europese Centrale Bank (herschikking) (ECB/2008/5) (2008/596/EG).

(51) „OFM-richtsnoer” van juli 2010, en „De beleggingssrichtsnoeren voor de eigen middelen van de ECB” van september 2010.

(52) Richtsnoer van de Europese Centrale Bank van 26 september 2002 betreffende door de Europese Centrale Bank en nationale centrale banken in acht te nemen minimumnormen bij het verrichten van monetaire beleidstransacties en valutamarktoperaties met de externe reserves van de ECB en bij het beheren van de externe reserves van de ECB (ECB/2002/6).

(53) Inclusief de goudreserves.

(54) De portefeuille van het programma voor de aankoop van gedekte obligaties (CBPP) en de portefeuille van het programma voor de effectenmarkten (SMP).

(55) Een toepassing die wordt gebruikt voor het beheer van de externe reserves en eigen middelen van de ECB en om de prestatiecijfers op te stellen.

(56) Handboek voor financieel risicobeheer, beleid en procedures, maart 2008.

(57) De punten i)-v) worden regelmatig of ten minste één keer per jaar door de Directie of de Raad van bestuur beoordeeld.

(58) Voor de externe reserves vastgesteld door de Raad van bestuur, en voor de eigen middelen door de directie op basis van voorstellen van de RBE.

(59) De GIPS (Global Investment Performance Standards) vormen een pakket gestandaardiseerde, door de hele sector gebruikte ethische beginselen die zijn vastgesteld en worden beheerd door het CFA-instituut (Chartered Financial Analyst — Registeraccountants). Ze geven richtsnoeren voor het berekenen en rapporteren van beleggingsresultaten, worden op vrijwillige basis toegepast en zijn gebaseerd op de fundamentele beginselen van volledige openbaarmaking en een eerlijke weergave van de rendementresultaten op de beleggingen.