Art. 322 Verordening (EU) nr. 575/2013, Kwantitatieve normen
1. De in artikel 312, lid 2, bedoelde kwantitatieve normen omvatten de normen die betrekking hebben op het meetproces, interne gegevens, externe gegevens, scenarioanalyse, en factoren die van invloed zijn op de bedrijfsomgeving en de interne controle, neergelegd in respectievelijk de leden 2 tot en met 6.
2. De normen die betrekking hebben op het meetproces zijn de volgende:
a) een instelling telt bij de berekening van haar eigenvermogensvereiste zowel de verwachte als de onverwachte verliezen mee, tenzij in haar interne bedrijfspraktijk naar behoren met de verwachte verliezen rekening wordt gehouden. De maatstaf voor het operationeel risico houdt rekening met potentieel ernstige staartgebeurtenissen, zodat een deugdelijkheidsnorm wordt bereikt die vergelijkbaar is met een betrouwbaarheidsinterval van 99,9 % over een periode van één jaar;
b) het meetsysteem van een instelling voor haar operationeel risico omvat het gebruik van interne gegevens, externe gegevens, scenarioanalyse en factoren die de bedrijfsomgeving en de internecontrolesystemen weerspiegelen, als beschreven in de leden 3 tot en met 6. Een instelling beschikt over een naar behoren in documentatie vastgelegde benadering om het gebruik van deze vier elementen in haar algemene meetsysteem voor het operationeel risico te wegen;
c) het risicomeetsysteem van een instelling houdt rekening met de voornaamste risicodeterminanten met een impact op de vorm van de staart van de geraamde verdeling van verliezen;
d) een instelling mag correlaties tussen de uit het operationeel risico voortvloeiende verliezen die in afzonderlijke ramingen van het operationeel risico zijn opgenomen, slechts erkennen indien haar systemen voor het meten van correlaties deugdelijk zijn, op integere wijze worden toegepast en rekening houden met de onzekerheid waarmee dergelijke correlatieramingen zijn omgeven, met name in perioden van stress. Een instelling valideert haar correlatiehypothesen op grond van passende kwantitatieve en kwalitatieve technieken;
e) het risicomeetsysteem van een instelling is intern consistent en vermijdt de meervoudige telling van kwalitatieve beoordelingen of risicolimiteringstechnieken die in andere onderdelen van deze verordening worden erkend.
3. De normen die betrekking hebben op interne gegevens, zijn de volgende:
a) een instelling baseert haar intern verrichte metingen van het operationeel risico op een historische waarnemingsperiode van ten minste vijf jaar. Indien een instelling voor het eerst gebruik maakt van een geavanceerde meetbenadering, kan zij gebruik maken van een historische waarnemingsperiode van drie jaar;
b) een instelling is in staat haar historische interne verliesgegevens te mappen naar de bedrijfsonderdelen als omschreven in artikel 317 en naar de soorten gebeurtenissen als omschreven in artikel 324, en deze gegevens op verzoek aan de bevoegde autoriteiten te verstrekken. In uitzonderlijke omstandigheden kan een instelling verliesgebeurtenissen die een impact hebben op de gehele instelling, toewijzen aan een extra bedrijfsonderdeel "ondernemingsaangelegenheden". Een instelling beschikt over in documentatie vastgelegde, objectieve criteria voor de toewijzing van verliezen aan de gespecificeerde bedrijfsonderdelen en soorten gebeurtenissen. Een instelling registreert de uit het operationeel risico voortvloeiende verliezen die verband houden met kredietrisico en die zij in het verleden in de interne gegevensbestanden voor kredietrisico heeft opgenomen, in de gegevensbestanden voor operationeel risico en onderkent deze verliezen afzonderlijk. Deze verliezen vallen niet onder het vereiste voor het operationeel risico, mits de instelling ertoe verplicht is hen met het oog op de berekening van de eigenvermogensvereisten als kredietrisico te blijven behandelen. Een instelling neemt de uit het operationeel risico voortvloeiende verliezen die verband houden met marktrisico's, op in het eigenvermogensvereiste voor het operationeel risico;
c) de interne verliesgegevens van een instelling zijn alomvattend in die zin dat zij rekening houden met alle wezenlijke activiteiten en blootstellingen van alle betrokken subsystemen en geografische locaties. Een instelling is in staat te onderbouwen dat eventuele uitgesloten activiteiten of blootstellingen, zowel afzonderlijk als in combinatie, geen wezenlijke impact zouden hebben op de ramingen van het totale risico. Een instelling stelt passende minimumverliesdrempels vast voor de verzameling van interne verliesgegevens;
d) naast informatie over brutoverliesposten verzamelt een instelling informatie over de datum van de verliesgebeurtenis en de eventuele recuperatie van brutoverliesposten, en geeft zij een beschrijving van de determinanten of oorzaken van de verliesgebeurtenis;
e) een instelling beschikt over specifieke criteria voor de toewijzing van verliesgegevens die voortvloeien uit een verliesgebeurtenis in een gecentraliseerde functie of een activiteit die zich over meer dan één bedrijfsonderdeel uitstrekt, alsmede uit een reeks opeenvolgende gerelateerde verliesgebeurtenissen;
f) een instellingen beschikt over in documentatie vastgelegde procedures om te beoordelen of historische verliesgegevens nog steeds relevant zijn, met inbegrip van situaties waarin gebruik kan worden gemaakt van op eigen oordeel berustende bijsturingen, van extrapolaties of van andere aanpassingen, in hoeverre daarvan gebruik kan worden gemaakt en wie bevoegd is om dergelijke besluiten te nemen.
4. De te vervullen normen die betrekking hebben op externe gegevens zijn de volgende:
a) het meetsysteem voor het operationeel risico van een instelling maakt gebruik van relevante externe gegevens, met name wanneer er reden is om aan te nemen dat de instelling blootstaat aan occasionele, doch potentieel ernstige verliezen. Een instelling beschikt over een systematisch proces om vast te stellen in welke situaties externe gegevens worden gebruikt en welke methoden worden gehanteerd om de gegevens in haar meetsysteem op te nemen;
b) een instelling evalueert de voorwaarden en praktijken inzake het gebruik van externe gegevens regelmatig, legt deze in documentatie vast en onderwerpt ze periodiek aan onafhankelijke toetsing.
5. Een instelling maakt gebruik van scenarioanalyse van deskundigenopinies in samenhang met externe gegevens om haar blootstelling aan zeer ernstige gebeurtenissen te evalueren. De instelling moet deze beoordelingen in de loop van de tijd valideren en opnieuw evalueren door vergelijking met de feitelijke verlieservaring om de redelijkheid ervan te verifiëren.
6. De te vervullen normen die betrekking hebben op factoren inzake bedrijfsomgeving en interne controle zijn de volgende:
a) de risicobeoordelingsmethode van een instelling die op de onderneming in haar geheel van toepassing is, houdt rekening met sleutelfactoren inzake bedrijfsomgeving en interne controle die het operationeel risicoprofiel van de instelling kunnen veranderen;
b) een instelling onderbouwt de keuze voor elke factor die als een belangrijke risicodeterminant wordt aangemerkt op basis van ervaring met en deskundigenopinies over de bedrijfsgebieden waarop die factor van invloed is;
c) een instelling is in staat de gevoeligheid van risicoramingen voor veranderingen in de factoren en de relatieve weging van de verschillende factoren tegenover de bevoegde autoriteiten te onderbouwen. Het risicomeetkader van een instelling houdt niet alleen rekening met veranderingen van het risico als gevolg van verbeteringen in de risicobeheersing, maar ook met potentieel verhoogde risico's als gevolg van een grotere complexiteit van activiteiten of een toename van het bedrijfsvolume;
d) een instelling legt haar risicomeetkader in documentatie vast en laat dit kader zowel binnen de instelling als door de bevoegde autoriteiten aan onafhankelijke toetsing onderwerpen. Een instelling valideert en herbeoordeelt het proces en de resultaten in de loop van de tijd door deze te vergelijken met de feitelijke interne verlieservaring en relevante externe gegevens.