1 Inleiding

De toezichtsprioriteiten van het SSM weerspiegelen de middellangetermijnstrategie van ECB-Bankentoezicht voor de komende drie jaar. Deze prioriteiten worden vastgesteld door de Raad van Toezicht en jaarlijks herzien. Ze zijn gebaseerd op een alomvattende beoordeling van de belangrijkste risico’s en kwetsbaarheden voor onder toezicht staande instellingen. Ook houden de prioriteiten rekening met de resultaten van de procedure voor prudentiële toetsing en evaluatie (supervisory review and evaluation process – SREP)^[1] en de voortgang met de prioriteiten van voorgaande jaren. De prioriteiten ondersteunen een efficiënte besteding van beschikbare toezichtsmiddelen en kunnen flexibel worden aangepast als veranderingen in het risicolandschap dit rechtvaardigen.

Onder toezicht staande instellingen hebben de negatieve macrofinanciële en geopolitieke schokken van de afgelopen jaren goed doorstaan. Robuuste fundamentals – zoals gezonde kapitaalposities en liquiditeitsbuffers of lagere niveaus niet-renderende leningen (non-performing loans – NPL’s) – hebben banken geholpen het hoofd te bieden aan de uitdagingen die voortvloeiden uit de coronapandemie en de daarmee samenhangende verstoringen van de toeleveringsketen, de oorlog van Rusland in Oekraïne en de daaropvolgende schok in de energievoorziening, alsook het recente falen van Amerikaanse en Zwitserse banken. Ook de uitkomsten van de EU-brede stresstest dit jaar getuigen van het vermogen van banken om een ernstige economische neergang te doorstaan.^[2]

Kijkend naar de toekomst wordt het Europese bankwezen geconfronteerd met verschillende uitdagingen die vragen om verhoogde waakzaamheid van zowel toezichthouders als banken. Hoewel de snelle stijging van de rente tot nu toe gunstig is geweest voor de winstgevendheid van banken, is de verwachting dat de hogere rentestand zowel de volatiliteit van bepaalde financieringsbronnen als de financieringskosten van banken op middellange termijn zal verhogen, precies op het moment dat aanzienlijke bedragen aan centralebankfinanciering moeten worden vervangen. Daarnaast kan de activakwaliteit van banken weer verslechteren als zich geopolitieke risico’s voordoen, of als een hoge inflatie in combinatie met krappere financieringsvoorwaarden druk zet op het vermogen van huishoudens en niet-financiële ondernemingen om aan rente- en aflossingsverplichtingen te voldoen. Hogere risicopremies kunnen leiden tot een verdere herbeprijzing van financiële activa en nieuwe periodes van hoge volatiliteit op financiële markten. Tegen deze achtergrond is het van essentieel belang dat banken hun kaders voor kredietrisico- en activa- en passivabeheer (asset and liability management – ALM) handhaven en blijven verbeteren, zodanig dat zowel liquiditeits- en financieringsrisico’s als het renterisico in het bankboek (interest rate risk in the banking book – IRRBB) worden gedekt.

Het faillissement van een aantal middelgrote Amerikaanse banken en de overname van een Zwitserse bank wezen opnieuw op de noodzaak van gedegen interne governance en effectieve risicobeheersing door banken om het hoofd te kunnen bieden aan een snel veranderend risicolandschap. De bankfaillissementen benadrukten verder het belang van tijdig en doeltreffend ingrijpen door toezichthouders en, indien nodig, escalatie wanneer de praktijken van banken ontoereikend en het herstel traag lijken te zijn. Tegen deze achtergrond zal ECB-Bankentoezicht geleidelijk passende escalatiemechanismen en -instrumenten inzetten om te waarborgen dat banken de vastgestelde tekortkomingen in de toezichtsprioriteiten snel en succesvol aanpakken. Dit geldt in het bijzonder op het vlak van governance, waar sommige banken ondanks langdurig contact met toezichthouders belangrijke tekortkomingen niet naar behoren hebben aangepakt, bijvoorbeeld met betrekking tot de werking en het sturend vermogen van leidinggevende organen of het vermogen om risicogegevens te aggregeren en te rapporteren. Banken moeten bovendien zorgen dat in hun praktijken een gedegen beheer van klimaat- en milieurisico’s is geborgen. Dit moet uiterlijk eind 2024 het geval zijn, en ECB-Bankentoezicht heeft daarnaast tussentijdse termijnen vastgesteld waarop banken aan bepaalde eisen moeten voldoen.

De digitale transformatie is voor veel banken inmiddels een belangrijke prioriteit om concurrerend te blijven, maar hierbij is het wel van essentieel belang dat zij voorzien in voldoende waarborgen om potentiële risico’s die voortvloeien uit nieuwe bedrijfspraktijken en technologieën te beperken. Uit onderzoek door toezichthouders blijkt dat hoewel sommige banken al goed op weg zijn met hun digitale transformatie, andere banken niet de nodige middelen hebben uitgetrokken om hun doelstellingen te bereiken. Daarnaast onderstrepen de toenemende cyberdreigingen als gevolg van de huidige geopolitieke spanningen en de toenemende afhankelijkheid van externe dienstverleners de noodzaak voor banken om veerkrachtig te blijven en de continuïteit van kritieke diensten te waarborgen, ook bij ernstige operationele verstoringen. Tegen deze achtergrond en naast de toezichtswerkzaamheden die in het kader van deze prioriteiten zijn opgestart, krijgen banken de komende maanden de opdracht om aan te tonen dat ze op dergelijke negatieve gebeurtenissen kunnen reageren en hiervan kunnen herstellen.

Hoewel het risicolandschap sinds vorig jaar verder is geëvolueerd, gaan de in 2022 vastgestelde toezichtsprioriteiten en bijbehorende activiteiten over het geheel genomen nog steeds op, en worden hiermee de belangrijkste kwetsbaarheden in het bankwezen aangepakt. Niettegenstaande de benodigde stabiliteit om over een periode van drie jaar plannen te kunnen maken, zijn enkele geselecteerde aanpassingen gerechtvaardigd om de hierboven genoemde risico’s te kunnen aanpakken.

In het kader van de toezichtsprioriteiten van het SSM voor 2024-2026 wordt onder toezicht staande instellingen primair gevraagd om de weerbaarheid tegen onmiddellijke macrofinanciële en geopolitieke schokken te versterken (Prioriteit 1), om versneld maatregelen te nemen voor een doeltreffend herstel van tekortkomingen op het gebied van governance en het beheer van klimaat- en milieurisico’s (Prioriteit 2), en om de digitale transformatie te vervolgen en robuuste kaders op te stellen voor operationele weerbaarheid (Prioriteit 3). Figuur 1 geeft een overzicht van zeven belangrijke kwetsbaarheden bij banken die onder drie overkoepelende prioriteiten kunnen worden geschaard.

Figuur 1

Toezichtsprioriteiten voor 2024-2026: aanpak vastgestelde kwetsbaarheden bij banken

Het hoofddoel van de strategische planning van ECB-Bankentoezicht is om een solide strategie voor de komende drie jaar te ontwikkelen. De prioriteiten bevorderen zowel de effectiviteit en consistentie van de toezichtsplanning van de gezamenlijke toezichthoudende teams (JST’s) als een efficiëntere besteding van middelen, conform het vaststellen van de bijbehorende risicotolerantieniveaus. Ze helpen bovendien de nationale toezichthouders om, naar evenredigheid, eigen prioriteiten te stellen voor het toezicht op minder belangrijke instellingen (LSI’s). Transparante communicatie over de prioriteiten verduidelijkt de toezichtsverwachtingen voor de banken, versterkt de impact van het toezicht op de verdere verbetering van de schokbestendigheid van de banksector, en draagt bij aan een gelijk speelveld.

Hieronder wordt ingegaan op de uitkomsten van de risicobepaling en -beoordeling voor 2023 en worden de toezichtsprioriteiten en de onderliggende werkprogramma’s voor 2024-2026 beschreven. Toezichthouders voeren in het kader van hun voortdurende dialoog met de banken ook andere reguliere en ad-hocactiviteiten uit die een aanvulling vormen op het werk aan de prioriteiten.

2 Risicobeoordeling en toezichtsprioriteiten voor 2024-2026

2.1 Bedrijfsomgeving van onder toezicht staande instellingen

De Europese banksector toonde zich erg weerbaar tegen externe schokken toen de spanningen in de Amerikaanse en Zwitserse banksectoren in maart dit jaar slechts beperkte en tijdelijke uitstralingseffecten bleken te hebben. Zowel de kapitaalpositie, liquiditeitspositie als activakwaliteit van Europese banken was solide, en zij beschikten bovendien over goed gediversifieerde financieringsbronnen en klantenbestanden. De winstgevendheid van banken die vele jaren een punt van zorg was, is de laatste tijd flink verbeterd als gevolg van de hogere rente, en bevindt zich nu weer op een niveau dat we al meer dan een decennium niet hebben gezien. De toegenomen weerbaarheid van de banksector – mede dankzij de versterking van het Europese regelgevings- en toezichtskader – wordt in de toekomst mogelijk echter opnieuw op de proef gesteld, en er is dan ook geen enkele reden om de waakzaamheid te verslappen.

De groeivooruitzichten voor het eurogebied zijn nog altijd zeer onzeker door de aangescherpte financieringsvoorwaarden en verhoogde geopolitieke spanningen, en de ontwikkeling van de toekomstige energie- en voedselprijzen staat bloot aan opwaartse risico’s.^[3] Ook de inflatoire druk laat zich in het uitdagende klimaat gelden, en de verwachting is dat de zwakke groei in het eurogebied op korte termijn gematigd zal zijn. Terwijl de zwakte binnen de verwerkende industrie nog altijd voortduurt, zal ook de bedrijvigheid in de dienstensector – tot dusver de belangrijkste aanjager van economische groei – afnemen, aangezien de effecten van de heropening van de economie na de pandemie wegebben en de remmende werking van de krappere financieringsvoorwaarden en verhoogde onzekerheid bij de consumenten aanzienlijk blijft. De arbeidsmarkt in het eurogebied is tot dusver veerkrachtig geweest, maar als de economische bedrijvigheid langer stagneert, zou de vraag naar arbeid kunnen afnemen.^[4] De kredietverleningsvoorwaarden zijn sinds december 2022 aanzienlijk aangescherpt en de kredietverlening loopt terug door het in toenemende mate doorwerken van het verkrappende monetaire beleid in de reële economie.^[5]

De verwachting is dat de totale inflatie in het eurogebied op middellange termijn de neerwaartse trend zal vervolgen, maar dat de kerninflatie meer geleidelijk zal dalen.^[6] Mocht verdere verkrapping van het monetaire beleid geboden zijn, of de rente langer hoog blijven bij ook een aanhoudend hoge inflatie, dan kunnen de vooruitzichten voor de economische groei verslechteren, wat negatief zou zijn voor de activakwaliteit van banken. Hoewel de financiële posities van huishoudens en bedrijven over het algemeen gezond lijken, neemt de bezorgdheid over het vermogen van kredietnemers om aan rente- en aflossingsverplichtingen te voldoen toe, met name voor vastgoedleningen. Naast een uitholling van de activakwaliteit van banken in het geval van een economische neergang, vormen eenmalige factoren zoals de bankheffing in sommige landen een afzonderlijk neerwaarts risico voor de winstcijfers van banken.

Een combinatie van verhoogde geopolitieke spanningen, een rente die langere tijd hoog blijft en een mogelijke economische neergang in het eurogebied kunnen leiden tot hernieuwde onrust op de financiële markten. De onrust in de banksector in de Verenigde Staten en Zwitserland begin maart, die aanleiding gaf tot een sterk ‘risk-off’-sentiment onder Amerikaanse banken, breidde zich slechts gedeeltelijk en tijdelijk naar de Europese banksector uit. De uitstralingseffecten voor het eurogebied bleven beperkt en waren van korte duur, de marktvolatiliteit bedaarde en de aandelenkoersen in het eurogebied herstelden zich kort na de schok, met name in de banksector, terwijl de spreads op bedrijfsobligaties opnieuw verkrapten. Toch kan een onverwachte verslechtering van de economische vooruitzichten opnieuw leiden tot een periode van verhoogde volatiliteit en abrupte correcties in de activaprijzen, met een verdere verkrapping van de financieringsvoorwaarden tot gevolg.

2.2 Toezichtsprioriteiten voor de periode 2024-2026

De toezichtsprioriteiten worden vastgesteld na een holistische beoordeling van de belangrijkste risico’s en kwetsbaarheden van banken. De drie overkoepelende prioriteiten voor de komende drie jaar zijn gericht op zowel de kortetermijnrisico’s voor het bankwezen (Prioriteit 1) als de noodzaak om meer structurele uitdagingen op middellange termijn aan te pakken (Prioriteiten 2 en 3). Elke prioriteit is afgestemd op een reeks kwetsbaarheden in het bankwezen – de zogenaamde ‘prioritaire kwetsbaarheden’ – waarvoor specifieke strategische doelstellingen zijn vastgesteld en werkprogramma’s zijn ontwikkeld om de onderliggende risico’s te beperken. Onderlinge verbanden tussen risico’s komen tot uiting in de opzet van de werkprogramma’s, die is gericht op het versterken van zowel de efficiëntie als de effectiviteit van het contact tussen toezichthouders en banken.

Prioriteit 1: versterken van de weerbaarheid tegen onmiddellijke macrofinanciële en geopolitieke schokken

Het onzekere macrofinanciële klimaat, in combinatie met aanhoudende geopolitieke spanningen en het risico op nieuwe perioden van financiële stress, blijft bepalend voor de vooruitzichten voor het Europese bankwezen. Onder toezicht staande instellingen moeten behoedzaam zijn en veerkrachtige bedrijfsstrategieën ontwikkelen en volgen om te kunnen inspelen op de snel veranderende macrofinanciële en geopolitieke omgeving. Tegen deze achtergrond is het belangrijkste doel van ECB-Bankentoezicht een versterkte weerbaarheid van de banken onder haar directe toezicht tegen onmiddellijke macrofinanciële en geopolitieke schokken. Hoewel de stijgende rente tot dusver positief was voor de winstgevendheid, is het zaak dat banken op korte en middellange termijn het hoofd kunnen bieden aan volatielere financieringsbronnen, hogere financieringskosten, een mogelijke daling van de activakwaliteit en een verdere herbeprijzing op de financiële markten. Banken moeten dus hun kaders voor kredietrisico- en activa- en passivabeheer versterken.

Prioritaire kwetsbaarheid: tekortkomingen in het beheer van kredietrisico- en tegenpartijkredietrisico

Strategische doelstelling: banken dienen structurele tekortkomingen in hun kredietrisicobeheerkaders, waaronder die voor het tegenpartijkredietrisico, effectief te verhelpen en tijdig werk te maken van punten waarop zij afwijken van regelgevingsvereisten en toezichtsverwachtingen. Banken zouden de opbouw van risico’s in portefeuilles met verhoogde gevoeligheid voor het huidige macrofinanciële klimaat snel moeten kunnen opsporen en beperken.

Bedrijven en huishoudens hebben zich tot dusver weerbaar getoond tegen de economische neergang dankzij robuuste winsten, lage werkloosheidscijfers en forse spaarbuffers. Hoewel de totale NPL-ratio en uitstaande NPL’s van onder toezicht staande instellingen nog steeds dicht bij historisch lage niveaus liggen, worden de eerste tekenen van een verslechtering van de activakwaliteit zichtbaar. De Fase 2-ratio voor leningen aan huishoudens, en dan met name de consumptieve kredieten, is gestegen doordat de krimp van het reële inkomen in combinatie met een hogere rente in toenemende mate het vermogen van huishoudens om aan rente- en aflossingsverplichtingen te voldoen drukt. Ook het aantal bedrijfsfaillissementen en het wanbetalingspercentage beginnen te klimmen vanaf de lage niveaus die tijdens de pandemie gangbaar waren.

De cyclus in de sector voor niet-commercieel vastgoed is omgeslagen, met een vertraging van de hypothecaire kredietverlening en een daling van de huizenprijzen in de meeste landen van het eurogebied. De markt voor commercieel vastgoed zit nog altijd in een neergaande fase, met een forse daling van de waarderingen en transactievolumes. Structurele kwetsbaarheden en geringere vraag, met name naar minder hoogwaardige winkel- en kantoorruimtes, versterken de krappere financieringsvoorwaarden en onzekere marktomgeving. De risicoposities van banken lijken vooral kwetsbaar in landen die worden gekenmerkt door reeds bestaande overwaardering en een aanzienlijk aandeel aflossingsvrije leningen (zoals bulletleningen) en leningen met variabele rente, die mogelijk een hoger herfinancieringsrisico met zich meebrengen.

De combinatie van hogere financieringskosten als gevolg van krappere financieringsvoorwaarden en de hoge volatiliteit op de financiële markten vergroot de risico’s voor niet-bancaire financiële instellingen met een hoge schuldenlast, zeker als zij ook een forse derivatenpositie hebben. De blootstelling aan dergelijke instellingen betekent voor sommige banken een mogelijk verhoogd tegenpartijkredietrisico, wat de noodzaak van gedegen risicobeheersing benadrukt.

Toezichthouders werken al enkele jaren aan het aanpakken van structurele tekortkomingen in de kredietrisicobeheerkaders van banken.^[7] Hoewel uit de toezichtswerkzaamheden blijkt dat banken op dit gebied een zekere vooruitgang hebben geboekt, komen er ook een aantal hardnekkige tekortkomingen naar voren. Deze variëren bijvoorbeeld van het beperkte vermogen van banken om te anticiperen op opkomende risico’s (waaronder klimaat- en milieurisico’s) en deze adequaat op te nemen in voorzieningen voor kredietrisico, tot lacunes in de mate waarin banken zijn voorbereid op een sterke toename van het aantal probleemdebiteuren en herfinancieringsrisico’s, alsook signalen die wijzen op overwaardering van zekerheden voor commerciële vastgoedportefeuilles. Hoewel de bevindingen van deze evaluaties zijn meegenomen in de SREP-uitkomsten voor 2023, zijn er ook specifieke toezichtsmaatregelen aan banken gecommuniceerd, en toezichthouders houden de uitvoering van de geplande herstelmaatregelen nauwlettend in het oog.

Met betrekking tot het beheer van het tegenpartijkredietrisico hebben de in 2022 uitgevoerde gerichte toetsing en de daaropvolgende inspecties ter plaatse materiële tekortkomingen aan het licht gebracht in het klantenonderzoek, de vaststelling van de risicobereidheid, de procedure voor wanbetalingsbeheer en de stresstestkaders van banken. Hoewel de onder toezicht staande instellingen vooruitgang hebben geboekt met de aanpak van de gesignaleerde kwesties, zullen er naar verwachting aanvullende inspanningen moeten worden verricht om nauwe aansluiting te vinden bij het in oktober 2023 gepubliceerde verslag ‘Sound practices in counterparty credit risk governance and management’ over governance en beheer van tegenpartijkredietrisico’s.

Kijkend naar de toekomst zullen de toezichtswerkzaamheden uit het werkprogramma van vorig jaar, gericht op de strategische doelstelling voor het beheer van krediet- en tegenpartijkredietrisico, grotendeels worden voortgezet. Toch is een zekere mate van heroriëntatie aan de orde, gezien de veranderende economische omgeving en tot dusver geboekte voortgang. De inspanningen om de resterende hiaten genoemd in de brief aan de CEO’s van 2020 te overbruggen worden vervolgd als onderdeel van toetsingen op het gebied van forbearance, onwaarschijnlijkheid van betaling (UTP) en voorzieningen. Met betrekking tot het laatstgenoemde onderwerp zal de gerichte toetsing van IFRS 9 en overlays worden herhaald om de voortgang van banken en het herstel van eerder gesignaleerde tekortkomingen te monitoren. Bovendien zullen er gerichte toetsingen en, indien nodig, inspecties ter plaatse en inspecties van interne modellen worden uitgevoerd voor meer gevoelige portefeuilles, zoals vastgoed (zowel residentieel als commercieel) en kleine en middelgrote ondernemingen. Wat betreft het tegenpartijkredietrisico zullen de JST’s de risicoposities van banken en hun risicobeheerpraktijken nauwlettend in de gaten blijven houden, en zal er een gerichte follow-up plaatsvinden van de geboekte voortgang met het herstel van de in 2022 geconstateerde tekortkomingen.

Belangrijkste activiteiten uit het werkprogramma voor toezichtsprioriteiten

• Gerichte toetsingen van de weerbaarheid van portefeuilles die gevoeliger zijn voor de huidige macrofinanciële situatie en blootstaan aan herfinancieringsrisico’s, waaronder een follow-up van bevindingen uit eerdere gerichte toetsingen van de kredietverlening voor niet-commercieel en commercieel vastgoed, en een nieuwe gerichte toetsing van kwetsbare kleine en middelgrote zakelijke kredietnemers.
• Follow-up van de gerichte toetsing van IFRS 9, ter bewaking van de voortgang met het in kaart brengen van opkomende risico's door de modellen voor verwachte kredietverliezen van banken. De nadruk ligt hierbij op overlays.
• Verlenging van de diepgaande onderzoeken naar forbearance en UTP-beleid.
• Verlenging van de inspecties ter plaatse, gericht op collectieve fasering volgens IFRS 9 en voorzieningen voor kleine en middelgrote ondernemingen, retailportefeuilles en commercieel vastgoed, inclusief de waardering van zekerheden.
• Verlenging van inspecties van interne modellen en follow-up door de JST’s ter beoordeling van wijzigingen in op interne ratings gebaseerde modellen die verband houden met nieuwe regelgevingsvereisten en het herstel van de gesignaleerde tekortkomingen vanuit de gerichte toetsing van interne modellen.
• Follow-up van de in 2022 uitgevoerde gerichte toetsing van het beheer van tegenpartijkredietrisico.
• Gerichte inspecties ter plaatse met betrekking tot specifieke aspecten van het beheer van tegenpartijkredietrisico’s.

Prioritaire kwetsbaarheid: Tekortkomingen in de kaders voor activa- en passivabeheer

Strategische doelstelling: Banken moeten voorzien in gezonde en prudente ALM-governance en -strategieën, op basis van sterk toezicht door hun leidinggevende organen en een correcte weergave van de risico’s in verband met het huidige monetaire beleid en de snel veranderende economische omgeving. Ze moeten met name solide en geloofwaardige financieringsplannen opstellen met het oog op gediversifieerde financieringsstructuren, evenals effectieve noodplannen om schokken in kortlopende liquiditeit op te vangen. Banken moeten ook zorgen voor een adequaat beheer van hun renterisicoposities, op basis van prudente aannames met betrekking tot het gedrag van cliënten, en overeenkomstige mitigatiestrategieën uitwerken die in verhouding staan tot hun risicoprofiel.

De renteomgeving waarin banken opereren is de afgelopen twee jaar fundamenteel veranderd. Hogere rentetarieven ondersteunen in grote lijnen de winstgevendheid van onder toezicht staande instellingen, maar kunnen ook leiden tot hogere financieringskosten en tot problemen voor de liquiditeitssituatie van banken en, meer in het algemeen, voor hun governance, strategieën en kaders op het vlak van ALM.

De volatiliteit op de financiële markten en de prijscorrecties op de markten voor vastrentende waarden in het licht van de huidige rentedynamiek hebben het risico vergroot dat ongerealiseerde verliezen zich opstapelen in de tegen geamortiseerde kostprijs gewaardeerde portefeuilles van banken. Hoewel de gevolgen ernstig kunnen zijn, zoals bleek uit de onrust rond enkele Amerikaanse middelgrote banken in maart, is de in die specifieke periode opgetekende combinatie van factoren tot dusver niet waargenomen bij banken die onder Europees bankentoezicht staan. De in juli 2023^[8] gepubliceerde gegevens tonen immers dat dergelijke ongerealiseerde verliezen al bij al relatief beperkt zijn gebleven, namelijk tot € 73 miljard in februari 2023, tegen $ 620 miljard voor Amerikaanse banken aan het einde van 2022^[9]. Al sinds de tweede helft van 2021, toen zich de eerste tekenen van inflatoire druk voordeden, houden de toezichthouders de beoordeling en het beheer van rente- en creditspreadrisico’s door de banken nauwlettend in het oog. In 2022 heeft ECB-Bankentoezicht die risico’s in zijn toezichtsprioriteiten opgenomen en een gerichte toetsing uitgevoerd om proactief te beoordelen in hoeverre banken voorbereid zijn op potentiële renteverhogingen. Daaruit is gebleken dat banken de kalibratie van hun ALM-modellen vaker moeten evalueren om te reageren op veranderingen in het gedrag van cliënten als gevolg van de nieuwe rente-omgeving en op zwakke punten in sommige afdekkingsstrategieën.

Wat liquiditeit en financiering betreft, zijn de onder toezicht staande instellingen tot dusver al bij al goed bestand gebleken tegen de veranderingen in het financiële klimaat. De inkrimping van de centralebankreserves en de zwakke monetaire dynamiek hebben geleid tot een daling van de liquiditeitsbuffers van banken, maar hun liquiditeitsdekkingsratio’s en nettostabielefinancieringsratio’s blijven gemiddeld genomen ruim boven het wettelijk vereiste minimum. Daarnaast zijn de financieringsconcentraties bij onder toezicht staande instellingen niet vergelijkbaar met die van enkele van de Amerikaanse middelgrote banken die eerder dit jaar failliet gingen, omdat de belangrijkste financieringsbronnen voornamelijk uit deposito’s bestaan. Deze zijn voornamelijk afkomstig van retailklanten en het grootste deel wordt door de depositogarantie gedekt. Om te zorgen voor de soepele uitfasering van de gerichte langerlopende herfinancieringstransacties (targeted longer-term refinancing operations –TLTRO’s) en om te beoordelen in hoeverre banken hierop voorbereid zijn, is in 2023 een gerichte toetsing uitgevoerd naar de TLTRO-exitstrategie van banken. Tegen deze achtergrond is aan sommige banken gevraagd hun financieringsbronnen verder te diversifiëren. Er loopt ook een gerichte toetsing van de betrouwbaarheid en deugdelijkheid van de financieringsplannen van banken. De resultaten daarvan worden meegenomen in de SREP-uitkomsten van 2024.

In de toekomst zal ECB-Bankentoezicht nadruk blijven leggen op het belang van robuuste ALM-regelingen bij banken. De ALM-governance en -strategieën van de banken zullen aan de hand van gerichte werkzaamheden worden getoetst, net als de aannames die ten grondslag liggen aan een aantal van hun gedragsmodellen. De toezichthouders zullen ook de weerbaarheid van banken tegen schokken in kortlopende liquiditeit en de geloofwaardigheid en deugdelijkheid van hun noodplannen voor liquiditeit beoordelen. Tot slot blijven de toezichthouders net als in de afgelopen jaren aandacht besteden aan de wijze waarop banken het IRRBB beheren en aan de deugdelijkheid en betrouwbaarheid van hun financieringsplannen.

Belangrijkste activiteiten uit het werkprogramma voor toezichtsprioriteiten

• Gerichte toetsingen van de deugdelijkheid en betrouwbaarheid van financieringsplannen, noodplanning en het vermogen tot onderpandoptimalisatie, alsmede van ALM-governance en -strategieën.
• Gerichte inspecties ter plaatse van de soliditeit en geschiktheid van financierings- en herstelplannen.
• Follow-up van de bevindingen van de gerichte toetsing van de rente- en creditspreadrisico’s en uitbreiding van deze toetsing naar een ruimere groep instellingen.
• Inspecties ter plaatse naar het IRRBB, met name naar positionering en strategie inzake ALM, IRRBB-gedragsmodellen en afdekkingsstrategie.

Prioriteit 2: versnelde maatregelen voor een doeltreffend herstel van tekortkomingen op het gebied van governance en het beheer van klimaat- en milieurisico’s

Uit de SREP-resultaten van 2023 blijkt dat sommige banken nog steeds onvoldoende vooruitgang hebben geboekt bij het aanpakken van tekortkomingen op het gebied van governance. Dit is met name het geval voor de werking en de strategische sturing van de leidinggevende organen van banken, maar ook voor hun vermogen om risicogegevens te aggregeren en te rapporteren. Bovendien werd het belang van gedegen governance en risicobeheersing nog eens benadrukt door het omvallen van enkele Amerikaanse en Zwitserse banken eerder dit jaar. Hetzelfde geldt voor de gestaag toenemende klimaat- en milieurisico’s, waarvan de negatieve gevolgen wereldwijd al voelbaar zijn. Banken moeten hun inspanningen opvoeren en deze risicofactoren afdoende tot uitdrukking brengen in hun bedrijfsstrategieën en risicobeheersingskaders, zodat ze eind 2024 volledig voldoen aan de toezichtsverwachtingen op dit gebied. Om deze doelstelling te bereiken kan ECB-Bankentoezicht gebruikmaken van instrumenten (waaronder, indien nodig, opslagfactoren, handhaving en sancties en toetsingen van deskundigheids- en betrouwbaarheidsbeoordelingen) om banken te stimuleren de vastgestelde tekortkomingen doeltreffend te verhelpen, vooral wanneer duidelijke maatregelen en concrete termijnen worden vastgesteld om aan de toezichtsverwachtingen te voldoen.

Prioritaire kwetsbaarheid: Tekortkomingen in de werking en het sturend vermogen van de leidinggevende organen

Strategische doelstelling: Banken dienen materiële tekortkomingen in de werking, het toezicht en de samenstelling van hun leidinggevende organen effectief aan te pakken door gedegen plannen voor herstelmaatregelen te ontwikkelen en deze snel uit te voeren, daarbij rekening houdend met de verwachtingen van de toezichthouder.

Sterke interne governance en effectieve strategische sturing zijn onmisbaar voor de weerbaarheid en duurzaamheid van de bedrijfsmodellen van banken. Als gevolg van de huidige onzekere macrofinanciële vooruitzichten en de verandering in de renteomgeving na jaren van soepele financieringsvoorwaarden moeten banken een doeltreffende strategische sturing hanteren en hun werking aanpassen om de daarmee verbonden risico’s correct te beoordelen, te controleren en te beheersen. De onrust van maart in de Amerikaanse en Zwitserse banksector heeft aangetoond dat bankbesturen en -management een cruciale rol spelen. Zij zijn uiteindelijk verantwoordelijk voor het waarborgen van adequate interne governanceregelingen en doeltreffende risicobeheersprocessen, en de gevolgen voor een bank kunnen mogelijk ernstig zijn als deze ontbreken. Doeltreffende strategische sturing is ook nodig om de bedrijfsmodellen van banken aan te passen aan veranderende trends, zoals digitalisering en een versnelde groene transitie.

Het aanpakken van tekortkomingen bij de leidinggevende organen is al enkele jaren een van de topprioriteiten van ECB-Bankentoezicht. Op sommige gebieden is er weliswaar vooruitgang geboekt, maar er moet nog meer gedaan worden met betrekking tot de samenstelling, collectieve geschiktheid en toezichtsrol van bankbesturen. Na de directe interventie van de toezichthouder in 2022 hebben banken hun diversiteitsbeleid verbeterd, dat nu naast gender ook opleiding, ervaring, geografische herkomst en leeftijd als criteria omvat. Momenteel hebben bijna alle onder toezicht staande instellingen doelen om genderonevenwichtigheden in hun leidinggevende organen aan te pakken. De vooruitgang bij het bereiken van deze doelstellingen is echter nog steeds ontoereikend.^[10] Banken moeten ook de collectieve geschiktheid van hun bestuursorganen en hun vermogen om kritische vragen te stellen verder verbeteren. Dit laatste heeft te maken met zwakke punten in de bestuurssamenstelling (bijv. onvoldoende onafhankelijke bestuurders en een gebrek aan kennis op specifieke gebieden zoals IT) en de werking (bijv. onvoldoende tijd vrijmaken voor besprekingen en aandachtspunten bij benoemingen in leidinggevende organen). Ook de toezichtsrol van bestuurscomités moet verder worden verbeterd, zoals blijkt uit de gerichte toetsing van de leidinggevende organen van 2023.^[11]

ECB-Bankentoezicht blijft met de banken in gesprek om deze langdurige tekortkomingen aan te pakken door middel van gerichte toetsingen en inspecties ter plaatse. Daarnaast zullen toezichthouders de toezichtsverwachtingen ten aanzien van governance en risicobeheer actualiseren en publiceren.

Belangrijkste activiteiten uit het werkprogramma voor toezichtsprioriteiten

• Gerichte toetsing van de doeltreffendheid van de leidinggevende organen van banken en gerichte inspecties ter plaatse.
• Actualisering en externe publicatie van toezichtsverwachtingen en best practices voor de governance en risicocultuur van banken.^[12]

Prioritaire kwetsbaarheid: Tekortkomingen in de aggregatie en rapportage van risicogegevens

Strategische doelstelling: Banken moeten langdurige tekortkomingen doeltreffend aanpakken en beschikken over adequate en efficiënte kaders voor de aggregatie en rapportage van risicogegevens, om een efficiënte sturing door leidinggevende organen te ondersteunen en tegemoet te komen aan de verwachtingen van toezichthouders, ook in tijden van crisis.

Tijdige en nauwkeurige aggregatie en rapportage van risicogegevens zijn essentieel voor een gedegen besluitvorming en doeltreffende strategische sturing door banken, met name in de huidige omgeving, ook met het oog op financiële, risico- en toezichtrapportage. Alle tot nog toe gehouden toezichtexercities – waaronder de SREP van 2023 en de lopende inspecties ter plaatse – wijzen op onvoldoende vooruitgang bij het wegwerken van tekortkomingen ten aanzien van de toezichtsverwachtingen en de naleving van de principes voor effectieve aggregatie van risicogegevens en risicorapportage van het Bazels Comité voor bankentoezicht. De belangrijkste tekortkomingen hebben te maken met onvoldoende aandacht van en toezicht door leiddinggevende organen, zwakke punten in de gegevensarchitectuur en gefragmenteerde en niet-geharmoniseerde IT-landschappen, de geringe capaciteit voor het aggregeren van gegevens op groepsniveau en niet-doeltreffende governanceregelingen. Een sterke prioritering door leidinggevende organen is van cruciaal belang, aangezien vaak aanzienlijke middelen nodig zijn om tekortkomingen in de aggregatie en rapportage van risicogegevens aan te pakken.

Zoals reeds werd meegedeeld in de toezichtsprioriteiten van vorig jaar, zal ECB-Bankentoezicht zijn inspanningen opvoeren om ervoor te zorgen dat onder toezicht staande instellingen aanzienlijke vooruitgang boeken bij het verhelpen van de al lang bestaande tekortkomingen in de aggregatie en rapportage van risicogegevens. Vanaf 2024 wordt geleidelijk een gestructureerd escalatiemechanisme toegepast, mogelijk met handhaving en sancties.^[13] In de Gids inzake effectieve aggregatie van risicogegevens en risicorapportage worden de toezichtsverwachtingen verder versterkt en uiteengezet. Tussen juli en oktober 2023 heeft een openbare raadpleging^[14] plaatsgevonden over deze gids, die naar verwachting in 2024 wordt gepubliceerd. De toezichthouders zullen ook gerichte toetsingen en inspecties ter plaatse uitvoeren en in gesprek gaan met banken wanneer aanhoudende tekortkomingen worden vastgesteld. Daarnaast is begin 2023 het managementverslag over datagovernance en gegevenskwaliteit^[15] ingevoerd. Dit verslag, dat blijft bestaan in de vorm van een jaarlijkse vragenlijst voor banken, moet ervoor zorgen dat leidinggevende organen van banken hun verantwoordingsplicht met betrekking tot interne, financiële en toezichtrapportages naar behoren vervullen.

Belangrijkste activiteiten uit het werkprogramma voor toezichtsprioriteiten

• Verfijning van de toezichtsverwachtingen met betrekking tot de toepassing van de aggregatie en rapportage van risicogegevens en de publicatie van de gids over dit thema.
• Gerichte toetsingen van de aggregatie en rapportage van risicogegevens in de praktijk.
• Inspecties ter plaatse in verband met de aggregatie en rapportage van risicogegevens (verlenging van 2023).
• Opstellen van het managementverslag over datagovernance en gegevenskwaliteit – een jaarlijkse vragenlijst waarmee de leidinggevende organen van banken naar behoren verantwoording kunnen afleggen over interne, financiële en toezichtsrapportages.

Prioritaire kwetsbaarheid: Materiële blootstellingen aan fysieke en transitierisicofactoren van klimaatverandering

Strategische doelstelling: Banken moeten klimaat- en milieurisico’s adequaat integreren in hun bedrijfsstrategieën en hun kaders voor governance en risicobeheer om dergelijke risico’s te beperken en erover te rapporteren. Daartoe moeten ze hun werkwijzen afstemmen op de huidige regelgevingsvereisten en toezichtsverwachtingen.

De wereldwijde uitstoot van broeikasgassen is blijven stijgen^[16], wat heeft geleid tot een verdere opwarming van de aarde. Dit heeft zich weer vertaald in een groter aantal en meer gelijktijdige gevaren, zoals herhaaldelijk is gebleken uit de hittegolven met recordhoogtes, en de bosbranden en overstromingen in Europa en andere delen van de wereld. Het bestaande beleid voldoet niet aan de doelstellingen om de opwarming van de aarde tegen te gaan die in het kader van het klimaatakkoord van Parijs in 2015 zijn vastgesteld.^[17] Uitgestelde klimaatactie zal naar verwachting de fysieke risico’s en transitierisico’s en – mogelijk – de daarmee samenhangende verliezen voor banken verder doen toenemen, waardoor het risico op grotere schade, de continuering van infrastructuren met hoge emissies, gestrande activa en kostenescalatie stijgt.^[18] De geopolitieke spanningen, alsook de steeds hogere initiële investeringen en disruptieve veranderingen die nodig zijn voor beperking en aanpassing, zullen de transitierisico’s tegen de achtergrond van de krappere financieringsvoorwaarden waarschijnlijk verder vergroten.

Hoewel uit de SREP van 2023 naar voren kwam dat sommige banken de opzet van hun strategie ten aanzien van klimaat- en milieurisico’s enigszins hebben verbeterd, bleek dat andere banken hun tekortkomingen op dit vlak hoognodig moeten aanpakken. Kwalitatieve SREP-maatregelen waren voornamelijk gericht op de zwakheden van banken in de strategische en operationele planning en op de kennis van leidinggevende organen over milieu, maatschappij en governance (ESG). De klimaat- en milieurisico’s hebben voor meer banken gevolgen gehad wat betreft de vereiste Pijler 2-niveaus dan bij de SREP van vorig jaar.^[19]

Om de tekortkomingen die naar voren kwamen uit de klimaatrisicostresstest^[20] en het themaonderzoek^[21] 2022 van de ECB effectief aan te pakken, heeft ECB-Bankentoezicht instellingsspecifieke deadlines vastgesteld voor banken om hun werkwijze tegen het eind van 2024 volledig in lijn te hebben met de toezichtsverwachtingen die zijn vastgelegd in de Gids van de ECB inzake klimaat- en milieurisico’s 2020. Maart 2023 markeerde een van de tussenliggende mijlpalen in dit proces, aangezien dit de maand was waarin van banken werd verwacht dat ze klimaat- en milieurisico’s naar behoren hadden ingedeeld en in staat zouden zijn een volledige beoordeling uit te voeren van de impact ervan op hun activiteiten. Sommige banken laten in dit opzicht nog steeds ernstige zwakheden zien en toezichthouders hebben hierover met hen in contact gestaan via operationele handelingen, kwalitatieve SREP-vereisten en ad-hocbesluiten van de Raad van Toezicht. Van banken wordt verwacht dat ze tegen eind 2023 klimaat- en milieurisico’s opnemen in hun governance, strategie en risicobeheer. De bedoeling is dat ze tegen eind 2024 voldoen aan alle resterende toezichtsverwachtingen die in 2020 zijn opgesteld, waaronder volledige integratie in het intern proces ter beoordeling van de kapitaaltoereikendheid (internal capital adequacy assessment process – ICAAP) en de stresstests. In de toekomst zal ECB-Bankentoezicht zijn volledige instrumentarium blijven inzetten om ervoor te zorgen dat banken aan deze verwachtingen voldoen, waaronder, indien nodig, escalatie van het toezicht, zoals dwangsommen of bankspecifieke kapitaalopslagen.^[22]

Bovendien zullen toezichthouders de toereikendheid van de informatieverschaffing door banken blijven beoordelen. Banken hebben weliswaar op dit gebied enige vooruitgang geboekt, zoals blijkt uit de resultaten van de derde beoordeling van de vooruitgang van Europese banken met de informatieverschaffing over klimaat- en milieurisico’s, maar de kwaliteit van de informatieverschaffing is nog altijd laag. Andere aandachtspunten in de komende jaren zijn onder meer de aanpak van aan klimaat en milieu gerelateerde reputatie- en geschillenrisico’s die voortvloeien uit de publicatie van transitiedoelstellingen en/of ‘net zero’-toezeggingen. Toezichthouders zullen bovendien hun voorbereidende werkzaamheden voor de evaluatie van de transitieplanning van banken en hun bereidheid om te voldoen aan ESG-mandaten vanuit de richtlijn kapitaalvereisten (CRD VI) voortzetten. Tot slot worden klimaatrisico’s onverminderd meegenomen bij bepaalde risicospecifieke inspecties ter plaatse, en voor 2024 staat de start van gerichte missies over klimaat- en milieurisico gepland.

Belangrijkste activiteiten uit het werkprogramma voor toezichtsprioriteiten

• Gerichte follow-up van tekortkomingen die in de klimaatrisicostresstest en het themaonderzoek uit 2022 naar voren kwamen, met als doel om uiterlijk eind 2024 volledig te voldoen aan de betreffende toezichtsverwachtingen.
• Een toetsing van de naleving door banken en de afstemming tussen de technische uitvoeringsnormen inzake rapportage en de Pijler 3-vereisten inzake informatieverschaffing met betrekking tot klimaat- en milieurisico’s, plus benchmarking van de werkwijzen van banken aan de toezichtsverwachtingen.
• Diepgaande onderzoeken naar het vermogen van banken om reputatie- en geschillenrisico’s in verband met klimaat- en milieutoezeggingen aan te pakken.
• Gerichte inspecties ter plaatse in verband met klimaataspecten, hetzij afzonderlijk, hetzij in het kader van andere geplande risicobeoordelingen (bijv. kredietrisico, operationeel risico en bedrijfsmodelrisico).

Prioriteit 3: vervolgen van de digitale transformatie en opstellen van robuuste kaders voor operationele weerbaarheid

Hoewel de meeste onder toezicht staande instellingen vooruitgang boeken met het digitaliseren van hun activiteiten en diensten om het hoofd te kunnen bieden aan de almaar toenemende concurrentiedruk, is het ook zaak dat zij hun operationele weerbaarheidskaders versterken, en waar nodig aanpassen, om potentiële risico’s te beperken. Het realiseren van operationele weerbaarheid moet bijdragen aan de houdbaarheid van de bedrijfsmodellen van banken op middellange termijn, en hen onder meer in staat stellen om de vruchten van innovatieve technologieën te plukken. Sommige banken lopen echter achter met het behalen van deze doelstellingen. Daarnaast moeten onder toezicht staande instellingen kwetsbaarheden aanpakken die voortvloeien uit hun toenemende operationele afhankelijkheid van externe aanbieders, en hun IT-beveiligings-/cyberrisicobeheer verbeteren. Dit is met name van belang gezien de toenemende cyberdreiging vanuit de huidige geopolitieke omgeving.

Prioritaire kwetsbaarheid: tekortkomingen in de strategieën voor digitale transformatie

Strategische doelstelling: Om hun bedrijfsmodel te verduurzamen en hun risico’s in verband met het gebruik van innovatieve technologieën te beperken, dienen banken plannen voor digitale transformatie te maken en adequaat uit te voeren (bijv. bedrijfsstrategie en risicobeheersing).

Onder toezicht staande instellingen hebben onlangs recordhoge winstcijfers bekendgemaakt, voornamelijk dankzij hogere nettorentemarges. Toch is er nog altijd sprake van structureel zwakke punten in hun bedrijfsmodel. De kosten-batenverhoudingen van banken blijven hoog en star, en de huidige hoge inflatoire druk kan het doorvoeren van kostenbeperkende maatregelen bemoeilijken. In verband hiermee is het van belang dat onder toezicht staande instellingen de voorziene stijging van de bedrijfskosten kunnen opvangen zonder in te boeten op broodnodige investeringen in de digitale transformatie. De verwachting is dat banken door digitalisering hun concurrentiepositie kunnen versterken en beter bestand zijn tegen concurrentie van buiten het bankwezen.

In 2023 heeft ECB-Bankentoezicht een horizontale beoordeling en een benchmarkanalyse uitgevoerd op basis van gegevens uit het hele SSM over de digitale transformatie en het gebruik van financiële technologie (fintech). De uitkomsten van deze analyse zijn met banken gedeeld en hebben geholpen een aantal risico’s met betrekking tot de digitale transformatie te kwalificeren, waaronder strategische en uitvoeringsrisico’s, cyberrisico’s, risico's in verband met de afhankelijkheid van derden en witwas- en frauderisico’s. Gerichte inspecties ter plaatse ter aanvulling op de horizontale beoordeling gaven aanleiding tot bezorgdheid over doeltreffende strategische sturing en uitvoering, en onderstreepten het belang van bijscholing van personeel en leidinggevende organen. Ook kwamen er tekortkomingen qua budgettering en financiële planning naar voren. Banken lijken moeite te hebben om de financiële gevolgen van initiatieven gericht op digitale transformatie te monitoren. De uitkomsten van deze werkzaamheden vormden de basis voor de toezichtbeoordeling van de bedrijfsmodellen van banken tijdens de SREP-cyclus van 2023. In de toekomst blijft ECB-Bankentoezicht zich richten op de digitale transformatie en worden gerichte toetsingen gecombineerd met specifieke inspecties ter plaatse. ECB-Bankentoezicht zal zijn toezichtsverwachtingen voor de digitale transformatie publiceren.^[23] De herziene verwachtingen zullen de toezichtbeoordelingsmethodologie kracht bijzetten.

Belangrijkste activiteiten uit het werkprogramma voor toezichtsprioriteiten

• Gerichte toetsingen van de impact van de digitale transformatie door banken op hun bedrijfsmodel/strategie, governance en risico-identificatie/-beheer, aangevuld door follow-up door de JST’s bij banken waar materiële tekortkomingen zijn geconstateerd.
• Gerichte inspecties ter plaatse van de digitale transformatie, waarbij de bedrijfsmodel- en IT-aspecten van de digitale transformatie voor banken worden gecombineerd.
• Publicatie van toezichtsverwachtingen en uitwisseling van best practices voor strategieën voor digitale transformatie.

Prioritaire kwetsbaarheid: Tekortkomingen op het gebied van operationele weerbaarheid, met name IT-outsourcing en IT-beveiligings- en/of cyberrisico’s

Strategische doelstelling: Banken dienen te beschikken over goede regelingen voor uitbestedingsrisico’s en over kaders voor IT-beveiliging en cyberweerbaarheid om proactief ongemitigeerde risico’s aan te pakken die kunnen leiden tot materiële verstoring van kritieke activiteiten en/of diensten en om te voldoen aan de relevante regelgevingsvereisten en toezichtsverwachtingen.

Cyberrisico’s en gegevensbeveiliging zijn nog altijd bepalend voor het operationele risico van banken. Het aantal meldingen van cyberincidenten door onder toezicht staande instellingen bij ECB-Bankentoezicht nam in de eerste helft van 2023 toe, wat wijst op de aanzienlijke blootstelling van de banksector aan veranderende cyberdreigingen, onder meer als gevolg van de oorlog van Rusland in Oekraïne en de verhoogde geopolitieke spanningen. Destructieve aanvallen zijn een belangrijk onderdeel geworden van de activiteiten van overheidsactoren, en ook financiële instellingen zijn waarschijnlijke doelwitten gezien hun rol binnen een kritieke infrastructuur.^[24] Met name het aantal ransomware-aanvallen neemt toe. Ook worden cybercriminelen steeds geraffineerder en worden banken in toenemende mate geconfronteerd met evoluerende afpersingstechnieken.

Zwakke punten in IT-uitbestedingsregelingen vormen een andere belangrijke kwetsbaarheid, aangezien banken in toenemende mate afhankelijk zijn van externe dienstverleners. De verlenging en toenemende complexiteit van toeleveringsketens noopt banken tot het verkrijgen van een beter inzicht in en een betere beheersing van hun leveranciersrelaties en de (inter)afhankelijkheden daarvan om potentiële concentratierisico’s proactief aan te pakken. Een gedegen beheer van activa en leveranciers is dus essentieel voor banken om tegemoet te komen aan de wensen van klanten en efficiënter te opereren in een steeds concurrerender landschap, en om tegelijkertijd een deugdelijk risicobeheer van uitbestedingsregelingen en de invoering van cloudoplossingen te waarborgen. De uitkomsten van de SREP-beoordeling van 2023 bevestigden verder dat banken in belangrijke mate tekortschieten met het beheer van IT-uitbestedings- en IT-beveiligings-/cyberrisico’s. Operationele risico’s scoren volgens SREP namelijk nog altijd het slechtst.^[25]

Tegen deze achtergrond verzamelt ECB-Bankentoezicht jaarlijks de uitbestedingsregisters van onder toezicht staande instellingen. Uit de tot dusver uitgevoerde analyses kwamen verschillende zwakke punten naar voren, waaronder een grote afhankelijkheid van enkele niet-Europese externe aanbieders en de aanzienlijke aantallen uitbestedingscontracten. Een gedegen beheer van het derdenrisico, inclusief de uitbesteding van clouddiensten, blijft hoog op de toezichtsagenda staan en zal verder worden beoordeeld als onderdeel van de lopende werkzaamheden.

Naast de horizontale beoordeling van uitbestedingsregelingen van banken en de analyse van het concentratierisico blijft ECB-Bankentoezicht gerichte toetsingen uitvoeren van uitbestedingsregelingen en cyberweerbaarheid om een beter inzicht te krijgen in de aard en omvang van de risico’s en de daarmee samenhangende risicobeperkende maatregelen van banken. De gerichte toetsingen worden aangevuld met inspecties ter plaatse om tekortkomingen per bank vast te stellen en te beoordelen. Gezien de sterke toename van het aantal cyberaanvallen en het belang van dit onderwerp in het huidige geopolitieke landschap, zal ECB-Bankentoezicht ook volgend jaar een thematische stresstest uitvoeren voor de cyberweerbaarheid, teneinde te beoordelen of banken in staat zijn te reageren op en te herstellen van een geslaagde cyberaanval.^[26]

Belangrijkste activiteiten uit het werkprogramma voor toezichtsprioriteiten

• Gegevensverzameling en horizontale analyse van uitbestedingsregisters om te bepalen of er sprake is van verwevenheid tussen onder toezicht staande instellingen en externe leveranciers of van potentiële risicoconcentraties bij bepaalde leveranciers.
• Gerichte toetsingen van uitbestedingsregelingen en cyberweerbaarheid.
• Gerichte inspecties ter plaatse van het beheer van uitbestedingen en cyberbeveiliging.
• Systeembrede stresstest inzake cyberweerbaarheid in 2024, waarbij de nadruk ligt op het reactie- en herstelvermogen van banken na een cyberbeveiligingsincident en hun vermogen om de impact te beperken en dienstverlening tijdig te hervatten.