1 Johdanto

Valvontaprioriteetit perustuvat EKP:n pankkivalvonnan keskipitkän aikavälin strategiaan, joka kattaa seuraavat kolme vuotta. Valvontaelimen vahvistamat valvontaprioriteetit tarkistetaan vuosittain, ja ne perustuvat perusteelliseen arvioon valvottavien laitosten keskeisistä riskeistä ja haavoittuvuustekijöistä. Niissä otetaan myös huomioon vakavaraisuuden kokonaisarvioinnin (Supervisory Review and Evaluation Process, SREP) tulokset^[1] ja edistyminen edellisten vuosien prioriteettien toteutuksessa. Valvontaprioriteetit auttavat kohdentamaan käytettävissä olevat valvontaresurssit tehokkaammin, ja niitä voidaan myös muuttaa joustavasti, jos riskinäkymien muutokset sitä edellyttävät.

Valvottavat laitokset ovat selviytyneet viime vuosien makrotaloudellisista, rahoituksellisista ja geopoliittisista sokeista hyvin. Niillä on ollut viime vuosina monia haasteita, kuten koronaviruspandemia (covid-19) ja siihen liittyvät toimitusketjujen häiriöt, Venäjän sota Ukrainassa ja siitä seurannut energian tarjontasokki sekä joidenkin yhdysvaltalais- ja sveitsiläispankkien hiljattainen kaatuminen. Haasteista on selviydytty, koska laitosten perusasiat ovat kunnossa: niillä on riittävästi pääomaa, hyvät likviditeettipuskurit ja aiempaa vähemmän järjestämättömiä lainoja. Myös tänä vuonna tehdyn EU:n laajuisen stressitestin tulokset vahvistavat, että pankkisektori kykenee selviytymään vakavasta taloudellisesta laskusuhdanteesta.^[2]

EU:n pankkisektorilla on jatkossakin useita haasteita, joita niin pankkivalvojien kuin pankkien on seurattava erityisen valppaasti. Korkojen nopea nousu on toistaiseksi parantanut pankkien kannattavuutta, mutta korkeat korot todennäköisesti lisäävät joidenkin rahoituslähteiden epävakautta ja pankkien varainhankinnan kustannuksia keskipitkällä aikavälillä samaan aikaan, kun huomattava osa keskuspankkirahoituksesta on määrä korvata. Myös pankkien varojen laatu voi alkaa jälleen huonontua, jos geopoliittiset riskit toteutuvat tai jos nopea inflaatio ja rahoitusolojen kiristyminen heikentävät kotitalouksien ja yritysten velanhoitokykyä. Riskilisien (riskipreemioiden) nousu voi lisätä rahoitusvarojen uudelleenhinnoittelua ja johtaa uusiin voimakkaisiin heilahteluihin rahoitusmarkkinoilla. On siis olennaisen tärkeää, että pankit jatkavat ja tehostavat luottoriskin ja taseen hallintaa. Tasehallinnassa on huomioitava sekä likviditeetti- että rahoitusriskit ja myös rahoitustaseen korkoriski (IRRBB).

Useiden keskikokoisten yhdysvaltalaispankkien kaatuminen ja erään sveitsiläispankin myynti osoittivat jälleen kerran, että pankit tarvitsevat vahvaa sisäistä hallintoa ja tehokasta riskienvalvontaa, jotta ne pystyvät selviytymään nopeasti kehittyvistä uusista riskeistä. Pankkien kaatuminen myös osoitti, että oikea-aikaiset ja tehokkaat pankkivalvontatoimet ja jopa niiden eskalointi on tärkeää silloin, kun pankkien käytännöt vaikuttavat riittämättömiltä ja korjaustoimet hitailta. EKP:n pankkivalvonta alkaakin asteittain käyttää tarvittavia eskalointimekanismeja ja -välineitä, joilla varmistetaan, että pankit aloittavat valvontaprioriteeteissa mainittujen puutteiden korjaamisen nopeasti ja vievät sen onnistuneesti loppuun. Tämä koskee etenkin pankkien hallintoa ja ohjausta, joiden huomattavia puutteita ei joissakin pankeissa ole korjattu riittävästi, vaikka niistä on keskusteltu pankkivalvojien kanssa jo pitkään. Huomattavia puutteita on havaittu esimerkiksi ylimpien hallintoelinten toiminta- ja ohjausvalmiuksissa sekä riskitietojen koonti- ja raportointivalmiuksissa. Lisäksi pankkien on vuoden 2024 loppuun mennessä varmistettava, että niiden käytännöt ovat täysin ilmasto- ja ympäristöriskien hyvien hallintaperiaatteiden mukaisia. EKP:n pankkivalvonta on myös asettanut tietyille vaatimuksille jo tätä aikaisempia määräaikoja.

Monille pankeille digitalisaatio on tärkeä tavoite niiden kilpailukyvyn säilyttämiseksi. Siksi niillä onkin oltava riittävät suojatoimet, joilla vähennetään uusien liiketoimintakäytäntöjen ja tekniikoiden mahdollisia riskejä. Pankkivalvonnan tekemät tutkimukset ovat osoittaneet, että vaikka toiset pankit ovatkin jo edistyneet digitalisaatiossa hyvin, toiset eivät ole varanneet tarvittavia resursseja tavoitteidensa saavuttamiseksi. Kun nykyiset geopoliittiset jännitteet vielä voimistavat jo muutenkin kasvavia kyberuhkia ja pankit turvautuvat yhä enemmän ulkopuolisiin palveluntarjoajiin, pankkien on entistäkin tärkeämpää säilyttää häiriönsietokykynsä ja varmistaa kriittisten palvelujensa jatkuvuus myös vakavien toimintahäiriöiden yhteydessä. Edellä mainitut seikat on otettu huomioon prioriteettien pohjalta käynnistetyissä valvontatoimissa. Lisäksi pankkeja pyydetään lähikuukausina osoittamaan, että ne kykenevät vastaamaan häiriöihin ja palautumaan niistä.

Vaikka riskit ovat viime vuodesta kasvaneet, vuoden 2022 valvontaprioriteetit ja niihin liittyvät toimet ovat yleisesti ottaen yhä perusteltuja: niillä pyritään edelleen poistamaan pankkisektorin huomattavimpia haavoittuvuustekijöitä. Vaikka prioriteettien onkin tarkoitus pysyä seuraavat kolme vuotta vakaina, niiden muuttaminen on edellä mainittujen riskien vuoksi perusteltua.

Yhteisen valvontamekanismin prioriteettien 2024–2026 yhteydessä valvottavia laitoksia pyydetään ensisijaisesti vahvistamaan kykyään selviytyä makrotaloudellisista, rahoituksellisista ja geopoliittisista sokeista (prioriteetti 1) sekä korjaamaan nopeammin ja tehokkaammin hallintoa ja ohjausta sekä ilmasto- ja ympäristöriskien hallintaa koskevat puutteet (prioriteetti 2). Lisäksi niitä pyydetään etenemään digitalisaatiossa ja vahvistamaan operatiivista häiriönsietokykyään (prioriteetti 3). Kaaviossa 1 esitetään kolme valvontaprioriteettia ja niiden alle ryhmiteltyinä seitsemän huomattavaa pankkien haavoittuvuustekijää.

Kaavio 1

Valvontaprioriteetit 2024–2026: pankeissa havaittujen puutteiden korjaaminen

EKP:n pankkivalvonnan strategisen suunnittelun päätarkoituksena on laatia tuloksellinen kolmivuotisstrategia. Valvontaprioriteetit auttavat yhteisiä valvontaryhmiä suunnittelemaan toimintaansa tuloksellisemmin ja yhtenäisemmin, kohdentamaan resurssit tehokkaammin ja asettamaan riskeille prioriteettien mukaiset rajat. Ne auttavat myös kansallisia pankkivalvojia laatimaan suhteellisuusperiaatteen mukaisesti omat prioriteettinsa vähemmän merkittävien laitosten valvontaa varten. Avoin tiedottaminen prioriteeteista selventää valvontaodotuksia ja tehostaa valvonnan vaikutusta pankkien häiriönsietokykyyn. Selkeä viestintä auttaa myös varmistamaan pankkien tasapuoliset toimintaedellytykset.

Seuraavaksi käydään tarkemmin läpi vuonna 2023 toteutetun riskien määritys- ja arviointihankkeen tulokset sekä vuosien 2024–2026 valvontaprioriteetit ja toimenpidesuunnitelmat. Prioriteetteihin liittyvän työnsä ohella valvojat pitävät jatkuvasti yhteyttä pankkeihin ja toteuttavat muitakin säännöllisiä ja yksittäisiä toimia.

2 Riskiarvio ja valvontaprioriteetit vuosille 2024–2026

2.1 Valvottavien laitosten toimintaympäristö

EU:n pankkisektori osoitti kestävänsä ulkoisia sokkeja hyvin, sillä Yhdysvaltain ja Sveitsin pankkisektorien maaliskuisten vaikeuksien kerrannaisvaikutukset euroalueen pankkeihin jäivät vähäisiksi ja tilapäisiksi. EU:n pankit olivat pääoman, likviditeetin ja varojen laadun suhteen vahvoilla, ja ne pystyivät hyödyntämään myös riittävästi hajautettuja rahoituslähteitä ja asiakassuhteita. Jo useiden vuosien ajan huolta aiheuttanut pankkien kannattavuus on viime aikoina parantunut voimakkaasti korkotason nousun myötä. Kannattavuus ei ole ollut näin hyvällä tasolla yli kymmeneen vuoteen. Pankkisektorin häiriönsietokyky on parantunut, osaksi myös EU:n sääntelyn ja valvonnan tehostamisen ansiosta. Se voi kuitenkin joutua tulevaisuudessa taas koetukselle, joten pankkisektorilla ei ole varaa itsetyytyväisyyteen.

Euroalueen talouden kasvunäkymiin liittyy edelleen suurta epävarmuutta, sillä rahoitusolot ovat kiristyneet ja geopoliittiset jännitteet kasvaneet. Lisäksi energian ja elintarvikkeiden hinnat saattavat nousta ennakoitua nopeammin.^[3] Inflaatiopaineet muokkaavat toimintaympäristöä vieläkin haastavampaan suuntaan, ja euroalueen talouskasvun odotetaan jatkuvan heikkona lähitulevaisuudessa. Teollisuustuotanto on edelleen vaisua, ja nyt myös palvelutuotanto – joka on tähän asti kannatellut talouskasvua – on alkanut vaimeta, sillä pandemian jälkeiset talouden uudelleen avautumisen vaikutukset ovat hiipumassa, ja rahoitusolojen kiristyminen sekä kuluttajien suuri epävarmuus jarruttavat kasvua huomattavasti. Euroalueen työmarkkinat ovat toistaiseksi pysyneet vahvoina, mutta työvoiman kysynnän kasvu saattaa hidastua, jos talouskasvu pysähtyy pidemmäksi aikaa.^[4] Luotonannon ehdot ovat tiukentuneet merkittävästi joulukuusta 2022 ja myös luotonannon kasvu on hidastunut, kun rahapolitiikan nopea kiristyminen välittyy yhä voimakkaammin reaalitalouteen.^[5]

Euroalueen kokonaisinflaation arvioidaan hidastuvan edelleen keskipitkällä aikavälillä, mutta pohjainflaatio vaimennee vain vähin erin.^[6] Jos rahapolitiikkaa on tiukennettava entisestään tai jos korot pysyvät korkeina pidempään ja inflaatio on samaan aikaan nopeaa, talouden kasvunäkymät voivat huonontua, mikä heikentää pankkien varojen laatua. Vaikka kotitaloudet vaikuttavat yleisesti ottaen vakavaraisilta ja yritysten taseetkin näyttävät olevan kunnossa, huoli asiakkaiden velanhoitokyvystä kasvaa erityisesti kiinteistöluotonannossa. Pankkien varojen laatu voi siis huonontua talouden mahdollisessa laskusuhdanteessa, ja pankkiveron kaltaiset kertaluonteiset tekijät saattavat joissakin maissa heikentää pankkien tuloksia.

Geopoliittisten jännitteiden voimistuminen voi johtaa uuteen kuohuntaan rahoitusmarkkinoilla, jos korot pysyvät korkeina ja jos euroalueen talouskasvu hidastuu. Maaliskuun alun kuohunta Yhdysvaltojen ja Sveitsin pankkisektoreilla vähensi riskinottohalua jyrkästi amerikkalaispankkien keskuudessa mutta levisi vain osittain ja tilapäisesti EU:n pankkisektorille. Osakekurssit rauhoittuivat ja kääntyivät pian sokin jälkeen nousuun etenkin euroalueen pankkisektorilla. Yritysten joukkolainojen tuottoerot pienenivät jälleen. Talousnäkymien äkillinen heikkeneminen voisi kuitenkin käynnistää uudelleen voimakkaat kurssivaihtelut ja varallisuushintojen jyrkät korjausliikkeet, mikä kiristäisi rahoitusoloja entisestään.

2.2 Valvontaprioriteetit vuosille 2024–2026

Valvontaprioriteetit perustuvat kokonaisvaltaiseen arvioon pankkien tärkeimmistä riskeistä ja haavoittuvuustekijöistä. Kolmen seuraavan vuoden prioriteetit koskevat sekä pankkisektorin lyhyen aikavälin riskejä (prioriteetti 1) että keskipitkän aikavälin rakenteellisia haasteita (prioriteetit 2 ja 3). Jokaisessa prioriteetissa tarkastellaan joitakin pankkisektorin haavoittuvuustekijöitä (jatkossa ”huomattavat haavoittuvuustekijät”), joille on määritetty strategiset tavoitteet ja toimenpidesuunnitelmat. Tarkoituksena on pienentää haavoittuvuustekijöiden taustalla olevia riskejä. Toimenpidesuunnitelmissa otetaan huomioon riskien keskinäiset riippuvuussuhteet, ja niiden tavoitteena on lisätä valvojien ja pankkien välisen yhteydenpidon tehokkuutta ja vaikuttavuutta.

Prioriteetti 1: vahvistetaan kykyä selviytyä makrotaloudellisista, rahoituksellisista ja geopoliittisista sokeista

EU:n pankkisektorin näkymiä leimaavat edelleen makrotalous- ja rahoitustilanteen epävarmuus, jatkuvat geopoliittiset jännitteet ja riski siitä, että rahoitusmarkkinoilla syntyy uusia häiriöitä. Valvottavien laitosten on varauduttava häiriöihin huolellisesti laatimalla liiketoimintastrategiansa sellaisiksi, että pankit voivat mukautua makrotalous- ja rahoitustilanteen sekä geopoliittisen tilanteen nopeisiin muutoksiin. EKP:n pankkivalvonnan ensisijaisena tavoitteena onkin varmistaa, että sen suoraan valvomat pankit vahvistavat häiriönsietokykyään, jotta ne selviävät makrotaloudellisista, rahoituksellisista ja geopoliittisista sokeista. Vaikka korkojen nousu on toistaiseksi vaikuttanut myönteisesti pankkien kannattavuuteen, niiden on oltava valmiita selviytymään rahoituslähteiden epävakauden lisääntymisestä, varainhankintakustannusten noususta, varojen laadun mahdollisesta heikkenemisestä sekä lyhyellä ja keskipitkällä aikavälillä tapahtuvasta riskien uudelleenhinnoittelusta rahoitusmarkkinoilla. Sen vuoksi pankkien on tehostettava luottoriskin ja taseen hallintaa.

Huomattava haavoittuvuustekijä: puutteet luottoriskin ja vastapuoliluottoriskin hallinnassa

Strateginen tavoite: Pankkien tulisi korjata tehokkaasti luottoriskin ja myös vastapuoliluottoriskin hallinnassa ilmenneet rakenteelliset puutteet ja puuttua ajoissa mahdollisiin tapauksiin, joissa sääntelyvaatimuksista ja valvontaodotuksista on poikettu. Pankkien tulisikin pystyä tunnistamaan nopeasti lainakantaansa kohdistuvien riskien lisääntyminen toimialoilla, joihin nykyinen makrotalous- ja rahoitustilanne eniten vaikuttaa, ja kyetä vähentämään riskejä.

Yritykset ja kotitaloudet ovat toistaiseksi selviytyneet talouskasvun hidastumisesta vahvojen tulosten, matalan työttömyysasteen ja suurten säästöpuskurien ansiosta. Vaikka valvottavien laitosten järjestämättömien saamisten määrä ja osuus kokonaisvaroista ovat edelleen lähes ennätyksellisen pienet, merkkejä saamisten laadun heikkenemisestä on jo näkyvissä. Arvoltaan alentuneiden vaiheen 2 lainojen osuudet ovat kasvaneet kotitalouksien luotoissa ja etenkin kulutusluotoissa, sillä reaalitulojen supistuminen ja korkojen nousu heikentävät yhä enemmän kotitalouksien velanhoitokykyä. Myös yritysten konkurssit ja maksuhäiriötapaukset ovat alkaneet lisääntyä pandemian aikaiselta alhaiselta tasolta.

Euroalueen asuntomarkkinoiden suhdanne on taittunut, kun asuntolainakannan kasvu on hidastunut ja asuntojen hinnat ovat laskeneet useimmissa euroalueen maissa. Liikekiinteistömarkkinat ovat matalasuhdanteessa, sillä kiinteistöjen hinnat ja kauppamäärät ovat jyrkässä laskussa. Rakenteelliset haavoittuvuustekijät ja etenkin huonokuntoisten myymälä- ja toimistokiinteistöjen vähentynyt kysyntä voimistavat rahoitusolojen kiristymisen ja epävarman markkinatilanteen vaikutusta. Pankkien saamiset vaikuttavat erittäin riskialttiilta maissa, joissa kiinteistöt ovat jo ennestään ylihinnoiteltuja ja joissa merkittävä osuus lainoista on vaihtuvakorkoisia ja kertalyhenteisiä, jolloin niihin saattaa liittyä suurempi uudelleenjärjestelyriski.

Rahoitusolojen kiristymisestä johtuva varainhankintakustannusten kasvu ja hyvin epävakaat rahoitusmarkkinat suurentavat riskejä, jotka liittyvät voimakkaasti velkaantuneisiin pankkisektorin ulkopuolisiin rahoituslaitoksiin – etenkin sellaisiin, joilla on suuria johdannaispositioita. Jos pankeilla on saamisia tällaisilta laitoksilta, niiden vastapuoliluottoriski saattaa kasvaa, jolloin moitteettomien riskienhallintakäytäntöjen tarve korostuu.

Valvojat ovat jo usean vuoden ajan pyrkineet korjaamaan pankkien luottoriskinhallinnan rakenteellisia puutteita.^[7] Vaikka valvontatoimet osoittavatkin pankkien edistyneen asiassa jonkin verran, niissä on tullut esiin myös useita pitkäaikaisia puutteita. Puutteita on havaittu esimerkiksi pankkien valmiuksissa ennakoida kehittymässä olevia riskejä (kuten ilmasto- ja ympäristöriskejä) ja huomioida ne riittävästi luottoriskivarauksissa. Pankkien on havaittu myös varautuneen puutteellisesti velallisten maksuvaikeuksien ja lainojen uudelleenjärjestelyriskin äkilliseen kasvuun. Lisäksi joidenkin pankkien liikekiinteistölainojen vakuudet on arvostettu liian suuriksi. Nämä havainnot on otettu huomioon vuonna 2023 tehdyn vakavaraisuuden kokonaisarvioinnin tuloksissa, ja pankeille on ilmoitettu valvontatoimista puutteiden korjaamiseksi. Valvojat myös seuraavat tarkasti suunniteltujen korjaustoimien toteuttamista.

Vastapuoliluottoriskin hallinnasta vuonna 2022 tehdyssä erityisarvioinnissa ja niitä seuranneissa paikalla tehtävissä tarkastuksissa on havaittu, että pankeilla on huomattavia puutteita asiakkaan tuntemisessa, riskinottohalun määrittelyssä, maksukyvyttömyyden hallinnassa ja stressitestauksessa. Pankit ovat edistyneet valvojien havaitsemien ongelmien korjaamisessa, mutta vielä tarvitaan lisätoimia, jotta pankkien käytännöt vastaisivat tarkasti lokakuussa 2023 julkaistuun raporttiin sisältyviä vastapuoliluottoriskin hyviä hallintakäytäntöjä. (ks. ”Sound practices in counterparty credit risk governance and management”).

Pankkivalvonta jatkaa suurelta osin viimevuotiseen toimenpidesuunnitelmaan sisältyneitä valvontatoimia, joilla pyritään saavuttamaan luotto- ja vastapuoliluottoriskin hallintaa koskeva strateginen tavoite. Joitakin toimia on kuitenkin kohdennettava uudelleen, jotta talouden muuttuva toimintaympäristö ja tähänastinen edistys voidaan ottaa huomioon. Pankinjohtajille vuonna 2020 kirjeitse ilmoitettujen puutteiden korjaamista seurataan edelleen osana lainanhoitojoustojen, maksamatta jäämisen todennäköisyyden (unlikeliness-to-pay, UTP) ja luottotappiovarauskäytäntöjen arviointeja. Standardin IFRS 9 noudattamista ja mallien jälkikäteiskorjauksia koskeva erityisarviointi toistetaan, jotta pankkien edistymistä edellisessä arvioinnissa havaittujen puutteiden korjaamisessa voidaan seurata. Lisäksi tehdään asunto- ja liikekiinteistölainoja, pk-yrityslainoja sekä muita riskiherkkiä lainasalkkuja koskevia erityisarviointeja, joita täydennetään tarvittaessa paikalla tehtävin tarkastuksin ja sisäisten mallien tarkastuksin. Yhteiset valvontaryhmät seuraavat edelleen tarkasti pankkien vastapuoliluottoriskejä ja valvovat riskienhallintakäytäntöjen riittävyyttä. Lisäksi ne seuraavat yksittäistapauksissa, miten vuonna 2022 havaittujen puutteiden korjaamisessa on edistytty.

Suunnitelman mukaiset toimet

• Tehdään erityisarviointeja, joissa keskitytään tämänhetkiseen makrotalous- ja rahoitustilanteeseen herkemmin reagoivien ja uudelleenjärjestelyriskille alttiiden lainasalkkujen kestävyyteen. Lisäksi seurataan, miten asunto- ja liikekiinteistöluotonantoa koskeviin aiempiin erityisarviointeihin perustuvissa toimissa on edistytty, ja käynnistetään heikommassa asemassa olevia pk-yrityksiä koskeva uusi erityisarviointi.
• Seurataan IFRS 9 ‑standardia koskevan erityisarvioinnin jälkeisiä toimia ja etenkin sitä, miten pankit kehittäneet odotettavissa olevien luottotappioiden mallien kykyä huomioida uusia riskejä. Seurannassa keskitytään mallien jälkikäteiskorjauksiin.
• Jatketaan lainanhoitojoustoja ja UTP-käytäntöjä koskevia perusteellisia analyyseja.
• Jatketaan paikalla tehtäviä tarkastuksia keskittyen standardin IFRS 9 mukaiseen vaiheistettujen pk-yritysvastuiden (ns. staging) ja varausten kokonaisarviointiin, vähittäisvastuisiin sekä liikekiinteistöihin, kuten vakuuksien arvostamiseen.
• Jatketaan sisäisten mallien tarkastuksia ja seurantaa valvontaryhmissä, jotta voidaan arvioida, mitä muutoksia sisäisten luottoluokitusten malleihin on tehty uusien sääntelyvaatimusten vuoksi ja miten sisäisten mallien erityisarvioinnissa havaittujen puutteiden korjaamisessa on edistytty.
• Seurataan vuonna 2022 tehdyn vastapuoliluottoriskin hallinnan erityisarvioinnin jälkeisiä toimia.
• Toimitetaan paikalla tehtäviä erityistarkastuksia, jotka koskevat tiettyjä vastapuoliluottoriskin hallinnan näkökohtia.

Huomattava haavoittuvuustekijä: puutteet tasehallinnassa

Strateginen tavoite: Pankkien tulisi varmistaa, että tasehallinnan ohjausta ja strategioita toteutetaan moitteettomasti ja huolellisesti ja että niitä valvotaan tehokkaasti ylimmissä hallintoelimissä. Lisäksi pankkien tulisi pystyä ottamaan nykyisestä rahapolitiikasta ja nopeasti muuttuvasta taloudellisesta toimintaympäristöstä aiheutuvat riskit asianmukaisesti huomioon. Niiden tulisi etenkin laatia luotettavia ja uskottavia varainhankintasuunnitelmia, joilla rahoitusrakenteita pyritään hajauttamaan, sekä tehokkaita varautumissuunnitelmia, joilla pystytään selviytymään lyhyen aikavälin likviditeettihäiriöistä. Pankkien tulisi myös varmistaa korkoriskipositioidensa asianmukainen hallinta, ja asiakaskäyttäytymistä koskevien oletusten tulisi olla konservatiivisia. Lisäksi niiden tulisi kehittää riskiprofiiliensa mukaisia riskien vähentämisstrategioita.

Korkoympäristö on muuttunut perusteellisesti kahden viime vuoden aikana. Vaikka korkojen nousu yleisesti ottaen vahvistaa pankkien kannattavuutta, se saattaa myös suurentaa varainhankintakustannuksia sekä vaikeuttaa pankkien likviditeettitilannetta ja yleisemminkin tasehallinnan ohjausta, strategioita ja järjestelyjä.

Rahoitusmarkkinoiden epävakaus ja varallisuushintojen korjausliikkeet kiinteätuottoisten sijoitusten markkinoilla ovat vallitsevan korkokehityksen valossa suurentaneet riskiä siitä, että jaksotettuun hankintamenoon arvostetuista pankkien sijoituksista kertyy realisoitumattomia tappioita. Vaikutukset voivat olla vakavia, kuten joihinkin keskikokoisiin amerikkalaispankkeihin maaliskuussa liittynyt kuohunta osoittaa. Siihen johtaneita tekijöitä ei ole kuitenkaan toistaiseksi havaittu yhteisen pankkivalvonnan piirissä olevissa pankeissa. Heinäkuussa 2023 julkaistuista tiedoista käy ilmi,^[8] että euroalueen pankkien realisoitumattomat tappiot olivat tämän vuoden helmikuussa 73 miljardia euroa eli jokseenkin pienet, kun yhdysvaltalaispankkien tappiot vuoden 2022 lopussa olivat 620 miljardia dollaria.^[9] Valvojat ovat tutkineet pankkien korko- ja luottomarginaaliriskien arviointia ja hallintaa jo vuoden 2021 jälkipuoliskolta lähtien – jolloin havaittiin ensimmäisiä merkkejä inflaatiopaineiden kasvusta. Vuonna 2022 EKP:n pankkivalvonta sisällytti nämä riskit valvontaprioriteetteihinsa ja teki niistä erityisarvioinnin, jossa tutkittiin ennakoivasti pankkien varautumista mahdollisiin koronnostoihin. Tuolloin todettiin, että pankkien on tarkistettava tasehallintamalliensa kalibrointia useammin, jotta ne voivat vastata uuden korkoympäristön aiheuttamiin asiakaskäyttäytymisen muutoksiin ja korjata joidenkin suojausstrategioidensa heikkouksia.

Pankkien maksuvalmius ja varainhankinta ovat toistaiseksi säilyneet hyvällä tasolla rahoitusympäristön muutoksista huolimatta. Vaikka keskuspankkivarantojen supistuminen ja rahan määrän heikko kehitys ovat pienentäneet pankkien likviditeettipuskureita, niiden maksuvalmius ja pysyvä varainhankinta ovat yhä keskimäärin selvästi lakisääteisiä vähimmäisvaatimuksia paremmalla tasolla. Valvottavien pankkien varainhankinta ei ole myöskään yhtä keskittynyttä kuin joissakin aiemmin tänä vuonna kaatuneissa keskikokoisissa amerikkalaispankeissa, sillä niiden pääasiallisina rahoituslähteinä ovat vähittäisasiakkaiden talletukset, jotka kuuluvat pääosin talletussuojan piiriin. Vuonna 2023 tehtiin erityisarviointi, jossa tarkasteltiin pankkien strategista valmiutta selviytyä kohdennettujen pitempiaikaisten rahoitusoperaatioiden (TLTRO) asteittaisesta päättymisestä. Tarkoituksena oli varmistaa, että TLTRO-operaatioiden lopettaminen sujuu ongelmitta. Erityisarvioinnin perusteella joitakin pankkeja pyydettiin hajauttamaan rahoituslähteitään. Meneillään olevassa toisessa erityisarvioinnissa tutkitaan, ovatko pankkien varainhankintasuunnitelmat luotettavia ja asianmukaisia. Erityisarvioinnin tulokset otetaan huomioon vakavaraisuuden kokonaisarvioinnin 2024 tuloksissa.

EKP:n pankkivalvonta painottaa edelleen voimakkaasti, että pankeilla on oltava luotettavat tasehallintajärjestelmät. Pankkien tasehallinnan ohjausta ja strategioita tarkastellaan erityisarvioinneissa, joissa tutkitaan niin ikään, ovatko asiakaskäyttäytymistä koskevien mallien taustaoletukset asianmukaisia. Valvojat arvioivat myös pankkien kykyä selviytyä lyhyen aikavälin likviditeettihäiriöistä sekä pankkien varautumissuunnitelmien uskottavuutta ja luotettavuutta. Lisäksi valvojat jatkavat aiempina vuosina aloitettuja toimia, joilla arvioidaan rahoitustaseen korkoriskin hallintaa sekä varainhankintasuunnitelmien asianmukaisuutta ja luotettavuutta.

Suunnitelman mukaiset toimet

• Tehdään erityisarviointeja, jotka koskevat varainhankinta- ja varautumissuunnitelmien asianmukaisuutta ja luotettavuutta, vakuuksien optimointivalmiuksien riittävyyttä sekä tasehallinnan ohjausta ja strategioita.
• Toimitetaan paikalla tehtäviä erityistarkastuksia, joissa arvioidaan varainhankinta- ja elvytyssuunnitelmien luotettavuutta ja asianmukaisuutta.
• Toteutetaan korko- ja luottomarginaaliriskejä koskevan erityisarvioinnin tulosten seurantaa ja laajennetaan arviointi koskemaan myös muita laitoksia.
• Toteutetaan pankeissa rahoitustaseen korkoriskin tarkastushanke, jossa tutkitaan erityisesti tasehallinnan positiointia ja strategiaa, rahoitustaseen korkoriskin käyttäytymismalleja sekä suojausstrategiaa.

Prioriteetti 2: nopeutetaan hallintoa ja ohjausta sekä ilmasto- ja ympäristöriskien hallintaa koskevien puutteiden korjaamista

Vuonna 2023 tehdyn vakavaraisuuden kokonaisarvioinnin tulokset osoittivat, että jotkin pankit eivät ole edistyneet vielä riittävästi hallinnon ja ohjauksen puutteiden korjaamisessa. Puutteita on havaittu erityisesti pankkien ylimpien hallintoelinten toiminnassa ja strategisessa ohjauksessa mutta myös riskitietojen koonti- ja raportointivalmiuksissa. Joidenkin yhdysvaltalais- ja sveitsiläispankkien kaatuminen aiemmin tänä vuonna toi lisäksi jälleen kerran esiin vahvan hallinto- ja ohjausjärjestelmän sekä hyvän riskienvalvonnan merkityksen. Huomiota vaativat myös jatkuvasti kasvavat ilmasto- ja ympäristöriskit, joiden haittavaikutukset tuntuvat jo maailmanlaajuisesti. Pankkeja pyydetään tehostamaan toimiaan ja ottamaan kyseiset riskit asianmukaisesti huomioon liiketoimintastrategioissaan ja riskienhallinnassaan, jotta ne voivat täyttää valvontaodotukset täysin vuoden 2024 loppuun mennessä. Tavoitteen saavuttamiseksi EKP:n pankkivalvonta on valmis hyödyntämään keinovalikoimaansa (tarvittaessa myös pääomavaatimusten korotuksia, jatkotoimia ja seuraamuksia sekä sopivuus- ja luotettavuusarviointien tarkastuksia) kannustaakseen pankkeja korjaamaan puutteet tehokkaasti etenkin niissä tapauksissa, joissa valvontaodotusten täyttäminen edellyttää selkeitä toimenpiteitä ja konkreettisten määräaikojen noudattamista.

Huomattava haavoittuvuustekijä: puutteet ylimpien hallintoelinten toiminnassa ja valmiuksissa ohjata laitoksen toimintaa

Strateginen tavoite: Pankkien tulisi korjata huomattavat puutteet ylimpien hallintoelinten toiminnassa, valvontavalmiuksissa ja kokoonpanossa laatimalla ja toteuttamalla asianmukaiset korjaussuunnitelmat ripeästi valvontaodotusten mukaisesti.

Tehokkaat sisäiset hallintojärjestelyt ja tuloksellinen strateginen ohjaus ovat olennaisen tärkeitä tapoja varmistaa, että pankkien liiketoimintamallit ovat ympäristön kannalta kestäviä ja että niissä on varauduttu liiketoiminnan häiriöihin sekä toiminnan palauttamiseen niiden jäljiltä normaalitasolle. Makrotalouden ja rahoitusmarkkinoiden näkymät ovat nykyisin epävarmat ja korkoympäristö on muutoksessa kasvua useiden vuosien ajan tukeneiden rahoitusolojen jälkeen. Sen vuoksi pankkien on käytettävä tehokasta strategista ohjausta ja muokattava käytäntöjään, jotta ne voivat arvioida, valvoa ja hallita riskejään asianmukaisesti. Maaliskuinen kuohunta Yhdysvaltain ja Sveitsin pankkisektoreilla on korostanut pankkien hallitusten ja johdon merkitystä: niillä on viime käden vastuu sisäisten hallintojärjestelyjen asianmukaisuudesta ja riskienhallintaprosessien tehokkuudesta. Se toi myös esiin, miten vakavia seurauksia pankille voi hallinto- ja ohjausjärjestelmän puutteiden vuoksi koitua. Tehokasta strategista ohjausta tarvitaan myös pankkien liiketoimintamallien muokkaamiseksi digitalisaation, vihreän siirtymän nopeutumisen ja muiden uusien kehityssuuntien tarpeisiin.

Pankkien ylimmissä hallintoelimissä ilmenneiden puutteiden korjaaminen on ollut yksi EKP:n pankkivalvonnan ensisijaisista tavoitteista jo usean vuoden ajan. Vaikka joillakin osa-alueilla on tapahtunut edistystä, pankkien hallintoelinten kokoonpanossa ja sen sopivuudessa sekä yleisvalvonnassa on vielä parantamisen varaa. Vuonna 2022 valvojat ottivat pankkeihin suoraan yhteyttä ylimpien hallintoelinten monimuotoisuuden edistämiseksi. Sen jälkeen pankit ovatkin parantaneet monimuotoistusperiaatteitaan, joissa otetaan nyt sukupuolijakauman lisäksi huomioon koulutus, työkokemus, maantieteellinen tausta ja ikä. Tällä hetkellä lähes kaikkien valvottavien laitosten tavoitteena on korjata sukupuolijakauman epätasapaino hallintoelimissään, joskin tavoitteiden saavuttamisessa ei ole vielä riittävästi edistytty.^[10] Pankkien on myös vielä parannettava hallintoelintensä kokoonpanon sopivuutta tehtävään ja valmiutta kyseenalaistaa päätöksiä. Viimeksi mainittu valmius liittyy heikkouksiin hallintoelinten kokoonpanossa (esim. liian vähän muodollisesti riippumattomia johtajia sekä tietotekniikan ja muun erityisosaamisen puute) ja toiminnassa (esim. liian vähän aikaa keskusteluun ja ongelmat hallintoelinten nimitysprosesseissa). Ylimmän hallintoelimen komiteoiden toimintaa yleisessä valvontatehtävässä on myös parannettava, kuten todetaan vuonna 2023 tehdyssä ylimpien hallintoelinten erityisarvioinnissa.^[11]

EKP:n pankkivalvonta jatkaa yhteistyötään pankkien kanssa näiden pitkäaikaisten puutteiden korjaamiseksi erityisarviointien ja paikalla tehtävien tarkastusten kautta. Tarkoituksena on lisäksi päivittää hallintoa ja ohjausta sekä riskienhallintaa koskevat valvontaodotukset.

Suunnitelman mukaiset toimet

• Toteutetaan pankkien ylimpien hallintoelinten toiminnan vaikuttavuutta koskeva erityisarviointi ja paikalla tehtäviä erityistarkastuksia.
• Päivitetään ja julkaistaan pankkien hallinto- ja ohjausjärjestelmiä sekä riskienhallintakulttuuria koskevat valvontaodotukset ja hyvät käytännöt.^[12]

Huomattava haavoittuvuustekijä: puutteet riskitietojen yhdistelyssä ja raportoinnissa

Strateginen tavoite: Pankkien tulisi korjata pitkäaikaiset puutteet aktiivisin toimin, ja niillä tulisi olla tarkoituksenmukaiset riskitietojen koonti- ja raportointijärjestelyt, jotta ylimmät hallintoelimet voivat hoitaa ohjaustehtäväänsä tehokkaasti ja jotta valvontaodotukset voidaan täyttää myös kriisiaikoina.

Nopea ja täsmällinen riskitietojen koonti ja raportointi ovat välttämättömiä etenkin nykytilanteessa pankkien hyvän päätöksenteon ja tuloksellisen strategisen ohjauksen sekä riski-, rahoitus- ja valvontaraportoinnin kannalta. Tähänastiset valvontahankkeet – myös vakavaraisuuden kokonaisarviointi 2023 ja meneillään oleva tarkastuskampanja – osoittavat, etteivät pankit vielä noudata riittävästi valvontaodotuksia eivätkä riskitietojen tehokasta koontia ja raportointia koskevia Baselin pankkivalvontakomitean periaatteita. Suurimmat puutteet liittyvät ylimpien hallintoelinten riittämättömään ajankäyttöön ja valvontaan, tietoarkkitehtuurin heikkouksiin ja tietoteknisen toimintaympäristön hajanaisuuteen, heikkoihin tietojen koontivalmiuksiin sekä tehottomaan hallintoon ja ohjaukseen. Olennaista on hallintoelinten harjoittama tehokas priorisointi, sillä riskitietojen koontiin ja raportointiin liittyvien puutteiden korjaaminen edellyttää usein huomattavia resursseja.

Viime vuoden tapaan EKP:n pankkivalvonta tehostaa toimiaan varmistaakseen, että valvottavat laitokset edistyvät merkittävästi riskitietojen koontia ja raportointia koskevien pitkäaikaisten puutteiden poistamisessa. Vuodesta 2024 lähtien lisätään strukturoidun eskalointimekanismin käyttöä, ja mekanismin perusteella voidaan määrätä jatkotoimia ja seuraamuksia.^[13] Valvontaodotuksia tullaan lisäämään ja täsmentämään riskitietojen koontia ja raportointia koskevassa oppaassa. Oppaasta järjestettiin julkinen kuuleminen^[14] heinä-lokakuussa 2023, ja opas on tarkoitus julkaista vuonna 2024. Valvojat suorittavat myös erityisarviointeja, toimittavat paikalla tehtäviä tarkastuksia ja ovat suoraan yhteydessä pankkeihin, joissa puutteet ovat olleet pidemmän aikaa korjaamatta. Lisäksi pankkivalvonta jatkaa vuoden 2023 alussa koemielessä aloitettua käytäntöä, jossa laitoksen johto raportoi tietohallinnosta ja tietojen laadusta^[15], lähettämällä pankeille vuosittain kyselylomakkeen. Tavoitteena on varmistaa, että pankkien ylimmät hallintoelimet kantavat riittävän vastuun sisäisestä, taloudellisesta ja valvontaan liittyvästä raportoinnista.

Suunnitelman mukaiset toimet

• Tarkennetaan riskitietojen koonti- ja raportointiperiaatteiden noudattamista koskevia valvontaodotuksia ja julkaistaan riskitietojen tehokasta koontia ja raportointia koskeva opas.
• Tehdään riskitietojen koonti- ja raportointikäytäntöjä koskevia erityisarviointeja.
• Jatketaan riskitietojen koontia ja raportointia koskevaa tarkastushanketta (joka alkoi vuonna 2023) paikalla tehtävin tarkastuksin.
• Lähetetään pankeille vuosittain tietohallintoa ja tietojen laatua koskevaa johdon raportointia varten kyselylomake sen varmistamiseksi, että pankin ylimmät hallintoelimet kantavat riittävän vastuun sisäisestä, taloudellisesta ja valvontaan liittyvästä raportoinnista.

Huomattava haavoittuvuustekijä: huomattava alttius ilmastonmuutosta vauhdittaville fyysisille riskeille ja siirtymäriskeille

Strateginen tavoite: Pankkien tulisi ottaa ilmasto- ja ympäristöriskit riittävästi huomioon liiketoimintastrategiassa, hallinnossa ja ohjauksessa sekä riskienhallinnassa, jotta riskejä voidaan pienentää ja riskitiedot julkistaa nykyisten sääntelyvaatimusten ja valvontaodotusten edellyttämällä tavalla.

Maailman kasvihuonekaasupäästöt ovat jatkaneet kasvuaan^[16], mikä on vauhdittanut ilmaston lämpenemistä ja pahentanut lukuisia samanaikaisia uhkia, kuten ennennäkemättömät helleaallot, metsäpalot ja tulvat Euroopassa ja muualla maailmassa ovat toistuvasti osoittaneet. Nykyiset toimet eivät ole riittäviä vuoden 2015 Pariisin sopimuksen mukaisten ilmastotavoitteiden saavuttamiseksi.^[17] Ilmastotoimien viivästymisen arvioidaan suurentavan fyysisiä riskejä ja siirtymäriskejä ja mahdollisesti niistä pankeille aiheutuvia tappioita. Tämä puolestaan voi aiheuttaa vahinkojen suurenemista, jämähtämistä suuripäästöisiin infrastruktuureihin, varallisuuserien arvonmenetyksiä ja kustannusten nousua.^[18] Geopoliittiset jännitteet ja yhä suuremmat etupainotteiset investoinnit sekä ilmastonmuutoksen hillitsemiseen ja siihen sopeutumiseen tarvittavat muutokset todennäköisesti vain lisäävät siirtymäriskejä rahoitusolojen kiristymisen myötä.

Vuonna 2023 tehdyssä vakavaraisuuden kokonaisarvioinnissa kävi ilmi, että ilmasto- ja ympäristöriskistrategian määrittely oli joissakin pankeissa parantunut, kun taas joillakin pankeilla todettiin tarve korjata strategiansa puutteet kiireellisesti. Kokonaisarvioinnin perusteella määrätyt laadunparannustoimet koskivat lähinnä heikkouksia pankkien strategisessa ja operatiivisessa suunnittelussa sekä ylimpien hallintoelinten perehtyneisyydessä ympäristöön, yhteiskuntaan ja hyvään hallintotapaan (ESG) liittyviin kysymyksiin. Ilmasto- ja ympäristöriskit vaikuttivat nyt aiempaa useamman pankin pilarin 2 vaatimusten suuruuteen kuin viimevuotisessa vakavaraisuuden kokonaisarvioinnissa.^[19]

EKP:n pankkivalvonta on asettanut pankkikohtaisia määräaikoja vuonna 2022 tehdyssä EKP:n ilmastoriskistressitestissä^[20] ja ilmastoriskien erityisarvioinnissa^[21] havaittujen puutteiden korjaamiseksi: pankkien on saatettava käytäntönsä vuonna 2020 julkaistussa EKP:n ilmasto- ja ympäristöriskien hallintaoppaassa esitettyjen valvontaodotusten mukaisiksi vuoden 2024 loppuun mennessä. Tärkeä välietappi saavutettiin maaliskuussa 2023, johon mennessä pankkien edellytettiin ryhmittelevän ilmasto- ja ympäristöriskinsä asianmukaisesti ja laativan kokonaisarvion niiden vaikutuksista toimintaansa. Joillakin pankeilla on yhä tältä osin vakavia heikkouksia, ja valvojat ovat lähettäneet niille toimenpidekirjelmiä, vakavaraisuuden kokonaisarviointiin perustuvia laadullisia vaatimuksia ja valvontaelimen tekemiä päätöksiä. Valvojien odotuksena on, että ilmasto- ja ympäristöriskit otetaan huomioon pankkien hallinto- ja ohjausjärjestelmissä, strategioissa ja riskienhallinnassa vuoden 2023 loppuun mennessä. Vuoden 2024 loppuun mennessä pankkien tulisi täyttää kaikki jäljellä olevat vuoden 2020 valvontaodotukset ja myös ottaa ilmasto- ja ympäristöriskit keskeiseksi osaksi sisäisen pääoman riittävyyden arviointiprosessia (ICAAP) ja stressitestausta. EKP:n pankkivalvonta käyttää jatkossakin kaikkia välineitään sen varmistamiseksi, että pankit täyttävät nämä odotukset, ja se ryhtyy myös tarvittaessa eskaloimaan valvontatoimiaan määräämällä esimerkiksi uhkasakkoja tai korottamalla pankkikohtaisia pääomavaatimuksia.^[22]

Lisäksi valvojat jatkavat tarkastuksia ja arviointeja, jotka koskevat pankkien ilmasto- ja ympäristöriskien julkistamiskäytäntöjen riittävyyttä. Pankit ovat edistyneet tietojen julkistamisessa jonkin verran, mikä käy ilmi EU:n pankkien edistymistä ilmasto- ja ympäristöriskien julkistamisessa koskevasta kolmannesta arvioinnista, mutta julkistetut tiedot ovat vielä heikkolaatuisia. Tulevina vuosina tarkastellaan myös ilmastoon ja ympäristöön liittyviä maine- ja oikeudenkäyntiriskejä, joita syntyy pankkien julkistaessa vihreää siirtymää koskevia tavoitteitaan ja/tai päästöttömyystavoitteitaan (ns. nettonollatavoitteitaan). Valvojat valmistelevat myös edelleen menettelyjä, joilla arvioidaan pankkien siirtymäsuunnitelmia ja valmiutta täyttää vakavaraisuusdirektiivin (CRD VI) mukaiset ympäristöön, yhteiskuntaan ja hyvään hallintotapaan liittyvät tehtävät. Lisäksi ilmastoriskejä arvioidaan edelleen tietyissä paikalla tehtävissä riskikohtaisissa tarkastuksissa. Ilmasto- ja ympäristöriskien pankkikohtaiset erityistarkastukset on tarkoitus aloittaa vuonna 2024.

Suunnitelman mukaiset toimet

• Seurataan kohdennetusti vuoden 2022 ilmastoriskistressitestissä ja erityisarvioinnissa havaittujen puutteiden korjaamista. Tavoitteena on, että valvontaodotukset täytetään täysin vuoden 2024 loppuun mennessä.
• Arvioidaan, miten hyvin pankit täyttävät ilmasto- ja ympäristöriskien raportointivaatimuksia koskevat tekniset täytäntöönpanostandardit ja pilarin 3 mukaiset julkistamisvaatimukset, ja verrataan pankkien käytäntöjä valvontaodotuksiin.
• Käydään tarkasti läpi pankkien valmiudet puuttua ilmasto- ja ympäristösitoumuksiin liittyviin maine- ja oikeudenkäyntiriskeihin.
• Toimitetaan paikalla tehtäviä ilmastonäkökohtien erityistarkastuksia joko pankkikohtaisesti tai osana suunniteltuja erityisarviointeja, jotka koskevat tiettyjä riskejä (esim. luottoriskiä, operatiivista riskiä ja liiketoimintamalliin liittyviä riskejä).

Prioriteetti 3: edetään digitalisaatiossa ja vahvistetaan operatiivista häiriönsietokykyä

Useimmat valvottavat laitokset ottavat enenevässä määrin käyttöön digitaalisia toimintoja ja palveluja menestyäkseen jatkuvasti haastavammaksi käyvässä kilpailussa. Niiden on kuitenkin myös vahvistettava ja tarvittaessa kohennettava operatiivista häiriönsietokykyään mahdollisten riskien vähentämiseksi. Operatiivisen häiriönsietokyvyn parantaminen todennäköisesti auttaa laitoksia jatkamaan liiketoimintamallinsa toteuttamista keskipitkällä aikavälillä ja muun muassa hyödyntämään uusia tekniikoita. Jotkin pankit ovat kuitenkin jääneet tavoitteistaan tällä saralla. Valvottavien laitosten on myös poistettava haavoittuvuustekijöitä, joita lisääntyvä riippuvuus ulkopuolisista palveluntarjoajista aiheuttaa, ja niiden on parannettava tietoturvaa ja kyberriskien hallintaa. Tämä on erityisen tärkeää nykyisestä geopoliittisesta tilanteesta johtuvien kyberuhkien kasvaessa.

Huomattava haavoittuvuustekijä: puutteet digitalisaatiostrategioissa

Strateginen tavoite: Pankkien tulisi laatia ja toteuttaa luotettavia digitalisaatiosuunnitelmia esimerkiksi liiketoimintastrategian ja riskienhallinnan kautta tapahtuvin järjestelyin, jotta ne voivat vahvistaa liiketoimintamalliensa kestävyyttä ja vähentää uuden tekniikan käyttöön liittyviä riskejä.

Valvottavien laitosten kannattavuus on viime aikoina ollut ennätyksellisen hyvä pitkälti nettokorkomarginaalien kasvun ansiosta. Laitosten liiketoimintamalleissa on kuitenkin edelleen rakenteellisia heikkouksia. Kulu-tuottosuhde on edelleen suuri ja joustamaton, ja kustannuskurin noudattaminen voi osoittautua haasteelliseksi nykyisten suurten inflaatiopaineiden vuoksi. Valvottavien laitosten tulisi kyetä hillitsemään toimintakulujen arvioitua kasvua vaarantamatta kuitenkaan kipeästi kaivattuja investointeja digitaaliseen siirtymään. Digitalisaation odotetaan vahvistavan pankkien kilpailuasemaa ja parantavan niiden kykyä selviytyä pankkisektorin ulkopuolelta tulevasta kilpailusta.

Vuonna 2023 EKP:n pankkivalvonta teki yhteisessä valvontamekanismissa toteutetun tiedonkeruun pohjalta laajan arvioinnin ja vertailuanalyysin, jotka koskivat digitaalista muutosta ja finanssiteknologian käyttöä. Pankeille toimitetut vertailuanalyysin tulokset auttoivat määrittelemään useita digitaaliseen muutokseen liittyviä riskejä. Niitä ovat muun muassa strategiset ja toteutusriskit, kyberriskit sekä riskit, jotka liittyvät rahanpesuun, petoksiin ja riippuvuuteen ulkoisista toimijoista. Laaja-alaista arviointia täydennettiin paikalla tehtävin erityistarkastuksin, jotka herättivät kysymyksiä strategisen ohjauksen ja toteutuksen tehokkuudesta ja toivat esiin henkilöstön ja ylimpien hallintoelinten jäsenten osaamisen kehittämistarpeen. Myös budjetoinnissa ja rahoitussuunnittelussa paljastui puutteita, sillä pankeilla on vaikeuksia tarkkailla digitalisaatiohankkeidensa taloudellisia vaikutuksia. Nämä tulokset otettiin huomioon pankkien liiketoimintamallien arvioinnissa, joka tehtiin vuoden 2023 vakavaraisuuden kokonaisarvioinnin yhteydessä. EKP:n pankkivalvonta keskittyy jatkossakin pankkien digitalisaatioon, jota valvotaan erityisarvioinnein ja pankeissa tehtävin tarkastuksin. EKP:n pankkivalvonta aikoo julkaista pankkien digitalisaatiota koskevat valvontaodotukset.^[23] Odotusten tarkistettu versio auttaa tehostamaan vakavaraisuuden kokonaisarvioinnin menetelmiä.

Suunnitelman mukaiset toimet

• Tehdään erityisarviointeja, joissa tarkastellaan pääasiassa pankkien digitalisaation vaikutusta niiden liiketoimintamalliin, strategiaan, hallintoon ja ohjaukseen sekä riskien määritykseen ja hallintaan. Yhteiset valvontaryhmät toteuttavat arviointien perusteella jatkotoimia sellaisten pankkien suhteen, joissa havaitaan olennaisia puutteita.
• Toimitetaan paikalla tehtäviä digitalisaation erityistarkastuksia, joissa tarkastellaan liiketoimintamalliin liittyvien näkökohtien ohella pankkien digitalisaatiostrategioiden tietoteknisiä näkökohtia.
• Julkaistaan digitalisaatiota koskevat valvontaodotukset ja jaetaan tietoa sitä koskevista hyvistä käytännöistä.

Huomattava haavoittuvuustekijä: puutteet operatiivisessa häiriönsietokyvyssä etenkin tietotekniikan ulkoistamisen, tietoturvan ja kyberriskien saralla

Strateginen tavoite: Pankkien tulisi torjua ennakoivasti toimintojen ulkoistamisen mukanaan tuomia riskejä, luoda vankat tietoturvakäytännöt ja parantaa kyberhäiriöiden sietokykyä, sillä hallitsemattomat riskit voivat aiheuttaa kriittisiin toimintoihin ja palveluihin vakavia häiriöitä. Pankkien toimien tulisi myös olla sääntelyvaatimusten ja valvontaodotusten mukaisia.

Pankkien operatiivisia riskejä lisäävät pääasiassa kyberriskit ja tietoturva. EKP:lle tehdyt kyberhäiriöilmoitukset lisääntyivät voimakkaasti vuoden 2023 alkupuoliskolla, sillä pankkisektoriin kohdistui merkittävä määriä uusia kyberuhkia, jotka johtuivat muun muassa Venäjän sodasta Ukrainassa ja geopoliittisten jännitteiden kasvusta. Tuhoisien kyberhyökkäysten torjunnasta on tullut keskeinen osa viranomaisten toimintaa. Myös rahoituslaitokset ovat hyökkäysten todennäköisiä kohteita, sillä ne ovat osa kriittistä infrastruktuuria.^[24] Etenkin kiristysohjelmilla tehtävät hyökkäykset ovat olleet kasvussa kyberrikollisten tullessa taitavammiksi, ja kiristysmenetelmien kehitys haittaa yhä enemmän pankkien toimintaa.

Tietotekniikan heikot ulkoistamisjärjestelyt ovat toinen keskeinen haavoittuvuustekijä, sillä pankit turvautuvat yhä enemmän ulkopuolisiin palveluntarjoajiin. Toimitusketjujen piteneminen ja monimutkaistuminen edellyttävät pankeilta toimittajasuhteiden ja (keskinäisten) riippuvuussuhteiden parempaa ymmärrystä ja hallintaa, jotta mahdollisia riskikeskittymiä voidaan torjua jo ennalta. Luotettava varojenhallinta ja toimittajahallinta ovatkin pankeille olennaisen tärkeitä, jotta ne kykenevät vastaamaan asiakkaiden tarpeisiin ja tehostamaan toimintaansa kovenevassa kilpailutilanteessa. Lisäksi pankkien on varmistettava ulkoistamisjärjestelyihin ja pilvipalvelujen käyttöönottoon liittyvien riskien asianmukainen hallinta. Vuonna 2023 tehdyn vakavaraisuuden kokonaisarvioinnin tulokset vahvistavat, että pankeissa on huomattavia puutteita tietotekniikan ulkoistuksen, tietoturvan ja kyberriskien hallinnassa, sillä kokonaisarvioinnin huonoimmat pistemäärät saadaan edelleen juuri operatiivisen riskin hallinnasta.^[25]

EKP:n pankkivalvonta onkin luonut rekisterin, johon kootaan vuosittain tiedot valvottavien laitosten tekemistä ulkoistuksista. Tähänastisten analyysien mukaan haavoittuvuustekijöitä ovat muun muassa suuri riippuvuus eräistä EU:n ulkopuolisista palveluntarjoajista ja ulkoistussopimusten huomattava määrä. Valvojien toimissa keskitytään edelleen pilvipalveluihin ja muihin ulkoistettuihin toimintoihin liittyvien riskien asianmukaiseen hallintaan, jonka arviointia lisätään osana jatkuvaa valvontaa.

Pankkien ulkoistamisjärjestelyjen kattavan arvioinnin ja riskikeskittymien selvittämisen lisäksi EKP:n pankkivalvonta jatkaa ulkoistamisjärjestelyjen ja kyberhäiriöiden sietokyvyn erityisarviointia saadakseen paremman käsityksen kyberriskien luonteesta ja suuruudesta sekä niiden vähentämistoimista pankeissa. Erityisarviointien lisäksi toteutetaan paikalla tehtäviä tarkastuksia, joissa määritetään ja arvioidaan pankkikohtaisia puutteita. Kyberhyökkäykset ovat lisääntyneet nopeasti ja leimaavat nykyistä geopoliittista toimintaympäristöä. Siksi EKP:n pankkivalvonta toteuttaa ensi vuonna kyberhäiriöiden sietokykyä koskevan temaattisen stressitestin. Siinä arvioidaan, miten pankit kykenevät vastaamaan onnistuneeseen kyberhyökkäykseen ja palautumaan siitä.^[26]

Suunnitelman mukaiset toimet

• Ulkoistamisjärjestelyjä koskevaan rekisteriin kootaan tietoja, joista tehdään laajoja analyyseja. Tarkoituksena on selvittää valvottavien laitosten ja ulkopuolisten palveluntarjoajien keskinäisiä yhteyksiä ja riskien mahdollista keskittymistä tiettyihin palveluntarjoajiin.
• Tehdään ulkoistamisjärjestelyjä ja kyberhäiriöiden sietokykyä koskevia erityisarviointeja.
• Kartoitetaan ulkoistamisen ja kyberturvallisuuden hallintaa paikalla tehtävin erityistarkastuksin.
• Tehdään vuonna 2024 koko järjestelmän kattava kyberhäiriöiden sietokyvyn stressitesti. Siinä selvitetään etenkin pankkien valmiutta vastata kyberhäiriöihin ja palautua niistä sekä niiden kykyä hillitä kyberhäiriöiden vaikutusta ja palauttaa palvelut nopeasti normaalitasolle.