1 Introduktion

Tillsynsprioriteringarna 2026–2028 återspeglar ECB:s banktillsyns strategi på medellång sikt för de kommande tre åren. ECB:s tillsynsnämnd fastställer dessa prioriteringar utifrån en omfattande bedömning av de främsta riskerna och sårbarheterna för enheter under tillsyn. De granskas årligen för att återspegla förändringar i risklandskapet och resultatet av olika tillsynsinsatser, särskilt översyns- och utvärderingsprocessen (ÖUP)^[1]. Dessa prioriteringar granskas också för att bedöma bankernas framsteg i förhållande till föregående års prioriteringar och lagstadgade krav. Denna typ av årlig översyn främjar en riskbaserad och framåtblickande strategi som främjar en effektiv fördelning av tillsynsresurser, gör tillsynsåtgärderna mer transparenta och förutsägbara för bankerna, samtidigt som tillräcklig flexibilitet säkerställs för att prioriteringarna vid behov kan justeras.

Det europeiska banksystemet har en sund riskprofil och robusta grundförutsättningar och har goda förutsättningar att navigera i dagens mycket osäkra geopolitiska och makrofinansiella miljö och stödja den europeiska ekonomin på ett effektivt sätt. Under det senaste året har sektorn fortsatt att rapportera starka kapital- och likviditetspositioner och låga nivåer av nödlidande lån. Lönsamhetsnivåerna har hittills visat sig vara motståndskraftiga mot de sjunkande räntorna. Dessa starka fundamenta, som delvis är ett resultat av förbättrade tillsyns- och tillsynsramverk sedan den globala finanskrisen, har gjort det möjligt för sektorn att hantera de ekonomiska motvindarna till följd av upptrappningen av globala handelsspänningar och handelskonflikter samt de perioder med hög volatilitet på finansmarknaderna som följde. Under de senaste åren har dessutom banksektorns motståndskraft gynnats av offentliga åtgärder i syfte att stödja den reala ekonomin och mildra effekterna av negativa chocker. Att banksektorn överlag har god förmåga att stå emot ett negativt scenario till följd av geopolitiska spänningar framgår också av årets EU-omfattande stresstest.

Med detta sagt behöver bankerna vara redo att hantera de kommande utmaningarna. De globala osäkerheterna har ökat till exceptionella nivåer, vilket skapat en miljö av ökad sårbarhet där risker som tidigare ansågs osannolika nu blir alltmer troliga. Geopolitiska spänningar, handelspolitiska förändringar, klimat- och naturrelaterade kriser, demografiska förändringar och tekniska störningar förvärrar strukturella sårbarheter, vilket gör sannolikheten för extrema händelser med låg sannolikhet (svansrisker) oerhört hög. Osäkerheten är förhöjd. Denna kombination av faktorer ökar risken för plötsliga och allvarliga störningar med långtgående konsekvenser för både ekonomier, finansmarknader och banker. Det upprepar av uppmaningen till bankerna under de senaste åren att vara vaksamma och undvika självbelåtenhet.

Med tanke på dessa svåra utsikter återspeglar tillsynsprioriteringarna för 2026–28 att bankerna måste förbli motståndskraftiga mot bakgrund av geopolitiska risker och makrofinansiella osäkerheter (prioritering 1), samtidigt som man säkerställer en stark operativ motståndskraft och IKT-kapacitet (prioritering 2).

Figur 1

Tillsynsprioriteringar för 2026–28 för att åtgärda identifierade sårbarheter i banker

Varje tillsynsprioritering är inriktad på en specifik uppsättning sårbarheter i banksektorn, för vilka särskilda strategiska mål har fastställts och skräddarsydda arbetsprogram tagits fram. I figur 1 anges fem mål för hur viktiga sårbarheter i banker ska åtgärdas och en strategi på medellång till lång sikt beskrivs med fokus på bankernas digitala och framför allt AI-relaterade strategier, styrning och riskhantering. Dessa två prioriteringar återspeglar ECB:s banktillsyns åtagande att främja en stabil, motståndskraftig och hållbar europeisk banksektor som kan hantera ett alltmer komplext risklandskap.

Tillsynsprioriteringarna syftar till att ta itu med de mest relevanta och övergripande sårbarheter som bankerna står inför samt bidra till det bredare arbetet i ECB:s banktillsyn. Parallellt med detta fortsätter ECB:s banktillsyn att bedriva regelbunden tillsyn för att ta itu med andra relevanta riskområden i syfte att ytterligare stärka den europeiska banksektorns motståndskraft mot institutspecifika risker. Uppföljningsarbetet med tidigare prioriteringar kommer även i fortsättningen att stå i fokus, parallellt med den löpande tillsynens kontakter med bankerna.

Tillsynsprioriteringarna främjar effektivitet och enhetlighet i de gemensamma tillsynsgruppernas planeringsarbete och bidrar till effektiv resursfördelning i linje med fördefinierade risktoleransnivåer. ^[2] De hjälper även den nationella tillsynspersonalen att fastställa sina egna prioriteringar för tillsynen av mindre betydande institut på ett proportionerligt sätt. Transparent kommunikation om dessa prioriteringar är avgörande för att klargöra förväntningarna på bankerna, stärka den effekt som tillsynen får genom att ytterligare öka den europeiska banksektorns motståndskraft och skapa lika konkurrensvillkor för alla institut.

I följande avsnitt ges en översikt över riskbedömningen för 2025 tillsammans med en detaljerad beskrivning av tillsynsprioriteringarna och arbetsprogrammen för perioden 2026–28.

2 Riskbedömning och tillsynsprioriteringar för 2026–2028

2.1 Den makroekonomiska miljön och verksamhetsmiljön för enheter under tillsyn

Under det senaste året har det makroekonomiska läget kännetecknats av en upptrappning av de globala handelsspänningarna och bredare geopolitiska risker, vilket har lett till handelspolitiska förändringar och en ökad allmän osäkerhet. Tillkännagivandet av de nya amerikanska importtullarna i början av april 2025 utlöste en kraftig utförsäljning av obligationer på marknaden , vilket ökade oron för global recession. Den politiska osäkerheten, särskilt på den internationella handelsfronten, ökade till aldrig tidigare skådade nivåer, vilket ledde till betydande volatilitet på finansmarknaderna.^[3] Efterföljande tillkännagivanden – först, av en tillfällig paus i tullhöjningar och senare, av ett handelsavtal som avvärjde ett handelskrig mellan USA och EU – utlöste ett uppsving på aktiemarknaderna. Även om de initiala förlusterna vände är aktiemarknaderna fortsatt volatila och sårbara för ytterligare prisjusteringar till följd av förhöjda värderingar och riskkoncentration.^[4]

Trots fluktuationer i den ekonomiska aktiviteten är förutsättningarna fortsatt gynnsamma för att euroområdets reala BNP-tillväxt ska stärkas under bedömningsperioden och inflationen väntas stabiliseras runt det medelfristiga målet på 2 procent.^[5] Den ekonomiska aktiviteten under första kvartalet 2025, som delvis beror på tidigareläggning av export i väntan på högre tullar, väntas ge upphov till svagare tillväxt under andra halvåret. Euroområdets reala BNP-tillväxt beräknas dock öka på medellång sikt med stöd av förbättrade reala disponibla inkomster, minskad osäkerhet, starkare utländsk efterfrågan och finanspolitiska stimulansåtgärder relaterade till försvar och infrastruktur. Enkätindikatorer tyder också på en måttlig expansion inom både tillverknings- och tjänstesektorerna, vilket signalerar en positiv underliggande dynamik i ekonomin. Den totala inflationen beräknas ligga kvar runt det medelfristiga målet på 2 procent medan kärninflationen väntas sjunka på grund av minskat arbetskraftskostnadstryck och eurons starkare växelkurs.

Även om osäkerheten dämpades något under andra halvåret är den fortfarande hög jämfört med historiska normer, vilket medför risker för de ekonomiska utsikterna.^[6] Riskerna för den ekonomiska tillväxten har blivit mer balanserade i takt med att handelsavtalen har minskat osäkerheten.^[7] Detta till trots skulle en ny upptrappning av de globala handelsspänningarna emellertid kunna tynga exporttillväxten och dämpa investeringar och konsumtion. De rådande geopolitiska spänningarna utgör fortfarande en stor risk för de makroekonomiska utsikterna. Ett potentiellt försämrat stämningsläge på finansmarknaderna kan leda till stramare finansieringsvillkor, ökad riskaversion och svagare tillväxt. Dessutom skulle en kombination av svagare tillväxt än väntat, högre behov av försvarsutgifter och strukturella utmaningar – såsom låg produktivitet, åldrande befolkningar, klimatförändringar och digitalisering – kunna undergräva statsskuldens hållbarhet, särskilt i kraftigt skuldsatta länder.^[8]

Hittills har finansmarknaderna och den europeiska banksektorn visat stark motståndskraft mot externa chocker, ibland hjälpt i detta avseende av en rad offentliga stödåtgärder, inbegripet finans- och penningpolitik. Riklig likviditet inom det finansiella systemet spelade en avgörande roll för att begränsa antalet positioner som avvecklades under utförsäljningen av obligationer på marknaden i april. Även om den tullrelaterade oron och den åtföljande kraftiga ökningen av den makroekonomiska volatiliteten var betydande visade de sig vara kortlivade. Aktiemarknaderna återhämtade sig snabbt efter tillkännagivandet av den tillfälliga pausen i tullhöjningar, och de europeiska bankernas tillgångspriser understöddes av deras solida fundamenta. I kölvattnet av chocker till följd av handelspolitiken är sannolikheten för ytterligare geopolitiska och makrofinansiella spänningar fortfarande stor, vilket ökar risken för plötsliga prisändringar på marknaden som skulle kunna få negativa konsekvenser för den finansiella stabiliteten i euroområdet och den globala ekonomin. Denna risk kan i sin tur förvärras av den ökande sammanlänkningen mellan banker och finansinstitut som inte är banker.^[9]

Vidare skulle höga offentliga utgiftsbehov i kombination med ett begränsat finanspolitiskt utrymme kan ge upphov till oro över statsskuldens hållbarhet i vissa länder, vilket skulle leda till ökade finansieringskostnader och spridningseffekter till banker och företag.^[10] Vidare kan detta också begränsa det politiska utrymme som finns tillgängligt för att dämpa störningar i realekonomin.

2.2 Prioritering 1: Stärka bankernas motståndskraft mot geopolitiska chocker och makrofinansiell osäkerhet

Det nuvarande makrofinansiella och geopolitiska läget bekräftar behovet av stark finansiell motståndskraft inom den europeiska banksektorn och kräver ökat tillsynsfokus på vissa områden. Bankerna bör framför allt säkerställa ett ansvarsfullt risktagande och sunda kreditstandarder för att förhindra ackumulering av nya nödlidande lån. Tillsynsmyndigheterna kommer dessutom att ägna stor uppmärksamhet åt hur bankerna inför de nya, mer riskkänsliga schablonmetoden, som är utformade för att underlätta beräkningen av kapitalkraven i bankpaketet CRR III/CRD VI. Med dessa nya ramverk för kapitalkrav anpassas kapitalkraven bättre till bankernas faktiska risker och deras inverkan på beräkningarna av riskvägda tillgångar förväntas öka med tiden i och med infasningen av det nya kapitalgolvet. Slutligen innebär den ökande frekvensen av klimatrelaterade katastrofer och långsamma framsteg mot Parisavtalets mål att banker måste stärka sin hantering av klimat- och naturrelaterade risker (C&N) ytterligare.

Den främsta orsaken till den makroekonomiska osäkerheten är att geopolitiska risker fortsatt ligger i fokus för ECB:s tillsynsprioriteringar. I linje med detta kommer det tematiska stresstestet 2026 att bedöma institutspecifika geopolitiska riskscenarier och deras potential att ha en betydande inverkan på bankernas solvens.^[11] Det kommer också att göra det lättare att fastställa hur de geopolitiska riskscenarier som övervägs av bankerna kan påverka bankernas finansierings- och likviditetsförhållanden. Eftersom de är övergripande till sin natur kommer geopolitiska risker att beaktas i både prioriterad och regelbunden tillsyn. Som ett led i sitt löpande arbete kommer tillsynsmyndigheterna att bedöma bankernas förmåga att stå emot geopolitiska chocker och granska bankernas interna kapital- och likviditetstäckningsbedömningar, likviditets- och finansieringsplanering, återhämtningsplaner och interna ramverk för stresstester.

2.2.1 Prioriterad sårbarhet: Säkerställa ett försiktigt risktagande och sunda kreditstandarder

Strategiskt mål: För att främja ett försiktigt risktagande bör enheter som står under tillsyn ha inrättat, och upprätthålla sunda kreditstandarder och riskbaserad prissättning, samtidigt som de anpassar sig till förändringar i den makrofinansiella miljön och deras specifika omständigheter.

De övervakade enheternas tillgångskvalitet har överlag varit stabil under det senaste året, med stöd av hushållens och företagens motståndskraft mot högre räntor. Även om volymerna av nödlidande lån har ökat något det senaste året, främst inom segmenten konsumenter och små och medelstora företag, förbättrades andelen nödlidande lån i de flesta enheter som står under tillsyn. De ekonomiska utsikterna i euroområdet är på det hela taget fortsatt gynnsamma, med lägre räntor och sundare skuldnivåer som väntas minska trycket på skuldbetalningen. Marknaderna för bostadsfastigheter väntas också vara fortsatt motståndskraftiga och gynnas av goda förhållanden på arbetsmarknaden. Det finns tecken på stabilisering inom segmentet för kommersiella fastigheter, även om subprime-kontorssektorn fortfarande är svag på grund av fortsatt låg efterfrågan.^[12] Samtidigt kvarstår betydande nedåtrisker, framför allt till följd av handelsspänningar mellan USA och EU och bredare geopolitiska risker, som skulle kunna påverka sektorer med stora exportvolymer till USA, t.ex. bil-, kemikalie- eller läkemedelssektorerna, vilket kan leda till försämrad tillgångskvalitet. Till följd av denna globala osäkerhet började vissa banker öka sina avsättningar, men de samlade kostnaderna för risk och avsättningar förblev överlag stabila. Med tanke på att de makroekonomiska förhållandena kan försämras till följd av ökade geopolitiska och globala handelsspänningar, är det därför viktigt att se till att bankerna tillämpar sunda kreditgivningsprinciper på nyutlåning.^[13]

Tillsynsbedömningar visar att vissa banker, trots framsteg, fortfarande har brister i sina IFRS 9 och ramverk för kreditriskhantering i sina mer sårbara portföljer. Granskningar på plats och skrivbordsgranskningar visade på förbättringar när det gäller att fånga upp risker som håller på att utvecklas^[14], t.ex. klimat- och naturrisker, men ihållande problem som godtyckliga överlappningar och otillräcklig riskspridning kvarstår^[15]. Tillsynsmyndigheterna konstaterade brister i avsättningsreglerna och ramverken i IFRS 9 i ÖUP 2025 och kommer att fortsätta att följa upp återstående brister som en del i sitt regelbundna tillsynsarbete. Tillsynsmyndigheterna fortsatte även att noga bevaka bankernas hantering av mer sårbara låntagare. En riktad granskning av portföljen med små och medelstora företag visade att det fanns väsentliga brister när det gäller styrning (däribland banker som använde föråldrade data för att göra bedömningar), system för tidig varning (som ofta enbart är beroende av kreditbetyg) och beredskap för låntagarnas finansiella nödläge. Kreditriskinspektioner på plats i små och medelstora företag samt andra sårbara portföljer som kommersiella fastigheter fortsatte att avslöja problem med avsättningar, processer för hantering av kreditrisker (inklusive värdering av säkerheter), styrning och datakvalitet.

Vidare kommer tillsynsmyndigheterna att prioritera ett försiktigt risktagande och sunda kreditkrav i banker för att förhindra uppkomsten av framtida nödlidande lån. En tematisk granskning kommer, med utgångspunkt i stresstestet 2019^[16], att genomföras för att bedöma hur banker minskar potentiella förluster genom sina ramverk för kreditutlåning. Detta kommer att följas av riktade initiativ, inbegripet saneringsåtgärder och inspektioner på plats avseende kreditrisk som omfattar kreditgivningsprinciper. För de banker där den tematiska granskningen identifierar problem avseende prissättning på lån eller kostnadshantering ska ytterligare översyner göras för att bedöma om utlåningspraxis är i linje med målen för hållbar lönsamhet.

2.2.1.1 Huvudaktiviteter som del av arbetsprogrammet för dessa tillsynsprioriteringar

• Tematisk granskning av kreditgivningsprinciper, med fokus på ny utlåning för att bedöma hur bankerna avser att minska potentiella framtida kreditförluster
• Riktad granskning av prissättningen på lån, som en uppföljning av den tematiska granskningen, för att bedöma bankernas praxis och standarder för prissättning av lån
• Riktade inspektioner på plats avseende kreditrisk, inbegripet bankernas ramverk för låneutgivning och kreditgivning

2.2.2 Prioriterad sårbarhet: Säkerställa adekvat kapitalisering och konsekvent genomförande av CRR III

Strategiskt mål: För att upprätthålla en lämplig kapitalisering måste enheter som står under tillsyn tillämpa den nya schablonmetoden för beräkning av minimikapitalkraven enligt CRR III, på ett konsekvent och korrekt sätt.

Det slutliga Basel III-regelverket, som togs fram som svar på den globala finanskrisen, syftar till att göra bankerna bättre rustade att absorbera ekonomiska chocker samtidigt som de behåller sin förmåga att finansiera ekonomisk verksamhet och stödja tillväxt. I EU genomfördes denna ram genom CRR III/CRD VI-paketet, som trädde i kraft den 1 januari 2025. Detta lagstiftningspaket stärker kraven på europeisk banktillsyn och styrning och inför viktiga ändringar i beräkningen av bankers riskvägda tillgångar för alla tillsynsriskkategorier.

Det är därför mycket viktigt att bankerna konsekvent och korrekt implementerar den nya schablonmetoden för att se till att kapitalkraven ligger närmare bankernas faktiska risker. Även om de relevanta tillsynskontroller som genomförts tidigare har varit något begränsade pekade riktade analyser av de gemensamma tillsynsgrupperna och inspektioner på plats av bankernas genomförande av schablonmetoden på väsentliga brister beroende på felaktiga exponeringsklassificeringar, tilldelningar av riskvikter, värderingar av säkerheter eller bristfälliga kontroller genom deras riskkontrollfunktioner.

Det kommer att krävas en noggrannare tillsyn framöver för att ta hänsyn till den allt större roll som schablonmetoden kommer att spela vid fastställandet av bankernas solvens, bland annat genom att beräkna det nya kapitalgolvet. När det gäller kreditrisk kommer tillsynsmyndigheterna att bedöma bankernas tillämpning av schablonmetoden efter de relevanta ändringar som infördes genom CRR III. Tillsynsmyndigheterna kommer att kombinera riktade inspektioner på plats med riktade granskningar för att bedöma om bankernas kapitalramar är adekvata.. Åtgärder avseende de konstaterade bristerna kommer att ske genom regelbunden uppföljning av de gemensamma tillsynsgrupperna. När det gäller operativ risk införs genom CRR III en ny icke modellbaserad metod som är tillämplig på alla banker och ersätter den tidigare metoden. I likhet med kreditrisk kommer tillsynsmyndigheterna att genomföra en inledande granskning för att identifiera potentiella extremvärden baserat på bankernas rapporterade riskvägda tillgångar och andra kvalitativa bedömningar och därefter genomföra en riktad granskning av de banker som löper högre risk för felberäkningar. När det gäller marknadsrisk kommer det första tillämpningsområdet för den grundläggande granskningen av handelslagret att skjutas upp, och de relevanta riktade granskningarna kommer inte att genomföras förrän på begäran av de gemensamma tillsynsgrupperna, beroende på resultatet av deras fortlöpande dialog med bankerna på detta område.

2.2.2.1 Huvudaktiviteter som del av arbetsprogrammet för dessa tillsynsprioriteringar

• Kreditrisk: riktade granskningar och riktade inspektioner på plats, med fokus på beräkningen av riskvägda tillgångar enligt schablonmetoden
• Operativ risk: riktade granskningar av beräkningen av verksamhetsindikatorkomponenten till stöd för beräkningen av motsvarande kapitalkrav

2.2.3 Prioriterad sårbarhet: Säkerställa försiktig hantering av klimat- och naturrelaterade risker

Strategiskt mål: Bankerna bör effektivt bedöma och hantera kort-, medel- och långsiktiga risker som härrör från klimat- och naturkriser och åtgärda kvarvarande brister i sina ramverk för riskhantering.

Med globala temperaturer som överstiger 1,5°C över det förindustriella genomsnittet och med Europa som den kontinent på jorden som värms upp snabbast^[17] blir allvarligare klimat- och naturhändelser allt vanligare och dyrare. Händelser som den senaste tidens översvämningar och skogsbränder i Europa visar på den växande mänskliga och ekonomiska belastningen till följd av klimat- och naturkrisen.^[18] Samtidigt innebär det stora och växande försäkringsskyddsgapet, där endast cirka 25 procent av förlusterna till följd av naturkatastrofer är försäkrade, ytterligare risker för BNP-tillväxten och potentiellt för bankernas exponeringar i balansräkningen.^[19] Dessutom innebär de eftersläpande framstegen i de globala ekonomierna att närma sig målen om nettonollutsläpp enligt Parisavtalet en ökad omställningsrisk.^[20] Ett oordnat ”brunt” omställningsscenario i^[21] kombination med en recession skulle kunna leda till betydande kredit- och marknadsriskförluster för de europeiska bankerna.^[22]

Betydande institut har gjort sunda framsteg och har goda förutsättningar att uppfylla kraven på försiktig omställningsplanering. De europeiska bankerna har gjort stora framsteg när det gäller att hantera riskerna i samband med klimat- och naturkrisen. Under 2019 hade mindre än en fjärdedel av bankerna i euroområdet reflekterat över dessa risker, men nu har de ett ökande antal avancerade metoder för att identifiera, övervaka och – framför allt – hantera klimat- och naturrisker. Under 2022 hade nästan 80 procent av bankerna antingen endast grundläggande riskhanteringsrutiner eller inga alls. Baserat på deras blygsamma beredskapsnivåer vid den tidpunkten, uppmanade ECB:s banktillsyn efter 2022 års tematiska granskning av klimat- och miljörelaterade risker och 2022 års stresstest om klimatrisker, bankerna att påskynda sina ansträngningar och fastställa tydliga interimsfrister för 2023 och slutliga tidsfrister fram till slutet av 2024 och anpassa sin verksamhet till tillsynsmyndigheternas förväntningar med hänsyn till sina särdrag. En positiv utveckling är att antalet banker som saknar grundläggande förutsättningar har minskat kraftigt under de senaste åren.^[23] Bankernas framsteg i hanteringen av klimat- och transaktionsrisker gör det dessutom möjligt för dem att stärka sin interna förmåga att på ett effektivt sätt hantera andra risker, t.ex. geopolitiska risker. Analys av risker i leveranskedjan och av koncentrationsrisker – t.ex. att förstå kundernas geografiska fotavtryck, beroenden och sårbarheter – och scenarieplanering och ramverk för stresstester – som t.ex. utformning och testning av tänkbara men osäkra scenarier – är bara några områden som har gynnats av bankernas förbättrade hantering av klimat- och naturrisker under de senaste åren och kan tillämpas för att övervaka och bedöma effekter från andra övergripande riskfaktorer, som geopolitiska risker.

Med detta sagt är ihållande insatser fortfarande avgörande. Det föränderliga risklandskapet indikerar redan att klimat- och naturriskerna är på väg uppåt^[24] och att till skillnad från cykliska riskfaktorer är klimatrisk en permanent chock som endast går i en riktning, med allvarliga långsiktiga effekter på huspriser och andra tillgångsvärden.^[25] Denna trend speglas också av de senaste framstegen i bankernas väsentlighetsbedömningar, som visar att 90 procent av de tillfrågade bankerna anser sig ha väsentliga riskexponeringar mot klimat- och naturrisker, en uppgång från runt 50 procent 2021. Dessutom är modellering och kvantifiering av klimat- och naturrisker fortfarande i ett inledningsstadium och föremål för betydande underskattningar, t.ex. i fysiska riskmodeller.^[26] ECB:s banktillsyn observerar även pågående utmaningar, däribland fysiska klimat- och naturrisker, och ackumulering av institutspecifika svagheter hos enskilda banker, särskilt vad gäller fullständigheten i deras praxis. Tillsynsmyndigheterna kommer därför att följa upp dessa brister som en del i sin regelbundna tillsyn.

Tillsynsmyndigheterna kommer även framöver att fortsätta att bevaka bankernas framsteg och åtgärdande av brister och samtidigt fokusera på riktade tillsynsinsatser vad gäller kraven på försiktig omställningsplanering och fortsatta utmaningar för bankernas uppfyllande av tillsynsförväntningar och lagstadgade krav för att hantera klimat- och naturrisker. I linje med CRD VI kommer bankerna att uppmanas att utarbeta försiktig omställningsplanering som kommer att granskas av tillsynsmyndigheterna i enlighet med EBA:s riktlinjer för hantering av ESG-risker. ECB:s banktillsyn kommer att inta en gradvis och målinriktad strategi och fokusera på de nya inslagen i dessa riktlinjer, först genom informella dialoger med bankerna som kommer att följas av en tematisk granskning. Tillsynsmyndigheterna kommer även att fortsätta att övervaka bankernas efterlevnad av upplysningskraven i pelare 3 om offentliggörande av information om frågor avseende miljö, samhällsansvar och bolagsstyrning samt genomföra en riktad granskning av deras rapportering av fysiska risker. ECB:s banktillsyn kommer att genomföra ytterligare analyser av bankernas förmåga att hantera fortsatta utmaningar, även vad gäller fysiska risker. Riktade inspektioner på plats kommer även att handla om bankernas hantering av klimat- och naturrisker, antingen fristående, med tonvikt på klimat- och naturrisker, eller som en del av de riskspecifika inspektionerna på plats, t.ex. kreditrisk. Slutligen strävar ECB:s banktillsyn efter att i sinom tid uppdatera sitt kompendium om god praxis för klimat- och naturrisker.

Huvudaktiviteter som del av arbetsprogrammet för dessa tillsynsprioriteringar

• Riktad uppföljning och granskning av bankers åtgärdande av kvarvarande brister i 2022 års tematiska granskning och klimatstresstest
• Tematisk granskning av bankers omställningsplanering i linje med CRD VI-paketet
• Övergripande bedömning av bankernas efterlevnad av upplysningskraven i pelare 3 om offentliggörande av information om frågor avseende miljö, samhällsansvar och bolagsstyrning
• En djupgående analys av bankernas förmåga att hantera aktuella utmaningar, inklusive fysiska risker
• Riktade inspektioner på plats av hantering av klimat- och naturrisker, antingen enskilt eller som en del av planerade granskningar av andra riskområden

2.3 Prioritering 2: Stärka bankernas operativa motståndskraft och främja en robust IKT-kapacitet

Robusta och motståndskraftiga ramverk för operativ riskhantering och stark IKT-kapacitet är avgörande för att minska framväxande risker och undvika störningar i kritiska verksamheter och tjänster. Med rättsakten om digital operativ motståndskraft (DORA) som trädde i kraft i början av 2025 måste bankerna nu säkerställa att de konsekvent och snabbt genomför de relevanta kraven, särskilt kraven för hantering av IKT-tredjepartsrisker och incidenthantering. Vidare är det dessutom fortfarande mycket viktigt att åtgärda väsentliga brister som identifierats som en del av tidigare tillsynsgranskningar av cybersäkerhet, tredjepartsriskhantering och aggregering av riskdata och riskrapportering (RDARR). Därutöver kommer ECB:s banktillsyn, som ett led i en strategi på medellång till lång sikt och i takt med att bankverksamheten blir alltmer digital dessutom att gradvis öka sina ansträngningar att samverka med bankerna om hur de använder ny teknik, särskilt AI, för att utnyttja de potentiella vinsterna och samtidigt vara medveten om riskerna i samband med detta. Detta kommer att bidra till utvecklingen av en framtida tillsynsmetod.

2.3.1 Prioriterad sårbarhet: Införa robusta och motståndskraftiga ramverk för hantering av operativa risker

Strategiskt mål: För att främja sin förmåga att förebygga, stå emot och återhämta sig från störningar i kritiska verksamheter och tjänster bör bankerna utveckla och upprätthålla robusta och motståndskraftiga ramverk för operativ riskhantering. De bör fortsätta sina ansträngningar för att snabbt och effektivt åtgärda tidigare identifierade brister på området cybersäkerhet och tredjepartsriskhantering och fullt ut följa DORA-förordningen.

Den snabbt föränderliga cyberhotbilden, som förstärkts av geopolitiska risker, fortsätter att utmana bankernas kapacitet för cybersäkerhet och tredjepartsriskhantering. Rapporterade betydande cyberincidenter har fördubblats de senaste åren^[27], och angrepp med utpressningsvirus har ökat och blivit alltmer sofistikerade och statligt sponsrade aktiviteter utgör ett ständigt hot, däribland hybridhot såsom informationsmanipulering, vilket kräver fortsatt vaksamhet.^[28] Även om bankerna visat sig vara motståndskraftiga mot sådana angrepp – och även mot andra incidenter av operativ karaktär – och lyckats undvika större störningar så har den senaste tidens händelser som t.ex. de elavbrott som har inträffat inom Europa betonat vikten av att bankerna utvecklar riskreducerande åtgärder och inför effektiva beredskapsplaner för de risker som deras kritiska infrastruktur utsätts för och som omfattar alla kritiska informationssystem och ett stort antal rimliga scenarier. ^[29] Framsteg i utvecklingen av AI-applikationer kan också leda till att bankernas cybersäkerhet på ett betydande testas, eftersom varje underskattning av de relaterade säkerhetsriskerna före deras införande skulle kunna medföra allvarliga sårbarheter i deras IKT-system.^[30] Dessutom visar den regelbundna tillsynsrapporteringen att bankerna är starkt beroende av en handfull tredjepartsleverantörer, varav många är baserade utanför EU. ^[31] Detta gör bankernas outsourcingarrangemang mer komplexa och utsätter dem för ökade sårbarheter, särskilt till följd av geopolitiska spänningar.

De aggregerade resultaten från ÖUP 2025 bekräftar behovet att stärka bankernas riskhanteringsrutiner för IKT-riskhantering. Operativ risk och IKT-risk fortsätter att få de lägsta genomsnittliga betygen i ÖUP. Genom tillsynsgranskningarna har avslöjat återkommande brister i cybersäkerhetsstrategierna, brister i hanteringen av cyberincidenter och brister i ramverken för tredjepartsriskhantering. ^[32] ECB:s banktillsyn slutförde nyligen sin vägledning om utkontraktering av molntjänster till molntjänstleverantörer för att hantera bankernas ökande användning av molnbaserade lösningar. I vägledningen beskrivs tillsynsförväntningarna för implementering av DORA-relaterade krav. I vägledningen ges exempel på god praxis för hur riskerna med utkontraktering av molntjänster kan hanteras effektivt, samtidigt som målet är att säkerställa lika konkurrensvillkor för alla enheter under tillsyn.

Vidare kommer ECB:s banktillsyn att främja en sund och konsekvent tillämpning av de DORA-relaterade kraven. Efterlevnaden av DORA kommer att bedömas inom en rad olika verksamheter. Efter tidigare tillsynskontroller av IT-säkerhet/cybermotståndskraft och riskhantering med koppling till utkontraktering av IT-tjänster kommer nu en riktad uppföljning att göras med de banker som har väsentliga brister på dessa områden för att på ett effektivt sätt och inom rimlig tid åtgärda dessa. För detta ändamål kommer två inspektioner på plats med fokus på cybersäkerhet och tredjepartsriskhantering att genomföras med inriktning på mer sårbara banker som de gemensamma tillsynsgrupperna identifierat. Som en del av det nya tillsynsuppdraget enligt DORA kommer hotstyrda penetrationstester även att genomföras för att främja förbättringar i bankernas strategier för cyberresiliens. Baserat på den publicerade vägledning om utkontraktering av molntjänster kommer tillsynsmyndigheterna även att göra en djupgående analys för att utvärdera bankernas beredskap för eventuella tjänstestörningar som orsakas av en större molntjänstleverantör. Eftersom den främsta grundorsaken till oplanerade avbrott i bankerna ofta ligger i IKT-systemförändringar kommer ECB:s banktillsyn att genomföra en riktad granskning av hanteringen av IKT-förändringar för att upptäcka brister i ramverken för grundläggande kontroll och förbättra bankernas förmåga att hantera förändringar.

Tillsynen av kritiska tredjepartsleverantörer enligt tillsynsramen i DORA kommer att inledas i januari 2026. ECB:s banktillsyn stöder starkt denna nya tillsynsram, som ska bidra till att stärka den digitala operativa motståndskraften i hela EU:s finanssektor. Institutens övervakning av kritiska tredjepartsleverantörer är avsedd att komplettera, men inte ersätta, en sund tredjepartsriskhantering.

2.3.1.1 Huvudaktiviteter som del av arbetsprogrammet för dessa tillsynsprioriteringar

• Riktad uppföljning av saneringsstrategier för de banker som rapporterar väsentliga brister vad gäller IKT-säkerhet/cyberresiliens och utkontraktering av IKT-tjänster
• Två OSI-kampanjer om hantering av cybersäkerhet och tredjepartsriskhantering, i linje med de nya DORA-kraven
• Hotstyrd penetrationstester för att identifiera bankernas sårbarheter och förbättra deras motståndskraft mot cybersäkerhet
• Riktad granskning av hanteringen av IKT-förändringar
• En djupgående analys av bankernas beroende av molntjänstleverantörer för att bedöma beredskapen för eventuella tjänstestörningar

2.3.2 Prioriterad sårbarhet: Åtgärdande av brister i riskrapporteringsförmågan och relaterade informationssystem

Strategiskt mål: Som stöd för en sund riskhantering och ett effektivt beslutsfattande bör bankerna öka sina ansträngningar att på ett effektivt och snabbt sätt åtgärda väsentliga svagheter som upptäcks i deras RDARR-ramverk (aggregering av riskdata och riskrapportering) och se till att de uppfyller tillsynsförväntningarna i den relevanta ECB-vägledningen.

Det osäkra geopolitiska läget och den snabba digitaliseringen av bankernas verksamhet och tjänster understryker behovet av motståndskraftiga interna informationssystem och en robust aggregering av riskdata och riskrapportering (RDARR). Korrekt riskinformation i rätt tid är avgörande för effektiv styrning, strategiskt beslutsfattande inom rimlig tid och effektiv krishantering. I ett starkt ramverk för aggregering av riskdata och riskrapportering ges bankerna dessutom möjlighet att utnyttja digitaliseringsverktyg och teknik som AI och avancerad analys.^[33]

De framsteg som enheterna under tillsyn har gjort när det gäller att åtgärda strukturella brister i sina ramverk för aggregering av riskdata och riskrapportering (RDARR) går dock fortfarande långsamt och tillsynsverksamheten under det senaste året visar att det finns ett behov av att fortsätta att intensifiera korrigerande åtgärder för att täppa till luckor i förhållande till tillsynsförväntningarna. ÖUP-utfallen 2025 pekar på bestående brister i bankernas ramverk för aggregering av riskdata och riskrapportering (RDARR), utan några förbättringar vad gäller det relevanta genomsnittliga delbetyget jämfört med förra året. I riktade inspektioner på plats 2022–2024 och de riktade granskningarna av ramverken för aggregering av riskdata och riskrapportering (RDARR) 2024 framkom brister i i) bankernas ramverk för datastyrning, inbegripet ledningsorganens omfattning eller lämplighet; ii) datainfrastruktur och dataarkitektur och iii) datakvalitet och dataintegritet. De riktade granskningarna 2024 pekade även på brister i förhållande till BCBS 239-principerna och relevanta tillsynsförväntningar, i ECB:s vägledning om effektiv riskdataaggregering och riskrapportering.

Tillsynsarbetet kommer att intensifieras för att se till att bankerna förbättrar sina ramverk för och kapacitet i aggregering av riskdata och riskrapportering (RDARR) samt att de uppfyller tillsynsförväntningarna på dessa områden. I december 2024 godkände ECB:s tillsynsnämnd en systemomfattande strategi som täcker alla enheter som står under tillsyn, för att övervaka hur de uppfyller tillsynsförväntningarna och i förekommande fall följa upp deras saneringsstrategier. Denna strategi var inledningsvis inriktad på ledningsorganens ansvarsskyldighet för tillsynen och genomförandet av ramverket för aggregering av riskdata och riskrapportering (RDARR), innan den gradvis utvidgades till andra tillsynsförväntningar, t.ex. datakvalitetshantering och IT-/dataarkitektur. Ett tydligt definierat sanerings- och eskaleringsförfarande kommer att vara vägledande för tillsynsmyndigheternas åtgärder och vid behov kommer befintliga verktygslådan för tillsyn att användas. Riktade inspektioner på plats kommer att genomföras för att ge ytterligare information om bankernas framsteg när det gäller att minska klyftan för allvarliga och mer komplexa fynd.

2.3.2.1 Huvudaktiviteter som del av arbetsprogrammet för dessa tillsynsprioriteringar

• Systemomfattande strategi och tillhörande tillsynsgranskningar för att kontrollera att bankerna uppfyller tillsynsförväntningarna på ramverken för aggregering av riskdata och riskrapportering (RDARR), samt för att på ett effektivt sätt åtgärda de flesta väsentliga observationerna
• Riktade inspektioner på plats av ramverken för aggregering av riskdata och riskrapportering (RDARR) för banker i behov av ytterligare granskning, liksom riktade inspektioner på plats av tidigare upptäckta allvarliga brister

2.3.3 Strategi för prioriteringar på medellång till lång sikt med fokus på bankernas digitala och framför allt AI-relaterade strategier, styrning och riskhantering

Strategiskt mål: När bankerna utnyttjar ny teknik, särskilt AI, för att öka effektivitet och innovation ska de ha strategier som på ett effektivt sätt återspeglar de möjligheter och risker som hänger samman med tillhörande applikationer och införa robusta styrnings- och riskkontroller för att hantera de underliggande riskerna.

Enheter som står under tillsyn bör prioritera sina digitaliseringsinsatser för att stärka sin konkurrenskraft och effektivt hantera risker som härrör från ny teknik. Snabba tekniska förändringar, särskilt inom AI, håller på att omforma banksektorn och instituten måste agera strategiskt för att skapa långsiktigt värde och anpassa sina affärsmodeller. Både utbudsfaktorer, inbegripet mer överkomliga och bredare tillgång till tekniska resurser såsom modellutveckling och molnlagring, och efterfrågefaktorer, inbegripet förväntade effektivitetsvinster och ökad konkurrens, leder till en bredare användning av AI i bankerna, och bygger ofta på internt etablerad modelleringskapacitet. Medan AI har potential att förbättra riskhantering och informationsbehandling och ge effektivitetsvinster genom automatisering kan associerade risker bli mer märkbara eftersom motsvarande AI-applikationer används i större utsträckning. I detta avseende är generativa AI-verktyg ett betydande tekniskt språng framåt, med potentiellt stor inverkan på bankerna. Tekniken utvecklas hela tiden, men tillsynsfokus kommer att förbli teknikneutralt och fokusera på användningsfall och risker. Den ökande användningen av AI-verktyg inom både tillsynsinstitutioner och andra kräver därför en strukturerad och heltäckande strategi som integrerar AI-relaterad strategi, styrning och riskhantering. Tillsynsmyndigheterna behöver i sin tur finslipa sina bedömningsramar inom sitt tillsynsfokus för att bättre kunna utvärdera bankernas AI-relaterade strategier, främja antagandet av bästa branschpraxis samt säkerställa att lämpliga säkerhetsåtgärder finns på plats. Syftet med denna prioritering är att bidra till att anta en strategisk tillsynsståndpunkt om både möjligheterna och riskerna med AI-drivna applikationer och att bana väg för potentiella justeringar av verktygslådan för tillsyn. På så sätt kan ECB:s banktillsyn hjälpa bankerna att proaktivt hantera framväxande risker och samtidigt effektivt överbrygga tillsynsprioriteringarnas sedvanliga inriktning på kort till medellång sikt med ett mer långsiktigt strategiskt perspektiv.

Under de senaste åren har ECB:s banktillsyn identifierat viktiga aspekter för att styra bankernas digitalisering på ett hållbart, välstyrt och riskmedvetet sätt. Den rapport om viktiga bedömningskriterier och god praxis på digitaliseringsområdet som ECB:s banktillsyn publicerade förra året visade på en betydande ökning av användningen av AI inom banktjänster. De riktade granskningar och inspektioner på plats som genomfördes 2024–2025 bekräftade denna utveckling. Även om AI-användningsfall spänner över ett brett spektrum av verksamheter, har tidigare tillsynsgranskningar betonat vikten av ökad användning av AI för kreditvärdering och upptäckt av bedrägerier och även den fortfarande spirande men mycket omvälvande potentialen hos generativ AI. ^[34] Under 2025 intensifierade ECB:s banktillsyn sin övervakning av användningen av AI och generativ AI genom att samla in data från banker. Utöver detta samarbetade tillsynsmyndigheterna ytterligare med banker för att bättre förstå specifika användningsfall och bedöma deras inverkan och relevans ur ett mikrotillsynsperspektiv.

Vidare kommer ECB:s banktillsyn att fortsätta att övervaka den allmänna användningen av AI, samtidigt som man tar ett mer målinriktat tillvägagångssätt där fokus ligger på bankernas generativa AI-applikationer Fokus på generativ AI syftar till att bredda omfattningen av de pågående utredningarna av dessa bankers AI-applikationer med tillsynskonsekvenser. Detta bör leda till en bredare bedömning av den tillsynsmässiga betydelsen av bankernas nuvarande och framtida utveckling på detta område. Det bör även leda till att en tillsynsståndpunkt om väsentligheten hos dessa AI-applikationer och de inneboende riskerna antas, vilket därmed banar väg för framtida översyn. Parallellt är ECB:s banktillsyn även aktiv i diskussionerna om genomförandet av EU:s rättsakt om artificiell intelligens och har för avsikt att samarbeta med marknadskontrollmyndigheter på nationell nivå och med Europeiska bankmyndigheten.

Utöver AI kommer ECB:s banktillsyn att fortsätta att genomföra åtgärder för övervakning av utvecklingen för att ligga i framkanten. Eftersom banksektorn är verksam i ett snabbt föränderligt landskap som drivs av både teknisk innovation och framväxten av icke-banker gör detta det möjligt att identifiera och förstå strukturella trender och riskfaktorer som väntas forma bankernas framtid på medellång till lång sikt. De främjar även en stegvis integrering av de underliggande resultaten i ECB:s tillsynsramar och strategi. Mot denna bakgrund kan den snabba tillväxten av stablecoins, det ökande antalet användningsfall och den underliggande komplexiteten, men även konsekvenser för bankerna – inklusive tillhandahållandet av finansiella tjänster till stablecoin-emittenter – innebära väsentliga risker om de inte förstås och hanteras på rätt sätt. Tillsynsmyndigheterna kommer därför även att följa utvecklingen på detta område och samverka med bankerna på ett målinriktat sätt för att säkerställa att en robust riskhantering tillämpas även här.

2.3.3.1 Huvudaktiviteter som del av arbetsprogrammet för dessa tillsynsprioriteringar

• Riktade övergripande workshoppar med ett antal utvalda banker om generativa AI-applikationer för att stärka tillsynsmyndigheternas förståelse för hur bankerna använder dessa applikationer
• Samarbete med marknadskontrollmyndigheter med ansvar för rättsakten om artificiell intelligens och med Europeiska bankmyndigheten