Artykuł 7

1. Właściwe organy oceniają skuteczności obowiązujących w instytucji ram stosowania metod zaawansowanego pomiaru w celach zarządzania i administrowania ryzykiem operacyjnym w instytucji i ustalają, czy w instytucji istnieje wyraźna struktura organizacyjna o precyzyjnie zdefiniowanym, przejrzystym i spójnym podziale obowiązków, potwierdzając co najmniej, czy:

a) organ zarządzający instytucji omawia i zatwierdza zarządzanie ryzykiem operacyjnym, proces zarządzania ryzykiem operacyjnym i system pomiaru ryzyka operacyjnego;

b) przynajmniej raz w roku organ zarządzający instytucji wyraźnie określa i ustala poniższe elementy:

(i) tolerancja instytucji na ryzyko operacyjne;

(ii) sporządzone w formie pisemnej oświadczenie w sprawie tolerancji instytucji na ryzyko operacyjne dotyczące łącznego poziomu straty wynikłej z ryzyka operacyjnego i rodzajów zdarzeń ryzyka operacyjnego, obejmujące miary jakościowe i ilościowe, w tym progi i limity oparte na miarach strat wynikłych z ryzyka operacyjnego, które instytucja jest gotowa ponieść lub na poniesienie których instytucja jest przygotowana w celu osiągnięcia swoich celów strategicznych i realizacji biznesplanu, przy zapewnieniu jego dostępności w całej instytucji i zrozumiałości dla wszystkich jej pracowników;

c) organ zarządzający instytucji na bieżąco monitoruje zgodność działania instytucji z oświadczeniem w sprawie tolerancji na ryzyko operacyjne, o którym mowa w lit. b) ppkt (ii);

d) instytucja stosuje ciągły proces zarządzania ryzykiem operacyjnym w celu określania, oceny i pomiaru, monitorowania i zgłaszania ryzyka operacyjnego, w tym uchybień, i jest w stanie wskazać pracowników odpowiedzialnych za proces zarządzania ryzykiem operacyjnym;

e) informacje uzyskane w ramach procesu, o którym mowa w lit. d), przekazuje się właściwym komitetom i organom wykonawczym instytucji, a o decyzjach podejmowanych przez wspomniane komitety informuje się osoby odpowiedzialne za gromadzenie, kontrolowanie i monitorowanie ryzyka operacyjnego oraz zarządzanie nim w instytucji i osoby odpowiedzialne za zarządzanie działaniami, które są źródłem ryzyka operacyjnego;

f) instytucja przynajmniej raz w roku ocenia skuteczność zarządzania ryzykiem operacyjnym w instytucji, procesu zarządzania ryzykiem operacyjnym i systemu pomiaru ryzyka operacyjnego;

g) instytucja przynajmniej raz w roku powiadamia odpowiedni właściwy organ o ustaleniach wynikających z oceny, o której mowa w lit. f).

2. Do celów oceny, o której mowa w ust. 1, właściwe organy uwzględniają wpływ struktury zarządzania ryzykiem operacyjnym na zaangażowanie pracowników instytucji w kulturę zarządzania ryzykiem operacyjnym i samo zarządzaniem tym ryzykiem, w tym co najmniej poniższe elementy:

a) poziom świadomości pracowników instytucji w zakresie polityk i procedur dotyczących ryzyka operacyjnego;

b) wewnętrzny proces instytucji dotyczący kwestionowania konstrukcji i skuteczności ram stosowania metod zaawansowanego pomiaru.