FI-tillsyn 34: Banker kan förbättra sin hantering av operativa risker

Analysen visar att de granskade bankernas och kreditmarknadsbolagens processer för att hantera operativa risker i huvudsak framstår som ändamålsenliga. Samtidigt ser vi att det finns förbättringspotential inom alla typer av företag, både stora och små.

Ett förbättringsområde som berör många företag är dokumentation av processer som har väsentlig betydelse för verksamheten. Om aktuell processdokumentation saknas eller är ofullständig kan det ge försämrade förutsättningar för att utveckla tillfredställande kontinuitetsplaner.

En bred och djup förståelse för it-system och aktiviteter i processerna, inklusive samband och beroenden, är en förutsättning för god kontinuitetsplanering. Det är nödvändigt att företagen har en robust styrning och kontroll över processer som är av väsentlig betydelse, samt att de har beredskap för att kunna hantera störningar.

Vid hantering av operativa risker är det även viktigt att bankerna och kreditmarknadsbolagen har ett genomtänkt riskramverk. Riskaptit, limiter och riskindikatorer bör återspegla de risker som företaget har identifierat i sin verksamhet. En del företag har exempelvis valt att sätta en riskaptit som framstår som subjektiv snarare än en som grundas på objektiva kriterier, som att riskaptiten för operativ risk är låg eller medium. Detta kan leda till att styrningen och uppföljningen blir otydlig.

Vidare behöver finansiella företag både analysera interna incidenter och bevaka händelser i omvärlden, eftersom dessa ofta kan vara tidiga varningssignaler om större problem. Vi har sett indikationer på att vissa företag inte har fullt etablerade processer för att arbeta systematiskt med incidenter i syfte att minska risker.

FI kan komma att följa upp hur enskilda företag arbetar med hantering av operativa risker, antingen i den löpande tillsynen eller genom separata undersökningar.