1 Inleiding

De toezichtsprioriteiten voor 2026-2028 weerspiegelen de middellangetermijnstrategie van ECB-Bankentoezicht voor de komende drie jaar. De Raad van Toezicht van de ECB stelt deze prioriteiten vast op basis van een alomvattende beoordeling van de belangrijkste risico’s en kwetsbaarheden voor onder toezicht staande entiteiten. We bekijken de prioriteiten elk jaar en houden daarbij rekening met veranderingen in het risicolandschap en de uitkomsten van diverse toezichtsactiviteiten, met name de procedure voor prudentiële toetsing en evaluatie (supervisory review and evaluation process – SREP)^[1]. We beoordelen ook de vooruitgang van de banken met de prioriteiten van de voorgaande jaren en de regelgevingsvereisten. Deze jaarlijkse toetsing past in een op risico’s gebaseerde en toekomstgerichte strategie die een doelmatig gebruik van toezichtsmiddelen bevordert, de toezichtsmaatregelen voor de banken transparanter en voorspelbaarder maakt, en tegelijkertijd voldoende flexibiliteit biedt om de prioriteiten zo nodig aan te passen.

Het Europese bankenstelsel vertoont een gezond risicoprofiel en beschikt over solide fundamentals, waardoor het goed toegerust is om in het huidige zeer onzekere geopolitieke en macrofinanciële klimaat te opereren en de Europese economie doeltreffend te ondersteunen. Het afgelopen jaar behield de sector een sterke kapitaal- en liquiditeitspositie en bleven de niet-renderende leningen op een laag niveau, waarbij de winstgevendheid tot dusver bestand bleek tegen de dalende rente. Dankzij deze solide fundamentals, die deels het resultaat zijn van de verbetering van de prudentiële regelgeving en het toezicht sinds de wereldwijde financiële crisis, heeft de sector zich bestand getoond tegen de economische tegenwind ten gevolge van de oplopende mondiale handelsspanningen en -conflicten en de daaropvolgende perioden van grote volatiliteit op de financiële markten. Bovendien is de schokbestendigheid van de banksector de afgelopen jaren verbeterd door overheidsmaatregelen om de reële economie te ondersteunen en de impact van negatieve schokken te verzachten. Ook uit de EU-brede stresstest van dit jaar blijkt dat de bankensector over het algemeen bestand is tegen een ongunstig scenario als gevolg van geopolitieke spanningen.

Dat neemt niet weg dat banken klaar moeten zijn om de toekomstige uitdagingen het hoofd te bieden. De mondiale onzekerheden zijn toegenomen tot uitzonderlijke niveaus, wat leidt tot meer kwetsbaarheid en een omgeving waarin risico’s die vroeger onwaarschijnlijk leken realistischer worden. Geopolitieke spanningen en een veranderend handelsbeleid, de klimaat- en natuurcrisis, demografische ontwikkelingen en technologische verstoringen vergroten de structurele kwetsbaarheden en zorgen ervoor dat de kans op extreme, weinig waarschijnlijke gebeurtenissen (staartrisico’s) groter is dan ooit. De onzekerheid is groot. Door deze combinatie van factoren stijgt het risico op plotselinge en ernstige verstoringen, met verstrekkende gevolgen voor zowel economieën, financiële markten als banken. De oproep aan de banken van de afgelopen jaren om waakzaam te blijven en zelfgenoegzaamheid te vermijden, blijft dus onverminderd gelden.

Gezien deze uitdagende vooruitzichten benadrukken de toezichtsprioriteiten voor 2026-2028 dat banken weerbaar moeten blijven tegen geopolitieke risico’s en macrofinanciële onzekerheden (prioriteit 1), en tegelijkertijd hun operationele weerbaarheid en ICT-capaciteiten moeten versterken (prioriteit 2).

Figuur 1

Toezichtsprioriteiten voor 2026-2028: aanpak vastgestelde kwetsbaarheden bij banken

Elke toezichtsprioriteit is gericht op een bepaalde reeks kwetsbaarheden in de banksector, waarvoor specifieke strategische doelstellingen zijn vastgesteld en werkprogramma’s op maat zijn ontwikkeld. Figuur 1 bevat vijf doelstellingen voor het aanpakken van de belangrijkste kwetsbaarheden bij banken en schetst een strategie voor de middellange tot lange termijn, gericht op de digitale strategieën van banken, met name op het vlak van AI, hun governance en hun risicobeheer. Deze twee prioriteiten passen in de doelstelling van ECB-Bankentoezicht om een robuuste, veerkrachtige en duurzame Europese bankensector te bevorderen die in staat is in een steeds complexer risicolandschap te opereren.

De toezichtsprioriteiten moeten de meest relevante en overkoepelende kwetsbaarheden van banken aanpakken en bijdragen aan de bredere werkzaamheden van ECB-Bankentoezicht. Tegelijkertijd blijft ECB-Bankentoezicht de reguliere toezichtswerkzaamheden uitvoeren om andere relevante risicogebieden aan te pakken en de weerbaarheid van de Europese banksector tegen specifieke risico’s voor de instellingen verder te ondersteunen. Ook de follow-up van eerdere prioriteiten blijft een belangrijk aandachtspunt, in samenhang met het lopende toezichtsoverleg met de banken.

De toezichtsprioriteiten bevorderen zowel de effectiviteit en consistentie van de planning van de gezamenlijke toezichthoudende teams (joint supervisory teams – JST’s) als een efficiënte besteding van middelen, conform de vooraf bepaalde risicotolerantieniveaus. ^[2] Ze helpen bovendien de nationale toezichthouders om, naar evenredigheid, eigen prioriteiten te stellen voor het toezicht op minder belangrijke instellingen. Transparante communicatie over deze prioriteiten is van cruciaal belang om de verwachtingen voor banken te verduidelijken, de schokbestendigheid van de Europese banksector verder te versterken en een gelijk speelveld tussen instellingen tot stand te brengen.

De volgende paragrafen bevatten een overzicht van de risicobeoordeling voor 2025, samen met een gedetailleerd overzicht van de toezichtsprioriteiten en de werkprogramma’s voor de periode 2026-2028.

2 Risicobeoordeling en toezichtsprioriteiten voor 2026-2028

2.1 Macro-economische en operationele omgeving voor onder toezicht staande entiteiten

Het macro-economische klimaat werd het afgelopen jaar gekenmerkt door oplopende mondiale handelsspanningen en bredere geopolitieke risico’s, wat heeft geleid tot veranderingen in het handelsbeleid en grotere algemene onzekerheid. De aankondiging van de nieuwe invoerheffingen in de VS begin april 2025 leidde tot een grote verkoopgolf op de obligatiemarkten, die de vrees voor een mondiale recessie aanwakkerde. De beleidsonzekerheid, vooral op het gebied van de internationale handel, steeg tot ongekende niveaus, met als gevolg aanzienlijke volatiliteit op de financiële markten.^[3] De daaropvolgende aankondigingen – eerst van een tijdelijke pauze in de tariefverhogingen en, later, van een handelsovereenkomst die een handelsoorlog tussen de Verenigde Staten en de EU afwendde – gaven aanleiding tot een sterke stijging van de aandelenkoersen. De initiële verliezen werden goedgemaakt, maar de aandelenmarkten blijven volatiel en kwetsbaar voor nieuwe herbeprijzingen als gevolg van hoge waarderingen en risicoconcentratie.^[4]

Ondanks schommelingen in de economische bedrijvigheid blijven de omstandigheden gunstig voor een versterking van de reële bbp-groei in het eurogebied gedurende de projectieperiode en zal de inflatie zich naar verwachting stabiliseren rond de doelstelling van 2% op middellange termijn.^[5] De sterker dan verwachte economische bedrijvigheid in het eerste kwartaal van 2025, mede als gevolg van het vervroegen van de uitvoer (frontloading) in het vooruitzicht van hogere heffingen, zal naar verwachting plaatsmaken voor zwakkere groei in de tweede helft van het jaar. Volgens de ramingen neemt de reële bbp-groei in het eurogebied op middellange termijn echter toe, mede door stijgende besteedbare inkomens, afgenomen onzekerheid, een sterkere buitenlandse vraag en begrotingsstimulering in verband met defensie en infrastructuur. Enquête-indicatoren geven ook een bescheiden groei in zowel de verwerkende industrie als de dienstensector aan, wat wijst op een positieve onderliggende dynamiek van de economie. Naar het zich laat aanzien blijft de totale inflatie rond de doelstelling van 2% op middellange termijn, terwijl de kerninflatie volgens de verwachtingen daalt als gevolg van de afnemende arbeidskostendruk en de appreciatie van de euro.

De onzekerheid is in de tweede helft van het jaar enigszins afgenomen, maar blijft in historisch opzicht groot, wat risico’s inhoudt voor de economische vooruitzichten.^[6] De risico’s voor de economische groei zijn evenwichtiger geworden doordat handelsovereenkomsten de onzekerheid hebben verminderd.^[7] Niettemin zou een nieuwe escalatie van de spanningen op het gebied van de wereldhandel de groei van de uitvoer kunnen drukken en de investeringen en de consumptie temperen. De aanhoudende geopolitieke spanningen blijven een belangrijke bron van risico voor de macro-economische vooruitzichten. Een mogelijke verslechtering van het sentiment op de financiële markten kan leiden tot krappere financieringsvoorwaarden, een grotere risicoaversie en zwakkere groei. Bovendien kan een combinatie van zwakker dan verwachte groei, hogere uitgavenbehoeften op het gebied van defensie en andere structurele uitdagingen – zoals lage productiviteit, vergrijzing, klimaatverandering en digitalisering – de houdbaarheid van de overheidsschuld ondermijnen, met name in landen met een hoge schuldenlast.^[8]

Tot dusver hebben de financiële markten en de Europese banksector blijk gegeven van een sterke weerbaarheid tegen externe schokken, soms geholpen door een reeks ondersteunende overheidsmaatregelen, onder meer van het budgettair en monetair beleid. Ruime liquiditeit binnen het financiële stelsel speelde een cruciale rol bij het beperken van het aantal posities dat tijdens de verkoopgolf op de obligatiemarkten in april werd afgebouwd. De onrust als gevolg van de invoerheffingen en de daarmee gepaard gaande piek in de macro-economische volatiliteit waren groot, maar ze bleken van korte duur. De aandelenmarkten veerden snel op na de aankondiging van de tijdelijke pauze in de tariefverhogingen, terwijl de Europese bankaandelen ondersteund werden door hun solide fundamentals. In de nasleep van de schokken als gevolg van het handelsbeleid blijft de kans op verdere geopolitieke en macrofinanciële spanningen groot. Dit verhoogt het risico op plotselinge herbeprijzingen op de markt en kan negatieve gevolgen hebben voor de financiële stabiliteit in het eurogebied en de wereldeconomie. Dat risico kan nog worden vergroot door de toenemende verwevenheid tussen bancaire en niet-bancaire financiële instellingen.^[9]

Bovendien kan de grote behoefte aan overheidsuitgaven, in combinatie met de beperkte beschikbare begrotingsruimte, aanleiding geven tot bezorgdheid over de houdbaarheid van de overheidsschuld in sommige landen, wat zou kunnen leiden tot hogere financieringskosten en overloopeffecten naar banken en bedrijven.^[10] In de toekomst kan dit ook de beschikbare beleidsruimte beperken om schokken in de reële economie op te vangen.

2.2 Prioriteit 1: Banken beter bestand maken tegen geopolitieke risico’s en macrofinanciële onzekerheden

Het huidige macrofinanciële en geopolitieke klimaat benadrukt het belang van sterke financiële veerkracht in de Europese banksector en vraagt om meer toezichtsaandacht op specifieke gebieden. Banken moeten met name zorgen voor verantwoord risicogedrag en gedegen kredietnormen om de opbouw van nieuwe niet-renderende leningen te voorkomen. Daarnaast zullen de toezichthouders de wijze waarop banken de nieuwe, risicogevoeligere gestandaardiseerde benaderingen toepassen voor de berekening van de kapitaalvereisten in het kader van het CRR III/CRD VI-bankenpakket nauwlettend in de gaten houden. Deze nieuwe regeling stemt de kapitaalvereisten beter af op de feitelijke risico’s van banken en het effect van deze nieuwe benadering op de risicogewogen activaberekeningen zal naar verwachting mettertijd toenemen met de geleidelijke invoering van de nieuwe output floor. Ten slotte maken de toenemende frequentie van klimaatgerelateerde rampen en de trage vooruitgang in de richting van de nettonuldoelstellingen van het klimaatakkoord van Parijs dat banken hun beheer van klimaat- en natuurrisico’s verder moeten verbeteren.

Geopolitieke risico's, een belangrijke oorzaak van macro-economische onzekerheid, blijven centraal staan in de toezichtsprioriteiten van de ECB. De thematische stresstest van 2026 zal in het teken staan van instellingsspecifieke geopolitieke risicoscenario’s en de mogelijkheid dat deze scenario’s aanzienlijke gevolgen hebben voor de solvabiliteit van banken.^[11] Hierdoor zal ook duidelijk worden hoe de door de banken gehanteerde geopolitieke risicoscenario’s van invloed kunnen zijn op hun financierings- en liquiditeitspositie. Gezien hun horizontale karakter zullen geopolitieke risico’s zowel bij prioritaire als bij de reguliere toezichtswerkzaamheden worden meegenomen. Als onderdeel van hun reguliere werkzaamheden zullen de toezichthouders nagaan in hoeverre banken bestand zijn tegen geopolitieke schokken. Daarnaast zullen ze de interne verklaringen over kapitaal- en liquiditeitstoereikendheid, de procedures voor liquiditeits- en financieringsplanning, herstelplannen en interne stresstestkaders evalueren.

2.2.1 Prioritaire kwetsbaarheid: Zorgen voor verantwoord risicogedrag en gedegen kredietnormen

Strategische doelstelling: Om verantwoord risicogedrag te bevorderen, moeten de onder toezicht staande entiteiten gedegen kredietnormen hanteren en risico’s meenemen in de prijsbepaling. Daarnaast dienen ze zich aan te passen aan veranderingen in het macrofinanciële klimaat en de specifieke omstandigheden van hun instelling.

De kwaliteit van de activa van de onder toezicht staande entiteiten is het afgelopen jaar over het geheel genomen stabiel gebleven, mede dankzij de schokbestendigheid van huishoudens en bedrijven tegen hogere rentetarieven. Hoewel het volume niet-renderende leningen het afgelopen jaar licht is gestegen, voornamelijk in de segmenten consumenten en kleine en middelgrote ondernemingen, zijn de percentages niet-renderende leningen van de meeste onder toezicht staande entiteiten verbeterd. De economische vooruitzichten voor het eurogebied blijven over het algemeen gunstig en lagere rentetarieven en gezondere schuldniveaus zullen de druk van schuldaflossingen naar verwachting verlichten. De woningmarkten houden naar verwachting ook goed stand, dankzij gunstige arbeidsmarktomstandigheden. In het segment commercieel vastgoed zijn er tekenen van stabilisatie, hoewel de subprime kantoorsector zwak blijft tegen de achtergrond van een aanhoudend lagere vraag.^[12] Tegelijkertijd blijven er aanzienlijke neerwaartse risico’s bestaan, met name als gevolg van handelsspanningen tussen de VS en de EU en bredere geopolitieke risico’s, die sectoren met hoge uitvoervolumes naar de Verenigde Staten kunnen treffen, zoals de auto-industrie en de chemische of de farmaceutische sector, waardoor de kwaliteit van de activa zou kunnen dalen. Als reactie op deze mondiale onzekerheid begonnen sommige banken hun voorzieningen te verhogen, maar de totale risicokosten en het niveau van de voorzieningen bleven over het geheel genomen stabiel. Gezien de mogelijke verslechtering van de macro-economische omstandigheden als gevolg van oplopende geopolitieke en mondiale handelsspanningen, is het van essentieel belang ervoor te zorgen dat banken bij het toestaan van nieuwe leningen gedegen acceptatiecriteria hanteren.^[13]

Uit toezichtsbeoordelingen blijkt dat sommige banken, ondanks de geboekte vooruitgang, nog steeds te kampen hebben met tekortkomingen in hun IFRS 9- en kredietrisicobeheerkaders voor hun kwetsbaarder portefeuilles. Beoordelingen ter plaatse en op afstand hebben verbetering laten zien bij het in kaart brengen van veranderende risico’s^[14] zoals klimaat- en natuurrisico’s, maar aanhoudende problemen zoals willekeurige overlays en het onvolledig ondervangen van risico’s blijven bestaan^[15]. De toezichthouders hebben in de SREP voor 2025 zwakke punten in de voorzieningen en de IFRS 9-kaders vastgesteld en blijven de resterende tekortkomingen opvolgen in het kader van hun reguliere toezichtswerkzaamheden. Daarnaast bleven de toezichthouders het beheer van kwetsbaardere debiteuren door banken nauwlettend volgen. Een gerichte toetsing van de portefeuille van kleine en middelgrote ondernemingen bracht materiële tekortkomingen aan het licht op het gebied van governance (waaronder banken die gebruik maken van verouderde gegevens voor beoordelingen), systemen voor vroegtijdige signalering (vaak uitsluitend op basis van ratings) en het vermogen om te reageren op financiële moeilijkheden van kredietnemers. Inspecties ter plaatse naar kredietrisico bij kleine en middelgrote ondernemingen en andere kwetsbare portefeuilles zoals commercieel vastgoed hebben opnieuw problemen aan het licht gebracht met betrekking tot voorzieningen, procedures voor kredietrisicobeheersing (waaronder de waardering van onderpand), governance en gegevenskwaliteit.

In de toekomst zullen de toezichthouders prioriteit geven aan verantwoord risicogedrag en gedegen kredietacceptatienormen bij banken om het ontstaan van niet-renderende leningen in de toekomst te voorkomen. Voortbouwend op een analyse van 2019^[16] zal een themaonderzoek worden uitgevoerd om te beoordelen hoe banken potentiële verliezen beperken via hun kredietverstrekkingsbeleid. Daarna volgen gerichte initiatieven, waaronder herstelmaatregelen en inspecties ter plaatse over kredietrisico, meer bepaald met betrekking tot acceptatienormen. Voor de banken waarbij het themaonderzoek problemen met betrekking tot de prijsstelling van leningen of het kostenbeheer aan het licht brengt, worden aanvullende toetsingen uitgevoerd om te beoordelen of de kredietverleningswerkwijzen in overeenstemming zijn met de doelstellingen voor duurzame winstgevendheid.

2.2.1.1 Belangrijkste activiteiten uit het werkprogramma voor deze toezichtsprioriteiten

• Themaonderzoek naar kredietacceptatienormen, met bijzondere aandacht voor nieuwe kredietverlening om te beoordelen hoe banken van plan zijn potentiële toekomstige kredietverliezen te beperken
• Gerichte toetsing van de prijsstelling van leningen, als follow-up van het themaonderzoek, om de werkwijzen en normen van banken met betrekking tot de prijsstelling van leningen te beoordelen
• Gerichte inspecties ter plaatse van kredietrisico’s, waaronder de kredietverstrekking door banken en de kredietacceptatiekaders

2.2.2 Prioritaire kwetsbaarheid: Zorgen voor toereikende kapitalisatie en consistente uitvoering van CRR III

Strategische doelstelling: Voor een blijvend toereikende kapitalisatie moeten onder toezicht staande entiteiten de nieuwe standaardbenadering toepassen voor een consistente en nauwkeurige berekening van hun minimumkapitaalvereisten in het kader van CRR III.

Het uiteindelijke Bazel III-kader werd ontwikkeld als reactie op de wereldwijde financiële crisis. Het heeft tot doel banken beter toe te rusten om economische schokken op te vangen en tegelijkertijd in staat te blijven economische bedrijvigheid te financieren en groei te ondersteunen. In de EU werd dit kader ten uitvoer gelegd via het CRR III/CRD VI-pakket, dat op 1 januari 2025 in werking is getreden. Dit wetgevingspakket versterkt de vereisten voor Europees bankentoezicht en governance en introduceert belangrijke wijzigingen in de berekening van de risicogewogen activa van banken voor alle prudentiële risicocategorieën.

Het is daarom cruciaal dat banken de nieuwe standaardbenadering consistent en nauwkeurig uitvoeren om ervoor te zorgen dat de kapitaalvereisten beter aansluiten bij de werkelijke risico’s van banken. Hoewel de relevante in het verleden uitgevoerde toezichtsbeoordelingen enigszins beperkt waren, wezen gerichte analyses van JST’s en inspecties ter plaatse naar de tenuitvoerlegging van de standaardbenadering door banken doorgaans op materiële tekortkomingen. Die hadden te maken met een onjuiste indeling van risicoposities, toewijzing van risicogewichten, waardering van onderpand of zwakke beheersmaatregelen bij hun risicocontrolefuncties.

In de toekomst zal nader toezicht nodig zijn om rekening te houden met de toenemende rol die de standaardbenadering gaat spelen bij het bepalen van de solvabiliteit van banken, onder meer bij de berekening van de nieuwe output floor. Voor kredietrisico zullen de toezichthouders de toepassing van de standaardbenadering door banken beoordelen op basis van de wijzigingen die met CRR III zijn ingevoerd. De toezichthouders gaan gerichte inspecties ter plaatse en toetsingen combineren, beide toegespitst op de beoordeling van de kapitaaltoereikendheid van banken. De regelmatige opvolging door JST’s zal daarna toezien op de aanpak van de daarbij geconstateerde bevindingen. Voor operationeel risico komt er met de invoering van CRR III een nieuwe, niet op modellen gebaseerde benadering, die van toepassing is op alle banken en in de plaats komt van de vorige benadering. Net als bij kredietrisico voeren de toezichthouders eerst een beoordeling uit om mogelijke uitschieters vast te stellen, op basis van de door banken gerapporteerde risicogewogen activa en andere kwalitatieve beoordelingen. Vervolgens zullen ze een gerichte toetsing doen van de banken met een hoger risico op een verkeerde berekening. Gezien het uitstel van de eerste toepassingsdatum van de fundamentele herziening van de handelsportefeuille, zullen toezichthouders de gerichte toetsingen voor marktrisico alleen uitvoeren op verzoek van de JST’s, afhankelijk van de uitkomst van hun lopende dialoog met de banken op dit gebied.

2.2.2.1 Belangrijkste activiteiten uit het werkprogramma voor deze toezichtsprioriteiten

• Kredietrisico: gerichte toetsingen en inspecties ter plaatse, toegespitst op de berekening van risicogewogen activa volgens de standaardbenadering
• Operationeel risico: gerichte toetsingen van de berekening van de business indicator-component ter ondersteuning van de berekening van de overeenkomstige kapitaalvereisten

2.2.3 Prioritaire kwetsbaarheid: Zorgen voor verantwoord beheer van klimaat- en natuurrisico’s

Strategische doelstelling: Banken moeten de uit de klimaat- en natuurcrisis voortvloeiende risico’s op korte, middellange en lange termijn doeltreffend beoordelen. Daarnaast moeten ze aanhoudende tekortkomingen in hun overeenkomstige risicobeheerkaders verhelpen.

Aangezien de mondiale temperatuur meer dan 1,5°C boven het pre-industriële gemiddelde ligt en Europa het snelst opwarmende continent op aarde is^[17], komen ernstige klimaat- en natuurincidenten hier nu vaker voor en zijn de financiële gevolgen groter. Gebeurtenissen zoals de recente overstromingen en bosbranden in heel Europa laten de toenemende menselijke en economische schade zien als gevolg van de klimaat- en natuurcrisis.^[18] Tegelijkertijd brengt de grote en groeiende verzekeringskloof, waarbij slechts ongeveer 25% van de schade door natuurlijke gevaren verzekerd is, verdere risico’s met zich mee voor de bbp-groei en mogelijk ook voor de risicoposities op de balans van banken.^[19] Bovendien neemt door de achterblijvende vooruitgang van de wereldeconomie op weg naar de nettonuldoelstellingen uit het klimaatakkoord van Parijs het transitierisico toe.^[20] Een wanordelijk ‘run on brown’-transitiescenario^[21] in combinatie met een recessie kan voor Europese banken leiden tot aanzienlijke verliezen als gevolg van krediet- en marktrisico’s.^[22]

Belangrijke instellingen hebben behoorlijke stappen gezet en zijn goed in staat te voldoen aan de prudentiële vereisten voor de transitieplanning. De Europese banken hebben aanzienlijke vooruitgang geboekt bij het aanpakken van de risico’s die voortvloeien uit de klimaat- en natuurcrisis. Terwijl in 2019 minder dan een kwart van de banken in het eurogebied over deze risico’s had nagedacht, beschikken ze nu over steeds meer geavanceerde werkwijzen om klimaat- en natuurrisico’s op te sporen, in de gaten te houden en – vooral – te beheersen. In 2022 had bijna 80% van de banken ofwel alleen basisrisicobeheerprocedures ingevoerd, ofwel geen enkele. Vanwege het beperkte niveau van paraatheid op dat moment en volgend op het themaonderzoek inzake klimaat en milieurisico’s van 2022 en de klimaatrisicostresstest dat jaar, moedigde ECB-Bankentoezicht banken aan hun voortgang te bespoedigen. Hiervoor definieerde het duidelijke tussentijdse deadlines voor 2023 en uiteindelijke deadlines voor eind 2024, om zo hun werkwijzen in lijn te brengen met de toezichtsverwachtingen, daarbij rekening houdend met hun specifieke kenmerken. Positief is dat het aantal banken dat basiselementen mist de afgelopen jaren sterk is afgenomen.^[23] Bovendien stelt de vooruitgang die banken hebben geboekt bij het beheersen van klimaat- en natuurrisico’s hen in staat de interne capaciteit te versterken om andere risico’s, bijvoorbeeld geopolitieke, doeltreffend te beheersen. De analyse van toeleveringsketen- en concentratierisico’s – bijvoorbeeld inzicht in de geografische voetafdruk van cliënten, afhankelijkheden en kwetsbaarheden – en scenarioplanning en een stresstestkader – bijvoorbeeld het ontwerpen en testen van plausibele maar onzekere scenario’s – zijn slechts een paar gebieden die hebben geprofiteerd van de verbetering van de beheersing van klimaat- en natuurrisico’s door banken de afgelopen jaren . En deze kunnen worden toegepast om de impact van andere, sectoroverschrijdende factoren, zoals geopolitieke risico’s, te monitoren en te beoordelen.

Niettemin zijn voortdurende inspanningen van cruciaal belang. Het veranderende risicolandschap geeft al aan dat klimaat- en natuurrisico’s een opwaartse trend vertonen^[24] en dat klimaatrisico, in tegenstelling tot cyclische risicofactoren, een permanente schok in slechts één richting is, met ernstige langetermijneffecten op de huizenprijzen en andere activawaarden.^[25] Deze trend komt ook tot uiting in de meest recente vooruitgang in de materialiteitsbeoordelingen van banken, waaruit blijkt dat 90% van de ondervraagde banken van mening is dat ze zelf materiële risico’s lopen op het gebied van klimaat en natuur. In 2021 was dit ongeveer 50%. Bovendien staat de modellering en kwantificering van klimaat- en natuurrisico’s nog steeds in de kinderschoenen en is er sprake van aanzienlijke onderschatting, bijvoorbeeld in fysieke risicomodellen.^[26] ECB-Bankentoezicht kijkt ook naar de aanhoudende uitdagingen, waaronder fysieke klimaat- en natuurrisico’s, en de opeenstapeling van instellingsspecifieke zwakke punten bij individuele banken, met name wat betreft de volledigheid van hun aanpak. De toezichthouders zullen deze tekortkomingen dan ook opvolgen tijdens hun reguliere toezichtswerkzaamheden.

In de toekomst zullen de toezichthouders de voortgang van banken en het herstel van tekortkomingen blijven volgen. Daarbij zullen de gerichte toezichtsexercities gefocust zijn op de vereisten voor prudentiële transitieplanning en de aanhoudende uitdagingen voor banken bij de naleving van de toezichtsverwachtingen en regelgevingsvereisten om klimaat- en natuurrisico’s te beheersen. Overeenkomstig CRD VI zal banken worden verzocht prudentiële transitieplannen op te stellen, die door toezichthouders zullen worden beoordeeld in overeenstemming met de EBA-richtsnoeren voor het beheer van ecologische, sociale en governancerisico’s (ESG). ECB-Bankentoezicht zal een geleidelijke en gerichte aanpak volgen, waarbij de focus ligt op de nieuwe elementen van deze richtsnoeren, eerst via informele gesprekken met de banken en daarna in een themaonderzoek. De toezichthouders blijven ook toezien op de naleving door banken van de Pijler 3-rapportagevereisten voor ecologische, sociale en governancekwesties en een gerichte toetsing uitvoeren van hun informatieverschaffing over fysieke risico’s. ECB-Bankentoezicht zal verdere analyses uitvoeren van de capaciteit van banken om aanhoudende uitdagingen aan te pakken, onder meer met betrekking tot fysieke risico’s. Daarnaast zullen gerichte inspecties ter plaatse zich ook focussen op het beheer van klimaat- en natuurrisico’s door banken, hetzij exclusief, met primaire nadruk op klimaat- en natuurrisico’s, hetzij als onderdeel van risicospecifieke inspecties ter plaatse, zoals die voor kredietrisico. Tot slot streeft ECB-Bankentoezicht ernaar het compendium met good practices voor klimaat- en natuurrisico’s de komende tijd te actualiseren.

Belangrijkste activiteiten uit het werkprogramma voor deze toezichtsprioriteiten

• Gerichte opvolging en monitoring van de aanpak door banken van de resterende tekortkomingen naar aanleiding van het themaonderzoek 2022 en de klimaatrisicostresstest
• Themaonderzoek van de transitieplanning van banken in lijn met het CRD VI-pakket
• Horizontale beoordeling van de naleving door banken van de Pijler 3-rapportagevereisten voor ecologische, sociale en governancerisico’s (ESG)
• Diepgaande analyse naar de mogelijkheden van banken om bestaande uitdagingen, waaronder fysieke risico’s, aan te pakken
• Gerichte inspecties ter plaatse van beheer van klimaat- en natuurrisico’s, hetzij exclusief, hetzij als onderdeel van geplande beoordelingen van andere risicogebieden

2.3 Prioriteit 2: Versterking operationele weerbaarheid van banken en bevordering robuuste ICT-capaciteiten

Robuuste en veerkrachtige kaders voor het beheer van operationele risico’s en sterke ICT-capaciteiten zijn cruciaal om opkomende risico’s te beperken en verstoringen van kritieke activiteiten en diensten te voorkomen. Met de inwerkingtreding van de verordening betreffende digitale operationele weerbaarheid (DORA) begin 2025 moeten banken er nu voor zorgen dat ze de relevante vereisten consequent en snel implementeren, met name die voor het beheer van ICT-risico’s van derde aanbieders en de respons op incidenten. Bovendien blijft het essentieel om materiële tekortkomingen aan te pakken die zijn vastgesteld in het kader van eerdere toezichtsbeoordelingen in verband met cyberbeveiliging, risicobeheer van derden of op het gebied van de aggregatie van risicogegevens en risicorapportage (RDARR). Daarnaast zal ECB-Bankentoezicht, als onderdeel van een middellange- tot langetermijnstrategie en naarmate bankactiviteiten steeds digitaler worden, zijn inspanningen geleidelijk opvoeren om samen met banken te kijken naar de manier waarop ze nieuwe technologieën, en met name AI, gebruiken om potentiële voordelen te benutten en tegelijkertijd de daaraan verbonden risico’s in de gaten houden. Dit draagt bij aan de ontwikkeling van een toekomstige toezichtsaanpak.

2.3.1 Prioritaire kwetsbaarheid: Implementeren van robuuste en veerkrachtige kaders voor beheer van operationele risico’s

Strategische doelstelling: Om hun vermogen te vergroten om verstoringen van kritieke activiteiten en diensten te voorkomen, te weerstaan en ervan te herstellen, moeten banken robuuste en veerkrachtige kaders voor het beheer van operationele risico’s ontwikkelen en in stand te houden. Ze moeten zich blijven inspannen om eerder vastgestelde tekortkomingen op het gebied van cyberveiligheid en risicobeheer van derden snel en doeltreffend aan te pakken en volledig te voldoen aan DORA.

Het snel veranderende cyberdreigingslandschap, versterkt door geopolitieke risico’s, blijft het vermogen van banken op het gebied van cyberveiligheid en risicobeheer van derden uitdagen. Het aantal gerapporteerde aanzienlijke cyberincidenten is de afgelopen jaren verdubbeld^[27]. Ransomware-aanvallen worden steeds geavanceerder en door staten gesteunde activiteiten leiden tot voortdurende dreigingen, waaronder hybride vormen zoals informatiemanipulatie. Continue waakzaamheid is dus geboden.^[28] Hoewel banken bestand bleken tegen dergelijke aanvallen – net als tegen andere incidenten van operationele aard – en grote verstoringen konden voorkomen, onderstrepen de recente gebeurtenissen, zoals de stroomonderbrekingen die zich in Europa voordeden, hoe belangrijk het is dat banken risicobeperkende maatregelen ontwikkelen en doeltreffende noodplannen opstellen voor de risico’s aan hun kritieke infrastructuren, die alle kritieke informatiesystemen bestrijken en een veelheid aan aannemelijke scenario’s bevatten. ^[29] Vooruitgang bij de ontwikkeling van AI-toepassingen kan de cyberveiligheid van banken ook aanzienlijk op de proef stellen, aangezien elke onderschatting van de bijbehorende beveiligingsrisico’s voorafgaand aan de uitrol ervan kritieke kwetsbaarheden in hun ICT-systemen kan veroorzaken.^[30] Daarnaast blijkt uit de periodieke toezichtsrapportages dat banken sterk afhankelijk zijn van een handjevol externe dienstverleners, waarvan vele buiten de EU zijn gevestigd. ^[31] Dit vergroot de complexiteit van de uitbestedingsovereenkomsten van banken en stelt ze bloot aan verhoogde kwetsbaarheden, met name in het licht van geopolitieke spanningen.

De geaggregeerde resultaten uit de SREP van 2025 en het inzicht uit de toezichtswerkzaamheden bevestigen de noodzaak om de werkwijzen van banken op het gebied van ICT-risicobeheer te versterken. Operationele en ICT-risico’s blijven de slechtste gemiddelde scores ontvangen in de SREP. De toezichtsbeoordelingen hebben terugkerende zwakke plekken in cyberbeveiligingsstrategieën, tekortkomingen in het beheer van cyberincidenten en lacunes in het risicobeheer van derden aan het licht gebracht. ^[32] ECB-Bankentoezicht heeft onlangs zijn Gids voor het uitbesteden van clouddiensten aan aanbieders van clouddiensten afgerond om het toenemende gebruik van cloudoplossingen door banken in goede banen te leiden. De gids schetst de toezichtsverwachtingen voor de implementatie van DORA-gerelateerde vereisten. Er staan voorbeelden in van good practices voor een doeltreffend risicobeheer bij clouduitbestedingen en tegelijkertijd wordt er gestreefd naar een gelijk speelveld voor alle onder toezicht staande entiteiten.

In de toekomst zal ECB-Bankentoezicht een solide en consistente tenuitvoerlegging van de DORA-vereisten bevorderen. De naleving van DORA zal worden beoordeeld voor een breed scala aan activiteiten. Na eerdere beoordelingen van de IT-beveiliging, cyberweerbaarheid en het beheer van IT-uitbestedingsrisico’s zal nu gerichte opvolging plaatsvinden bij de banken met materiële tekortkomingen op deze gebieden om hun effectieve en tijdige herstel te bevorderen. Daartoe staan twee campagnes van inspecties ter plaatse gepland. Deze zijn toegespitst op cyberveiligheid en risicobeheer van derden, gericht op kwetsbaardere banken, zoals vastgesteld door de JST’s. In het nieuwe toezichtsmandaat onder DORA zullen ook dreigingsgestuurde penetratietests plaatsvinden om de cyberweerbaarheidsstrategieën van banken te verbeteren. Op basis van de gepubliceerde gids over de uitbesteding van clouddiensten voeren toezichthouders ook een diepgaand onderzoek uit om te beoordelen in hoeverre bepaalde banken voorbereid zijn op mogelijke verstoringen van de dienstverlening veroorzaakt door problemen bij een grote clouddienstverlener. Aangezien de belangrijkste oorzaak van ongeplande onderbrekingen bij banken vaak te maken heeft met wijzigingen in ICT-systemen, zal ECB-Bankentoezicht tot slot ook een gerichte toetsing uitvoeren van ICT-change management om lacunes in de basiscontrolekaders op te sporen en het change management van banken te verbeteren.

Het toezicht op kritieke derde aanbieders in verband met het DORA-toezichtskader zal in januari 2026 van start gaan. ECB-Bankentoezicht ondersteunt ten volle dit nieuwe toezichtskader, dat de digitale operationele weerbaarheid in de hele financiële sector van de EU helpt versterken. Het toezicht van instellingen op kritieke derde aanbieders is bedoeld om een degelijk risicobeheer van derden aan te vullen, maar niet te vervangen.

2.3.1.1 Belangrijkste activiteiten uit het werkprogramma voor deze toezichtsprioriteiten

• Gerichte opvolging van herstelstrategieën voor banken die materiële tekortkomingen op het gebied van ICT-beveiliging/cyberweerbaarheid en ICT-uitbestedingen melden
• Twee campagnes voor inspecties ter plaatse over cyberveiligheid en risicobeer van derden, in lijn met de nieuwe DORA-vereisten
• Dreigingsgestuurde penetratietests om de kwetsbaarheden van banken in kaart te brengen en hun weerbaarheid op het vlak van cyberveiligheid te verbeteren
• Gerichte toetsing van ICT-change management
• Diepgaand onderzoek naar de afhankelijkheid van banken van clouddienstverleners om te beoordelen in hoeverre ze voorbereid zijn op mogelijke verstoringen van de dienstverlening

2.3.2 Prioritaire kwetsbaarheid: Tekortkomingen in capaciteit voor risicorapportage en bijbehorende informatiesystemen verhelpen

Strategische doelstelling: Om goed risicobeheer en doeltreffende besluitvorming te ondersteunen, moeten banken hun inspanningen opvoeren om de materiële zwakke punten die in hun RDARR-kaders aan het licht zijn gekomen, effectief en tijdig te verhelpen en in overeenstemming te brengen met de toezichtsverwachtingen die in de relevante ECB-gids zijn vastgelegd.

Het onzekere geopolitieke klimaat en de snelle digitalisering van de activiteiten en diensten van banken onderstrepen de noodzaak van weerbare interne informatiesystemen en robuuste RDARR-capaciteiten. Tijdige en juiste risico-informatie is essentieel voor een efficiënte sturing, tijdige strategische besluitvorming en effectieve crisisbeheersing. Bovendien stelt een sterk RDARR-kader banken in staat gebruik te maken van digitaliseringstools en -technologieën zoals AI en geavanceerde analysemiddelen.^[33]

De vooruitgang die de onder toezicht staande entiteiten hebben geboekt bij het aanpakken van structurele tekortkomingen in hun RDARR-kaders blijft echter traag. De toezichtsactiviteiten tijdens de cyclus van het afgelopen jaar tonen aan dat ze hun herstelinspanningen moeten blijven opvoeren om lacunes ten opzichte van de toezichtsverwachtingen te dichten. De uitkomsten van de SREP 2025 wijzen op aanhoudende tekortkomingen in de RDARR-kaders van banken, zonder verbetering in de relevante gemiddelde deelscore ten opzichte van vorig jaar. De campagne voor inspecties ter plaatse van 2022-2024 en de gerichte toetsingen van RDARR-kaders in 2024 lieten zwakke punten zien bij banken wat betreft hun i) kader voor datagovernance, waaronder de volledige of toereikende betrokkenheid van leidinggevende organen; ii) de data-architectuur en de IT-infrastructuur; en iii) de nauwkeurigheid en integriteit van de gegevens. In de gerichte toetsingen van 2024 werd ook gewezen op lacunes ten opzichte van de BCBS 239-beginselen en relevante toezichtsverwachtingen, zoals uiteengezet in de gids van de ECB over effectieve aggregatie van risicogegevens en risicorapportage.

De toezichtsinspanningen zullen worden opgevoerd om ervoor te zorgen dat banken hun RDARR-kaders en -capaciteiten verbeteren en aan de relevante toezichtsverwachtingen voldoen. In december 2024 heeft de Raad van Toezicht van de ECB zijn goedkeuring gehecht aan een systeembrede strategie, die alle onder toezicht staande entiteiten bestrijkt, om na te gaan of ze voldoen aan de toezichtsverwachtingen en om, waar van toepassing, hun herstelstrategieën op te volgen. Deze strategie was in eerste instantie gericht op de verantwoordingsplicht van leidinggevende organen ten aanzien van het toezicht op en de tenuitvoerlegging van het RDARR-kader, alvorens geleidelijk te zijn uitgebreid naar andere toezichtsverwachtingen, zoals datakwaliteitsmanagement en IT-infrastructuur/data-architectuur. Een duidelijk omschreven herstel- en escalatieproces zal richting geven aan de activiteiten van toezichthouders. Daarnaast zullen ze, indien nodig, gebruikmaken van het bestaande toezichtsinstrumentarium. Er zullen gerichte inspecties ter plaatse worden uitgevoerd om aanvullende informatie te verkrijgen over de voortgang van banken bij het dichten van de lacunes bij de zeer ernstige en meer complexe bevindingen.

2.3.2.1 Belangrijkste activiteiten uit het werkprogramma voor deze toezichtsprioriteiten

• Systeembrede strategie en daarmee verband houdende toezichtsbeoordelingen om na te gaan of de banken voldoen aan de toezichtsverwachtingen voor RDARR-kaders, alsook effectief herstel van de meest materiële bevindingen
• Gerichte inspecties ter plaatse van RDARR-kaders voor de banken die nadere beoordeling behoeven, alsmede gerichte inspecties ter plaatse van eerder vastgestelde ernstige bevindingen

2.3.3 Prioriteitenstrategie voor de middellange tot lange termijn, gericht op digitale en vooral AI-gerelateerde strategieën, governance en risicobeheer van banken

Strategische doelstelling: Als banken nieuwe technologieën, en met name AI, benutten om efficiënter en innovatiever te worden, moeten ze over strategieën beschikken om doeltreffend te reageren op de kansen en risico’s die uit die toepassingen voortvloeien. Daarnaast moeten ze de onderliggende risico’s beheren door middel van robuuste governance en risicocontrolemaatregelen.

Onder toezicht staande entiteiten moeten prioriteit geven aan digitalisering om hun concurrentievermogen te versterken en de risico’s van nieuwe technologieën doeltreffend te beheren. Snelle technologische veranderingen, met name op het gebied van AI, zorgen voor een omwenteling in het bankwezen, en instellingen moeten strategisch handelen om de waarde op lange termijn te benutten en hun bedrijfsmodellen aan te passen. Zowel factoren aan de aanbodzijde, waaronder meer betaalbare en ruimer beschikbare technische hulpmiddelen zoals modelontwikkeling en cloudopslag, als factoren aan de vraagzijde, waaronder verwachte efficiëntiewinst en sterkere concurrentie, leiden tot een breder gebruik van AI bij banken, waarbij vaak wordt voortgebouwd op intern opgerichte modelleringscapaciteiten. Hoewel AI het risicobeheer en de informatieverwerking kan verbeteren en efficiëntiewinst kan bieden door automatisering, kunnen de gerelateerde risico’s duidelijker worden naarmate deze AI-toepassingen op grotere schaal worden toegepast. In dit opzicht zijn generatieve AI-instrumenten een belangrijke technologische sprong voorwaarts, met mogelijk grote gevolgen voor banken. Terwijl de technologie zich voortdurend ontwikkelt, blijft het toezicht technologieneutraal en gericht op de toepassingen en risico’s. Door het toenemende gebruik van AI-instrumenten bij zowel prudentiële als niet-prudentiële instellingen is er dus behoefte aan een gestructureerde en holistische aanpak met strategieën, governance en risicobeheer voor AI. Toezichthouders moeten vervolgens de kaders van hun toezichtsgebied verfijnen om de AI-gerelateerde strategieën van banken beter te beoordelen, de toepassing van best practices in de sector te bevorderen en voor de passende waarborgen te zorgen. Deze prioriteit heeft ten doel bij te dragen aan een strategische toezichtsbenadering van de kansen en risico’s voor AI-gestuurde toepassingen en eventuele aanpassingen aan het toezichtinstrumentarium mogelijk te maken. Op die manier kan ECB-Bankentoezicht banken helpen om de opkomende risico’s proactief aan te pakken en tegelijkertijd de gebruikelijke korte- tot middellangetermijnvisie voor de toezichtsprioriteiten effectief uit te breiden naar een strategisch perspectief voor de langere termijn.

De afgelopen jaren heeft ECB-Bankentoezicht belangrijke aspecten in kaart gebracht om de digitale transformatie van banken op een duurzame, goed onderbouwde en risicobewuste manier te sturen. Uit het vorig jaar gepubliceerde verslag van ECB-Bankentoezicht over de belangrijkste beoordelingscriteria en good practices op het gebied van digitalisering is gebleken dat het gebruik van AI bij bankdiensten aanzienlijk is toegenomen. De gerichte toetsingen en inspecties ter plaatse die in 2024-2025 zijn uitgevoerd, hebben dat bevestigd. Hoewel AI in een breed scala aan activiteiten wordt toegepast, is bij eerder toezicht het belang benadrukt van het toegenomen gebruik van AI om kredietscores te berekenen en fraude op te sporen, en van het nog steeds opkomende, maar zeer ontwrichtende potentieel van generatieve AI. ^[34] In 2025 heeft ECB-Bankentoezicht zijn monitoring van het gebruik van generatieve en andere AI geïntensiveerd door gegevens van banken te verzamelen. Daarnaast zijn toezichthouders verder in dialoog gegaan met banken om specifieke toepassingen beter te begrijpen en de impact en relevantie ervan te beoordelen vanuit het perspectief van microprudentiële risico’s.

In de toekomst zal ECB-Bankentoezicht het algemene gebruik van AI blijven monitoren en tegelijkertijd een aanpak hanteren die meer gericht is op het gebruik van generatieve AI door banken. De focus op generatieve AI is bedoeld om het toepassingsgebied van het lopende onderzoek uit te breiden naar die AI-toepassingen die prudentiële gevolgen hebben voor banken. Dit moet leiden tot een bredere beoordeling van de prudentiële significantie van de huidige en toekomstige ontwikkelingen van banken op dit gebied. Daarnaast moeten toezichthouders voor toekomstige evaluaties een standpunt ontwikkelen over de materialiteit van deze AI-toepassingen en de daaraan verbonden risico’s. Tegelijkertijd neemt ECB-Bankentoezicht deel aan de besprekingen over de uitvoering van de verordening artificiële intelligentie van de EU en is het van plan samen te werken met nationale markttoezichtautoriteiten en de Europese Bankautoriteit.

Naast de werkzaamheden in verband met AI, blijft ECB-Bankentoezicht ook andere toekomstgerichte activiteiten uitvoeren om op alles voorbereid te blijven. Aangezien banken actief zijn in een snel veranderende omgeving door technologische innovatie en de opkomst van niet-banken, kunnen via deze activiteiten structurele trends en risicofactoren in kaart worden gebracht en begrepen die de toekomst van banken naar verwachting op middellange tot lange termijn zullen bepalen. De activiteiten bevorderen ook een stapsgewijze integratie van de onderliggende bevindingen in de toezichtskaders en -strategie van ECB-Bankentoezicht. Wat stablecoins betreft, kunnen tegen deze achtergrond de snelle groei, toenemende toepassingen en onderliggende complexiteit van deze digitale munten, maar ook de gevolgen voor banken – waaronder het verlenen van financiële diensten aan uitgevers van stablecoins – materiële risico’s met zich meebrengen als ze niet goed worden begrepen en beheerd. De toezichthouders zullen de ontwikkelingen op dit gebied dan ook op die manier monitoren en op gerichte wijze met de banken in gesprek gaan om ervoor te zorgen dat ook hier degelijk risicobeheer wordt toegepast.

2.3.3.1 Belangrijkste activiteiten uit het werkprogramma voor deze toezichtsprioriteiten

• Gerichte horizontale workshops met een beperkt aantal banken over toepassingen voor generatieve AI om toezichthouders een beter inzicht te geven in het gebruik van die toepassingen door banken
• Samenwerking met markttoezichtautoriteiten die verantwoordelijk zijn voor de verordening artificiële intelligentie en met de Europese Bankautoriteit