FFFS 2014:4 Hantering av operativa risker

5 §I dessa föreskrifter och allmänna råd används samma definitioner som i 1 kap. 3 § Finansinspektionens föreskrifter och allmänna råd (FFFS 2014:1) om styrning, riskhantering och kontroll i kreditinstitut och Finansinspektionens föreskrifter (FFFS 2017:2) om värdepappersrörelse, om inget annat anges.

Därutöver betyder

1. beredskapsplan: en plan som beskriver de åtgärder som ett företag ska vidta för att hantera allvarliga och omfattande avbrott, störningar eller kriser,

2. incident: en händelse som har eller riskerar att få negativ påverkan på företagets verksamhet, tillgångar eller förtroende,

3. kontinuitetsplan: en plan som beskriver hur en verksamhet ska upprätthållas i händelse av ett avbrott eller en större verksamhetsstörning,

4. operativ risk: detsamma som i artikel 4.1 52 i Europaparlamentets och rådets förordning (EU) nr 575/2013 av den 26 juni 2013 om tillsynskrav för kreditinstitut och om ändring av förordning (EU) nr 648/2012,

5. process: en kedja av sammanhängande aktiviteter som utifrån en viss resursinsats producerar ett resultat, och

6. återställningsplan: en plan som beskriver enligt vilka prioriteringar och rutiner ett företag ska återgå till normal verksamhet efter ett avbrott eller en större verksamhetsstörning.

FFFS (2021:22)

3 §Bestämmelser om uppdragsavtal finns i artiklarna 30–32 i den delegerade förordningen till Mifid 2 och 10 kap. Finansinspektionens föreskrifter och allmänna råd (FFFS 2014:1) om styrning, riskhantering och kontroll i kreditinstitut.

FFFS (2017:9)

4 §Ett företag ska fastställa och dokumentera indikatorer och gränsvärden för sina operativa risker som ger en förvarning om när riskerna har ökat.

Företaget ska regelbundet se över och om det behövs uppdatera indikatorerna och gränsvärdena.

Företaget ska när det tillämpar första stycket ta hänsyn till verksamhetens art, omfattning och komplexitet.

5 §Ett företag ska ha interna regler för att hantera de incidenter som uppstår i verksamheten.

6 §Ett företag ska när det inträffar en incident dokumentera och analysera incidenten. Företaget ska även dokumentera de förluster som har uppstått i samband med denna. Företaget ska ha rutiner för att säkerställa att dessa uppgifter är korrekta. Detta gäller inte om en incident anmäls anonymt.

Företaget ska använda uppgifterna i första stycket när det identifierar och mäter operativa risker enligt 3 §.

1 §Ett företag ska fastställa och i en förteckning ange vilka processer i verksamheten som är av väsentlig betydelse.

Förteckningen ska regelbundet ses över och uppdateras om det behövs.

2 §Ett företag ska dokumentera processerna enligt 1 § och utse en ansvarig person eller funktion för varje sådan process.

3 §Ett företag ska i interna regler ange hur det ska dokumentera processerna enligt 1 § och hur operativa risker i dessa ska hanteras.

Företaget ska när det tillämpar första stycket ta hänsyn till verksamhetens art, omfattning och komplexitet.

4 §Ett företag ska ha rutiner för att analysera om det finns aktiviteter i processerna enligt 1 § där det finns risk för betydande förluster på grund av t.ex. misstag, manipulering av information samt möjlighet att dölja felbedömningar och förluster.

Om företaget identifierar sådana aktiviteter ska det införa nödvändiga kontroller i processerna.

Rutinerna enligt första stycket ska dokumenteras.

Företaget ska när det tillämpar första och andra styckena ta hänsyn till verksamhetens art, omfattning och komplexitet.

5 §Ett företag ska ha rutiner för hur det hanterar operativa risker i fråga om sin personal, där det framgår hur företaget

1. kontrollerar nödvändiga uppgifter och särskilt beaktar risken för intressekonflikter i samband med att företaget anställer ny personal,

2. ser till att det har tillräckligt med personal i förhållande till arbetsuppgifterna,

3. dels utvärderar om det har personal med en sådan kompetens eller som fyller en sådan funktion att de är svåra att ersätta med kort varsel, dels utser ersättare för sådan personal,

4. fastställer krav på kompetens och kunskap för personalen samt ser till att deras kompetens och kunskap upprätthålls,

5. fastställer och uppdaterar befattningsbeskrivningar, mandat och limiter,

6. hanterar den tystnadsplikt som regleras i 1 kap. 10 § lagen (2004:297) om bank- och finansieringsrörelse och 1 kap. 11 § värdepappersmarknadslagen (2007:528), samt

7. identifierar och hanterar operativa risker som kan uppstå i samband med att personalen internt byter arbetsuppgifter eller organisatorisk enhet.

Företaget ska när det tillämpar första stycket ta hänsyn till verksamhetens art, omfattning och komplexitet.

6 §Ett företag ska i interna regler ange hur det hanterar legala risker. De interna reglerna ska ange på vilket sätt företaget

1. säkerställer att verksamheten följer lagar, förordningar och andra regler,

2. säkerställer och följer upp att ingångna avtal eller andra rättshandlingar är korrekta och giltiga,

3. arkiverar avtal och andra rättshandlingar, samt

4. hanterar och följer upp rättsliga processer.

De interna reglerna enligt första stycket ska även ange vilken person eller funktion som ansvarar för hanteringen av 1–4.

7 §Ett företag ska ha interna regler för säkerhetsarbete som innehåller uppgifter om vilka tillgångar och värden som ska skyddas. Företaget ska ange dels vilka åtgärder det ska vidta för att skydda dessa, dels hur omfattande åtgärderna ska vara.

Företaget ska när det tillämpar första stycket ta hänsyn till verksamhetens art, omfattning och komplexitet.

8 §Bestämmelser om informationssäkerhet finns i 2 kap. Finansinspektionens föreskrifter och allmänna råd (FFFS 2014:5) om informationssäkerhet, it-verksamhet och insättningssystem.

9 §Bestämmelser om hur ett företag ska hantera it-system finns i 3 kap. Finansinspektionens föreskrifter och allmänna råd (FFFS 2014:5) om informationssäkerhet, it-verksamhet och insättningssystem.

10 §Ett företag ska ha en process för att godkänna nya eller väsentligt förändrade produkter, tjänster, marknader, processer, it-system samt vid större förändringar i företagets verksamhet och organisation.

Företaget ska när det tillämpar första stycket ta hänsyn till verksamhetens art, omfattning och komplexitet.

11 §Ett företag ska i interna regler beskriva processen för godkännande enligt 10 §. De interna reglerna ska även ange

1. vad företaget avser med nya eller väsentligt förändrade befintliga produkter, tjänster, marknader, processer, it-system och större förändringar i företagets verksamhet och organisation, samt

2. vilka funktioner och enheter som ska delta i processen.

Företaget ska när det tillämpar första stycket ta hänsyn till verksamhetens art, omfattning och komplexitet när det tar fram de interna reglerna.

12 §Ett företag ska se till att följande moment finns med i processen för godkännande enligt 10 §

1. kontroll av att gällande regler följs,

2. analys av om företagets risknivåer kan öka eller om nya risker kan uppstå och om detta kan påverka företagets kapitalbehov,

3. kontroll av att det finns tillräckligt med personal och tillgång till kompetens, interna regler, verktyg och processer i affärsenheter samt stöd- och kontrollfunktioner för att kunna förstå och övervaka riskerna, samt

4. dokumentation av beslut om godkännande där de överväganden framgår som legat till grund för beslutet.

13 §Om det inte anges i de interna reglerna enligt 11 § 1 att processen enligt 10 § ska tillämpas ska funktionen för riskontroll avgöra detta.

14 §När ett företag beslutar om en ny produkt, tjänst, marknad, process eller it-system ska det fastställa vilken person eller funktion som ska ansvara för att hantera risker förenade med dessa.

15 §Ett företag ska i interna regler för kontinuitetshantering ange

1. de metoder och rutiner som företaget ska följa för att ha en väl fungerande kontinuitetshantering. Metoderna och rutinerna ska omfatta beredskapsplaner, kontinuitetsplaner och återställningsplaner,

2. ansvariga (roller och befattningar) för att styra verksamheten och för att besluta om åtgärder vid ett avbrott eller en större verksamhetsstörning, samt

3. principer för att hantera och besluta om åtgärder beroende på typen och omfattningen av avbrott eller en större verksamhetsstörning.

Företaget ska när det tillämpar första stycket ta hänsyn till verksamhetens art, omfattning och komplexitet.

Den verkställande direktören ska besluta om de interna reglerna.

16 §Ett företag ska för varje process enligt 1 § fastställa den längst tillåtna tiden för avbrott.

FFFS (2024:10)

Analys av konsekvenser och planering för återställning

Kommunikation och utbildning

Uppdatering och test av planer

2 §Ett företag ska se till att hålla arbetsuppgifterna åtskilda mellan personal som initierar och genomför affärstransaktioner och personal som arbetar med att stödja, verifiera och övervaka dessa.

3 §Ett företag ska se till att personal som hanterar affärstransaktioner under minst tio arbetsdagar i följd under en tolvmånadersperiod inte har möjlighet att

1. initiera och genomföra affärstransaktioner,

2. godkänna eller bekräfta affärstransaktioner, eller

3. hantera betalningar kopplade till affärstransaktioner.

4 §Ett företag ska se till att

1. det finns en fullständig och dokumenterad verifieringskedja för varje transaktion och att verifieringskedjan säkerställer spårbarhet som gör uppföljning möjlig per handlare,

2. det finns dokumenterade rutiner och kontroller i hela kedjan från öppnandet av en affärsrelation till avveckling av utförda transaktioner,

3. villkor för transaktionen dokumenteras och bekräftas innan handel påbörjas,

4. personal som initierar och genomför affärstransaktioner så snart som möjligt efter ett transaktionsavslut, lämnar nödvändig information och dokumentation till stödfunktionerna så att de kan stämma av, bekräfta, avveckla och följa upp transaktionen,

5. det finns fastställda rutiner för att hantera och rapportera felaktigt utförda transaktioner,

6. det dels finns fastställda rutiner för att hantera och rapportera obekräftade affärer, dels följa upp dessa dagligen, samt

7. dagligen stämma av transaktioner, likvider och positioner.

Avstämningen enligt 7 ska även omfatta ändringar och makuleringar.

5 §Ett företag ska ha rutiner för att hantera och kontrollera säkerheterna i samband med transaktioner och positioner.

6 §Ett företag ska se till att det finns fastställda rutiner för kontroll av utrymme inom motpartslimiter innan dessa utnyttjas vid handel.

7 §Ett företag ska vid väsentliga avvikelser eller orimliga resultat vid handel analysera om dessa är orsakade av misstag, oegentligheter eller andra händelser i verksamheten.

8 §Ett företag ska löpande granska och stämma av sina samtliga konton.

9 §Ett företag ska kontrollera värdet på sina nettopositioner och de transaktioner som ger upphov till dessa.

10 §Ett företag ska fastställa och regelbundet följa upp limiter för sina positioner. Företaget ska sätta limiterna så att det är möjligt att följa upp och kontrollera dem.

11 §Ett företag ska minst en gång i kvartalet kontrollera att behörigheter till de it-system som används i verksamheten är begränsade till behov utifrån tilldelade arbetsuppgifter.