Vyhláška o výkonu činnosti bank, spořitelních a úvěrních družstev a obchodníků s cennými papíry

§ 27

(1) Povinná osoba

1. a) zajistí, že řídicí a kontrolní systém je nastaven tak, že umožňuje soustavné řízení rizik,
2. b) zavede a udržuje systém řízení rizik tak, že poskytuje nezkreslený obraz o míře podstupovaných rizik,
3. c) zabezpečí, že proces rozpoznávání rizik je zajištěn u všech činností a na všech řídicích a organizačních úrovních a umožňuje odhalování nových, dosud neidentifikovaných rizik a
4. d) při řízení rizik zohledňuje všechna významná rizika a rizikové faktory, kterým je nebo může být vystavena s přihlédnutím k povaze, rozsahu a složitosti činností. Řízení rizik v jeho celku i částech zohledňuje vnitřní a vnější faktory včetně zohledňování budoucí strategie podnikání povinné osoby, vlivů ekonomického prostředí a cyklu a vlivů regulatorního prostředí. Řízení rizik zohledňuje kvantitativní a kvalitativní aspekty rizik, reálné možnosti jejich řízení a náklady a výnosy vyplývající z řízení rizik.

§ 28

Povinná osoba zavede a udržuje

1. a) strategii a postupy pro rozpoznávání, vyhodnocování, měření, sledování, ohlašování a omezování výskytu nebo dopadů výskytu rizik,
2. b) soustavu limitů používanou při řízení rizik, včetně postupů a informačních toků při překročení dílčích limitů nebo akceptované míry rizika nebo při poklesu případných obezřetnostních rezerv nebo přirážek pod jejich vnitřně stanovenou úroveň nebo regulatorní limity,
3. c) zásady kontrolních mechanismů a činností při řízení rizik, včetně kontroly dodržování stanovených postupů a limitů pro řízení rizik, interních validací a přezkumů modelů používaných při řízení rizik, ověřování výstupů hodnocení a měření rizik a ověřování účinnosti opatření přijatých povinnou osobou k omezování výskytu nebo dopadů výskytu rizik, a
4. d) funkci řízení rizik.

§ 30

(1) Povinná osoba má strategii řízení rizik, která je přiměřená povaze, rozsahu a složitosti jejích činností. Povinná osoba vypracuje konkrétní postupy pro naplňování této strategie.

(2) Strategie řízení rizik stanoví zejména

1. a) vnitřní vymezení (definice) rizik, kterým je nebo může být povinná osoba vystavena, včetně vymezení jejich klíčových součástí,
2. b) zásady pro posuzování a určování významnosti pro účely řízení rizik povinnou osobou,
3. c) zásady řízení jednotlivých rizik včetně soustavy vhodných časových horizontů pro jejich řízení, v tom vždy rizika úvěrového, tržního, operačního, likvidity, koncentrace a nadměrné páky,
4. d) metody pro řízení rizik, včetně stresového testování, v tom vždy rizika úvěrového, tržního, operačního, likvidity, koncentrace a nadměrné páky,
5. e) akceptovanou míru rizika, v tom vždy rizika úvěrového, tržního, operačního, likvidity, koncentrace a nadměrné páky,
6. f) zásady pro sestavení a úpravy pohotovostních plánů včetně pohotovostního plánu pro případ krize likvidity a
7. g) zásady pro vymezení povolených produktů, měn, států, zeměpisných oblastí, trhů a protistran.

(3) Povinná osoba zajistí, že pracovníci, jejichž činnost má vliv na řízení rizik, jsou se schválenou strategií seznámeni v potřebném rozsahu a postupují v souladu s touto strategií a z ní vyplývajícími postupy a limity včetně akceptované míry rizika a obezřetnostních rezerv nebo přirážek.

(4) Povinná osoba zajistí, že

1. a) postupy používané pro sledování, měření a usměrňování jednotlivých rizik včetně limitů a obezřetnostních rezerv nebo přirážek jsou ucelené a propojené,
2. b) soustava limitů a dalších opatření pro řízení jednotlivých rizik bere v úvahu ostatní rizika a regulatorní limity a je v souladu s modelem podnikání a celkovou strategií povinné osoby a tržními podmínkami a
3. c) uplatňované limity a postupy účinně zamezují překročení regulatorních limitů a povinnou osobou akceptované míry rizika celkově i za jednotlivá rizika.

(5) Povinná osoba zajistí, že strategie řízení rizik a veškeré postupy a limity, včetně akceptované míry rizika a obezřetnostních rezerv nebo přirážek, týkající se řízení rizik jsou pravidelně, zejména při každé významné změně odpovídajících skutečností, alespoň však jednou ročně, vyhodnocovány a případně upravovány.

§ 31

Povinná osoba soustavně řídí

1. a) riziko úvěrové, tržní, operační, likvidity, koncentrace a nadměrné páky,
2. b) ESG rizika,
3. c) další významná rizika nebo součásti rizik, kterým je nebo může být vystavena, zejména riziko reputační, riziko strategické, riziko spojené se zdroji kapitálu a financováním, riziko spojené s členstvím ve skupině včetně rizika operací se členy téže skupiny, riziko spojené se správou zajištění a zatížením aktiv, riziko tržní infrastruktury, riziko nestandardních operací, riziko operací, ve kterých je nebo by mohla být zapojena netransparentní nebo jinak potenciálně riziková protistrana nebo zeměpisná oblast, riziko operací s osobami poskytujícími finanční služby obdobné bankovním, nad nimiž není vykonáván dohled, riziko operací, ve kterých je zapojen jiný než členský stát, riziko vlivu regulatorního prostředí, riziko vlivu politického prostředí, riziko nákazy a riziko systémové, ledaže pro povinnou osobu nepřichází toto riziko v úvahu nebo není významné, a
4. d) celkově podstupované riziko.

§ 32

(1) Povinná osoba ve skupině smíšené holdingové osoby zavede a udržuje postupy, které jí umožňují vhodným způsobem sledovat operace, které sjednala se smíšenou holdingovou osobou, členem jejíž skupiny povinná osoba je, nebo s osobou ovládanou touto smíšenou holdingovou osobou (dále jen „operace uvnitř skupiny“). Zvláštní pozornost věnuje významným operacím uvnitř skupiny.

(2) Operace uvnitř skupiny se považuje za významnou, přesahuje-li na individuálním základě 5 % z 8 % z celkového objemu rizikové expozice podle článku 92 odst. 3 nařízení s tím, že operace uvnitř skupiny stejné povahy, sjednané se stejnou protistranou a ve stejné měně, se považují za jednu operaci.

§ 33

(1) Povinná osoba zajišťuje kapitálové nebo jiné vhodné krytí rizik, kterým je nebo může být vystavena.

(2) Strategie a postupy pro řízení rizik a pro zajišťování jejich krytí jsou ucelené a propojené.

(3) Povinná osoba při řízení rizik a zajišťování jejich krytí obezřetně zohledňuje faktory, které ovlivňují výsledky vyhodnocování či měření podstupovaných rizik, včetně vlivů

1. a) tvorby opravných položek a dalších úprav ocenění aktiv a tvorby rezerv k podrozvahovým položkám,
2. b) používání vlastních odhadů a modelů,
3. c) zohledňování výsledků testů, zejména testu úrokového šoku a dalších stresových testů,
4. d) využívání derivátů, zohledňování zajištění a dalších technik snižujících riziko a
5. e) zohledňování efektů z rozložení rizik.

(4) Pokud podstupované riziko nebo celková míra podstupovaných rizik nejsou i při zohlednění vlivu mechanismů vnitřní kontroly přiměřeně kryty, povinná osoba včas přijme vhodná a účinná nápravná opatření.

§ 34

(1) Povinná osoba rozpoznává a řídí rizika spjatá s novými nebo nestandardními produkty, operacemi, službami a dalšími činnostmi, trhy, segmenty klientů, zeměpisnými oblastmi, protistranami, distribučními místy a kanály, tržní infrastrukturou, technologiemi, interními modely a systémy, včetně rizik spjatých s jejich začleňováním do stávajících činností a struktur povinné osoby.

(2) Povinná osoba

1. a) vymezí, kdy jde o případ podle odstavce 1,
2. b) vymezí působnost a pravomoci,
3. c) zajistí, že případ podle odstavce 1 je před zavedením prověřen přiměřenými kontrolními a schvalovacími postupy v zájmu rozlišení jeho rizikovosti a zařazení do procesu řízení rizik, v souladu se zásadou významnosti.

(3) Povinná osoba stanoví náležitosti, které obsahuje návrh případu podle odstavce 1. Návrh obsahuje alespoň

1. a) popis případu podle odstavce 1, včetně popisu účetních, daňových a právních aspektů a případné potřeby souhlasu příslušného orgánu dohledu,
2. b) analýzu očekávaných dopadů zavedení na povinnou osobu a její řídicí a kontrolní systém,
3. c) návrh postupu zavedení,
4. d) analýzu rizik včetně návrhů na jejich řízení; navržená opatření povinná osoba následně začlení do systému řízení rizik,
5. e) identifikaci lidských, technických a jiných zdrojů, které je nutno vyčlenit na zabezpečení řádného řízení rizik v souladu s výsledky analýzy rizik,
6. f) oceňovací postupy,
7. g) definici nebo seznam navrhovaných protistran a
8. h) způsoby vypořádání transakcí.

(4) Skutečnosti podle odstavce 3 písm. f), g) nebo h) návrh obsahuje pouze, pokud je to pro případ podle odstavce 1 relevantní.

(5) Za účelem účinného předcházení a omezování rizik spjatých s případem podle odstavce 1 povinná osoba

1. a) považuje pro účely řízení rizik za samostatný případ podle odstavce 1 zejména každou skupinu obchodů nebo služeb, které mají společné charakteristiky a rizika odlišující je od charakteristik a rizik jiného jí navrhovaného, nabízeného nebo poskytovaného obchodu nebo služby,
2. b) u jednotlivě samostatného případu podle odstavce 1 určeného způsobem podle písmene a) cíleně uplatňuje odlišnosti, pokud jde o zásady, postupy, metody a nástroje řízení rizik, a
3. c) zakáže svým pracovníkům sjednávat
   1. 1. transakce s neschválenými případy podle odstavce 1,
   2. 2. transakce, které by na základě rozboru jejich hospodářské opodstatněnosti, finanční situace protistrany, možných nepříznivých důsledků pro povinnou osobu nebo jiných rozpoznaných rizikových faktorů předmětné transakce nebyly běžně provedeny s jinými osobami, a
   3. 3. transakce, které by vedly k překročení vnitřních limitů nebo nebyly v souladu s požadavky stanovenými právními předpisy, Českou národní bankou nebo jiným příslušným orgánem dohledu.

(6) Povinnosti podle odstavců 1 až 5 se vztahují obdobně i na změny v případech podle odstavce 1.

§ 35

(1) Povinná osoba zajistí, že

1. a) poskytování úvěrů je založeno na spolehlivých a jednoznačně stanovených kritériích a je jasně stanoven postup pro schvalování, doplňky, změny, obnovy a refinancování úvěrů,
2. b) prostřednictvím účinných systémů je zajišťována průběžná správa a sledování různých portfolií a expozic, s nimiž je spojeno úvěrové riziko, včetně identifikování a řízení problematických expozic a zajišťování odpovídajících úprav v ocenění, zejména opravných položkách u rozvahových aktiv a rezerv k podrozvahovým položkám, a
3. c) diverzifikace portfolií s úvěrovým rizikem zohledňuje celkovou úvěrovou strategii včetně cílových trhů,
4. d) před přijetím expozice v kryptoaktivech je provedeno její posouzení a posouzení přiměřenosti stávajících procesů a postupů pro řízení rizika protistrany a o posouzení informuje bez zbytečného odkladu Českou národní banku.

(2) V přímé závislosti na rozsahu, povaze a složitosti svých činností povinná osoba důkladně zváží vytvoření nástrojů interního hodnocení úvěrového rizika a zvýšení míry uplatňování přístupu založeného na interním ratingu pro výpočet kapitálových požadavků pro úvěrové riziko, zejména pokud jsou expozice povinné osoby významné v absolutním měřítku a zároveň má velký počet významných protistran. Plnění požadavků stanovených pro používání přístupu založeného na interním ratingu není tímto požadavkem dotčeno.

§ 36

Povinná osoba

1. a) prostřednictvím zdokumentovaných zásad a postupů ovlivňuje a kontroluje, pokud je účinek uznatelných technik snižování úvěrového rizika nižší než očekávaný, a
2. b) zajistí vhodnost a spolehlivost zásad a postupů pro řízení zbytkového rizika spojeného s používáním uznatelných technik snižování úvěrového rizika a správnost jejich uplatňování.

§ 37

(1) Pokud je povinná osoba investorem, původcem či sponzorem sekuritizace, vyhodnocuje a usměrňuje prostřednictvím přiměřených zásad a postupů riziko sekuritizace včetně reputačního rizika; přitom vždy posoudí reputační riziko ve vztahu ke komplikovaným strukturám či produktům a zajistí, že ekonomická podstata transakce se plně promítá do hodnocení rizika a rozhodovacích procesů.

(2) Pokud je povinná osoba původcem sekuritizace revolvingových expozic s možností předčasného splacení, stanoví plány likvidity jak pro situace očekávané, tak pro případy předčasného splacení.

(3) Povinná osoba je schopna na žádost České národní banky doložit jí, do jaké míry je kapitál udržovaný vůči aktivům, která sekuritizovala, odpovídající vzhledem k ekonomické podstatě dané transakce, včetně dosaženého stupně převodu rizika.

(4) Povinná osoba zajistí, že dosažení očekávaného převodu rizika není sníženo poskytnutím mimosmluvní podpory.

§ 38

(1) Povinná osoba zavede a udržuje zásady a postupy pro řízení míry tržního rizika včetně vyhodnocování či měření všech jeho významných zdrojů a dopadů. Povinná osoba zavede a udržuje systém řízení tržního rizika obchodního portfolia v souladu s požadavky podle článků 102 až 106 nařízení a systém řízení úrokového, měnového, akciového a komoditního rizika investičního portfolia. Je-li krátká pozice splatná dříve než dlouhá pozice, povinná osoba přijme také opatření proti riziku nedostatku likvidity.

(2) Povinná osoba před přijetím expozice v kryptoaktivech provede posouzení takové expozice a přiměřenosti stávajících procesů a postupů pro řízení tržního rizika a o posouzení informuje bez zbytečného odkladu Českou národní banku.

(3) Povinná osoba, která při výpočtu kapitálových požadavků pro poziční riziko podle části třetí hlavy IV kapitoly 2 nařízení kompenzovala své pozice u jedné nebo více akcií, které tvoří akciový index, oproti jedné nebo více pozicím ve futures na akciový index nebo v jiném produktu akciového indexu, zohledňuje bazické riziko ztráty způsobené tím, že se hodnota futures nebo jiného produktu nepohybuje plně v souladu s hodnotou jednotlivých akcií, ze kterých je index tvořen, ve strategiích a postupech pro vnitřně stanovený kapitál¹²) povinné osoby. V těchto strategiích a postupech je zohledněno rovněž bazické riziko existující v případě, kdy povinná osoba drží opačné pozice ve futures na akciové indexy, které nejsou identické co do splatnosti, složení, nebo obojího.

§ 38a

(1) Povinná osoba zavede a udržuje interní systémy pro řízení úrokového rizika investičního portfolia a používá standardizovanou metodiku nebo zjednodušenou standardizovanou metodiku pro identifikaci, hodnocení, řízení a snižování rizik vyplývajících z případných změn v úrokových sazbách, které mají vliv jak na ekonomickou hodnotu vlastního kapitálu, tak na čistý úrokový výnos z investičního portfolia povinné osoby.

(2) Povinná osoba zavede a udržuje systémy vyhodnocování a monitorování rizik vyplývajících z případných změn v úvěrových rozpětích, které mají vliv jak na ekonomickou hodnotu vlastního kapitálu, tak na čistý úrokový výnos z investičního portfolia povinné osoby.

(3) Povinná osoba používá standardizovanou metodiku podle odstavce 1 také tehdy, pokud Česká národní banka v rámci procesu přezkumu a vyhodnocování vyhodnotila, že použití zjednodušené standardizované metodiky podle odstavce 1 není vzhledem k interním systémům povinné osoby pro řízení úrokového rizika investičního portfolia dostatečné.

(4) Povinná osoba, která je malou a nepříliš složitou institucí podle čl. 4 odst. 1 bodu 145 nařízení, používá standardizovanou metodiku, pokud zjednodušená standardizovaná metodika není vhodná ke zjištění úrokového rizika vyplývajícího z jejího investičního portfolia.

(5) Pokud se ekonomická hodnota vlastního kapitálu povinné osoby z důvodu náhlé a neočekávané změny v úrokových sazbách popsané v kterémkoli ze 6 dohledových šokových scénářů pro úrokové sazby sníží o více než 15 % jejího kapitálu tier 1, povinná osoba přijme bez zbytečného odkladu opatření, o nichž bez zbytečného odkladu informuje Českou národní banku. Povinná osoba promítne do výpočtu ekonomické hodnoty vlastního kapitálu modelovací a parametrické předpoklady.

(6) Pokud u povinné osoby z důvodu náhlé a neočekávané změny v úrokových sazbách popsané v jednom ze 2 dohledových šokových scénářů pro úrokové sazby dojde k velkému poklesu čistého úrokového výnosu, povinná osoba přijme bez zbytečného odkladu opatření, o nichž bez zbytečného odkladu informuje Českou národní banku. Povinná osoba promítne do výpočtu čistého úrokového výnosu modelovací a parametrické předpoklady.

(7) Upřesnění standardizované metodiky a zjednodušené standardizované metodiky podle odstavce 1, modelovací a parametrické předpoklady podle odstavců 5 a 6 a dohledové scénáře podle odstavců 5 a 6 stanovuje přímo použitelný předpis Evropské unie vydaný podle čl. 84 odst. 5 a čl. 98 odst. 5a směrnice Evropského parlamentu a Rady 2013/36/EU.

§ 39

(1) Povinná osoba zohlední ve strategiích a postupech pro vnitřně stanovený kapitál riziko ztráty, které existuje v případě postupu podle článku 345 nařízení v době od vzniku prvního dluhu do následujícího pracovního dne.

(2) V závislosti na své velikosti, vnitřní organizaci, povaze, rozsahu a složitosti svých činností povinná osoba zváží vytvoření nástrojů interního hodnocení tržního rizika a stanovování kapitálových požadavků pro pozice v obchodních portfoliích interním modelem, spolu s používáním interního modelu pro výpočet požadavků na kapitál ke krytí rizika selhání, zejména pokud jsou expozice povinné osoby vůči riziku selhání významné v absolutním měřítku a má velký počet významných pozic v obchodovaných dluhových nebo akciových nástrojích různých emitentů. Plnění požadavků stanovených pro používání alternativních interních modelů ke stanovování kapitálových požadavků k tržnímu riziku tím není dotčeno.

§ 40

(1) Povinná osoba zavede a udržuje zásady a postupy pro vyhodnocování a ovlivňování míry podstupovaného operačního rizika, včetně rizika z přímých a nepřímých expozic v kryptoaktivech a vůči poskytovatelům služeb souvisejících s kryptoaktivy a rizika outsourcingu a včetně zohlednění málo častých významných událostí. Povinná osoba stanoví, co tvoří operační riziko pro účely těchto zásad a postupů, aniž by tímto bylo dotčeno vymezení operačního rizika podle článku 4 odst. 1 bodu 52 nařízení.

(2) Povinná osoba vytvoří a udržuje pohotovostní plány, kterými se rozumí plány pro mimořádné situace včetně havarijních a krizových situací a pro obnovu činností, k zajištění schopnosti povinné osoby průběžně vykonávat činnosti a k limitování ztrát v případě významného narušení činností.

§ 41

(1) Povinná osoba zavede a udržuje

1. a) zásady a postupy pro průběžné a prospektivní měření a řízení likviditní pozice,
2. b) scénáře pro řízení rizika likvidity, a to
   1. 1. standardní scénář pro řízení rizika likvidity, kterým se rozumí soubor vnitřních předpokladů, zejména předpoklad vývoje struktury aktiv, dluhů a podrozvahových položek, a vnějších předpokladů, zejména předpoklad vývoje na mezibankovním trhu a vývoje platební schopnosti jednotlivých států, na jejichž základě povinná osoba odhaduje likviditní pozici při běžné činnosti povinné osoby, a dále souhrn následných kroků povinné osoby za účelem odpovídajícího pokrytí očekávaného peněžního odtoku a
   2. 2. alternativní scénáře pro řízení rizika likvidity včetně alternativních stresových scénářů pro řízení rizika likvidity; alternativním stresovým scénářem pro řízení rizika likvidity se rozumí soubor vnitřních předpokladů, zejména předpoklad vývoje struktury aktiv, dluhů a podrozvahových položek, a vnějších předpokladů, zejména předpoklad vývoje na mezibankovním trhu a vývoje platební schopnosti jednotlivých států, na jejichž základě povinná osoba odhaduje likviditní pozici při různé míře stresových situací, a dále souhrn následných kroků povinné osoby za účelem odpovídajícího pokrytí očekávaného odtoku a

1. c) pohotovostní plány pro případ krize likvidity.

(2) Povinná osoba

1. a) má dostatečně propracované strategie, zásady, postupy a systémy k identifikaci, měření, řízení a sledování rizika likvidity v náležité soustavě časových pásem, včetně vnitrodenních časových pásem tak, aby bylo zajištěno, že bude udržovat likviditní rezervu na adekvátní úrovni. Tyto strategie, zásady, postupy a systémy jsou
   1. 1. zvoleny tak, aby byly vhodné vzhledem k jednotlivým liniím podnikání, měnám, pobočkám a právnickým osobám, a zahrnují adekvátní alokační mechanismy nákladů na likviditu, přínosů a rizik s tím, že vnitřní ceny uplatní povinná osoba na všechna významná aktiva, dluhy a podrozvahové položky, a
   2. 2. přiměřené složitosti vykonávaných činností, rizikovému profilu povinné osoby a akceptované míře rizika schválené řídicím orgánem a odrážejí význam povinné osoby v každém členském nebo jiném státě, ve kterém uskutečňuje své podnikatelské aktivity s tím, že o akceptované míře rizika likvidity jsou informovány všechny relevantní linie řízení a podnikání,

1. b) zohlední při řízení rizika likvidity povahu, rozsah a složitost svých činností, zejména strukturu a rozsah produktového portfolia, systém řízení rizik a zásady financování včetně jeho případných koncentrací tak, aby její rizikový profil v oblasti likvidity byl v souladu s požadavky na odpovídající a dostatečnou funkčnost řízení tohoto rizika a nedocházelo k překračování stanovených limitů,
2. c) uplatňuje metody k identifikaci, měření, řízení a sledování refinančních pozic, které zahrnují současné i odhadované peněžní toky z aktiv, dluhů a podrozvahových položek a možný dopad reputačního rizika,
3. d) rozlišuje mezi aktivy zatíženými a aktivy nezatíženými, která jsou kdykoli k dispozici, zejména v krizové situaci. Přihlíží též k právnické osobě, jež má k aktivům určitá práva, ke skutečnosti, ve kterém státě jsou právně evidována, a k jejich uznatelnosti. Povinná osoba dále sleduje, zda mohou být aktiva včas prodána nebo zatížena,
4. e) přihlíží k existujícím právním, regulatorním a operačním překážkám při případném převodu likvidních nebo nezatížených aktiv mezi právnickými osobami, a to uvnitř i vně Evropského hospodářského prostoru, a
5. f) posuzuje a bere v úvahu možnosti různých používaných nástrojů zmírňování rizika likvidity včetně systému limitů a likviditních rezerv za účelem zajistit, aby nebyl narušen její chod při škále různých stresových událostí a aby disponovala náležitě diverzifikovanou strukturou financování a přístupem ke zdrojům financování.

(3) Povinná osoba

1. a) bere v úvahu různé alternativní scénáře včetně stresových pro své likviditní pozice a pro nástroje zmírňování rizika likvidity a podrobuje pravidelnému přezkoumávání předpoklady, na kterých je založeno rozhodování o refinanční pozici, s ohledem na měnící se vnitřní nebo vnější podmínky, a tento přezkum provádí při každé významné relevantní změně skutečností, alespoň však jednou ročně, a
2. b) zahrne do používaných alternativních scénářů zejména podrozvahové položky a ostatní podmíněné dluhy, včetně podrozvahových položek a ostatních podmíněných dluhů týkajících se sekuritizačních jednotek pro speciální účel a jiných právnických osob zřízených se speciálním účelem, vůči kterým je povinná osoba v pozici sponzora nebo kterým poskytuje významnou likviditní podporu.

(4) Povinná osoba

1. a) zvažuje potenciální dopad alternativních stresových scénářů týkajících se specificky povinné osoby, scénářů týkajících se trhu jako celku a kombinovaných alternativních stresových scénářů. V úvahu jsou brána různá časová pásma a různé míry závažnosti stresových situací; a
2. b) přezkoumává a udržuje funkčnost a efektivnost svých strategií, zásad, postupů, systémů, limitů a dalších mechanismů pro řízení rizika likvidity včetně pohotovostních plánů, přičemž zohlední výsledky alternativních stresových scénářů podle odstavce 3.

(5) Pohotovostní plány pro případ krize likvidity stanovují adekvátní strategie a řádnou implementaci opatření k řešení situace vzniklé případným nedostatkem likvidity, a to i ve vztahu k zahraničním pobočkám. Tyto plány jsou pravidelně testovány, aktualizovány podle výsledků alternativních stresových scénářů a v periodicitě podle odstavce 3 písm. a) předkládány osobám ve vyšším vedení a schvalovány těmito osobami tak, aby bylo možné náležitě přizpůsobit vnitřní postupy. Povinná osoba přijme předem nezbytná provozní opatření, aby mohly být pohotovostní plány okamžitě použity. U povinné osoby, která je bankou nebo spořitelním a úvěrním družstvem, tato operační opatření zahrnují držení kolaterálu uznatelného centrální bankou; pokud je to nezbytné, zahrnuje tento požadavek také

1. a) držení kolaterálu v měně jiného státu, v níž je povinná osoba vystavena riziku likvidity, a
2. b) pokud je to nezbytné z operačních důvodů, také držení kolaterálu na území jiného státu, v jehož měně je povinná osoba vystavena riziku likvidity.

§ 42

(1) Povinná osoba zavede a udržuje řádné řídicí, administrativní a účetní postupy a přiměřené mechanismy vnitřní kontroly ke zjištění a zaznamenání významných koncentrací včetně všech velkých expozic podle článku 393 nařízení a jejich následných změn v souladu s požadavky nařízení, zákona a této vyhlášky a ke sledování a vyhodnocování všech případů významných koncentrací a velkých expozic s ohledem na vnitřní zásady povinné osoby v této oblasti.

(2) Zásady a postupy pro řízení rizika koncentrace zahrnují

1. a) zásady a postupy pro zacházení s riziky vznikajícími z koncentrace expozic vůči osobám, ekonomicky či jinak spjatým skupinám osob nebo vůči osobám ve stejném odvětví nebo zeměpisné oblasti, z koncentrace expozic ze stejné činnosti nebo obchodované komodity nebo podkladového aktiva sekuritizovaných expozic, expozic vůči ústředním protistranám, fondům kolektivního investování nebo ostatních expozic nebo z jiné významné koncentrace se společným faktorem rizika a
2. b) zásady a postupy pro zacházení s rizikem koncentrace vznikajícím v důsledku používání technik snižování úvěrového rizika, zvláště v případě významných nepřímých expozic, například vůči jednomu emitentovi cenných papírů přijatých jako zajištění.

(3) V případě kryptoaktiv bez identifikovatelného vydavatele posoudí povinná osoba riziko koncentrace z hlediska expozice v kryptoaktivech s podobnými vlastnostmi.

§ 43

(1) Povinná osoba zavede a udržuje zásady a postupy pro identifikaci, řízení a sledování rizika nadměrné páky. Ukazatele rizika nadměrné páky zahrnují pákový poměr stanovený v souladu s článkem 429 nařízení a nesoulad mezi aktivy a dluhy.

(2) Povinná osoba přistupuje k řízení rizika nadměrné páky preventivně. Povinná osoba řídí riziko nadměrné páky tak, aby byla schopna kontrolovat celý rozsah různých krizových událostí, pokud jde o riziko nadměrné páky, a dostatečně zohledňovat možné zvýšení rizika nadměrné páky způsobeného snižováním kapitálu povinné osoby z důvodu předpokládaných nebo realizovaných ztrát, v závislosti na používaných účetních pravidlech.

§ 44

(1) Povinná osoba zavede a udržuje zásady a postupy pro identifikaci, sledování a řízení rizika spojeného se správou zajištění a se zatížením aktiv.

(2) Zásady a postupy podle odstavce 1

1. a) zohledňují model podnikání povinné osoby, zeměpisné rozložení předmětných činností a aktiv, tržní specifika a makroekonomickou situaci a
2. b) zahrnují zásady pro pohotovostní plány zaměřené na řešení dodatečného zatížení v důsledku stresových událostí na základě zohlednění výsledků testování dopadů možných, i když málo pravděpodobných šoků, včetně důsledků případného poklesu hodnocení úvěrové kvality povinné osoby, znehodnocení zajištění a nárůstu požadavků na zálohy při obchodování povinné osoby.

§ 45

(1) Povinná osoba zavede a udržuje strategie, zásady, postupy a systémy pro identifikaci, měření, řízení a sledování ESG rizik v krátkodobém, střednědobém a dlouhodobém horizontu, a to přiměřeně k rozsahu, povaze a složitosti ESG rizik spojených s modelem podnikání a k rozsahu činností povinné osoby. Dlouhodobým horizontem se rozumí období alespoň 10 let.

(2) Povinná osoba testuje svoji odolnost vůči dlouhodobým nepříznivým dopadům faktorů ESG, včetně faktorů souvisejících se změnou klimatu, v rámci základního i nepříznivého scénáře v daném časovém rámci. Povinná osoba zahrne do testování odolnosti různé scénáře, které odrážejí potenciální dopady environmentálních a sociálních změn a souvisejících veřejných politik na dlouhodobé podnikatelské prostředí. Povinná osoba používá v procesu testování odolnosti věrohodné scénáře založené na scénářích vypracovaných mezinárodními organizacemi.

§ 46

(1) Povinná osoba zavede a udržuje kontrolní funkce a mechanismy a postupy pro kontrolní činnost na všech řídicích a organizačních úrovních. Povinná osoba zajistí, že pracovníci ve vnitřních kontrolních funkcích mají soustavně pro výkon svých kontrolních působností odpovídající personální a další předpoklady.

(2) Kontrolní činnosti jsou součástí běžné, zpravidla každodenní, činnosti povinné osoby a zahrnují zejména

1. a) kontrolu po linii řízení,
2. b) přiměřené kontrolní mechanismy pro jednotlivé procesy, zejména kontrolu průběhu činností a transakcí, kontrolu řízení rizik, ověřování výstupů používaných systémů a modelů, kontrolu dodržování právních a vnitřních předpisů a limitů včetně vyhodnocování aktuálnosti, ucelenosti a úplnosti vnitřních předpisů a soustavy limitů, kontrolu řízení střetů zájmů, kontrolu spolehlivosti bezpečnostních opatření, kontrolu schvalování a autorizace transakcí nad stanovené limity, ověřování detailů transakcí, pravidelnou rekonciliaci, a rovněž kontrolní mechanismy pro činnosti, které povinná osoba outsourcuje nebo hodlá outsourcovat, a
3. c) fyzickou kontrolu; fyzická kontrola se zaměřuje zejména na omezení přístupu k hmotnému majetku, cenným papírům a jiným finančním aktivům a na pravidelné inventury majetku.

§ 47

(1) Systém vnitřní kontroly zahrnuje mechanismy povinné osoby pro interní hlášení pracovníků o porušení nebo hrozícím porušení požadavků stanovených touto vyhláškou, zákonem, který tato vyhláška provádí, nařízením nebo jinými relevantními předpisy včetně vnitřních, včetně mechanismů pro sdělování konkrétních obav pracovníků ohledně funkčnosti nebo efektivnosti řídicího a kontrolního systému nebo některé jeho součásti, mimo běžné informační toky.

(2) V rámci systému vnitřní kontroly povinná osoba zavede a udržuje vnitřní mechanismy preventivního i následného vyhodnocování funkčnosti a efektivnosti řídicího a kontrolního systému jako celku a jeho součástí.

§ 48

(1) Povinná osoba zavede a udržuje zásady a postupy pro zajišťování činností compliance.

(2) Povinná osoba zajistí průběžnou kontrolu dodržování právních povinností a povinností plynoucích z jejích vnitřních předpisů.

(3) Povinná osoba zajistí výkon činností compliance a související kontroly tak, že je rovněž zabezpečeno

1. a) informování osob ve vyšším vedení o veškerých zjištěných odchylkách a nesouladech,
2. b) informování vedoucího orgánu o významných odchylkách a nesouladech,
3. c) informování osob ve vyšším vedení o připravovaných nebo nových právních předpisech a uznávaných standardech týkajících se činností povinné osoby a
4. d) poskytování dalších účelných informací ohledně činností compliance vedoucímu orgánu a osobám ve vyšším vedení.

(4) Zásady a postupy pro zajišťování činností compliance pokrývají uceleně a propojeně veškeré činnosti povinné osoby.

§ 49

(1) Povinná osoba zajistí výkon vnitřního auditu tak, že pokrývá uceleně a propojeně veškeré činnosti povinné osoby a zaměřuje se na odhalování nedostatků a rizik.

(2) Povinná osoba zajistí výkon vnitřního auditu tak, že poskytuje příslušné úrovni řízení objektivní a nezávislé ujištění o činnostech povinné osoby, informace o zjištěných skutečnostech a jasná doporučení k zajištění nápravy zjištěných nedostatků.

(3) Působnost funkce vnitřního auditu se vztahuje zejména na

1. a) dodržování pravidel obezřetného podnikání povinné osoby,
2. b) dodržování stanovených zásad, cílů a postupů,
3. c) systém řízení rizik včetně interních přístupů a interních modelů a systém vnitřní kontroly,
4. d) finanční řízení a řádnost hospodaření,
5. e) úplnost, průkaznost a správnost vedení účetnictví,
6. f) spolehlivost a bezrozpornost účetních, statistických a dalších informací, včetně informací poskytovaných orgánům povinné osoby, informací poskytovaných klientům a uveřejňovaných informací, a
7. g) funkčnost a bezpečnost informačního a komunikačního systému včetně spolehlivosti systému sestavování a předkládání výkazů České národní bance.

(4) Povinná osoba zajistí, že při výkonu vnitřního auditu jsou provedeny tyto činnosti:

1. a) sestavení analýzy rizik, a to alespoň jednou ročně,
2. b) sestavení strategického a periodického plánu vnitřního auditu,
3. c) zavedení a udržování systému sledování opatření k nápravě uložených na základě zjištění vnitřního auditu a
4. d) vyhodnocení funkčnosti a efektivnosti řídicího a kontrolního systému včetně oblastí podle odstavce 3, a to alespoň jednou ročně.

(5) Osoba ve vedení funkce vnitřního auditu informuje o zjištěných skutečnostech řídicí orgán a v případě potřeby nebo na vyžádání také kontrolní orgán, přičemž z rozhodnutí tohoto orgánu nebo na důvodný návrh osoby ve vedení funkce vnitřního auditu se může jednat o zvláštní kontrolní činnost kontrolního orgánu. V případě zjištění, která mohou významným způsobem záporně ovlivnit finanční situaci povinné osoby, dá osoba ve vedení funkce vnitřního auditu podnět k mimořádnému zasedání kontrolního orgánu, které se může uskutečnit z rozhodnutí tohoto orgánu nebo na důvodný návrh osoby ve vedení funkce vnitřního auditu, jako zvláštní kontrolní činnost kontrolního orgánu. Odpovědnost vedoucího orgánu není dotčena.

§ 50

(1) Povinná osoba zavede mechanismus pro interní hlášení pracovníků o porušení nebo hrozícím porušení požadavků stanovených touto vyhláškou, zákonem, který tato vyhláška provádí, nařízením nebo jinými relevantními předpisy včetně vnitřních, včetně mechanismů pro sdělování konkrétních obav pracovníků ohledně funkčnosti a efektivnosti řídicího a kontrolního systému nebo některé jeho součásti, mimo běžné informační toky, zajistí pro všechny pracovníky soustavnou a spolehlivou dostupnost mechanismu a právo na zachování důvěrnosti zdroje informací v případě, že pracovník mechanismu využije.

(2) Povinná osoba zajistí vhodný způsob vyřizování hlášení pracovníků podle odstavce 1 a dostatečně transparentní sledování a vyhodnocování opatření případně přijatých na jejich základě.

(3) Povinná osoba zajistí v případě, že pracovník využije mechanismu podle odstavce 1, plnou ochranu dotčeného pracovníka, zejména před nerovným jednáním, odvetným opatřením nebo jiným nespravedlivým zacházením.

§ 51

Vyhodnocování funkčnosti a efektivnosti řídicího a kontrolního systému

(1) Povinná osoba nastaví systém odhalování a ohlašování nedostatků řídicího a kontrolního systému tak, že pokrývá uceleně a propojeně všechny řídicí a organizační úrovně a veškeré činnosti povinné osoby a umožňuje včasnou nápravu nedostatků.

(2) Povinná osoba zajistí, že nedostatky řídicího a kontrolního systému nebo některé z jeho součástí odhalené kontrolním orgánem, po linii řízení, v rámci vnitřního auditu nebo na základě jiné vnitřní kontroly, auditorem nebo jiným způsobem jsou bez zbytečného odkladu oznámeny příslušné řídicí úrovni a řešeny v přiměřené době.

(3) Povinná osoba zajistí, že významné nedostatky řídicího a kontrolního systému nebo některé z jeho součástí jsou oznámeny vedoucímu orgánu a výboru pro audit a případnému dalšímu relevantnímu výboru a řešeny bez zbytečného odkladu.

(4) Povinná osoba vhodným způsobem následně ověřuje účinnost přijatých nápravných opatření.