1 Indledning

SSM's tilsynsprioriteter afspejler ECB Banktilsyns mellemfristede strategi for de næste tre år. De udarbejdes af Tilsynsrådet, gennemgås en gang om året og bygger på en omfattende vurdering af de største risici og sårbarheder for institutterne under tilsyn. Prioriteterne tager også højde for resultatet af tilsynskontrol- og evalueringsprocessen (SREP)^[1] og de fremskridt, der er gjort med hensyn til tidligere års prioriteter. De understøtter en effektiv fordeling af de tilgængelige tilsynsressourcer og kan tilpasses fleksibelt, hvis ændringer i risikobilledet tilsiger det.

Institutterne under tilsyn er kommet godt igennem de negative makrofinansielle og geopolitiske stød i de seneste år. Robuste grundlæggende elementer – fx sunde kapitalpositioner og likviditetsbuffere eller et lavere niveau af misligholdte lån – har hjulpet bankerne med at klare udfordringerne i forbindelse med coronaviruspandemien (covid-19) og de dermed forbundne forstyrrelser i forsyningskæderne, Ruslands krig i Ukraine og det efterfølgende stød i energiforsyningen samt amerikanske og schweiziske bankers nylige kollaps. Banksektorens evne til at modstå et alvorligt økonomisk tilbageslag bekræftes også af resultatet af dette års EU-dækkende stresstest^[2].

Rettes blikket fremad, står den europæiske banksektor over for en række udfordringer, som kræver øget årvågenhed fra både tilsynsmyndighedernes og bankernes side. Den hurtige rentestigning har indtil videre været til gavn for bankernes rentabilitet, men de højere renter forventes at øge både volatiliteten i nogle finansieringskilder og bankernes finansieringsomkostninger på mellemlangt sigt netop nu, hvor store mængder centralbankfinansiering skal udskiftes. Desuden kan kvaliteten af bankernes aktiver begynde at falde igen, hvis der opstår geopolitiske risici, eller høj inflation kombineret med strammere finansieringsforhold udfordrer husholdningernes og de ikke-finansielle selskabers gældsbetjeningsevne. Højere risikopræmier kan føre til yderligere prisjusteringer af finansielle aktiver og nye episoder med høj volatilitet på de finansielle markeder. På den baggrund er det vigtigt, at bankerne opretholder og til stadighed forbedrer deres rammer for styring af kreditrisiko og for aktiv- og passivforvaltning (ALM-rammer), idet de for sidstnævntes vedkommende sikrer dækning af både likviditets- og finansieringsrisikoen og renterisikoen i anlægsbeholdningen (IRRBB).

En række mellemstore amerikanske bankers konkurs og overtagelsen af en schweizisk bank understregede endnu en gang, at bankerne har brug for stærk intern governance og effektiv risikokontrol for at kunne håndtere et risikobillede, der udvikler sig dynamisk. Bankkrakkene understregede også betydningen af en rettidig og effektiv tilsynsreaktion og, om nødvendigt, eskalering, når bankernes praksis forekommer utilstrækkelig og afhjælpningen langsom. På grundlag heraf vil ECB Banktilsyn gradvis anvende passende eskaleringsmekanismer og -værktøjer for at sikre, at bankerne straks og på vellykket vis afhjælper de mangler, som er identificeret i tilsynsprioriteterne. Det gælder især i forbindelse med governance, hvor nogle banker ikke i tilstrækkelig grad har afhjulpet væsentlige mangler på trods af mange års samarbejde med tilsynsmyndighederne, fx de mangler, der vedrører ledelsesorganernes funktion og styringskapacitet eller kapaciteten til aggregering og rapportering af risikodata. Bankerne skal også sikre, at deres praksis er i fuld overensstemmelse med forsvarlig styring af klima- og miljørelaterede risici. Det skal de gøre senest ved udgangen af 2024, og ECB Banktilsyn har også fastsat frister for bankernes opfyldelse af visse krav inden for den periode.

Da den digitale omstilling er blevet en prioritet for mange banker, der ønsker at forblive konkurrencedygtige, er det afgørende, at de har tilstrækkelige sikkerhedsforanstaltninger til at begrænse potentielle risici som følge af ny forretningspraksis og nye teknologier. Tilsynsundersøgelser har vist, at nogle banker allerede har gjort gode fremskridt med deres digitale omstilling, mens andre ikke har tildelt de nødvendige ressourcer til at nå deres mål. Desuden understreger de voksende cybertrusler som følge af de aktuelle geopolitiske spændinger og den stigende afhængighed af tredjepartsudbydere behovet for, at bankerne forbliver robuste og sikrer kontinuitet i deres kritiske tjenester, selv i tilfælde af alvorlige driftsforstyrrelser. På den baggrund og sideløbende med de tilsynsaktiviteter, der er iværksat som led i disse prioriteter, vil bankerne i de kommende måneder blive bedt om at vise, at de er i stand til at reagere på og komme sig igen efter sådanne negative begivenheder.

Selv om risikobilledet har udviklet sig yderligere siden sidste år, er tilsynsprioriteterne og de tilsvarende aktiviteter, der blev fastsat i 2022, fortsat samlet set gyldige og afhjælper stadig de største sårbarheder i banksektoren. Uanset den stabilitet, der er nødvendig for planlægning over en treårig periode, er der behov for nogle få udvalgte justeringer for at imødegå de risici, der er fremhævet ovenfor.

I forbindelse med SSM's tilsynsprioriteter for 2024-2026 vil institutterne under tilsyn primært blive bedt om at styrke deres modstandsdygtighed over for umiddelbare makrofinansielle og geopolitiske stød (prioritet 1) samt fremskynde en effektiv afhjælpning af mangler i governance og styring af klima- og miljørelaterede risici (prioritet 2) og gøre yderligere fremskridt med den digitale omstilling og opbygge robuste rammer for operationel modstandsdygtighed (prioritet 3). Figur 1 viser syv centrale sårbarheder i bankerne, som kan tilskrives tre overordnede prioriteter.

Figur 1

Tilsynsprioriteter for 2024-2026, der adresserer identificerede sårbarheder i banker

Hovedformålet med ECB Banktilsyns strategiske planlægning er at udvikle en sund strategi for de næste tre år. Prioriteterne fremmer effektiviteten og konsekvensen i de fælles tilsynsteams tilsynsplanlægning og støtter en mere effektiv ressourceallokering i overensstemmelse med fastsættelsen af de tilsvarende risikotoleranceniveauer. Tilsynsprioriteterne er også en hjælp til de nationale tilsynsmyndigheder, således at de – på en forholdsmæssig måde – kan opstille deres egne prioriteter for tilsynet med mindre signifikante institutter. En gennemsigtig formidling af prioriteterne præciserer også tilsynsforventningerne til bankerne, øger tilsynets indvirkning på banksektorens evne til at øge sin modstandsdygtighed og bidrager til at sikre lige konkurrencevilkår.

I de næste afsnit uddybes resultatet af risikoidentifikations- og -vurderingsprocessen i 2023, og tilsynsprioriteterne og de underliggende arbejdsprogrammer for 2024-2026 beskrives. Under deres løbende samarbejde med bankerne udfører tilsynsmyndighederne også andre regelmæssige og ad hoc-aktiviteter som supplement til arbejdet med prioriteterne.

2 Risikovurdering og tilsynsprioriteter for 2024-2026

2.1 De operationelle forhold for institutterne under tilsyn

Den europæiske banksektor viste sin store modstandsdygtighed over for eksterne stød, da stress i den amerikanske og schweiziske banksektor i marts i år kun udløste begrænset og kortvarig afsmitning. De europæiske banker viste sig at være stærke med hensyn til kapital, likviditet og aktivkvalitet, og de kunne også trække på godt diversificerede finansieringskilder og kundegrundlag. Deres rentabilitet, som har givet anledning til bekymring i mange år, er for nylig steget kraftigt som følge af de højere renter og er vendt tilbage til et niveau, der ikke er set i over ti år. Den øgede modstandsdygtighed i banksektoren – som også opnås gennem en styrkelse af de europæiske lovgivnings- og tilsynsrammer – kan dog komme på prøve igen i fremtiden, og der kan ikke være plads til at lade stå til.

Vækstudsigterne for euroområdet er fortsat præget af stor usikkerhed i sammenhæng med strammere finansieringsforhold og øgede geopolitiske spændinger, mens den fremtidige udvikling i energi- og fødevarepriserne er forbundet med en række opadrettede risici^[3]. Inflationspresset skaber yderligere udfordringer, og den svage vækst i euroområdet forventes at vare ved på kort sigt. Selvom der fortsat er svagheder i fremstillingssektoren, vil aktiviteten i servicesektoren – som indtil videre har været den vigtigste drivkraft for den økonomiske vækst – sandsynligvis også dæmpes, givet de aftagende effekter fra genopretningen af økonomien efter pandemien og den fortsat betydelige nedadrettede effekt fra strammere finansieringsforhold og høj usikkerhed blandt forbrugerne. Arbejdsmarkedet i euroområdet har indtil videre været robust, men efterspørgslen efter arbejdskraft kan aftage, hvis den økonomiske aktivitet stagnerer i længere tid^[4]. Kreditudbudsforholdene er blevet væsentligt strammere siden december 2022, og udlånsvæksten er aftaget, efterhånden som den hurtige stramning af pengepolitikken i stigende grad slår igennem i realøkonomien^[5].

Den samlede inflation i euroområdet forventes fortsat at aftage på mellemlangt sigt, mens kerneinflationen forventes at falde mere gradvist^[6]. Hvis pengepolitikken kræver en yderligere stramning, eller hvis renterne holder sig på et højere niveau i længere tid i et scenarie med vedvarende høj inflation, kan udsigterne for den økonomiske vækst forværres, hvilket kan forringe kvaliteten af bankernes aktiver. Mens husholdningernes og virksomhedernes balancer samlet set synes at være økonomisk sunde, er der stigende bekymring om låntagernes evne til at afdrage på deres gæld, navnlig i forbindelse med udlån til fast ejendom. Ud over forringelse af kvaliteten af bankernes aktiver i tilfælde af et økonomisk tilbageslag udgør engangsforhold som bankafgiften en separat nedadrettet risiko for bankernes indtjening i nogle lande.

En blanding af øgede geopolitiske spændinger, højere renter i længere tid og en potentiel økonomisk afmatning i euroområdet kan føre til fornyet uro på de finansielle markeder. Uroen i banksektoren i USA og Schweiz i begyndelsen af marts, som udløste en kraftig stemning imod risikotagning blandt amerikanske banker, spredte sig kun delvis og kortvarigt til den europæiske banksektor. Afsmitningen til euroområdet forblev inddæmmet og kortvarig, markedsvolatiliteten aftog, og euroområdets aktiekurser rettede sig kort efter stødet, især i banksektoren, mens virksomhedsobligationsspændene igen indsnævredes. En pludselig forværring af de økonomiske udsigter kan ikke desto mindre udløse nye episoder med øget volatilitet og bratte korrektioner i aktivpriserne, der fører til en yderligere stramning af finansieringsforholdene.

2.2 Tilsynsprioriteter for 2024-2026

Tilsynsprioriteterne fastsættes efter en helhedsvurdering af bankernes største risici og sårbarheder. De tre overordnede prioriteter for de næste tre år fokuserer både på risiciene på kort sigt for banksektoren (prioritet 1) og på behovet for at håndtere mere strukturelle udfordringer på mellemlangt sigt (prioritet 2 og 3). Hver prioritet er rettet mod en række sårbarheder i banksektoren – kaldet "prioriterede sårbarheder" – for hvilke der er fastsat specifikke strategiske mål og udarbejdet arbejdsprogrammer for at afbøde de underliggende risici. Risicienes indbyrdes afhængighed afspejles i arbejdsprogrammernes udformning med det formål at styrke effektiviteten af tilsynsmyndighedernes engagement i bankerne.

Prioritet 1: Styrke modstandsdygtigheden over for umiddelbare makrofinansielle og geopolitiske stød

De usikre makrofinansielle forhold samt vedvarende geopolitiske spændinger og risikoen for fornyet finansiel stress præger fortsat udsigterne for den europæiske banksektor. Institutterne under tilsyn skal være forsigtige og udvikle og følge robuste forretningsstrategier for at tage højde for det makrofinansielle og geopolitiske miljø i hastig forandring. På den baggrund er ECB Banktilsyns hovedmål for de kommende måneder at sikre, at banker under dets direkte tilsyn styrker deres modstandsdygtighed over for umiddelbare makrofinansielle og geopolitiske stød. Selvom de stigende renter indtil videre har haft en positiv effekt på rentabiliteten, skal bankerne være parate til at håndtere mere volatile finansieringskilder, højere finansieringsomkostninger, et potentielt fald i aktivernes kvalitet og en yderligere prisjustering på de finansielle markeder på kort og mellemlangt sigt. Bankerne er derfor nødt til at styrke deres kreditrisikostyrings- og ALM-rammer.

Prioriteret sårbarhed: Mangler i rammerne for styring af kreditrisiko og modpartskreditrisiko

Strategisk mål: Bankerne bør effektivt afhjælpe strukturelle mangler i deres rammer for kreditrisikostyring, herunder styring af modpartskreditrisiko, og rettidigt imødegå eventuelle afvigelser fra lovkrav og tilsynsforventninger. Bankerne bør hurtigt kunne identificere og afbøde enhver opbygning af risici i porteføljer, der er mere følsomme over for de aktuelle makrofinansielle forhold.

Virksomhederne og husholdningerne har indtil videre vist sig modstandsdygtige over for den økonomiske afmatning takket være en solid indtjening, lav arbejdsløshed og store stødpuder af opsparing. Selv om institutterne under tilsyns samlede andel og beholdning af misligholdte lån stadig er tæt på rekordlave niveauer, er der tidlige tegn på en forringelse af aktivernes kvalitet i horisonten. Stadie 2-andelen er steget for udlån til husholdninger, især forbrugslån, idet presset på realindkomsten kombineret med højere renter i stigende grad påvirker husholdningernes gældsbetjeningsevne negativt. På samme måde er virksomhedskonkurser og misligholdelsesrater begyndt at stige fra de lave niveauer, der blev observeret under pandemien.

Udviklingen i boligejendomme i euroområdet er vendt med en nedgang i realkreditudlånet og et fald i boligpriserne i de fleste eurolande. Markedet for erhvervsejendomme befinder sig fortsat i en nedgangsperiode, idet værdiansættelserne og transaktionsomfanget falder kraftigt. Strukturelle sårbarheder og lavere efterspørgsel, især efter detail- og kontoraktiver af lavere kvalitet, forstærker de strammere finansieringsvilkår og de usikre markedsforhold. Bankernes eksponeringer synes at være særligt sårbare i lande, der er kendetegnet ved en allerede eksisterende overvurdering, og som har en betydelig andel af variabelt forrentede og ikke-amortiserede lån (fx stående lån), som kan have en højere refinansieringsrisiko.

Kombinationen af højere finansieringsomkostninger som følge af strammere finansieringsforhold og den høje volatilitet på de finansielle markeder forstærker risiciene for højt gearede finansielle institutioner, der ikke er banker, især hvis de har store derivatpositioner. Eksponering mod sådanne institutter kan medføre øget modpartsrisiko for nogle banker, hvilket understreger behovet for en forsvarlig risikostyringspraksis.

Tilsynsmyndighederne har i flere år arbejdet på at afhjælpe strukturelle mangler i bankernes rammer for kreditrisikostyring^[7]. Selvom tilsynsaktiviteterne viser, at bankerne har gjort visse fremskridt på dette område, fremhæver de også flere vedvarende mangler. De spænder fx fra bankernes begrænsede kapacitet til at foregribe nye risici (herunder klima- og miljørelaterede risici) og i tilstrækkelig grad afspejle dem i deres hensættelser til kreditrisiko, til mangler i deres beredskab til at håndtere en potentiel kraftig stigning i nødlidende debitorer og refinansieringsrisici samt tegn på overvurdering af sikkerhedsstillelse i porteføljer af erhvervsejendomme. Resultaterne af disse gennemgange har bidraget til SREP-resultatet i 2023, men bankerne er blevet underrettet om særlige tilsynsforanstaltninger, og tilsynsmyndighederne overvåger gennemførelsen af de planlagte korrigerende foranstaltninger nøje.

Hvad angår styringen af modpartsrisiko, har den målrettede gennemgang i 2022 og de efterfølgende inspektioner på stedet fremhævet væsentlige mangler i bankernes due diligence på kundeområdet, definition af risikovillighed, misligholdelsesprocedurer og rammer for stresstest. Institutterne under tilsyn har gjort fremskridt med hensyn til at løse de identificerede problemer, men der forventes stadig en yderligere indsats for at opnå en tæt overensstemmelse med rapporten "Sound practices in counterparty credit risk governance and management", som blev offentliggjort i oktober 2023.

Fremadrettet vil de tilsynsaktiviteter fra sidste års arbejdsprogram, der tager sigte på at nå det strategiske mål inden for kreditrisiko- og modpartsrisikostyring, stort set fortsætte. Ikke desto mindre er det nødvendigt at ændre fokus for at tage højde for de skiftende økonomiske forhold og de hidtidige fremskridt. De resterende huller, der blev konstateret i 2020-initiativet "Dear CEO" i form af brevet til bankernes CEO, vil fortsat blive fulgt op som led i gennemgangen af henstand, anticiperet misligholdelse samt hensættelsespraksis. Hvad angår sidstnævnte, vil den målrettede gennemgang med fokus på IFRS 9 og "overlays" blive gentaget for at overvåge bankernes fremskridt og afhjælpning af tidligere konklusioner. Desuden vil der blive gennemført målrettede gennemgange og, hvor det er relevant, inspektioner på stedet og undersøgelser af interne modeller vedrørende mere følsomme porteføljer som fx fast ejendom (både bolig- og erhvervsejendomme) og små og mellemstore virksomheder (SMV'er). Med hensyn til modpartsrisiko vil de fælles tilsynsteam fortsat nøje overvåge bankernes eksponeringer og granske, om deres risikostyringspraksis er tilstrækkelig, samt foretage en målrettet opfølgning på fremskridtene med at afhjælpe de mangler, der blev konstateret i 2022.

De vigtigste aktiviteter i arbejdsprogrammet for tilsynsprioriteter

• Målrettede gennemgange med fokus på robustheden af porteføljer, der er mere følsomme over for den aktuelle makrofinansielle situation og eksponeret mod refinansieringsrisiko, herunder en opfølgning på resultaterne af tidligere målrettede undersøgelser af lån vedrørende bolig- og erhvervsejendomme samt iværksættelsen af en ny målrettet gennemgang af sårbare SMV-låntagere.
• Opfølgning på den målrettede gennemgang af IFRS 9 med overvågning af fremskridtene med hensyn til bankernes forventede kredittabsmodellers evne til at opfange nye risici med fokus på "overlays".
• Forlængelse af de dybdegående undersøgelser af henstandspolitik og politik for anticiperet misligholdelse.
• Forlængelse af inspektionerne på stedet med fokus på IFRS 9's kollektive stadiefastsættelse og hensættelser for SMV'er, detailporteføljer og erhvervsejendomme, herunder værdiansættelse af sikkerhedsstillelse.
• Forlængelse af undersøgelserne af interne modeller og de fælles tilsynsteams opfølgning for at vurdere ændringer i interne ratingbaserede modeller i forbindelse med nye lovkrav og afhjælpning af resultaterne af den målrettede gennemgang af interne modeller.
• Opfølgning på den målrettede gennemgang af modpartsrisikostyringen, der blev gennemført i 2022.
• Målrettede inspektioner på stedet om specifikke aspekter af modpartsrisikostyringen.

Prioriteret sårbarhed: Mangler i rammerne for aktiv- og passivforvaltning

Strategisk mål: Bankerne bør sikre en forsvarlig og forsigtig ALM-styring og -strategier, der afspejler stærk overvågning fra deres ledelsesorganers side, og at de i tilstrækkelig grad tager højde for risici som følge af den aktuelle pengepolitik og de hurtigt skiftende økonomiske forhold. De bør især udvikle robuste og troværdige finansieringsplaner med henblik på at opnå diversificerede finansieringsstrukturer samt effektive beredskabsplaner for at kunne modstå kortsigtede likviditetsstød. Bankerne bør også sikre en hensigtsmæssig styring af deres renterisikopositioner, der afspejler forsigtige antagelser om kundernes adfærd, og udvikle tilsvarende strategier for reduktion, der står i et rimeligt forhold til deres risikoprofil.

Det rentemiljø, som bankerne opererer i, har ændret sig grundlæggende i løbet af de seneste to år. Selvom højere renter generelt understøtter rentabiliteten i institutterne under tilsyn, kan de også medføre højere finansieringsomkostninger og udgøre en udfordring for bankernes likviditetssituation og, mere generelt, deres ALM-styring, -strategier og -rammer.

Volatiliteten på de finansielle markeder og priskorrektionerne på markederne for fastforrentede værdipapirer i lyset af den aktuelle rentedynamik har øget risikoen for, at urealiserede tab opbygges i bankernes porteføljer til amortiseret kostpris. Selv om effekterne kan være alvorlige, hvilket fremgår af uroen omkring visse mellemstore banker i USA i marts, er der indtil videre ikke observeret den kombination af faktorer, der førte til denne særlige episode, i banker under det europæiske banktilsyn. Som det fremgår af data^[8] offentliggjort i juli 2023, var de samlede urealiserede tab forholdsvis begrænsede, nemlig 73 mia. euro fra februar 2023, sammenlignet med 620 mia. dollar for amerikanske banker ved udgangen af 2022^[9]. Tilsynsmyndighederne har gennemgået bankernes vurdering og styring af rente- og kreditspændsrisici allerede fra 2. halvår 2021, hvor de første tegn på inflationspres viste sig. I 2022 inkluderede ECB Banktilsyn disse risici i sine tilsynsprioriteter og foretog en målrettet gennemgang for proaktivt at vurdere bankernes beredskab over for potentielle rentestigninger. De resultater, der blev konstateret på det tidspunkt, tydede på, at bankerne var nødt til at gennemgå kalibreringen af deres ALM-modeller hyppigere for at reagere på ændringer i kundernes adfærd som følge af de nye renteforhold og svagheder i visse afdækningsstrategier.

Hvad angår likviditet og finansiering, har institutterne under tilsyn alt i alt vist stor modstandsdygtighed over for de ændringer, der hidtil er sket i det finansielle miljø. Selvom faldende centralbankreserver og en svag udvikling i pengemængden har ført til et fald i bankernes likviditetsbuffere, ligger deres mål for likviditetsdækning (LCR) og net stable funding ratio i gennemsnit fortsat et godt stykke over det lovbestemte minimum. Desuden har institutterne under tilsyn ikke samme koncentrationer af finansiering som nogle af de amerikanske mellemstore banker, der gik konkurs tidligere på året, eftersom deres primære finansieringskilder hovedsagelig er indlån. Disse investeringer kommer hovedsagelig fra detailkunder, hvoraf størstedelen er dækket af indskydergaranti. For at sikre en gnidningsløs udfasning af de målrettede langfristede markedsoperationer (TLTRO) og vurdere bankernes parathed i den henseende blev der gennemført en målrettet gennemgang i 2023 med fokus på bankernes TLTRO-exitstrategier. På den baggrund er nogle banker blevet bedt om yderligere at diversificere deres finansieringskilder. En målrettet gennemgang vurderer også pålideligheden og soliditeten af bankernes finansieringsplaner. Resultaterne heraf vil indgå i SREP-resultatet i 2024.

Fremadrettet vil ECB Banktilsyn fortsat lægge stor vægt på bankernes behov for robuste ALM-ordninger. Målrettede aktiviteter vil gennemgå bankernes ALM-styring og -strategier og vurdere, om de antagelser, der ligger til grund for nogle af deres adfærdsmodeller, er tilstrækkelige. Tilsynsmyndighederne vil også evaluere bankernes modstandsdygtighed over for kortsigtede likviditetsstød samt troværdigheden og soliditeten af deres likviditetsberedskabsplaner. Endelig vil tilsynsmyndighederne fortsætte de foregående års bestræbelser ved yderligere at gennemgå, hvordan bankerne forvalter IRRBB, samt soliditeten og pålideligheden af deres finansieringsplaner.

De vigtigste aktiviteter i arbejdsprogrammet for tilsynsprioriteter

• Målrettede gennemgange af finansieringsplanernes soliditet og pålidelighed, beredskabsplanlægningen og tilstrækkeligheden af kapaciteten til at optimere sikkerhedsstillelsen samt af ALM-styring og -strategier.
• Målrettede inspektioner på stedet med en vurdering af robustheden og hensigtsmæssigheden af finansierings- og genopretningsplaner.
• Opfølgning på resultaterne af den målrettede gennemgang af rente- og kreditspændsrisici og udvidelse af denne gennemgang til også at omfatte et bredere spektrum af institutter.
• Kampagne for inspektioner på stedet om IRRBB, med undersøgelse af navnlig ALM-positionering og -strategi, IRRBB-adfærdsmodeller og risikoafdækningsstrategi.

Prioritet 2: Fremskynde en effektiv afhjælpning af mangler i governance og styring af klima- og miljørelaterede risici

SREP-resultaterne for 2023 fremhæver fortsat nogle bankers utilstrækkelige fremskridt med hensyn til at håndtere mangler i governance. Dette er især tilfældet på områder, der vedrører funktionen og den strategiske styring af bankernes ledelsesorganer, men også deres RDAR-kapacitet. Desuden har visse amerikanske og schweiziske bankers krak tidligere på året igen understreget betydningen af stærk governance og sund risikokontrol. Det samme gælder i en situation med støt stigende klima- og miljørelaterede risici, hvis negative virkninger allerede mærkes globalt. Bankerne vil blive bedt om at øge deres indsats og i tilstrækkelig grad afspejle de relevante risikodimensioner i deres forretningsstrategier og risikostyringsrammer for fuldt ud at opfylde de tilhørende tilsynsforventninger inden udgangen af 2024. For at understøtte dette mål er ECB Banktilsyn klar til at gøre brug af de værktøjer, det har til rådighed (herunder, når det er nødvendigt, kapitaltillæg, håndhævelse og sanktioner samt gennemgang af vurderinger af egnethed og hæderlighed) for at tilskynde bankerne til effektivt at afhjælpe de identificerede mangler, navnlig når der fastsættes klare foranstaltninger og konkrete tidsfrister for opfyldelse af tilsynsforventningerne.

Prioriteret sårbarhed: Mangler i ledelsesorganernes funktion og styringskapacitet

Strategisk mål: Bankerne bør effektivt afhjælpe væsentlige mangler i deres ledelsesorganers funktion, overvågning og sammensætning ved at udvikle og hurtigt gennemføre sunde planer for afhjælpende tiltag, der overholder tilsynsforventningerne.

Forsvarlige interne governanceordninger og effektiv strategisk styring er afgørende for at sikre, at bankernes forretningsmodeller er robuste og holdbare. De nuværende usikre makrofinansielle udsigter og de igangværende ændringer i renteforholdene efter flere år med lempelige finansieringsvilkår kræver, at bankerne anvender effektiv strategisk styring og justerer deres praksis for i tilstrækkelig grad at vurdere, kontrollere og styre de dermed forbundne risici. Uroen i marts i den amerikanske og schweiziske banksektor har understreget den afgørende rolle, som bankernes bestyrelser og ledelse spiller, idet de har det endelige ansvar for at sikre passende interne governanceordninger og effektive risikostyringsprocesser. Det understregede også de potentielt alvorlige konsekvenser for banker, der mangler dem. Der er også behov for effektiv strategisk styring for at tilpasse bankernes forretningsmodeller til udviklingen, fx digitalisering og en fremskyndet grøn omstilling.

Håndteringen af mangler i ledelsesorganerne har været en af ECB Banktilsyns topprioriteter i flere år, og selvom der er sket forbedringer på nogle områder, er der behov for yderligere fremskridt med hensyn til bankbestyrelsernes sammensætning, kollektive egnethed og overvågningsrolle. Efter det direkte tilsyn i 2022 har bankerne foretaget forbedringer i deres politikker for diversitet, som nu omfatter kriterierne uddannelse, erfaring, geografisk herkomst og alder ud over køn. På nuværende tidspunkt har næsten alle institutterne under tilsyn mål om at rette op på kønsskævheder i deres ledelsesorganer. De fremskridt, der er gjort med hensyn til at nå disse mål, er dog stadig utilstrækkelige^[10]. Bankerne er også nødt til yderligere at forbedre deres bestyrelsers kollektive egnethed samt deres udfordrende kapacitet. Sidstnævnte hænger sammen med svagheder i bestyrelsens sammensætning (fx et utilstrækkeligt antal formelt uafhængige bestyrelsesmedlemmer og mangel på viden på specifikke områder som IT) og funktion (fx utilstrækkelig tid til debat og bekymringer i forbindelse med udnævnelsesprocessen for ledelsesorganer). Bestyrelsesudvalgenes overvågningsrolle skal også forbedres yderligere, som det fremgik af den målrettede gennemgang af ledelsesorganerne i 2023^[11].

ECB Banktilsyn vil fortsætte sit samarbejde med bankerne med henblik på at afhjælpe disse langvarige mangler gennem målrettede gennemgange og inspektioner på stedet. Endvidere vil tilsynsmyndighederne også opdatere og offentliggøre de tilsynsmæssige forventninger til governance og risikostyring.

De vigtigste aktiviteter i arbejdsprogrammet for tilsynsprioriteter

• Målrettet gennemgang af bankernes ledelsesorganers effektivitet og målrettede inspektioner på stedet.
• Opdatering og ekstern offentliggørelse af tilsynsforventninger og bedste praksis vedrørende bankernes governance og risikokultur^[12].

Prioriteret sårbarhed: Mangler i aggregeringen og rapporteringen af risikodata

Strategisk mål: Bankerne bør effektivt rette op på langvarige mangler og indføre passende og effektive rammer for aggregering og rapportering af risikodata (RDAR) som en støtte til ledelsesorganernes effektive styring og for at imødekomme tilsynsforventningerne, herunder i krisetider.

Rettidig og nøjagtig aggregering og rapportering af risikodata er afgørende for en sund beslutningstagning og effektiv strategisk styring i bankerne, især i den nuværende situation, samt af hensyn til risikorapportering og indberetning af finansielle og tilsynsmæssige oplysninger. Resultaterne af de hidtidige tilsyn – herunder SREP-øvelsen i 2023 og den igangværende kampagne for inspektioner på stedet – peger alle i retning af utilstrækkelige fremskridt med at lukke huller med hensyn til tilsynsforventninger og efterlevelse af Baselkomitéen for Banktilsyns principper for effektiv aggregering af risikodata og risikorapportering. De vigtigste mangler vedrører utilstrækkelig opmærksomhed og overvågning fra ledelsesorganernes side, svagheder i dataarkitekturen og fragmenterede og ikke-harmoniserede IT-landskaber, lav aggregeringskapacitet og ineffektive governancerammer. En stærk prioritering fra ledelsesorganernes side er afgørende, da det ofte kræver betydelige ressourcer at afhjælpe manglerne i forbindelse med RDAR.

Som det allerede blev meddelt i sidste års tilsynsprioriteter, styrker ECB Banktilsyn sin indsats for at sikre, at institutterne under tilsyn gør betydelige fremskridt med at afhjælpe de langvarige mangler, som er identificeret inden for RDAR. En struktureret eskaleringsmekanisme, der muligvis omfatter håndhævelse og sanktioner, vil i stigende grad blive anvendt fra 2024 og fremefter^[13]. Vejledningen om effektiv aggregering af risikodata og risikorapportering styrker og specificerer tilsynsforventningerne yderligere. En offentlig høring^[14] om vejledningen fandt sted mellem juli og oktober 2023, og vejledningen forventes offentliggjort i 2024. Tilsynsmyndighederne vil også foretage målrettede gennemgange og inspektioner på stedet og vil samarbejde med bankerne, når der konstateres vedvarende mangler. Desuden vil ledelsesrapporten om datastyring og datakvalitet (Management Report on Data Governance and Data Quality)^[15], der blev iværksat som et pilotprojekt i begyndelsen af 2023, blive videreført som et årligt spørgeskema til bankerne. Den har til formål at sikre tilstrækkelig ansvarlighed hos bankernes ledelsesorganer i spørgsmål vedrørende intern, finansiel og tilsynsmæssig rapportering.

De vigtigste aktiviteter i arbejdsprogrammet for tilsynsprioriteter

• Finjustering af tilsynsforventningerne i forbindelse med implementeringen af RDAR-principperne og offentliggørelsen af vejledningen om effektiv aggregering af risikodata og risikorapportering.
• Målrettede gennemgange af RDAR-praksis.
• Kampagne om RDAR for inspektioner på stedet (forlænget fra 2023).
• Udarbejdelse af Management Report on Data Governance and Data Quality – et årligt spørgeskema for at sikre tilstrækkelig ansvarlighed hos bankernes ledelsesorganer i spørgsmål vedrørende intern, finansiel og tilsynsrapportering.

Prioriteret sårbarhed: Væsentlige eksponeringer mod faktorerne bag fysiske risici og omstillingsrisici for klimaændringer

Strategisk mål: Bankerne bør i tilstrækkelig grad indarbejde klima- og miljørelaterede risici i deres forretningsstrategi og deres governance- og risikostyringsrammer med det formål at afbøde og oplyse om disse risici. Dermed bringes deres praksis i overensstemmelse med gældende lovkrav og tilsynsforventninger.

De globale drivhusgasemissioner er fortsat med at stige^[16], hvilket har ført til yderligere global opvarmning og dermed til intensivering af mange farer, der forekommer samtidig, i form af rekordvarme hedebølger og naturbrande og oversvømmelser i Europa og andre regioner i verden. De eksisterende politikker lever ikke op til de globale opvarmningsmål, der er fastsat i Parisaftalen fra 2015^[17]. En forsinket klimaindsats forventes yderligere at øge de fysiske risici og omstillingsrisiciene og potentielt de dermed forbundne tab for bankerne, hvilket vil øge risikoen for større skader, fastlåste infrastrukturer med høje emissioner, strandede aktiver og eskalering af omkostningerne^[18]. Geopolitiske spændinger samt stadig større forhåndsinvesteringer og forstyrrende ændringer, der er nødvendige for afbødning og tilpasning, vil sandsynligvis yderligere øge omstillingsrisiciene i lyset af de strammere finansieringsvilkår.

For nogle bankers vedkommende viste SREP 2023 en vis forbedring i fastlæggelsen af deres strategi med hensyn til klima- og miljørelaterede risici, mens den for andre også viste, at der var et presserende behov for at afhjælpe disse mangler. SREP's kvalitative foranstaltninger fokuserede primært på bankernes svagheder i den strategiske og operationelle planlægning og i ledelsesorganernes viden om miljømæssige, sociale og ledelsesmæssige emner (ESG). Klima- og miljømæssige risici påvirkede søjle 2-kravenes niveau for et stigende antal banker i forhold til sidste års SREP-øvelse^[19].

For effektivt at afhjælpe de mangler, der blev fremhævet i ECB's stresstest af klimarisici i 2022^[20] og den tematiske gennemgang^[21], fastsætter ECB Banktilsyn senest ved udgangen af 2024 institutspecifikke frister for, hvornår bankerne fuldt ud skal bringe deres praksis i overensstemmelse med de tilsynsforventninger, der fremgår af ECB's vejledning om klima- og miljørelaterede risici fra 2020. Marts 2023 markerede en af milepælene i denne proces, da det var måneden, hvor bankerne forventedes at kategorisere klima- og miljørelaterede risici tilstrækkeligt og foretage en fuldstændig vurdering af den dermed forbundne effekt på deres aktiviteter. Nogle banker har stadig vist alvorlige svagheder i denne henseende, og tilsynsmyndighederne har samarbejdet med dem gennem operationelle foranstaltninger, kvalitative SREP-krav og ad hoc-afgørelser fra Tilsynsrådet. Inden udgangen af 2023 forventes bankerne at indarbejde klima- og miljørelaterede risici i deres governance, strategi og risikostyring og endelig forventes de inden udgangen af 2024 at opfylde alle de resterende tilsynsforventninger, der blev skitseret i 2020, herunder fuld integration i den interne procedure til vurdering af kapitalgrundlaget (ICAAP) og stresstest. Fremover vil ECB Banktilsyn fortsat anvende hele sin værktøjskasse til at sikre, at bankerne lever op til disse forventninger, herunder om nødvendigt eskalere tilsynet, fx tvangsbøder eller bankspecifikke kapitaltillæg^[22].

Desuden vil tilsynsmyndighederne fortsat gennemgå og vurdere, om bankernes oplysningspraksis er tilstrækkelig. Selvom bankerne har gjort visse fremskridt på dette område, hvilket fremgår af den tredje vurdering af de europæiske bankers fremskridt med hensyn til at oplyse om klima- og miljørisici, er kvaliteten af oplysningen fortsat lav. Andre fokusområder i de kommende år vil omfatte behandling af klima- og miljørelaterede risici for forringelse af omdømme og retstvister som følge af offentliggørelsen af omstillingsmål og/eller nettonulforpligtelser. Tilsynsmyndighederne vil også fortsætte deres forberedende arbejde med at udvikle en ramme for gennemgang af bankernes omstillingsplanlægning og parathed til at opfylde ESG-relaterede mandater i kapitalkravsdirektivet (CRD VI). Endelig vil klimarelaterede risici fortsat blive vurderet i forbindelse med visse risikospecifikke inspektioner på stedet, mens målrettede enkeltstående risikomissioner om klima- og miljørelaterede risici efter planen skal påbegyndes i 2024.

De vigtigste aktiviteter i arbejdsprogrammet for tilsynsprioriteter

• Målrettet opfølgning på mangler, der blev konstateret i forbindelse med 2022-stresstesten af klimarisiko og den tematiske gennemgang med henblik på at opnå fuld overensstemmelse med de relaterede tilsynsforventninger inden udgangen af 2024.
• Gennemgang af bankernes overholdelse af og overensstemmelse mellem gennemførelsesmæssige tekniske standarder for rapportering og søjle 3-oplysningskrav vedrørende klima- og miljørelaterede risici samt benchmarking af bankernes praksis i forhold til tilsynsforventningerne.
• Dybdegående undersøgelser af bankernes evne til at håndtere risikoen for forringelse af omdømme og retstvister i forbindelse med klima- og miljørelaterede forpligtelser.
• Målrettede inspektioner på stedet med fokus på klimarelaterede aspekter, enten alene eller i forbindelse med planlagt gennemgang af individuelle risici (fx kredit- drifts- og forretningsmodel).

Prioritet 3: Yderligere fremskridt inden for digital omstilling og opbygning af robuste rammer for operationel modstandsdygtighed

Selvom de fleste institutter under tilsyn gør fremskridt med digitaliseringen af deres aktiviteter og tjenester for at klare de stadig større konkurrencemæssige udfordringer, er de også nødt til at styrke og om nødvendigt tilpasse deres rammer for operationel modstandsdygtighed for at afbøde potentielle risici. Opnåelse af operationel modstandsdygtighed bør bidrage til, at bankernes forretningsmodeller er holdbare på mellemlangt sigt, og sætte dem i stand til bl.a. at høste fordelene ved innovative teknologier. Nogle banker sakker dog bagud med hensyn til at nå deres mål på dette område. Institutterne under tilsyn skal desuden håndtere sårbarheder, som skyldes deres stigende operationelle afhængighed af tredjepartsudbydere, og forbedre deres IT-sikkerhed/cyberrisikostyring. Dette er særlig vigtigt i lyset af de stigende cybertrusler som følge af det nuværende geopolitiske miljø.

Prioriteret sårbarhed: Mangler i bankernes strategier for digital omstilling

Strategisk mål: Bankerne bør udvikle og gennemføre sunde planer for digital omstilling gennem passende ordninger (fx forretningsstrategi og risikostyring) for at styrke deres forretningsmodellers holdbarhed og mindske risiciene i forbindelse med anvendelsen af innovative teknologier.

Institutterne under tilsyn har på det seneste rapporteret om rekordhøj rentabilitet, primært som følge af højere nettorentemarginaler. Der er dog stadig strukturelle svagheder i deres forretningsmodeller. Bankernes omkostninger i forhold til indtægter er fortsat høje og træge, og gennemførelsen af foranstaltninger til begrænsning af omkostningerne kan vise sig at være en udfordring med det nuværende høje inflationspres. I denne forbindelse bør institutter under tilsyn være i stand til at håndtere den forventede stigning i driftsudgifterne uden at bringe de hårdt tiltrængte investeringer i den digitale omstilling i fare. Digitaliseringen forventes at styrke bankernes konkurrencestilling og gøre dem mere modstandsdygtige over for konkurrence fra andre uden for banksektoren.

I 2023 foretog ECB Banktilsyn en horisontal vurdering og en benchmarkinganalyse baseret på SSM-dataindsamlingen om digital omstilling og brugen af finansiel teknologi (fintech). Resultatet af denne analyse blev delt med bankerne og bidrog til at kvalificere en række risici i forbindelse med den digitale omstilling, herunder strategiske risici og udførelsesrisici, cyberrisiko, tredjepartsafhængighedsrisiko og risici for hvidvask af penge og svig. Målrettede inspektioner på stedet, som supplerede den horisontale vurdering, gav anledning til bekymring om effektiv strategisk styring og udførelse og understregede betydningen af opkvalificering af medarbejdere og ledelsesorganer. Der blev også afsløret mangler i budgetteringen og den finansielle planlægning, idet bankerne har svært ved at overvåge den finansielle virkning af deres initiativer til digital omstilling. Resultatet af disse aktiviteter indgik i tilsynsvurderingen af bankernes forretningsmodeller i SREP-cyklussen for 2023. Fremover vil ECB Banktilsyn fortsat fokusere på den digitale omstilling og kombinere målrettede gennemgange med særlige inspektioner på stedet. ECB Banktilsyn vil offentliggøre sine tilsynsforventninger til bankernes digitale omstilling^[23]. De reviderede forventninger vil bidrage til at styrke tilsynsvurderingsmetoden.

De vigtigste aktiviteter i arbejdsprogrammet for tilsynsprioriteter

• Målrettede gennemgange med fokus på, hvordan bankernes digitale omstilling påvirker deres forretningsmodel/strategi, governance og risikoidentifikation/-styring, suppleret af de fælles tilsynsteams opfølgning med banker, hvor der er konstateret væsentlige mangler.
• Målrettede inspektioner på stedet vedrørende digital omstilling, hvor forretningsmodellens dimension kombineres med IT-aspektet af bankernes strategier for digital omstilling.
• Offentliggørelse af tilsynsforventninger og udveksling af bedste praksis vedrørende strategier for digital omstilling.

Prioriteret sårbarhed: Mangler i rammerne for operationel modstandsdygtighed, dvs. IT-outsourcing og IT-sikkerheds-/cyberrisici

Strategisk mål: Bankerne bør have solide ordninger til håndtering af risici i forbindelse med outsourcing samt rammer for IT-sikkerhed og cyberrobusthed for proaktivt at håndtere eventuelle ikke reducerede risici, som kan føre til væsentlige forstyrrelser i kritiske aktiviteter eller tjenester. Samtidig sikres det, at de overholder de relevante lovkrav og tilsynsforventninger.

Cyberrisiko og datasikkerhed er fortsat de vigtigste drivkræfter bag bankernes operationelle risiko. Antallet af cyberhændelser, som institutterne under tilsyn indberettede til ECB Banktilsyn, steg kraftigt i 1. halvår 2023, hvilket afspejler banksektorens betydelige eksponering over for nye cybertrusler, som bl.a. skyldtes Ruslands krig i Ukraine og øgede geopolitiske spændinger. Destruktive angreb er blevet en fremtrædende del af statslige aktørers aktiviteter, og de finansielle institutioner er sandsynligvis også et mål i betragtning af deres rolle i kritisk infrastruktur^[24]. Især ransomwareangreb har været stigende, idet IT-kriminelle er blevet mere avancerede, og bankerne i stigende grad påvirkes af afpresningsteknikker.

Svagheder i IT-outsourcingordninger udgør endnu en central sårbarhed, da bankerne i stigende grad er afhængige af tredjepartsudbydere. De stadig længere og mere komplekse forsyningskæder kræver, at bankerne opnår en bedre forståelse af og kontrol med deres leverandørrelationer og (indbyrdes) afhængigheder med henblik på proaktivt at imødegå potentielle koncentrationsrisici. En sund forvaltning af aktiver og leverandører er således afgørende for, at bankerne kan opfylde kundernes krav og øge deres effektivitet i et stadig mere konkurrencepræget miljø, samtidig med at de sikrer korrekt risikostyring af deres outsourcingaftaler og anvendelse af cloudløsninger. Resultatet af SREP-vurderingen 2023 har yderligere bekræftet, at bankernes mangler i forbindelse med styringen af IT-outsourcing- og IT-sikkerheds-/cyberrisici spiller en fremtrædende rolle, da operationel risiko fortsat er det element, der har de værste SREP-scorer^[25].

På den baggrund har ECB Banktilsyn etableret en årlig indsamling af outsourcingregistre fra institutterne under tilsyn. Analyserne har indtil videre afdækket forskellige sårbarheder, herunder en stor afhængighed af visse eksterne leverandører uden for EU og et betydeligt antal outsourcingkontrakter. Korrekt styring af tredjepartsrisiko, herunder cloudoutsourcing, står fortsat højt på tilsynsdagsordenen og vil blive vurderet yderligere som led i de igangværende aktiviteter.

Ud over den horisontale vurdering af bankernes outsourcingordninger og analysen af koncentrationsrisici vil ECB Banktilsyn fortsætte med at foretage målrettede gennemgange af outsourcingordninger og cyberrobusthed for at få bedre indblik i arten og omfanget af risiciene samt bankernes afbødende foranstaltninger i forbindelse hermed. De målrettede gennemgange vil også blive suppleret af inspektioner på stedet med henblik på at identificere og vurdere mangler for hver enkelt bank. På grund af den kraftige stigning i antallet af cyberangreb og emnets betydning i det aktuelle geopolitiske miljø vil ECB Banktilsyn desuden gennemføre en tematisk stresstest af cyberrobusthed næste år for at vurdere bankernes evne til at reagere på og komme sig igen efter et vellykket cyberangreb^[26].

De vigtigste aktiviteter i arbejdsprogrammet for tilsynsprioriteter

• Dataindsamling og horisontal analyse af outsourcingregistre for at identificere indbyrdes forbindelser mellem institutter under tilsyn, tredjepartsudbydere og potentielle risikokoncentrationer hos visse udbydere.
• Målrettede gennemgange af outsourcingordninger og cyberrobusthed.
• Målrettede inspektioner på stedet af styringen af outsourcing og cybersikkerhed.
• Stresstest af cyberrobusthed for hele systemet i 2024 med fokus på bankernes reaktions- og genopretningskapacitet efter en cybersikkerhedshændelse og deres evne til rettidigt at inddæmme virkningen og genoprette tjenesterne.