Załącznik II

CZĘŚĆ I

SEKCJA 1

Rozszerzenia wymagające zatwierdzenia przez właściwe organy („znaczne”)

1. Wprowadzenie po raz pierwszy środków służących ujęciu oczekiwanych strat w normach prowadzenia działalności instytucji zgodnie z art. 322 ust. 2 lit. a) rozporządzenia (UE) nr 575/2013.

2. Wprowadzenie po raz pierwszy technik ograniczania ryzyka operacyjnego, takich jak ubezpieczenia i inne mechanizmy transferu ryzyka, o których mowa w art. 323 ust. 1 rozporządzenia (UE) nr 575/2013.

3. Pierwsze uznanie korelacji strat wynikłych z ryzyka operacyjnego zgodnie z art. 322 ust. 2 lit. d) rozporządzenia (UE) nr 575/2013.

4. Pierwsze wprowadzenie metod stosowanych podczas alokacji kapitału ryzyka operacyjnego pomiędzy poszczególne podmioty należące do grupy, o których mowa w art. 20 ust. 1 lit. b) i art. 322 ust. 2 lit. a) rozporządzenia (UE) nr 575/2013.

5. Wprowadzenie metody zaawansowanego pomiaru w niektórych częściach instytucji lub w odniesieniu do niektórych grup instytucji, które nie zostały jeszcze objęte zatwierdzeniem lub zatwierdzonym planem stopniowego wdrażania zgodnie z art. 314 ust. 1 rozporządzenia (UE) nr 575/2013, jeżeli te dodatkowe obszary stanowią ponad 5 % unijnej jednostki dominującej na poziomie skonsolidowanym lub instytucji niebędącej jednostką dominującą ani jednostką zależną.

Powyższych obliczeń dokonuje się pod koniec poprzedzającego roku budżetowego w oparciu o kwotę odpowiedniego wskaźnika zdefiniowanego w art. 316 rozporządzenia (UE) nr 575/2013 i przypisanego do obszarów, w odniesieniu do których zastosowana zostanie metoda zaawansowanego pomiaru.

SEKCJA 2

Rozszerzenia wymagające wcześniejszego powiadomienia właściwych organów

Wprowadzenie metody zaawansowanego pomiaru w niektórych częściach instytucji lub w odniesieniu do niektórych grup instytucji, które nie zostały jeszcze objęte zatwierdzeniem lub zatwierdzonym planem stopniowego wdrażania zgodnie z art. 314 ust. 1 rozporządzenia (UE) nr 575/2013, jeżeli te dodatkowe obszary obejmują wskazaną poniżej część unijnej jednostki dominującej na poziomie skonsolidowanym lub instytucji niebędącej jednostką dominującą ani jednostką zależną:

a) ponad 1 %;

b) do 5 % włącznie.

Powyższych obliczeń dokonuje się pod koniec poprzedzającego roku budżetowego w oparciu o kwotę odpowiedniego wskaźnika zdefiniowanego w art. 316 rozporządzenia (UE) nr 575/2013 i przypisanego do obszarów, w odniesieniu do których zastosowana zostanie metoda zaawansowanego pomiaru.

CZĘŚĆ II

ZMIANY W METODZIE ZAAWANSOWANEGO POMIARU

SEKCJA 1

Zmiany wymagające zatwierdzenia przez właściwe organy („znaczne”)

1. Zmiany w strukturze organizacyjnej i operacyjnej niezależnej funkcji zarządzania ryzykiem operacyjnym, o której mowa w art. 321 rozporządzenia (UE) nr 575/2013, które ograniczają zdolność funkcji zarządzania ryzykiem operacyjnym do nadzorowania procesów decyzyjnych w kontrolowanych przez nie jednostkach gospodarczych i pomocniczych oraz do dostarczania informacji na potrzeby tych procesów.

2. Zmiany w systemie pomiaru ryzyka operacyjnego, jeżeli spełniają następujące kryteria:

a) prowadzą do zmiany architektury systemu pomiaru w odniesieniu do połączenia czterech elementów danych, tj. wewnętrznych i zewnętrznych danych na temat strat, analizy scenariuszy wariantowych oraz otoczenia biznesowego i czynników kontroli wewnętrznej, o których mowa w art. 322 ust. 2 lit. b) rozporządzenia (UE) nr 575/2013;

b) prowadzą do zmiany logiki i czynników wywierających wpływ na metodykę stosowaną przy alokacji kapitału ryzyka operacyjnego pomiędzy poszczególne podmioty wchodzące w zakres grupy, o których mowa w art. 20 ust. 1 lit. b) i art. 322 ust. 2 lit. a) rozporządzenia (UE) nr 575/2013.

3. Zmiany procedur dotyczących danych wewnętrznych i zewnętrznych, analizy scenariuszy wariantowych oraz otoczenia biznesowego i czynników kontroli wewnętrznej, jeżeli:

a) prowadzą do zmniejszenia poziomu kontroli w zakresie kompletności i jakości danych na temat ryzyka operacyjnego zgodnie z art. 322 ust. 3 i 4 rozporządzenia (UE) nr 575/2013;

b) prowadzą do zmiany źródeł danych zewnętrznych wykorzystywanych w ramach systemu pomiaru zgodnie z art. 322 ust. 4 i 5 rozporządzenia (UE) nr 575/2013, chyba że dane te są porównywalne i reprezentatywne dla profilu ryzyka operacyjnego.

4. Zmiany w ogólnej metodzie oceny dotyczącej tego, w jaki sposób umowy ubezpieczeniowe lub inne mechanizmy transferu ryzyka są uwzględniane w obliczeniach opłat kapitałowych w ramach metody zaawansowanego pomiaru zgodnie z art. 323 ust. 1 rozporządzenia (UE) nr 575/2013.

5. Zmniejszenie części ryzyka operacyjnego ujętego w ramach metody zaawansowanego pomiaru przez instytucję lub grupę instytucji korzystającą z metody zaawansowanego pomiaru zgodnie z art. 314 ust. 2 i 3 rozporządzenia (UE) nr 575/2013, o ile spełniono jeden z następujących warunków:

a) obszary, w odniesieniu do których metoda zaawansowanego pomiaru nie będzie już stosowana, odpowiadają ponad 5 % ogólnych wymogów w zakresie funduszy własnych z tytułu ryzyka operacyjnego unijnej jednostki dominującej na poziomie skonsolidowanym lub instytucji, która nie jest instytucją dominującą ani jednostką zależną;

b) zmniejszenie liczby obszarów, w odniesieniu do których stosuje się metodę zaawansowanego pomiaru, prowadzi do stosowania metody zaawansowanego pomiaru w części instytucji, która odpowiada niższemu odsetkowi niż odsetek wymagany przez właściwy organ zgodnie z art. 314 ust. 3 rozporządzenia (UE) nr 575/2013.

Wspomniane obliczenia przeprowadza się w momencie wystąpienia przez instytucję z wnioskiem o dokonanie zmiany, w oparciu o wysokość wymogu kapitałowego obliczoną pod koniec poprzedzającego roku budżetowego.

SEKCJA 2

Zmiany wymagające wcześniejszego powiadomienia właściwych organów

1. Zmiany sposobu włączania systemu pomiaru ryzyka operacyjnego do codziennego procesu zarządzania wprowadzone w ramach procedur zarządzania ryzykiem i polityki w tym zakresie, o których mowa w art. 321 lit. a) i c) rozporządzenia (UE) nr 575/2013, jeżeli zmiany te prowadzą do jednego z następujących skutków:

a) do zmiany zakresu, w jakim system zarządzania ryzykiem operacyjnym wnosi wkład w istotne informacje dotyczące zarządzania ryzykiem instytucji oraz powiązane procesy decyzyjne, w tym zatwierdzanie nowych produktów, systemów i procesów oraz definicję tolerancji na ryzyko operacyjne;

b) do ograniczenia zakresu, grup odbiorców i częstotliwości stosowania systemów sprawozdawczości służących przekazywaniu wszystkim istotnym częściom instytucji informacji na temat wyników zastosowania systemu pomiaru ryzyka operacyjnego oraz decyzji podjętych w odpowiedzi na istotne zdarzenia związane z ryzykiem operacyjnym.

2. Zmiany w strukturze organizacyjnej i operacyjnej niezależnej funkcji zarządzania ryzykiem operacyjnym w rozumieniu art. 321 lit. b) rozporządzenia (UE) nr 575/2013, jeżeli spełniają którekolwiek z następujących kryteriów:

a) prowadzą do obniżenia rangi funkcji zarządzania ryzykiem operacyjnym lub jej kierownika w hierarchii;

b) prowadzą do istotnego ograniczenia zakresu zadań i obowiązków w ramach funkcji zarządzania ryzykiem operacyjnym;

c) prowadzą do rozszerzenia zakresu zadań i obowiązków w ramach funkcji zarządzania ryzykiem operacyjnym, chyba że nie dochodzi do wystąpienia konfliktu interesów a funkcja zarządzania ryzykiem operacyjnym otrzymuje odpowiednią ilość dodatkowych środków;

d) prowadzą do zmniejszenia ilości dostępnych zasobów budżetowych oraz kadrowych o ponad 10 % łącznych zasobów danej instytucji lub grupy w stosunku do stanu na moment udzielenia ostatniego zezwolenia zgodnie z art. 312 ust. 2 rozporządzenia (UE) nr 575/2013, chyba że dostępne zasoby budżetowe i kadrowe na poziomie instytucji lub grupy uległy zmniejszeniu w tym samym stopniu.

3. Zmiany w procedurach walidacji i przeglądu wewnętrznego, o których mowa w art. 321 lit. e) i f) rozporządzenia (UE) nr 575/2013, jeżeli skutkują zmianą logiki i metod dokonywania wewnętrznej walidacji lub przeglądu ram metody zaawansowanego pomiaru.

4. Zmiany w metodzie obliczania narzutu kapitałowego z tytułu ryzyka operacyjnego prowadzące do zmiany jednego z następujących elementów:

a) struktury i właściwości zbioru danych wykorzystywanego przy obliczaniu wymogu kapitałowego z tytułu ryzyka operacyjnego („zbiór danych do obliczeń”), w tym dowolny z następujących elementów:

(i) definicję kwoty straty brutto, która ma być wykorzystywana w ramach zbioru danych do obliczeń zgodnie z art. 322 ust. 3 lit. d) rozporządzenia (UE) nr 575/2013;

(ii) datę odniesienia zdarzeń straty, które mają być wykorzystywane w ramach zbioru danych do obliczeń zgodnie z art. 322 ust. 2 lit. a) rozporządzenia (UE) nr 575/2013;

(iii) metodę wykorzystywaną do określania długości szeregów czasowych danych na temat strat, które mają być wykorzystywane w ramach zbioru danych do obliczeń zgodnie z art. 322 ust. 2 lit. a) rozporządzenia (UE) nr 575/2013;

(iv) kryteria mające zastosowanie do strat grupy spowodowanych wystąpieniem wspólnego zdarzenia ryzyka operacyjnego lub powiązanych zdarzeń w danym okresie zgodnie z art. 322 ust. 3 lit. b) i e) rozporządzenia (UE) nr 575/2013;

(v) liczbę lub rodzaj kategorii ryzyka lub równoważnych kategorii, w odniesieniu do których oblicza się wysokość wymogu kapitałowego z tytułu ryzyka operacyjnego;

(vi) metodę ustanawiania progu dla poziomu strat, o których mowa w art. 322 ust. 2 lit. a) rozporządzenia (UE) nr 575/2013, po przekroczeniu którego model jest dopasowywany do danych;

(vii) w stosownych przypadkach — metodę ustanawiania progu służącego odróżnieniu głównych i skrajnych regionów danych, jeżeli były one mierzone za pomocą różnych metod, zgodnie z art. 322 ust. 2 lit. a) rozporządzenia (UE) nr 575/2013;

(viii) procesy i kryteria oceny istotności służące skorygowaniu danych dotyczących ryzyka operacyjnego lub dostosowaniu ich w inny sposób zgodnie z art. 322 ust. 3 lit. f) rozporządzenia (UE) nr 575/2013;

(ix) zmianę źródeł danych zewnętrznych, o których mowa w art. 322 ust. 4 i 5 rozporządzenia (UE) nr 575/2013, wykorzystywanych w ramach systemu pomiaru, chyba że została ona już uznana za znaczną zgodnie z częścią II sekcja 1 niniejszego załącznika;

b) kryteria wyboru, aktualizacji i przeglądu zastosowanych wypłat i metod szacowania ich parametrów zgodnie z art. 322 ust. 2 lit. a) rozporządzenia (UE) nr 575/2013;

c) kryteria i procedury ustalania wysokości zagregowanych rozkładów strat oraz obliczania odpowiedniej miary ryzyka operacyjnego na poziomie ufności regulacyjnej zgodnie z art. 322 ust. 2 lit. a) rozporządzenia (UE) nr 575/2013;

d) metodyka ustalania wysokości oczekiwanych strat oraz ich ujmowania w wewnętrznych normach prowadzenia działalności zgodnie z art. 322 ust. 2 lit. a) rozporządzenia (UE) nr 575/2013;

e) metodyka regulująca kwestie związane z uznawaniem korelacji między stratami wynikłymi z ryzyka operacyjnego w ramach poszczególnych oszacowań ryzyka operacyjnego zgodnie z art. 322 ust. 2 lit. d) rozporządzenia (UE) nr 575/2013.

5. Zmiany standardów dotyczących danych wewnętrznych i zewnętrznych, analizy scenariuszy wariantowych oraz otoczenia biznesowego i czynników kontroli wewnętrznej, jeżeli:

a) prowadzą do zmiany wewnętrznych procedur i kryteriów gromadzenia wewnętrznych danych na temat strat, o których mowa w art. 322 ust. 3 rozporządzenia (UE) nr 575/2013, w tym dowolny z następujących elementów:

(i) zwiększenie progu gromadzenia wewnętrznych danych na temat strat, o których mowa w art. 322 ust. 3 lit. c) rozporządzenia (UE) nr 575/2013;

(ii) metody lub kryteria wykluczenia działań lub ekspozycji z zakresu gromadzenia danych wewnętrznych zgodnie z art. 322 ust. 3 lit. c) rozporządzenia (UE) nr 575/2013;

b) prowadzą do zmiany wewnętrznych procedur i kryteriów w odniesieniu do jednego z następujących przypadków:

(i) przeprowadzania analizy scenariuszy wariantowych zgodnie z art. 322 ust. 5 rozporządzenia (UE) nr 575/2013;

(ii) określania otoczenia biznesowego oraz czynników kontroli wewnętrznej zgodnie z art. 322 ust. 6 rozporządzenia (UE) nr 575/2013.

6. Zmiany w standardach dotyczących ubezpieczenia i innych mechanizmów transferu ryzyka, o których mowa w art. 323 rozporządzenia (UE) nr 575/2013, jeżeli spełniają jeden z następujących warunków:

a) prowadzą do istotnej zmiany zapewnianego poziomu ochrony;

b) prowadzą do zmiany procedur i kryteriów obliczania redukcji kwoty uznanego ubezpieczenia, stosowanych w celu uwzględnienia niepewności dotyczącej płatności, niedopasowania poziomu ochrony oraz rezydualnego okresu ważności polisy i warunków jej wypowiedzenia, jeżeli okres ten jest krótszy niż jeden rok, zgodnie z art. 323 ust. 4 rozporządzenia (UE) nr 575/2013.

7. Odpowiednie zmiany w systemach IT wykorzystywanych do przetwarzania metody zaawansowanego pomiaru, w tym zmiany w procesie gromadzenia danych i administrowania tymi danymi, procedurach sprawozdawczych oraz systemach pomiaru ryzyka operacyjnego, o których mowa w art. 312 ust. 2 rozporządzenia (UE) nr 575/2013, a także zmiany w ogólnych standardach zarządzania ryzykiem określonych w art. 74 dyrektywy 2013/36/UE, które przyczyniają się do zmniejszenia integralności i dostępności danych lub systemów IT.