1 Wprowadzenie

Priorytety nadzorcze SSM odzwierciedlają średniookresową strategię Nadzoru Bankowego EBC na kolejne trzy lata. Są ustalane przez Radę ds. Nadzoru i co roku poddawane przeglądowi. Opierają się na wszechstronnej ocenie głównych czynników ryzyka i źródeł podatności na zagrożenia dotyczących nadzorowanych instytucji. Priorytety uwzględniają także wynik procesu przeglądu i oceny nadzorczej (SREP)^[1] oraz postępy w realizacji priorytetów z poprzednich lat. Przyczyniają się do efektywnej alokacji dostępnych zasobów nadzorczych i mogą być elastycznie modyfikowane, jeżeli uzasadniają to zmiany w środowisku ryzyka.

Nadzorowane instytucje dobrze poradziły sobie z niekorzystnymi szokami makrofinansowymi i geopolitycznymi w ostatnich latach. Solidne fundamenty – takie jak dobra sytuacja kapitałowa i bufory płynności czy niższe poziomy kredytów zagrożonych – pomogły bankom poradzić sobie z wyzwaniami wynikającymi z pandemii koronawirusa (COVID‑19) i związanych z nią zakłóceń w łańcuchach dostaw, wojny Rosji przeciw Ukrainie i późniejszego szoku podażowego na rynku energii oraz niedawnego upadku banków w USA i Szwajcarii. Zdolność sektora bankowego do przetrwania poważnego spadku koniunktury gospodarczej potwierdził również wynik tegorocznego ogólnounijnego testu warunków skrajnych^[2].

W nadchodzącym czasie europejski sektor bankowy stoi przed kilkoma wyzwaniami, które wymagają wzmożonej czujności ze strony zarówno nadzorców, jak i banków. Choć szybko postępujący wzrost stóp procentowych miał jak dotąd korzystny wpływ na rentowność banków, oczekuje się, że wyższe stopy procentowe zwiększą zarówno zmienność niektórych źródeł finansowania, jak i koszty finansowania banków w średnim okresie – dokładnie w momencie, gdy znaczna ilość środków z banku centralnego ma zostać zastąpiona innymi źródłami finansowania. Ponadto jakość aktywów banków może zacząć ponownie się pogarszać, jeżeli zmaterializuje się ryzyko geopolityczne lub wysoka inflacja w połączeniu z zacieśnieniem warunków finansowania zagrozi zdolności gospodarstw domowych i przedsiębiorstw niefinansowych do obsługi zadłużenia. Wyższe premie za ryzyko mogą doprowadzić do dalszej korekty wyceny aktywów finansowych i wystąpienia nowych okresów wysokiej zmienności na rynkach finansowych. W tej sytuacji istotne jest, by banki utrzymały i udoskonalały swoje ramy zarządzania ryzykiem kredytowym oraz aktywami i pasywami, z uwzględnieniem – w tym ostatnim przypadku – zarówno ryzyka płynności, jak i ryzyka finansowania, a także ryzyka stopy procentowej dotyczącego portfela bankowego.

Upadek kilku średniej wielkości amerykańskich banków i przejęcie szwajcarskiego banku po raz kolejny uwidoczniły, że banki potrzebują silnego zarządzania wewnętrznego i skutecznej kontroli ryzyka, by poradzić sobie z dynamicznie zmieniającym się środowiskiem ryzyka. Upadki banków podkreśliły również znaczenie szybkiej i skutecznej reakcji nadzorczej oraz, w razie konieczności, eskalacji, gdy praktyki banków wydają się nieodpowiednie, a działania naprawcze – powolne. W tej sytuacji Nadzór Bankowy EBC będzie stopniowo stosować odpowiednie mechanizmy i narzędzia eskalacji w celu dopilnowania, by banki szybko i skutecznie wyeliminowały niedociągnięcia wskazane w priorytetach nadzorczych. Dotyczy to zwłaszcza zarządzania wewnętrznego, w przypadku którego – mimo długotrwałych kontaktów z nadzorcami – część banków nie zajęła się odpowiednio poważnymi niedociągnięciami, np. związanymi z funkcjonowaniem organów zarządzających i ich zdolnością sterowania strategicznego czy zdolnością agregacji i przekazywania danych o ryzyku. Banki muszą też zadbać o to, by ich praktyki były w pełni zgodne z zasadami należytego zarządzania ryzykiem klimatycznym i środowiskowym. Mają na to czas najpóźniej do końca 2024, a Nadzór Bankowy EBC wyznaczył dodatkowo bankom pośrednie terminy na spełnienie pewnych wymogów.

Biorąc pod uwagę, że transformacja cyfrowa stała się jednym z priorytetów dla wielu banków dążących do utrzymania konkurencyjności, istotne jest, by wprowadziły one odpowiednie zabezpieczenia ograniczające potencjalne ryzyko wynikające z nowych praktyk biznesowych i technologii. Z kontroli nadzorczych wynika, że w niektórych bankach poczyniono już znaczne postępy w transformacji cyfrowej, natomiast w innych nie udostępniono niezbędnych zasobów do osiągnięcia celów. Ponadto rosnące zagrożenia cybernetyczne, napędzane obecnymi napięciami geopolitycznymi, oraz coraz większa zależność od zewnętrznych usługodawców podkreślają konieczność utrzymania odporności banków i zapewnienia ciągłości ich krytycznych usług nawet w razie poważnych zakłóceń operacyjnych. W tej sytuacji, równolegle z działaniami nadzorczymi zapoczątkowanymi w ramach niniejszych priorytetów, w nadchodzących miesiącach banki będą musiały wykazać, że są w stanie reagować na takie niekorzystne zdarzenia i radzić sobie z ich skutkami.

Choć od ubiegłego roku w środowisku ryzyka zaszły dalsze zmiany, priorytety nadzorcze i związane z nimi działania określone w 2022 pozostają ogólnie aktualne i odnoszą się do głównych źródeł podatności na zagrożenia nadal występujących w sektorze bankowym. Planowanie na okres trzech lat wymaga stabilności, ale dla zaradzenia wskazanym powyżej czynnikom ryzyka zasadne jest dokonanie kilku wybranych modyfikacji.

W ramach priorytetów nadzorczych SSM na lata 2024–2026 nadzorowane instytucje będą musiały przede wszystkim wzmocnić swoją odporność na bezpośrednie szoki makrofinansowe i geopolityczne (priorytet 1), przyspieszyć tempo skutecznej naprawy niedociągnięć w zarządzaniu wewnętrznym oraz zarządzaniu ryzykiem klimatycznym i środowiskowym (priorytet 2), jak również poczynić dalsze postępy w transformacji cyfrowej i budowie solidnych ram odporności operacyjnej (priorytet 3). Na rysunku 1 wymieniono siedem kluczowych źródeł podatności na zagrożenia w bankach, które można przypisać do trzech nadrzędnych priorytetów.

Głównym celem planowania strategicznego w Nadzorze Bankowym EBC jest opracowanie solidnej strategii na kolejne trzy lata. Priorytety zwiększają skuteczność i spójność planowania nadzorczego we wspólnych zespołach nadzorczych oraz efektywność alokacji zasobów, zgodnie z ustalonymi poziomami tolerancji na ryzyko. Pomagają też krajowym organom nadzoru proporcjonalnie określić własne priorytety w zakresie nadzoru nad instytucjami mniej istotnymi. Dzięki przejrzystemu informowaniu o priorytetach oczekiwania nadzorcze wobec banków są bardziej zrozumiałe, nadzór ma większy wpływ na dalsze podnoszenie odporności sektora bankowego i łatwiej jest zapewnić równe warunki działania.

W kolejnych rozdziałach szczegółowo przedstawiono wyniki procesu identyfikacji i oceny ryzyka z 2023 oraz określono priorytety nadzorcze i odnośne programy prac na lata 2024−2026. W ramach bieżących kontaktów z bankami nadzór prowadzi też regularnie i doraźnie inne działania, które stanowią uzupełnienie prac związanych z priorytetami.

2 Ocena ryzyka i priorytety nadzorcze na lata 2024–2026

2.1 Środowisko operacyjne nadzorowanych instytucji

Europejski sektor bankowy wykazał się wysoką odpornością na szoki zewnętrzne, gdy napięcia w amerykańskim i szwajcarskim sektorze bankowym z marca tego roku rozprzestrzeniły się jedynie przejściowo i w ograniczonym zakresie. Europejskie banki okazały się silne pod względem kapitału, płynności i jakości aktywów, a ponadto mogły korzystać ze znacznie zróżnicowanych źródeł finansowania i baz klientów. Rentowność banków, która od wielu lat budziła niepokój, mocno odbiła w ostatnim czasie pod wpływem wyższych stóp procentowych i powróciła do poziomów, które nie były odnotowywane od ponad dziesięciu lat. Większa odporność sektora bankowego, na którą złożyło się również wzmocnienie europejskich ram regulacyjnych i nadzorczych, może jednak w przyszłości zostać ponownie wystawiona na próbę, więc nie należy tracić czujności.

Perspektywy wzrostu gospodarczego w strefie euro są wciąż obciążone dużą niepewnością w związku z zacieśnieniem warunków finansowania i nasileniem się napięć geopolitycznych, natomiast na przyszłych ścieżkach cen energii i żywności ciąży ryzyko podwyżek^[3]. Trudne warunki w dalszym ciągu kształtuje presja inflacyjna, a słaby wzrost gospodarczy w strefie euro według oczekiwań utrzyma się w krótkim okresie. Choć w sektorze przetwórstwa przemysłowego nadal występują słabości, aktywność w sektorze usług – będącym dotychczas główną siłą napędową wzrostu gospodarczego – również ma osłabnąć, biorąc pod uwagę zanikanie efektów ponownego otwarcia gospodarki po pandemii oraz wciąż mocno hamujący wpływ zacieśnienia warunków finansowania i zwiększonej niepewności konsumentów. Rynek pracy w strefie euro jest na razie odporny, ale popyt na pracę może zwolnić, jeżeli stagnacja aktywności gospodarczej potrwa dłużej^[4]. Od grudnia 2022 nastąpiło znaczne zacieśnienie warunków udzielania kredytów, a dynamika akcji kredytowej zwolniła, ponieważ szybko postępujące zacieśnianie polityki pieniężnej coraz bardziej przekłada się na gospodarkę realną^[5].

Inflacja ogółem w strefie euro będzie według projekcji dalej wykazywać tendencję spadkową w średnim okresie, natomiast spadek inflacji bazowej ma być bardziej stopniowy^[6]. W razie konieczności dalszego zacieśnienia polityki pieniężnej lub dłuższego utrzymywania się wyższych stóp procentowych w scenariuszu uporczywie wysokiej inflacji perspektywy wzrostu gospodarczego mogą się pogorszyć, przez co obniżyłaby się jakość aktywów banków. O ile bilanse gospodarstw domowych i przedsiębiorstw wydają się ogólnie dobre, o tyle rosną obawy o zdolność kredytobiorców do obsługi zadłużenia, zwłaszcza kredytów na nieruchomości. Oprócz osłabienia się jakości aktywów banków w razie załamania koniunktury gospodarczej odrębne ryzyko spadkowe dla zysków banków stanowią w niektórych krajach jednorazowe czynniki takie jak podatek bankowy.

Połączenie zwiększonych napięć geopolitycznych, „wyższych na dłużej” stóp procentowych i potencjalnego spowolnienia gospodarczego w strefie euro może przynieść ponowne zawirowania na rynkach finansowych. Zaburzenia w amerykańskim i szwajcarskim sektorze bankowym z początku marca, które wzbudziły wśród amerykańskich banków gwałtowną niechęć do podejmowania ryzyka, rozprzestrzeniły się na europejski sektor bankowy jedynie częściowo i tymczasowo. Wpływ na strefę euro pozostał ograniczony i krótkotrwały, zmienność na rynkach ustąpiła, a ceny akcji w strefie euro odbiły wkrótce po wstrząsie, zwłaszcza w sektorze bankowym, podczas gdy spready obligacji przedsiębiorstw powtórnie się zwęziły. Niemniej nagłe pogorszenie się perspektyw gospodarczych mogłoby doprowadzić do ponownego wystąpienia okresów podwyższonej zmienności i gwałtownych korekt cen aktywów, czego skutkiem byłoby dalsze zacieśnienie warunków finansowania.

2.2 Priorytety nadzorcze na lata 2024−2026

Priorytety nadzorcze ustala się na podstawie całościowej oceny głównych czynników ryzyka i źródeł podatności na zagrożenia występujących w bankach. Trzy nadrzędne priorytety na najbliższe trzy lata koncentrują się zarówno na krótkookresowych zagrożeniach dla sektora bankowego (priorytet 1), jak i na konieczności sprostania bardziej strukturalnym wyzwaniom w średnim okresie (priorytety 2 i 3). Każdy priorytet dotyczy określonych (tzw. priorytetowych) źródeł podatności na zagrożenia w sektorze bankowym, w odniesieniu do których wyznaczono specjalne cele strategiczne i opracowano programy prac, by ograniczyć odnośne ryzyko. Wzajemne zależności między czynnikami ryzyka znajdują odzwierciedlenie w koncepcji programów prac, których celem jest wzmocnienie skuteczności i efektywności kontaktów między nadzorcami a bankami.

Priorytet 1: wzmocnienie odporności na bezpośrednie szoki makrofinansowe i geopolityczne

Perspektywy europejskiego sektora bankowego w dalszym ciągu kształtuje niepewne otoczenie makrofinansowe, w połączeniu z uporczywymi napięciami geopolitycznymi i ryzykiem ponownego wystąpienia napięć finansowych. Nadzorowane instytucje muszą postępować ostrożnie oraz formułować i realizować strategie biznesowe ukierunkowane na odporność w związku z szybko zmieniającym się otoczeniem makrofinansowym i geopolitycznym. W tej sytuacji podstawowym celem Nadzoru Bankowego EBC jest dopilnowanie, by banki objęte jego bezpośrednim nadzorem wzmocniły swoją odporność na bezpośrednie szoki makrofinansowe i geopolityczne. Wprawdzie rosnące stopy procentowe miały do tej pory korzystny wpływ na rentowność, ale banki muszą być przygotowane do radzenia sobie z bardziej zmiennymi źródłami finansowania, wyższymi kosztami finansowania, potencjalnym spadkiem jakości aktywów i dalszą korektą wyceny na rynkach finansowych w krótkim i średnim okresie. Dlatego banki muszą wzmocnić swoje ramy zarządzania ryzykiem kredytowym oraz aktywami i pasywami.

Priorytetowe źródło podatności na zagrożenia: niedociągnięcia w ramowych zasadach zarządzania ryzykiem kredytowym i ryzykiem kredytowym kontrahenta

Cel strategiczny: Banki powinny skutecznie zaradzić strukturalnym niedociągnięciom w swoich ramach zarządzania ryzykiem kredytowym, w tym ryzykiem kredytowym kontrahenta, oraz szybko wyeliminować wszelkie odchylenia od wymogów regulacyjnych i oczekiwań nadzorczych. Powinny być w stanie szybko identyfikować i ograniczać narastanie ryzyka w portfelach, które są bardziej podatne na wpływ obecnego otoczenia makrofinansowego.

Firmy i gospodarstwa domowe okazały się jak dotąd odporne na spowolnienie gospodarcze, a to dzięki solidnym zyskom, niskiemu bezrobociu i dużym buforom oszczędnościowym. Choć łączny wskaźnik i stan kredytów zagrożonych w nadzorowanych instytucjach nadal znajduje się blisko rekordowo niskich poziomów, na horyzoncie widać wczesne oznaki pogarszania się jakości aktywów. W przypadku kredytów dla gospodarstw domowych, w szczególności kredytów konsumenckich, wzrósł wskaźnik kredytów fazy 2, zważywszy że skurczenie się dochodów realnych w połączeniu z wyższymi stopami procentowymi coraz mocniej odbija się na zdolności gospodarstw domowych do obsługi zadłużenia. Podobnie upadłości przedsiębiorstw i współczynniki niewykonania zobowiązań zaczęły rosnąć w porównaniu z niskimi poziomami notowanymi podczas pandemii.

W koniunkturze na rynku nieruchomości mieszkaniowych w strefie euro nastąpił zwrot, wraz ze spowolnieniem dynamiki kredytów hipotecznych i spadkiem cen nieruchomości mieszkaniowych w większości krajów strefy euro. Na rynku nieruchomości komercyjnych wciąż panuje dekoniunktura, a wyceny i wolumeny transakcji gwałtownie spadają. Zacieśnienie warunków finansowania i niepewność otoczenia rynkowego są potęgowane przez strukturalne źródła podatności na zagrożenia i niższy popyt, zwłaszcza na gorszej jakości aktywa handlowe i biurowe. Ekspozycje banków wydają się szczególnie kruche w krajach charakteryzujących się wcześniejszą zawyżoną wyceną oraz znacznym udziałem kredytów o zmiennym oprocentowaniu i ze spłatą jednorazową, z którymi może wiązać się wyższe ryzyko refinansowania.

Połączenie wyższych kosztów finansowania wynikających z zacieśnienia warunków finansowania i wysokiego poziomu zmienności na rynkach finansowych potęguje zagrożenia dla niebankowych instytucji finansowych stosujących dużą dźwignię finansową, zwłaszcza tych z dużymi pozycjami w instrumentach pochodnych. W przypadku niektórych banków ekspozycja na takie instytucje może wiązać się z podwyższonym ryzykiem kredytowym kontrahenta, co pokazuje, jak bardzo potrzebne jest należyte zarządzanie ryzykiem.

Nadzorcy od kilku lat pracują nad usunięciem strukturalnych niedociągnięć w ramowych zasadach zarządzania ryzykiem kredytowym w bankach^[7]. Jak wynika z działań nadzorczych, w bankach poczyniono pewne postępy w tej dziedzinie, ale nadal występuje szereg niedociągnięć. Obejmują one np. ograniczoną zdolność banków do przewidywania nowych czynników ryzyka (w tym ryzyka klimatycznego i środowiskowego) i ich odpowiedniego odzwierciedlania w rezerwach na ryzyko kredytowe, niedostateczne przygotowanie banków do radzenia sobie z potencjalnym gwałtownym wzrostem liczby dłużników zagrożonych niewypłacalnością i ryzyka refinansowania oraz dane potwierdzające zawyżoną wycenę zabezpieczeń w portfelach nieruchomości komercyjnych. Wprawdzie ustalenia z tych przeglądów uwzględniono w wynikach procesu SREP z 2023, ale banki poinformowano o zastosowaniu specjalnych środków nadzorczych, a nadzorcy ściśle monitorują realizację zaplanowanych działań naprawczych.

Jeśli chodzi o zarządzanie ryzykiem kredytowym kontrahenta, ukierunkowany przegląd przeprowadzony w 2022 i późniejsze kontrole na miejscu ujawniły występowanie w bankach istotnych niedociągnięć w zakresie należytej staranności wobec klienta, definicji apetytu na ryzyko, procesów zarządzania skutkami niewykonania zobowiązania i ramowych zasad przeprowadzania testów warunków skrajnych. Choć w nadzorowanych instytucjach poczyniono postępy w rozwiązywaniu stwierdzonych problemów, oczekuje się, że podjęte zostaną jeszcze dalsze działania w celu zapewnienia ścisłej zgodności z opublikowanymi w październiku 2023 rzetelnymi praktykami w zakresie zarządzania ryzykiem kredytowym kontrahenta i postępowania z tym ryzykiem.

Działania nadzorcze z zeszłorocznego programu prac, których celem jest osiągnięcie celu strategicznego w zakresie zarządzania ryzykiem kredytowym i ryzykiem kredytowym kontrahenta, będą w dużej mierze kontynuowane w nadchodzącym czasie. Niemniej zmieniające się otoczenie gospodarcze i dotychczasowe postępy powodują konieczność częściowego przesunięcia akcentów. W ramach przeglądów praktyk w zakresie restrukturyzacji zadłużenia, prawdopodobieństwa zagrożenia spłaty i tworzenia rezerw kontynuowane będą działania następcze w związku z nierozwiązanymi jeszcze problemami wskazanymi w pismach skierowanych w 2020 do dyrektorów generalnych banków. Jeśli chodzi o tworzenie rezerw, w ramach monitorowania postępów i działań naprawczych banków dotyczących wcześniejszych ustaleń powtórzony zostanie ukierunkowany przegląd poświęcony kwestiom MSSF 9 i nadbudowy. Poza tym prowadzone będą ukierunkowane przeglądy oraz, w stosownych przypadkach, kontrole na miejscu i kontrole modeli wewnętrznych w odniesieniu do bardziej wrażliwych portfeli takich jak nieruchomości (zarówno mieszkaniowe, jak i komercyjne) oraz małe i średnie przedsiębiorstwa (MŚP). Jeśli chodzi o ryzyko kredytowe kontrahenta, wspólne zespoły nadzorcze będą w dalszym ciągu ściśle monitorować ekspozycje banków i sprawdzać, czy ich praktyki w zakresie zarządzania ryzykiem są odpowiednie. W tym celu będą podejmować ukierunkowane działania następcze w związku z postępami w naprawie niedociągnięć stwierdzonych w 2022.

Główne działania w ramach programu prac dotyczącego priorytetów nadzorczych

• Ukierunkowane przeglądy poświęcone kwestii odporności portfeli, które są bardziej podatne na wpływ obecnej sytuacji makrofinansowej i narażone na ryzyko refinansowania, w tym działania następcze w związku z ustaleniami z poprzednich ukierunkowanych przeglądów dotyczących kredytów na nieruchomości mieszkaniowe i komercyjne oraz rozpoczęcie nowego ukierunkowanego przeglądu dotyczącego kredytobiorców z sektora MŚP znajdujących się w trudnej sytuacji.
• Działania następcze w związku z ukierunkowanym przeglądem dotyczącym MSSF 9, monitorowanie postępów w zakresie zdolności bankowych modeli oczekiwanej straty z tytułu kredytów do ujmowania nowych czynników ryzyka, ze szczególnym uwzględnieniem nadbudowy.
• Przedłużenie dogłębnych analiz dotyczących polityki w zakresie restrukturyzacji zadłużenia i prawdopodobieństwa zagrożenia spłaty.
• Przedłużenie kontroli na miejscu, ze szczególnym uwzględnieniem zbiorowego kwalifikowania do faz i tworzenia rezerw na potrzeby MŚP w ramach MSSF 9, portfeli detalicznych i nieruchomości komercyjnych, w tym wyceny zabezpieczeń.
• Przedłużenie kontroli modeli wewnętrznych i działań następczych wspólnych zespołów nadzorczych w celu oceny zmian w modelach opartych na ratingach wewnętrznych w związku z nowymi wymogami regulacyjnymi oraz działań naprawczych odnoszących się do ustaleń z ukierunkowanego przeglądu modeli wewnętrznych.
• Działania następcze w związku z ukierunkowanym przeglądem zarządzania ryzykiem kredytowym kontrahenta przeprowadzonym w 2022.
• Ukierunkowane kontrole na miejscu dotyczące konkretnych aspektów zarządzania ryzykiem kredytowym kontrahenta.

Priorytetowe źródło podatności na zagrożenia: niedociągnięcia w ramowych zasadach zarządzania aktywami i pasywami

Cel strategiczny: Banki powinny zapewnić należyte i ostrożne procesy i strategie zarządzania aktywami i pasywami, odzwierciedlające ścisłą kontrolę zwierzchnią ze strony organów zarządzających oraz odpowiednio uwzględniające czynniki ryzyka wynikające z obecnej polityki pieniężnej i szybko zmieniającego się otoczenia gospodarczego. Powinny w szczególności opracować solidne i wiarygodne plany finansowania mające na celu osiągnięcie zróżnicowanej struktury finansowania, a także skuteczne plany awaryjne umożliwiające przetrwanie krótkookresowych szoków płynnościowych. Banki powinny również zapewnić odpowiednie zarządzanie pozycjami ryzyka stopy procentowej, oparte na ostrożnych założeniach dotyczących zachowań klientów, oraz opracować w tym zakresie strategie ograniczania ryzyka adekwatne do profilu ryzyka.

Pod względem stóp procentowych warunki funkcjonowania banków zmieniły się diametralnie w ciągu ostatnich dwóch lat. O ile wyższe stopy procentowe zasadniczo podtrzymują rentowność nadzorowanych instytucji, o tyle mogą też skutkować wyższymi kosztami finansowania i komplikować sytuację płynnościową banków oraz, w ujęciu bardziej ogólnym, ich procesy, strategie i ramowe zasady zarządzania aktywami i pasywami.

Zmienność rynku finansowego i korekty cen na rynkach instrumentów stałodochodowych w świetle obecnej dynamiki stóp procentowych zwiększyły ryzyko narastania niezrealizowanych strat w bankowych portfelach wycenianych według zamortyzowanego kosztu. Choć skutki mogą być poważne, o czym świadczy zamieszanie wokół niektórych średniej wielkości amerykańskich banków w marcu, do tej konkretnej sytuacji doprowadził zespół czynników, którego jak dotąd nie zaobserwowano w bankach podlegających europejskiemu nadzorowi bankowemu. Jak wynika z danych^[8] opublikowanych w lipcu 2023, łączna kwota takich niezrealizowanych strat była stosunkowo ograniczona i w lutym 2023 wynosiła 73 mld EUR, wobec 620 mld USD na koniec 2022 w przypadku amerykańskich banków^[9]. Już od drugiego półrocza 2021, gdy pojawiły się pierwsze oznaki presji inflacyjnej, nadzorcy kontrolowali w bankach procesy oceny ryzyka stopy procentowej i spreadu kredytowego oraz zarządzania tym ryzykiem. W 2022 Nadzór Bankowy EBC uwzględnił to ryzyko w swoich priorytetach nadzorczych i przeprowadził specjalny ukierunkowany przegląd, by z własnej inicjatywy ocenić przygotowanie banków do potencjalnych podwyżek stóp procentowych. Poczynione wtedy ustalenia wskazały na konieczność częstszego przeglądu kalibracji modeli zarządzania aktywami i pasywami przez banki, by reagować na zmiany w zachowaniu klientów wynikające z nowego układu stóp procentowych i na słabości niektórych strategii hedgingowych.

Po stronie płynności i finansowania nadzorowane instytucje wykazały dotychczas w sumie dużą odporność na zmiany w otoczeniu finansowym. Wprawdzie kurczące się rezerwy banków centralnych i słaba dynamika pieniądza doprowadziły do spadku buforów płynnościowych banków, ale ich wskaźniki pokrycia wypływów netto i wskaźniki stabilnego finansowania netto utrzymują się średnio znacznie powyżej regulacyjnego minimum. Ponadto nadzorowane instytucje nie wykazują koncentracji finansowania podobnej do tej występującej w kilku średniej wielkości amerykańskich bankach, które upadły na początku tego roku, zważywszy że głównymi źródłami finansowania nadzorowanych instytucji są przede wszystkim depozyty. Pochodzą one głównie od klientów detalicznych i są w większości objęte systemem gwarantowania depozytów. Aby zapewnić płynne wycofywanie programów ukierunkowanych dłuższych operacji refinansujących (TLTRO) i ocenić przygotowanie banków w tym zakresie, w 2023 przeprowadzono ukierunkowany przegląd poświęcony strategiom wychodzenia banków z operacji TLTRO. W tej sytuacji zwrócono się do niektórych banków o dalsze zróżnicowanie źródeł finansowania. Inny ukierunkowany przegląd dotyczy oceny wiarygodności i rzetelności planów finansowania banków, a jego rezultaty zostaną uwzględnione w wynikach procesu SREP z 2024.

W dalszej perspektywie Nadzór Bankowy EBC będzie nadal mocno podkreślał konieczność wprowadzenia przez banki solidnych rozwiązań w zakresie zarządzania aktywami i pasywami. Ukierunkowane działania obejmą przegląd procesów i strategii zarządzania aktywami i pasywami w bankach oraz ocenę adekwatności założeń leżących u podstaw niektórych modeli behawioralnych. Nadzorcy będą również oceniali odporność banków na krótkookresowe szoki płynnościowe oraz wiarygodność i rzetelność awaryjnych planów utrzymania płynności. Wreszcie – nadzorcy będą kontynuować działania rozpoczęte w poprzednich latach i przeprowadzać dalsze przeglądy w zakresie zarządzania przez banki ryzykiem stopy procentowej dotyczącym portfela bankowego oraz rzetelności i wiarygodności planów finansowania.

Główne działania w ramach programu prac dotyczącego priorytetów nadzorczych

• Ukierunkowane przeglądy rzetelności i wiarygodności planów finansowania, planowania awaryjnego i adekwatności zdolności optymalizacji zabezpieczeń, a także procesów i strategii zarządzania aktywami i pasywami.
• Ukierunkowane kontrole na miejscu oceniające solidność i odpowiedniość planów finansowania i planów naprawy.
• Działania następcze w związku z ustaleniami z ukierunkowanego przeglądu dotyczącego ryzyka stopy procentowej i spreadu kredytowego, wraz z objęciem tym przeglądem szerszej grupy instytucji.
• Kampania kontroli na miejscu w zakresie ryzyka stopy procentowej dotyczącego portfela bankowego, badająca w szczególności pozycjonowanie i strategię zarządzania aktywami i pasywami, modele behawioralne ryzyka stopy procentowej dotyczącego portfela bankowego i strategię hedgingową.

Priorytet 2: przyspieszenie skutecznej naprawy niedociągnięć w zarządzaniu wewnętrznym oraz zarządzaniu ryzykiem klimatycznym i środowiskowym

Wyniki procesu SREP z 2023 ponownie wskazują na niedostateczne postępy niektórych banków w eliminowaniu niedociągnięć w zarządzaniu wewnętrznym. Dotyczy to zwłaszcza obszarów związanych z funkcjonowaniem i strategicznym sterowaniem organów zarządzających banków, ale też ich zdolnością agregacji i przekazywania danych o ryzyku. Dodatkowo znaczenie silnego zarządzania wewnętrznego i należytej kontroli ryzyka po raz kolejny unaocznił upadek kilku banków w USA i Szwajcarii na początku tego roku. To samo odnosi się do stale rosnącego ryzyka klimatycznego i środowiskowego, którego niekorzystny wpływ jest już odczuwalny na całym świecie. Aby spełnić w całości oczekiwania nadzorcze w tym obszarze do końca 2024, banki będą musiały podjąć intensywniejsze działania oraz odpowiednio uwzględnić stosowne aspekty ryzyka w swoich strategiach biznesowych i ramach zarządzania ryzykiem. W celu wsparcia realizacji tego celu Nadzór Bankowy EBC jest gotowy wykorzystać narzędzia, którymi dysponuje (w tym w razie konieczności narzuty kapitałowe, środki egzekwowania decyzji, sankcje oraz przeglądy ocen kompetencji i reputacji), by zachęcić banki do skutecznej naprawy stwierdzonych niedociągnięć, zwłaszcza gdy ustalone są jasne środki i konkretne terminy realizacji oczekiwań nadzorczych.

Priorytetowe źródło podatności na zagrożenia: niedociągnięcia w funkcjonowaniu organów zarządzających i ich zdolności sterowania strategicznego

Cel strategiczny: Banki powinny skutecznie wyeliminować istotne niedociągnięcia w funkcjonowaniu i składzie swoich organów zarządzających oraz sprawowanej przez nie kontroli zwierzchniej przez opracowanie i szybkie wdrożenie solidnych planów działań naprawczych, zgodnych z oczekiwaniami nadzorczymi.

Dla zapewnienia odporności i utrzymywalności modeli biznesowych banków niezbędne są solidne zasady zarządzania wewnętrznego i skuteczne sterowanie strategiczne. Obecne niepewne perspektywy makrofinansowe i trwająca zmiana układu stóp procentowych po latach łagodzenia warunków finansowania wymagają od banków skutecznego sterowania strategicznego i modyfikowania swoich praktyk, by odpowiednio oceniać i kontrolować odnośne czynniki ryzyka oraz nimi zarządzać. Marcowe zawirowania w amerykańskim i szwajcarskim sektorze bankowym uwypukliły kluczową rolę organów zarządzających i kadry kierowniczej banków, którzy ponoszą ostateczną odpowiedzialność za zapewnienie odpowiednich zasad zarządzania wewnętrznego i skutecznych procesów zarządzania ryzykiem. Podkreśliły również, jakie potencjalnie tragiczne konsekwencje czekają bank, w którym takich rozwiązań nie ma. Skuteczne sterowanie strategiczne jest także potrzebne, by dostosowywać modele biznesowe banków do zmieniających się trendów, takich jak cyfryzacja i przyspieszona zielona transformacja.

Naprawa niedociągnięć dotyczących organów zarządzających jest od kilku lat jednym z priorytetów Nadzoru Bankowego EBC i choć w niektórych aspektach nastąpiła poprawa, potrzebne są dalsze postępy odnośnie do składu i zbiorowej odpowiedniości organów zarządzających banków oraz sprawowanej przez te organy kontroli zwierzchniej. W następstwie bezpośrednich kontaktów nadzorczych z 2022 banki udoskonaliły swoją politykę na rzecz różnorodności, która obejmuje odtąd – oprócz płci – kryteria dotyczące wykształcenia, doświadczenia, miejsca pochodzenia i wieku. Obecnie niemal wszystkie nadzorowane instytucje mają cele ilościowe, które służą rozwiązaniu problemu braku równowagi płci w organach zarządzających. Postępy w realizacji tych celów są jednak wciąż niewystarczające^[10]. Banki muszą także dalej poprawić kwestie zbiorowej odpowiedniości swoich organów zarządzających i ich zdolności krytycznej oceny pracy kadry kierowniczej. Ta ostatnia kwestia ma związek ze słabościami w składzie organów zarządzających (np. niewystarczająca liczba formalnych niezależnych dyrektorów i brak wiedzy w konkretnych dziedzinach takich jak informatyka) i ich funkcjonowaniu (np. niewystarczający czas przeznaczony na dyskusję i zastrzeżenia co do procesów powoływania członków organów zarządzających). Konieczna jest również dalsza poprawa kontroli zwierzchniej sprawowanej przez komitety działające przy organach zarządzających, na co zwrócono uwagę w przeprowadzonym w 2023 ukierunkowanym przeglądzie organów zarządzających^[11].

Nadzór Bankowy EBC będzie dalej utrzymywać kontakty z bankami w celu wyeliminowania tych długotrwałych niedociągnięć w drodze ukierunkowanych przeglądów i kontroli na miejscu. Dodatkowo nadzorcy będą aktualizować i publikować oczekiwania nadzorcze dotyczące zarządzania wewnętrznego i zarządzania ryzykiem.

Główne działania w ramach programu prac dotyczącego priorytetów nadzorczych

• Ukierunkowany przegląd skuteczności organów zarządzających banków i ukierunkowane kontrole na miejscu.
• Aktualizacja i zewnętrzna publikacja oczekiwań i najlepszych praktyk nadzorczych w zakresie zarządzania wewnętrznego i kultury ryzyka w bankach^[12].

Priorytetowe źródło podatności na zagrożenia: niedociągnięcia w agregacji i przekazywaniu danych o ryzyku

Cel strategiczny: Banki powinny skutecznie wyeliminować długotrwałe niedociągnięcia oraz wprowadzić odpowiednie i efektywne ramowe zasady agregacji i przekazywania danych o ryzyku, by wspomóc organy zarządzające w skutecznym sterowaniu strategicznym i sprostać oczekiwaniom nadzorczym, w tym w czasach kryzysu.

Szybkie i dokładne agregowanie i przekazywanie danych o ryzyku jest niezbędne dla rzetelnego podejmowania decyzji i skutecznego sterowania strategicznego w bankach, zwłaszcza w obecnej sytuacji, a także dla celów sprawozdawczości w zakresie ryzyka oraz sprawozdawczości finansowej i nadzorczej. Wyniki dotychczasowych czynności nadzorczych – w tym procesu SREP z 2023 i trwającej kampanii kontroli na miejscu – w całości wskazują na niedostateczne postępy w uzupełnianiu braków pod względem zgodności z oczekiwaniami nadzorczymi i opracowanymi przez Bazylejski Komitet Nadzoru Bankowego zasadami efektywnej agregacji danych o ryzyku i sprawozdawczości w zakresie ryzyka. Główne niedociągnięcia dotyczą niedostatecznej uwagi i kontroli zwierzchniej ze strony organów zarządzających, słabości architektury danych oraz rozdrobnionego i niezharmonizowanego środowiska informatycznego, słabej zdolności agregacji i nieskutecznych ram zarządzania wewnętrznego. Kluczowe jest, by organy zarządzające nadały temu obszarowi zdecydowanie priorytetowe znaczenie, biorąc pod uwagę, że naprawa niedociągnięć związanych z agregacją i przekazywaniem danych o ryzyku wymaga często znacznych zasobów.

Jak już wspomniano w zeszłorocznych priorytetach nadzorczych, Nadzór Bankowy EBC wzmacnia działania w celu dopilnowania, by nadzorowane instytucje poczyniły znaczne postępy w usuwaniu utrzymujących się od dawna niedociągnięć w zakresie agregacji i przekazywania danych o ryzyku. Począwszy od 2024 w coraz większym stopniu będzie stosowany uporządkowany mechanizm eskalacji, obejmujący ewentualnie środki egzekwowania decyzji i sankcje^[13]. Oczekiwania nadzorcze dodatkowo umacnia i precyzuje przewodnik dotyczący efektywnej agregacji danych o ryzyku i sprawozdawczości w zakresie ryzyka. Od lipca do października 2023 odbywały się konsultacje publiczne^[14] na temat przewodnika, który ma zostać opublikowany w 2024. Nadzorcy będą również przeprowadzać ukierunkowane przeglądy i kontrole na miejscu oraz kontaktować się z bankami w razie stwierdzenia utrzymujących się niedociągnięć. Oprócz tego kontynuowane będzie coroczne badanie ankietowe w bankach, uruchomione w trybie pilotażowym na początku 2023 – sprawozdanie kadry zarządzającej w sprawie zarządzania danymi i jakości danych^[15]. Jego celem jest zapewnienie odpowiedniej rozliczalności organów zarządzających banków w sprawach związanych ze sprawozdawczością wewnętrzną, finansową i nadzorczą.

Główne działania w ramach programu prac dotyczącego priorytetów nadzorczych

• Udoskonalenie oczekiwań nadzorczych związanych z wdrażaniem zasad agregacji i przekazywania danych o ryzyku oraz publikacja przewodnika dotyczącego efektywnej agregacji danych o ryzyku i sprawozdawczości w zakresie ryzyka.
• Ukierunkowane przeglądy praktyk w zakresie agregacji i przekazywania danych o ryzyku.
• Kampania kontroli na miejscu w zakresie agregacji i przekazywania danych o ryzyku (przedłużenie z 2023).
• Opracowanie sprawozdania kadry zarządzającej w sprawie zarządzania danymi i jakości danych – corocznego badania ankietowego mającego zapewnić odpowiednią rozliczalność organów zarządzających banków w sprawach związanych ze sprawozdawczością wewnętrzną, finansową i nadzorczą.

Priorytetowe źródło podatności na zagrożenia: istotne ekspozycje na czynniki ryzyka fizycznego i ryzyka transformacji związane ze zmianą klimatu

Cel strategiczny: Banki powinny odpowiednio uwzględnić ryzyko klimatyczne i środowiskowe w swoich strategiach biznesowych oraz ramach zarządzania wewnętrznego i zarządzania ryzykiem, by ograniczać i ujawniać to ryzyko, a tym samym dostosować swoje praktyki do obecnych wymogów regulacyjnych i oczekiwań nadzorczych.

Emisja gazów cieplarnianych na świecie w dalszym ciągu wzrasta^[16], co oznacza większą skalę globalnego ocieplenia w przyszłości, a co za tym idzie – nasilenie wielu równoczesnych zagrożeń, o czym systematycznie świadczą rekordowe fale upałów oraz pożary lasów i powodzie w Europie i innych regionach świata. Obecna polityka nie jest wystarczająca, by osiągnąć cele dotyczące globalnego ocieplenia wyznaczone w porozumieniu paryskim z 2015^[17]. Oczekuje się, że opóźnianie działań na rzecz klimatu doprowadzi do dalszego wzrostu ryzyka fizycznego i ryzyka transformacji oraz potencjalnie związanych z tym strat dla banków, gdyż wzrośnie ryzyko większych szkód, przymusowego utrzymywania wysokoemisyjnej infrastruktury, aktywów osieroconych i eskalacji kosztów^[18]. W sytuacji zacieśnienia warunków finansowania ryzyko transformacji będzie prawdopodobnie dodatkowo napędzane przez napięcia geopolityczne, a także coraz wyższe inwestycje początkowe oraz destabilizujące zmiany niezbędne do łagodzenia skutków zmiany klimatu i dostosowywania się do niej.

O ile w przypadku niektórych banków proces SREP z 2023 wykazał pewną poprawę w określaniu strategii wobec ryzyka klimatycznego i środowiskowego, o tyle w innych wskazał pilną konieczność wyeliminowania niedociągnięć w tym obszarze. Środki jakościowe SREP skupiały się głównie na słabościach banków w zakresie planowania strategicznego i operacyjnego oraz biegłości organów zarządzających w tematach związanych z ochroną środowiska, polityką społeczną i zarządzaniem wewnętrznym. W porównaniu z zeszłorocznym procesem SREP wzrosła liczba banków, w przypadku których ryzyko klimatyczne i środowiskowe wpłynęło na poziomy wymogów w ramach filaru II^[19].

Aby skutecznie wyeliminować niedociągnięcia wskazane w klimatycznym teście warunków skrajnych^[20] i przeglądzie tematycznym^[21] przeprowadzonym przez EBC w 2022, Nadzór Bankowy EBC wyznaczył poszczególnym bankom terminy – w okresie do końca 2024 – na pełne dostosowanie praktyk do oczekiwań nadzorczych przedstawionych w przewodniku EBC z 2020 dotyczącym ryzyka klimatycznego i środowiskowego. W marcu 2023 przypadł jeden z pośrednich ważnych etapów tego procesu, gdyż to w tym miesiącu mijał termin, w którym banki miały odpowiednio sklasyfikować czynniki ryzyka klimatycznego i środowiskowego oraz przeprowadzić pełną ocenę ich wpływu na swoją działalność. W niektórych bankach nadal występowały poważne słabości w tym zakresie, a nadzorcy prowadzili względem tych banków czynności operacyjne oraz stosowali wymogi jakościowe SREP i doraźne decyzje Rady ds. Nadzoru. Oczekuje się, że do końca 2023 banki uwzględnią ryzyko klimatyczne i środowiskowe w zarządzaniu wewnętrznym, strategii i zarządzaniu ryzykiem, a do końca 2024 – spełnią wszystkie pozostałe oczekiwania nadzorcze określone w 2020, w tym w całości włączą to ryzyko do wewnętrznego procesu oceny adekwatności kapitałowej (ICAAP) i testów warunków skrajnych. W dalszej perspektywie Nadzór Bankowy EBC będzie nadal korzystać z wszystkich narzędzi, jakimi dysponuje, by banki spełniły te oczekiwania, w tym – w razie konieczności – z mechanizmu eskalacji środków nadzorczych, obejmującego np. okresowe kary pieniężne czy indywidualne narzuty kapitałowe dla banków^[22].

Oprócz tego nadzorcy będą przeprowadzać dalsze przeglądy i oceny adekwatności praktyk banków w zakresie ujawniania ryzyka. Choć w bankach poczyniono pewne postępy w tej dziedzinie, jak pokazują wyniki trzeciej oceny postępów europejskich banków w ujawnianiu ryzyka klimatycznego i środowiskowego, jakość ujawnianych informacji pozostaje niska. Innym obszarem zainteresowania w nadchodzących latach będzie przeciwdziałanie ryzyku utraty reputacji i sporu sądowego w związku z czynnikami klimatycznymi i środowiskowymi wynikającemu z publikacji celów dotyczących transformacji lub zobowiązań w zakresie neutralności emisyjnej. Nadzorcy będą również kontynuowali prace przygotowawcze służące opracowaniu ramowych zasad przeglądu planów transformacji w bankach oraz ich gotowości do spełnienia wymogów związanych z ochroną środowiska, polityką społeczną i zarządzaniem wewnętrznym w ramach dyrektywy w sprawie wymogów kapitałowych (CRD VI). Wreszcie – ryzyko klimatyczne będzie dalej podlegać ocenie w toku niektórych kontroli na miejscu dotyczących określonych czynników ryzyka, natomiast ukierunkowane samodzielne kontrole poświęcone ryzyku klimatycznemu i środowiskowemu mają się rozpocząć w 2024.

Główne działania w ramach programu prac dotyczącego priorytetów nadzorczych

• Ukierunkowane działania następcze w związku z niedociągnięciami stwierdzonymi w ramach klimatycznego testu warunków skrajnych i przeglądu tematycznego z 2022 w celu zapewnienia pełnej zgodności z odnośnymi oczekiwaniami nadzorczymi do końca 2024.
• Przegląd zgodności z wykonawczymi standardami technicznymi dotyczącymi sprawozdawczości i wymogami w zakresie ujawniania ryzyka klimatycznego i środowiskowego w ramach filaru III oraz spójności między nimi w bankach, wraz z analizą porównawczą praktyk banków na tle oczekiwań nadzorczych.
• Dogłębne analizy zdolności banków do przeciwdziałania ryzyku utraty reputacji i sporu sądowego związanemu z zobowiązaniami w zakresie ochrony klimatu i środowiska.
• Ukierunkowane klimatyczne kontrole na miejscu: samodzielne lub prowadzone w ramach planowych przeglądów pojedynczych czynników ryzyka (np. ryzyka kredytowego, ryzyka operacyjnego i ryzyka związanego z modelem biznesowym).

Priorytet 3: dalsze postępy w transformacji cyfrowej i budowie solidnych ram odporności operacyjnej

Choć większość nadzorowanych instytucji robi postępy w cyfryzacji swoich operacji i usług, by sprostać coraz większym wyzwaniom konkurencyjnym, musi również wzmocnić i w razie konieczności zmodyfikować swoje ramy odporności operacyjnej w celu ograniczenia potencjalnego ryzyka. Osiągnięcie odporności operacyjnej powinno przyczynić się do zapewnienia utrzymywalności modeli biznesowych banków w średnim okresie i umożliwić im m.in. czerpanie korzyści z innowacyjnych technologii. Pod względem realizacji celów w tym obszarze niektóre banki pozostają jednak w tyle. Ponadto nadzorowane instytucje muszą wyeliminować źródła podatności na zagrożenia wynikające z rosnącej zależności operacyjnej od zewnętrznych usługodawców i usprawnić zarządzanie ryzykiem dla bezpieczeństwa informatycznego / ryzykiem cybernetycznym. Jest to szczególnie ważne w obliczu wzrostu zagrożeń cybernetycznych wynikających z obecnej sytuacji geopolitycznej.

Priorytetowe źródło podatności na zagrożenia: niedociągnięcia w strategiach transformacji cyfrowej

Cel strategiczny: Banki powinny opracować i zrealizować solidne plany transformacji cyfrowej w ramach odpowiednich rozwiązań (np. strategii biznesowej i zarządzania ryzykiem) w celu wzmocnienia utrzymywalności modeli biznesowych i ograniczenia ryzyka związanego ze stosowaniem innowacyjnych technologii.

Nadzorowane instytucje wykazywały ostatnio rekordowo wysoką rentowność, w dużej mierze z powodu wyższych marż odsetkowych netto. W modelach biznesowych banków wciąż jednak występują słabości strukturalne. Wskaźniki kosztów do przychodów w bankach pozostają uporczywie wysokie i „lepkie”, a cięcia kosztów w warunkach obecnej wysokiej presji inflacyjnej mogą okazać się trudne do przeprowadzenia. W związku z tym nadzorowane instytucje powinny być w stanie zarządzać przewidywanym wzrostem kosztów operacyjnych bez uszczerbku dla bardzo potrzebnych inwestycji w transformację cyfrową. Oczekuje się, że cyfryzacja wzmocni pozycję konkurencyjną banków i zwiększy ich odporność na konkurencję spoza sektora bankowego.

W 2023 Nadzór Bankowy EBC przeprowadził przekrojową ocenę i analizę porównawczą na podstawie danych dotyczących transformacji cyfrowej i stosowania technologii finansowych (fintech) w skali całego SSM. Wyniki tej analizy, które przekazano bankom, pomogły w kwalifikacji różnych czynników ryzyka związanych z transformacją cyfrową, w tym ryzyka strategicznego i ryzyka dotyczącego realizacji, ryzyka cybernetycznego, ryzyka związanego z zależnością od zewnętrznych podmiotów oraz ryzyka prania pieniędzy i nadużyć finansowych. W następstwie ukierunkowanych kontroli na miejscu, które uzupełniały przekrojową ocenę, pojawiły się zastrzeżenia co do skuteczności sterowania strategicznego i realizacji oraz zwrócono uwagę na znaczenie podnoszenia kwalifikacji pracowników i członków organów zarządzających. Wykryto również niedociągnięcia w budżetowaniu i planowaniu finansowym, zważywszy że banki mają trudności z monitorowaniem skutków finansowych swoich inicjatyw na rzecz transformacji cyfrowej. Wyniki tych działań wykorzystano w nadzorczej ocenie modeli biznesowych banków w ramach procesu SREP z 2023. W dalszej perspektywie Nadzór Bankowy EBC będzie nadal koncentrował się na transformacji cyfrowej i prowadził w tym zakresie ukierunkowane przeglądy wraz ze specjalnymi kontrolami na miejscu. Nadzór Bankowy EBC opublikuje swoje oczekiwania nadzorcze dotyczące transformacji cyfrowej banków^[23]. Oczekiwania w uaktualnionej wersji przyczynią się do wzmocnienia metod oceny nadzorczej.

Główne działania w ramach programu prac dotyczącego priorytetów nadzorczych

• Ukierunkowane przeglądy skoncentrowane na wpływie transformacji cyfrowej banków na ich model i strategię biznesową, zarządzanie wewnętrzne oraz identyfikację ryzyka i zarządzanie nim, uzupełnione o działania następcze wspólnych zespołów nadzorczych w stosunku do banków, w których stwierdzono istotne niedociągnięcia.
• Ukierunkowane kontrole na miejscu dotyczące transformacji cyfrowej, łączące kwestię modelu biznesowego z informatycznym aspektem strategii banków w zakresie transformacji cyfrowej.
• Publikacja oczekiwań nadzorczych i wymiana najlepszych praktyk dotyczących strategii transformacji cyfrowej.

Priorytetowe źródło podatności na zagrożenia: niedociągnięcia w ramowych zasadach zapewniania odporności operacyjnej, mianowicie ryzyko związane z outsourcingiem usług informatycznych i ryzyko dla bezpieczeństwa informatycznego / ryzyko cybernetyczne

Cel strategiczny: Banki powinny dysponować solidnymi rozwiązaniami w zakresie ryzyka związanego z outsourcingiem oraz ramowymi zasadami zapewniania bezpieczeństwa informatycznego i cyberodporności, by aktywnie przeciwdziałać niekontrolowanemu ryzyku, które może doprowadzić do istotnego zakłócenia krytycznych działań lub usług, a jednocześnie powinny stosować się do odnośnych wymogów regulacyjnych i oczekiwań nadzorczych.

Kluczowymi czynnikami ryzyka operacyjnego banków pozostają ryzyko cybernetyczne i bezpieczeństwo danych. Liczba cyberataków zgłaszanych przez nadzorowane instytucje do Nadzoru Bankowego EBC gwałtownie wzrosła w pierwszej połowie 2023, co wynikało z dużego narażenia sektora bankowego na zmieniające się zagrożenia cybernetyczne, m.in. w związku z wojną Rosji przeciw Ukrainie i zwiększonymi napięciami geopolitycznymi. Destrukcyjne ataki stały się widoczną częścią działalności podmiotów państwowych, a instytucje finansowe – z racji ich roli w infrastrukturze krytycznej – również znalazły się wśród prawdopodobnych celów^[24]. Nasiliły się zwłaszcza ataki typu ransomware, cyberprzestępcy stali się bardziej wyrafinowani, a banki coraz częściej musiały sobie radzić ze zmieniającymi się technikami wymuszeń.

Biorąc pod uwagę rosnącą zależność banków od zewnętrznych usługodawców, innym kluczowym źródłem podatności na zagrożenia są słabości w zasadach outsourcingu usług informatycznych. Wydłużanie się i coraz większa złożoność łańcuchów dostaw wymagają od banków lepszej znajomości i kontroli relacji i (wzajemnych) zależności między nimi a dostawcami, by aktywnie przeciwdziałać potencjalnemu ryzyku koncentracji. Należyte zarządzanie aktywami i dostawcami ma zatem kluczowe znaczenie dla banków, by mogły one zaspokajać wymagania klientów i zwiększać swoją efektywność w coraz bardziej konkurencyjnym środowisku, a przy tym zapewniać właściwe zarządzanie ryzykiem związanym z outsourcingiem i stosowaniem rozwiązań chmurowych. Wyniki oceny SREP z 2023 dodatkowo potwierdziły wagę niedociągnięć banków w zakresie zarządzania ryzykiem związanym z outsourcingiem usług informatycznych i ryzykiem dla bezpieczeństwa informatycznego / ryzykiem cybernetycznym, zważywszy że w procesie SREP najgorzej ocenianym elementem jest w dalszym ciągu ryzyko operacyjne^[25].

W tej sytuacji Nadzór Bankowy EBC wprowadził coroczne gromadzenie danych dotyczących dokumentacji outsourcingu w nadzorowanych instytucjach. Dotychczasowe analizy wykazały obecność rozmaitych źródeł podatności na zagrożenia, w tym dużą zależność od zewnętrznych usługodawców spoza Europy i znaczną liczbę umów outsourcingowych. Właściwe zarządzanie ryzykiem związanym z zewnętrznymi podmiotami, w tym outsourcingiem do chmury, pozostaje jednym z priorytetów nadzoru i będzie podlegać dalszej ocenie w ramach bieżących czynności.

Oprócz przekrojowej oceny zasad outsourcingu w bankach i analizy ryzyka koncentracji Nadzór Bankowy EBC będzie nadal przeprowadzać ukierunkowane przeglądy rozwiązań outsourcingowych i odporności cybernetycznej, by lepiej poznać charakter i skalę ryzyka oraz środki stosowane przez banki w celu jego ograniczenia. Ukierunkowane przeglądy będą też uzupełniane o kontrole na miejscu, by rozpoznać i ocenić niedociągnięcia w poszczególnych bankach. Z uwagi na gwałtowny wzrost liczby cyberataków i znaczenie tego tematu w obecnej sytuacji geopolitycznej Nadzór Bankowy EBC przeprowadzi dodatkowo w przyszłym roku tematyczny test warunków skrajnych dotyczący odporności cybernetycznej, by ocenić zdolność banków do reagowania na skuteczne cyberataki i radzenia sobie z ich skutkami^[26].

Główne działania w ramach programu prac dotyczącego priorytetów nadzorczych

• Gromadzenie danych i przekrojowa analiza dokumentacji outsourcingu w celu rozpoznania wzajemnych powiązań między nadzorowanymi instytucjami a zewnętrznymi dostawcami oraz potencjalnej koncentracji ryzyka w przypadku niektórych dostawców.
• Ukierunkowane przeglądy rozwiązań outsourcingowych i odporności cybernetycznej.
• Ukierunkowane kontrole na miejscu dotyczące zarządzania outsourcingiem i cyberbezpieczeństwem.
• Ogólnosystemowy test warunków skrajnych w zakresie odporności cybernetycznej w 2024, dotyczący głównie zdolności banków do reagowania na cyberincydenty i radzenia sobie z ich wpływem oraz szybkiego ograniczania ich skutków i przywracania usług.