Artykuł 24

1. Właściwe organy potwierdzają, czy instytucja określa, gromadzi i przetwarza pozycje straty wynikłej ze zdarzenia ryzyka operacyjnego związanej z ryzykiem kredytowym zgodnie z art. 20 lit. d) ppkt (i) w tym celu właściwe organy sprawdzają, czy instytucja – na potrzeby zarządzania ryzykiem operacyjnym – uwzględnia w zakresie straty wynikłej z ryzyka operacyjnego co najmniej poniższe elementy:

a) nadużycia finansowe, których we własnym imieniu dopuścił się klient instytucji, w związku z produktami lub procesami kredytowymi na wczesnym etapie relacji kredytowej, w tym dopuszczenie się oszustwa kredytowego polegającego na wyłudzeniu decyzji o udzieleniu kredytu na podstawie sfałszowanych dokumentów lub niezgodnych z prawdą sprawozdań finansowych, np. brak zabezpieczenia lub przeszacowane zabezpieczenie lub sfałszowane zaświadczenie o zarobkach;

b) nadużycia finansowe popełnione z wykorzystaniem tożsamości innej, nieświadomej osoby, w tym składanie wniosków kredytowych drogą elektroniczną w celu popełnienia oszustwa związanego z bezprawnym wykorzystaniem tożsamości w drodze wykorzystania danych klientów, fikcyjnych tożsamości lub bezprawnego wykorzystania kart kredytowych klientów.

2. Do celów ust. 1 właściwe organy potwierdzają, czy instytucja podejmuje co najmniej poniższe działania:

a) dostosowuje próg gromadzenia danych odnoszący się do zdarzeń straty opisanych w ust. 1, w stosownych przypadkach, do porównywalnych poziomów, takich jak progi innych kategorii ryzyka operacyjnego obowiązujące w ramach stosowania metod zaawansowanego pomiaru;

b) w stracie brutto wynikłej ze zdarzeń, o których mowa w ust. 1, ujmowana jest łączna kwota nieuregulowanych należności w chwili wykrycia nadużycia finansowego lub po wykryciu nadużycia finansowego oraz wszelkie powiązane wydatki, w tym zaległe odsetki i koszty obsługi prawnej.