Artykuł 32

1. Instytucje przypisują do każdego zdarzenia straty wszystkie z następujących atrybutów, które mają zastosowanie:

Atrybuty

Opis

Ryzyko prawne – uchybienia

Zgodnie z definicją w art. 4 pkt 52a lit. d) rozporządzenia (UE) nr 575/2013.

Ryzyko prawne – inne niż uchybienia

Zgodnie z definicją w art. 4 pkt 52a lit. a), b), c), e), f) i g) rozporządzenia (UE) nr 575/2013.

Ryzyko modelu

Zgodnie z definicją w art. 4 pkt 52b rozporządzenia (UE) nr 575/2013.

Ryzyko związane z ICT – niezwiązane z cyberbezpieczeństwem

Zgodnie z definicją w art. 4 pkt 52c rozporządzenia (UE) nr 575/2013, z wyłączeniem strat wynikających z cyberataków.

Ryzyko związane z ICT – związane z cyberbezpieczeństwem

Straty poniesione w wyniku cyberataków zgodnie z definicją w art. 3 pkt 14 rozporządzenia (UE) 2022/2554.

Ryzyko kredytowe (jeżeli nie jest uwzględnione w aktywach ważonych ryzykiem z tytułu ryzyka kredytowego)

Straty z tytułu ryzyka operacyjnego związane z aktywami kredytowymi, w tym oszustwa kredytowe (popełnione przez klienta na własny rachunek lub przez osobę trzecią w wyniku kradzieży tożsamości), niewykonalne umowy o kredyt lub przypadki niewykonania zabezpieczenia, które nie zostały zapłacone i nie są uwzględnione w kwocie ekspozycji ważonej ryzykiem z tytułu ryzyka kredytowego.

Ryzyko rynkowe

Następujące zdarzenia i związane z nimi straty klasyfikuje się jako ryzyko operacyjne związane z transakcjami finansowymi i ryzykiem rynkowym:

a) zdarzenia wynikłe z błędów operacyjnych i błędów popełnionych podczas wprowadzania danych, w tym:

(i) błędy i niepowodzenia podczas wprowadzania lub realizacji zleceń;

(ii) utrata danych lub błędna interpretacja przepływu danych z jednostki operacyjnej do jednostki ds. działań wspierających i działu realizacji zleceń instytucji;

(iii) błędy w klasyfikacji;

(iv) nieprawidłowa specyfikacja transakcji w potwierdzeniu warunków transakcji, w tym błędnie wprowadzone kwoty transakcji, terminy zapadalności i cechy finansowe;

b) zdarzenia wynikłe z błędów w mechanizmach kontroli wewnętrznej, w tym poniższe zdarzenia:

(i) nieprawidłowa realizacja zlecenia zamknięcia pozycji rynkowej w przypadku niekorzystnych zmian cen;

(ii) nieautoryzowane pozycje przekraczające przyznane limity, niezależnie od rodzaju ryzyka, z którym są związane;

c) zdarzenia wynikające z nieodpowiedniej jakości danych i niedostępności środowiska informatycznego, w tym spowodowany względami technicznymi brak dostępu do rynku uniemożliwiający zawieranie umów.

Ryzyko strony trzeciej

Straty, które mogą powstać dla instytucji w związku z korzystaniem przez nią z usług świadczonych przez zewnętrznych dostawców usług lub przez podwykonawców takich dostawców, w tym w ramach umów outsourcingu.

Straty te obejmują straty wynikające z niewłaściwego zarządzania relacjami ze stronami trzecimi i ryzykiem strony trzeciej, w tym opracowania i utrzymania odpowiednich ram kontroli stron trzecich (w tym należytej staranności, łącznie z wyborem zewnętrznych dostawców usług, oraz bieżącego monitorowania) lub określenia i wdrożenia odpowiednich ustaleń umownych/umów o gwarantowanym poziomie usług.

Ryzyko środowiskowe, społeczne i z zakresu ładu korporacyjnego

Straty, które mogą wynikać z ryzyka środowiskowego, ryzyka fizycznego i ryzyka przejścia zdefiniowanych w art. 4 pkt 52e, 52f i 52g rozporządzenia (UE) nr 575/2013. Straty, które mogą wynikać z ryzyka społecznego i ryzyka z zakresu ładu korporacyjnego zdefiniowanych w art. 4 pkt 52h i 52i rozporządzenia (UE) nr 575/2013.

Ryzyko pseudoekologicznego marketingu

Zakres stosowania obejmuje ryzyko pseudoekologicznego marketingu w odniesieniu do strat wynikających z praktyk, w ramach których oświadczenia, deklaracje, działania lub komunikaty dotyczące zrównoważonego rozwoju nie odzwierciedlają w jasny i rzetelny sposób profilu zrównoważonego rozwoju podmiotu, produktu finansowego lub usług finansowych. Praktyki te mogą wprowadzać konsumentów, inwestorów lub innych uczestników rynku w błąd.

Ciągłość działania

Brak zapewnienia i utrzymania odpowiednich ram zarządzania ciągłością działania i zarządzania zdarzeniami (w tym aspektów ciągłości działania w zakresie ICT oraz przywracania sprawności ICT i reagowania, o których mowa w art. 11 i 12 rozporządzenia (UE) 2022/2554 oraz w art. 24, 25 i 26 rozporządzenia delegowanego Komisji (UE) 2024/1774 (5), w tym nieodpowiednie plany ciągłości działania.

Usługi detaliczne (w tym bankowość i detaliczna działalność brokerska)

Zdarzenia operacyjne i straty związane z klientami detalicznymi, w tym:

a) osobami fizycznymi;

b) MŚP (małymi i średnimi przedsiębiorstwami) zdefiniowanymi w art. 5 pkt 9 rozporządzenia (UE) 575/2013.

Wykaz rodzajów działalności dla tego atrybutu obejmuje:

a) bankowość detaliczną i prywatną: kredyty i depozyty, rachunki transakcyjne i oszczędnościowe, usługi w zakresie bankomatów, usługi bankowe, leasing finansowy, gwarancje i zobowiązania, trusty i nieruchomości, doradztwo inwestycyjne, usługi związane z kartami (karty debetowe i kredytowe, karty handlowe/biznesowe/korporacyjne, marki własne);

b) detaliczną działalność brokerską: przyjmowanie, przekazywanie i wykonywanie zleceń klientów, subemisja instrumentów finansowych bez gwarancji przejęcia emisji.

Handel i sprzedaż

Zdarzenia operacyjne i straty związane z działalnością obejmującą transakcje i sprzedaż, działalność brokerską, działalność animatora rynku, operacje skarbowe, przyjmowanie pozycji oraz pozycje otwierane na własny rachunek zarządzane przez jednostki odpowiadające za handel zdefiniowane w art. 4 pkt 144 rozporządzenia (UE) nr 575/2013.

Wykaz produktów dla tego atrybutu obejmuje:

a) akcje: portfele akcji i indeksy akcyjne;

b) handel papierami wartościowymi o stałej kwocie dochodu i kredytami;

c) waluty obce;

d) towary i produkty energetyczne;

e) rynek pieniężny, finansowanie, transakcje z udzielonym przyrzeczeniem odkupu i udzielanie pożyczek papierów wartościowych;

f) instrumenty pochodne.

Bankowość komercyjna

Zdarzenia operacyjne i straty związane z działalnością obejmującą udzielanie kredytów i depozyty, gwarancje, leasing i faktoring, finansowanie handlu, finansowanie projektów, nieruchomości.

Inne linie biznesowe (w tym finansowanie przedsiębiorstw, płatności i rozliczenia, zarządzanie aktywami, usługi agencyjne, pozycje korporacyjne)

Atrybut ten obejmuje pozostałe zdarzenia operacyjne i straty związane z działalnością, inne niż wymienione w atrybutach dotyczących usług detalicznych, handlu i sprzedaży oraz bankowości komercyjnej, w tym:

a) finansowanie przedsiębiorstw: połączenia i przejęcia, gwarantowanie emisji, prywatyzacja, sekurytyzacja, pierwsza oferta publiczna i plasowanie na rynku niepublicznym, usługi doradcze, finanse komunalne i rządowe, bankowość kupiecka;

b) płatności i rozliczenia na rzecz klientów zewnętrznych: płatności i windykacja, transfery środków pieniężnych, rozliczenia i rozrachunek środków pieniężnych i papierów wartościowych; straty z tytułu płatności i rozliczeń związane z działalnością własną instytucji włącza się do odnośnej linii biznesowej;

c) usługi agencyjne na rzecz klientów: usługi powiernicze (deponowanie, kwity depozytowe, zdarzenia korporacyjne itp.), instytucje powiernicze i korporacyjne usługi agencyjne (emitent i podmioty wypłacające);

d) zarządzanie aktywami: uznaniowe i nieuznaniowe zarządzanie funduszami, w tym zarządzanie portfelem (łączone, wydzielone, detaliczne, instytucjonalne, zamknięte, otwarte, na niepublicznym rynku kapitałowym);

e) pozycje korporacyjne: w przypadku pozycji o charakterze czysto korporacyjnym, w tym pozycji mających wpływ na zarząd – błędne sprawozdania finansowe lub inne zdarzenia, które można sklasyfikować wyłącznie w centrum korporacyjnym.

(5) Rozporządzenie delegowane Komisji (UE) 2024/1774 z dnia 13 marca 2024 r. uzupełniające rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 w odniesieniu do regulacyjnych standardów technicznych określających narzędzia, metody, procesy i polityki zarządzania ryzykiem związanym z ICT oraz uproszczone ramy zarządzania ryzykiem związanym z ICT (Dz.U. L, 2024/1774, 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1774/oj).

2. Na zasadzie odstępstwa od ust. 1 instytucje przypisują każdemu zdarzeniu straty co najmniej jeden atrybut spośród następujących kategorii: „usługi detaliczne (w tym bankowość i detaliczna działalność brokerska)”, „handel i sprzedaż”, „bankowość komercyjna” i „inne linie biznesowe (w tym finansowanie przedsiębiorstw, płatności i rozliczenia, zarządzanie aktywami, usługi agencyjne, pozycje korporacyjne)”.

3. Na zasadzie odstępstwa od ust. 1 instytucje przypisują atrybuty „ryzyko prawne – uchybienia”, „ryzyko prawne – inne niż uchybienia” i „ryzyko modelu” do rodzajów zdarzeń poziomu 1 i kategorii poziomu 2 zgodnie z załącznikiem.