Rozporządzenie Ministra Finansów, Funduszy i Polityki Regionalnejz dnia 8 czerwca 2021 r.w sprawie systemu zarządzania ryzykiem i systemu kontroli wewnętrznej oraz polityki wynagrodzeń w bankach 1)Minister Finansów, Funduszy i Polityki Regionalnej kieruje działem administracji rządowej - instytucje finansowe, na podstawie § 1 ust. 2 pkt 3 rozporządzenia Prezesa Rady Ministrów z dnia 6 października 2020 r. w sprawie szczegółowego zakresu działania Ministra Finansów, Funduszy i Polityki Regionalnej (Dz. U. poz. 1719). Spis treści Treść rozporządzenia Rozdział 1 - Przepisy ogólne Rozdział 2 - System zarządzania ryzykiem Rozdział 3 - Polityka wynagrodzeń Rozdział 4 - System kontroli wewnętrznej Rozdział 5 - Procedury anonimowego zgłaszania naruszeń prawa oraz obowiązujących w banku procedur i standardów etycznych Rozdział 6 - Zasady zarządzania ryzykiem płynności i finansowania Rozdział 7 - Przepisy dostosowujące i końcowe Treść rozporządzenia 2)Niniejsze rozporządzenie w zakresie swojej regulacji: 1) wdraża dyrektywę Parlamentu Europejskiego i Rady 2019/878 z dnia 20 maja 2019 r. zmieniającą dyrektywę 2013/36/UE w odniesieniu do podmiotów zwolnionych, finansowych spółek holdingowych, finansowych spółek holdingowych o działalności mieszanej, wynagrodzeń, środków i uprawnień nadzorczych oraz środków ochrony kapitału (Dz. Urz. UE L 150 z 07.06.2019, str. 253); 2) służy stosowaniu rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniającego rozporządzenie (UE) nr 648/2012 (Dz. Urz. UE L 176 z 27.06.2013, str. 1, Dz. Urz. UE L 208 z 02.08.2013, str. 68, Dz. Urz. UE L 321 z 30.11.2013, str. 6, Dz. Urz. UE L 165 z 04.06.2014, str. 31, Dz. Urz. UE L 355 z 12.12.2014, str. 6, Dz. Urz. UE L 11 z 17.01.2015, str. 37, Dz. Urz. UE L 143 z 09.06.2015, str. 7, Dz. Urz. UE L 328 z 12.12.2015, str. 108, Dz. Urz. UE L 151 z 08.06.2016, str. 4, Dz. Urz. UE L 171 z 29.06.2016, str. 153, Dz. Urz. UE L 336 z 10.12.2016, str. 36, Dz. Urz. UE L 20 z 25.01.2017, str. 4, Dz. Urz. UE L 144 z 07.06.2017, str. 14, Dz. Urz. UE L 310 z 25.11.2017, str. 1, Dz. Urz. UE L 322 z 07.12.2017, str. 27, Dz. Urz. UE L 345 z 27.12.2017, str. 27, Dz. Urz. UE L 347 z 28.12.2017, str. 1, Dz. Urz. UE L 137 z 04.06.2018, str. 3, Dz. Urz. UE L 309 z 05.12.2018, str. 1, Dz. Urz. UE L 111 z 25.04.2019, str. 4, Dz. Urz. UE L 150 z 07.06.2019, str. 1, Dz. Urz. UE L 314 z 05.12.2019, str. 1, Dz. Urz. UE L 328 z 18.12.2019, str. 1, Dz. Urz. UE L 204 z 26.06.2020, str. 4, Dz. Urz. UE L 84 z 11.03.2021, str. 1 oraz Dz. Urz. UE L 116 z 06.04.2021, str. 25). Na podstawie art. 9f ust. 1 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz. U. z 2020 r. poz. 1896, 2320 i 2419 oraz z 2021 r. poz. 432, 680 i 815) zarządza się, co następuje: Rozdział 1 Przepisy ogólne § 1. Rozporządzenie określa: 1) szczegółowy sposób funkcjonowania w bankach systemu zarządzania ryzykiem i systemu kontroli wewnętrznej, w tym tryb anonimowego zgłaszania wskazanemu członkowi zarządu lub rady nadzorczej naruszeń prawa oraz obowiązujących w banku procedur i standardów etycznych; 2) szczegółowy zakres polityki wynagrodzeń, w tym polityki wynagrodzeń stosowanej w ograniczonym zakresie, oraz sposób jej ustalania. § 2. 1. System zarządzania ryzykiem, system kontroli wewnętrznej, polityka wynagrodzeń i procedury anonimowego zgłaszania naruszeń prawa oraz obowiązujących w banku procedur i standardów etycznych funkcjonują w banku na podstawie strategii zarządzania bankiem, strategii zarządzania ryzykiem, polityk, procedur i planów. 2. System zarządzania ryzykiem oraz system kontroli wewnętrznej odnoszą się do działalności prowadzonej bezpośrednio przez bank oraz uwzględniają funkcjonowanie banku w holdingach, o których mowa w art. 141f ust. 1 pkt 1 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe, zwanej dalej „ustawą - Prawo bankowe”, oraz w systemach ochrony, o których mowa w art. 2 pkt 6 ustawy z dnia 7 grudnia 2000 r. o funkcjonowaniu banków spółdzielczych, ich zrzeszaniu się i bankach zrzeszających (Dz. U. z 2021 r. poz. 102 i 680), zwanych dalej „systemami ochrony”. § 3. 1. System zarządzania ryzykiem i system kontroli wewnętrznej, funkcjonujące w banku, obejmują trzy niezależne poziomy: 1) pierwszy, na który składa się zarządzanie ryzykiem w działalności operacyjnej banku; 2) drugi, na który składa się co najmniej zarządzanie ryzykiem przez pracowników banku zatrudnionych na stanowiskach związanych z zarządzaniem ryzykiem lub w komórkach organizacyjnych, niezależnie od zarządzania ryzykiem, o którym mowa w ust. 2, oraz działalność komórki do spraw zgodności; 3) trzeci, na który składa się działalność komórki audytu wewnętrznego. 2. Na każdym z trzech poziomów, o których mowa w ust. 1, pracownicy banku w związku z wykonywaniem obowiązków służbowych stosują mechanizmy kontrolne, o których mowa w § 37 ust. 1, lub niezależnie monitorują przestrzeganie mechanizmów kontrolnych. 3. W przypadku banków będących uczestnikami systemu ochrony mechanizmy kontrolne na poziomie trzecim oraz niezależne monitorowanie ich przestrzegania stosuje bank zrzeszający zarządzający tym systemem albo zarządzająca tym systemem ochrony jednostka zarządzająca tym systemem, o której mowa w art. 22d ust. 1 pkt 2 ustawy z dnia 7 grudnia 2000 r. o funkcjonowaniu banków spółdzielczych, ich zrzeszaniu się i bankach zrzeszających, zwana dalej „jednostką zarządzającą”. § 4. Zarząd banku projektuje, wprowadza oraz zapewnia działanie systemu zarządzania ryzykiem, w tym procedur anonimowego zgłaszania naruszeń prawa oraz systemu kontroli wewnętrznej, opracowuje i wdraża politykę wynagrodzeń oraz dokonuje przeglądów obowiązujących w banku procedur i standardów etycznych, w szczególności przez: 1) zapewnienie struktury organizacyjnej dostosowanej do wielkości i profilu ponoszonego ryzyka i umożliwiającej skuteczne wykonywanie zadań; 2) opracowanie, przyjęcie i powiązanie strategii zarządzania bankiem z systemem zarządzania ryzykiem, systemem kontroli wewnętrznej oraz polityką wynagrodzeń; 3) opracowanie, przyjęcie i wdrożenie strategii, polityk, procedur i planów, zgodnie z przyjętymi zasadami legislacji wewnętrznej, w tym polityk i procedur, na podstawie których w banku ma funkcjonować system zarządzania ryzykiem, oraz monitorowanie ich przestrzegania; 4) ustanowienie odpowiednich zasad raportowania, w tym zasad raportowania zarządu do rady nadzorczej oraz przez jednostki organizacyjne banku, komórki organizacyjne banku oraz stanowiska organizacyjne banku o rodzajach i wielkości ryzyka w działalności, w sposób umożliwiający monitorowanie poziomu ryzyka w banku; 5) zapewnienie przejrzystości działań banku oraz przyjęcie i wprowadzenie zasad polityki informacyjnej; 6) wprowadzanie niezbędnych korekt systemu zarządzania ryzykiem w przypadku zmiany wielkości i profilu ryzyka w działalności banku oraz czynników otoczenia gospodarczego lub wykrycia nieprawidłowości w funkcjonowaniu systemu zarządzania. § 5. Zarząd banku zapewnia zgodność działania banku z obowiązującymi przepisami prawa, regulującymi działalność banku, z uwzględnieniem działania banku na podstawie przepisów prawa państwa innego niż Rzeczpospolita Polska i powiązań banku z innymi podmiotami, które mogłyby utrudnić skuteczne zarządzanie bankiem. § 6. 1. Rada nadzorcza, sprawując nadzór nad wprowadzeniem systemu zarządzania ryzykiem, w tym procedur anonimowego zgłaszania naruszeń prawa, systemu kontroli wewnętrznej, polityki wynagrodzeń oraz obowiązujących w banku procedur i standardów etycznych, oraz oceniając ich adekwatność i skuteczność, w szczególności: 1) wybiera członków zarządu posiadających odpowiednie kwalifikacje do sprawowania wyznaczonych im funkcji do wykonywania powierzonych im zadań z zakresu systemu zarządzania ryzykiem i systemu kontroli wewnętrznej; 2) zatwierdza przyjętą przez zarząd strategię zarządzania bankiem oraz nadzoruje jej przestrzeganie; 3) monitoruje skuteczność czynności wykonywanych przez członków zarządu w związku z realizacją ich zadań w zakresie systemu zarządzania; 4) nadzoruje przestrzeganie w banku polityk, procedur i planów. 2. W przypadku banków będących uczestnikami systemu ochrony nadzór nad działalnością komórki audytu wewnętrznego systemu ochrony sprawuje organ nadzorujący system ochrony w rozumieniu art. 22e ust. 3 pkt 2 ustawy z dnia 7 grudnia 2000 r. o funkcjonowaniu banków spółdzielczych, ich zrzeszaniu się i bankach zrzeszających. Rozdział 2 System zarządzania ryzykiem § 7. 1. W ramach systemu zarządzania ryzykiem bank zarządza ryzykiem przez identyfikację, pomiar lub ocenę, monitorowanie, kontrolę, w tym ograniczanie ryzyka, oraz raportowanie o ryzyku wraz z oceną skuteczności podjętych działań ograniczających ryzyko. 2. Zarządzanie ryzykiem w banku jest realizowane na podstawie odpowiednich analiz niezależnie od funkcjonowania systemu zarządzania ryzykiem w banku na podstawie strategii, polityk, procedur i planów. 3. W ramach kontroli ryzyka bank zabezpiecza się przed ryzykiem lub je ogranicza, wprowadzając odpowiednie do skali i złożoności działalności banku mechanizmy kontroli ryzyka, w szczególności w postaci limitów, o których mowa w § 14. § 8. Zarząd banku w ramach zadań, o których mowa w § 7 ust. 1, w szczególności: 1) określa bieżącą i przyszłą gotowość banku do podejmowania ryzyka; 2) wprowadza podział zadań, realizowanych w banku, zapewniając niezależność zarządzania ryzykiem na pierwszym poziomie, o którym mowa w § 3 ust. 1 pkt 1, od zarządzania ryzykiem na drugim poziomie, o którym mowa w § 3 ust. 1 pkt 2; 3) nadzoruje zarządzanie ryzykiem na pierwszym i drugim poziomie, o których mowa w § 3 ust. 1 pkt 1 i 2; 4) nadzoruje wielkość i profil ryzyka w banku, w tym ryzyka związanego z działalnością podmiotów zależnych, z uwzględnieniem funkcjonowania banku w holdingach, o których mowa w art. 141f ust. 1 pkt 1 ustawy - Prawo bankowe. § 9. Członek lub członkowie zarządu banku, o których mowa w art. 22a ust. 4 ustawy - Prawo bankowe, odpowiadają w szczególności za: 1) nadzór nad zarządzaniem ryzykiem na drugim poziomie w zakresie, o którym mowa w § 3 ust. 1 pkt 2; 2) dostarczanie zarządowi i radzie nadzorczej banku kompleksowych informacji na temat ryzyka. § 10. Rada nadzorcza w ramach nadzoru sprawowanego nad wprowadzeniem systemu zarządzania ryzykiem oraz oceny adekwatności i skuteczności tego systemu, w szczególności: 1) zatwierdza określony przez zarząd banku akceptowalny ogólny poziom ryzyka oraz monitoruje jego przestrzeganie; 2) zatwierdza przyjętą przez zarząd banku strategię zarządzania ryzykiem oraz monitoruje jej przestrzeganie; 3) nadzoruje opracowanie, przyjęcie i wdrożenie polityk i procedur, na podstawie których funkcjonować ma w banku system zarządzania ryzykiem; 4) nadzoruje wykonywanie obowiązków, o których mowa w § 8 i § 9; 5) zatwierdza zasady raportowania do rady nadzorczej o rodzajach i wielkości ryzyka w działalności, po uprzednim przedstawieniu propozycji przez zarząd, w sposób umożliwiający nadzorowanie systemu zarządzania ryzykiem w banku; 6) dokonuje corocznej oceny adekwatności i skuteczności systemu zarządzania ryzykiem. § 11. W ramach nadzoru nad systemem zarządzania ryzykiem rada nadzorcza może zlecić bieżące monitorowanie systemu zarządzania ryzykiem komitetowi do spraw ryzyka, o którym mowa w art. 9cb ust. 1 pkt 2 ustawy - Prawo bankowe, lub połączonemu komitetowi, o którym mowa w art. 9cb ust. 5 tej ustawy. § 12. 1. Bank stosuje metody identyfikowania, pomiaru lub oceny ryzyka, monitorowania, kontroli i ograniczania ryzyka, raportowania o ryzyku związanym z jego działalnością wraz z oceną skuteczności działań ograniczających ryzyko, dostosowane do wielkości banku i profilu ryzyka jego działalności. 2. Częstotliwość pomiaru lub oceny ryzyka jest dostosowana do wielkości banku i profilu ryzyka jego działalności. 3. Stosowane przez bank metody pomiaru lub oceny ryzyka uwzględniają aktualnie prowadzoną i planowaną działalność banku oraz kryteria udzielania zezwoleń, o których mowa w art. 329 ust. 1, art. 352 ust. 1 i art. 358 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych oraz zmieniającego rozporządzenie (UE) nr 648/2012 (Dz. Urz. UE L 176 z 27.06.2013, str. 1, z późn. zm.3)Zmiany wymienionego rozporządzenia zostały ogłoszone w Dz. Urz. UE L 208 z 02.08.2013, str. 68, Dz. Urz. UE L 321 z 30.11.2013, str. 6, Dz. Urz. UE L 165 z 04.06.2014, str. 31, Dz. Urz. UE L 355 z 12.12.2014, str. 6, Dz. Urz. UE L 11 z 17.01.2015, str. 37, Dz. Urz. UE L 143 z 09.06.2015, str. 7, Dz. Urz. UE L 328 z 12.12.2015, str. 108, Dz. Urz. UE L 151 z 08.06.2016, str. 4, Dz. Urz. UE L 171 z 29.06.2016, str. 153, Dz. Urz. UE L 336 z 10.12.2016, str. 36, Dz. Urz. UE L 20 z 25.01.2017, str. 4, Dz. Urz. UE L 144 z 07.06.2017, str. 14, Dz. Urz. UE L 310 z 25.11.2017, str. 1, Dz. Urz. UE L 322 z 07.12.2017, str. 27, Dz. Urz. UE L 345 z 27.12.2017, str. 27, Dz. Urz. UE L 347 z 28.12.2017, str. 1, Dz. Urz. UE L 137 z 04.06.2018, str. 3, Dz. Urz. UE L 309 z 05.12.2018, str. 1, Dz. Urz. UE L 111 z 25.04.2019, str. 4, Dz. Urz. UE L 150 z 07.06.2019, str. 1, Dz. Urz. UE L 314 z 05.12.2019, str. 1, Dz. Urz. UE L 328 z 18.12.2019, str. 1, Dz. Urz. UE L 204 z 26.06.2020, str. 4, Dz. Urz. UE L 84 z 11.03.2021, str. 1 oraz Dz. Urz. UE L 116 z 06.04.2021, str. 25.), zwanego dalej „rozporządzeniem nr 575/2013”. § 13. 1. W ramach pomiaru ryzyka bank przeprowadza testy warunków skrajnych. 2. Testy warunków skrajnych są przeprowadzane w banku na podstawie założeń zapewniających rzetelny pomiar lub ocenę ryzyka. § 14. 1. W ramach kontroli ryzyka bank stosuje limity dostosowane do wielkości banku i profilu ryzyka jego działalności. 2. Dla każdego istotnego ryzyka jest ustanawiany strategiczny limit na poziomie banku. W przypadku pozostałych zidentyfikowanych ryzyk ewentualna decyzja o nieustanowieniu limitu jest dokumentowana i odpowiednio uzasadniona. W przypadku ryzyk trudno mierzalnych limity ryzyka są wyrażane za pomocą miar jakościowych. 3. Przyjęte rodzaje limitów oraz ich wysokość zatwierdza zarząd banku lub odpowiednie komitety powołane przez zarząd banku. W przypadku strategicznych limitów decyzja zarządu jest przekazywana radzie nadzorczej. 4. Bank określa w procedurach zasady ustalania i aktualizowania wysokości limitów, o których mowa w ust. 1, oraz częstotliwość monitorowania ich przestrzegania i raportowania o wynikach tego monitoringu. 5. Wysokość limitów, o których mowa w ust. 1, jest dostosowana do zaakceptowanego przez radę nadzorczą akceptowalnego ogólnego poziomu ryzyka. 6. Analizy będące podstawą do określenia wysokości limitów są dokumentowane. § 15. W ramach kontroli ryzyka bank określa sposób postępowania w przypadku przekroczenia limitów, o których mowa w § 14 ust. 1, sposoby wyeliminowania tego przekroczenia oraz środki mające na celu zapobieżenie ich przekroczeniu w przyszłości. W przypadku przekroczenia strategicznego limitu zarząd banku niezwłocznie przekazuje radzie nadzorczej informację o takim przypadku wraz z informacją o podjętych lub planowanych działaniach naprawczych. § 16. Monitorowanie ryzyka odbywa się z częstotliwością umożliwiającą dostarczanie radzie nadzorczej, zarządowi i innym wskazanym przez zarząd jednostkom organizacyjnym, komórkom organizacyjnym oraz stanowiskom organizacyjnym banku informacji o zmianach wielkości banku i profilu ryzyka jego działalności. § 17. 1. W banku funkcjonuje system sprawozdawczości zarządczej, wspomagający proces decyzyjny w zakresie zarządzania ryzykiem w banku, na który składa się w szczególności raportowanie o ryzyku. 2. Raportowanie o ryzyku: 1) zawiera rzetelne, dokładne i aktualne dane oraz dostarcza wykorzystywanych w zarządzaniu ryzykiem informacji na temat wielkości banku i profilu ryzyka jego działalności; 2) służy ocenie skutków decyzji w zakresie zarządzania ryzykiem w banku i monitorowaniu przestrzegania limitów, o których mowa w § 14 ust. 1. § 18. Realizując strategię zarządzania ryzykiem, bank wprowadza i aktualizuje polityki i procedury zarządzania ryzykiem, określające w szczególności: 1) w zakresie ryzyka kredytowego i kontrahenta: a) wewnętrzne metody pozwalające na dokonanie identyfikacji i pomiaru ryzyka kredytowego ekspozycji wobec poszczególnych dłużników, papierów wartościowych lub pozycji sekurytyzacyjnych oraz ryzyka kredytowego na poziomie portfela; metody te nie mogą opierać się wyłącznie lub w mechaniczny sposób na zewnętrznych ocenach wiarygodności kredytowej; jeżeli dla celów obliczania wymogów kapitałowych bank stosuje oceny sporządzane przez zewnętrzne instytucje oceny wiarygodności kredytowej lub wymóg kapitałowy oparty jest na fakcie nieposiadania takiej oceny przez ekspozycję, bank nie jest zwolniony z uwzględnienia dodatkowo innych istotnych informacji przy ocenie poziomu utrzymywanego kapitału wewnętrznego, b) kryteria oceny zdolności kredytowej klientów banku, umożliwiające ograniczanie ryzyka kredytowego związanego z produktami i usługami, które bank oferuje, c) zasady dywersyfikacji portfela ekspozycji kredytowych, dostosowane do ustalonego przez bank dopuszczalnego poziomu ryzyka kredytowego, z uwzględnieniem rynków, na których działa bank, d) zasady zarządzania ryzykiem kredytowania w walutach obcych, za które uznaje się rzeczywiste lub potencjalne zagrożenie dla wyników i kapitałów banku związane z kredytami w walutach obcych udzielanymi kredytobiorcom niezabezpieczonym, rozumianym jako kredytobiorcy detaliczni lub małe i średnie przedsiębiorstwa, nieposiadający dochodu w walucie kredytu lub zabezpieczenia finansowego w postaci instrumentu finansowego, którzy są narażeni na niedopasowanie walutowe między walutą kredytu a walutą zabezpieczenia, e) system klasyfikacji ekspozycji kredytowych do kategorii ryzyka i tworzenia rezerw na ryzyko związane z działalnością banku, zgodnie z przepisami wydanymi na podstawie art. 81 ust. 2 pkt 8 lit. c ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2021 r. poz. 217), lub system identyfikacji ekspozycji kredytowych, które utraciły wartość, dokonywania odpisów aktualizujących z tytułu utraty wartości bilansowych ekspozycji kredytowych i tworzenia rezerw na pozabilansowe ekspozycje kredytowe, f) zasady zarządzania ryzykiem rozliczenia lub dostawy, za które uznaje się ryzyko, że instrumenty dłużne, instrumenty kapitałowe, waluty obce lub towary, z wyjątkiem transakcji odkupu i transakcji udzielania lub zaciągania pożyczek papierów wartościowych lub towarów, pozostaną nierozliczone po ustalonych datach rozliczenia albo dostawy, g) zasady zarządzania ryzykiem wynikającym z mniejszej niż założona przez bank skuteczności stosowanych w banku technik ograniczania ryzyka kredytowego; 2) stanowiące część zasad dotyczących zarządzania ryzykiem kredytowym w zakresie ryzyka koncentracji, zarówno na poziomie jednostkowym, jak i skonsolidowanym, z uwzględnieniem dużych ekspozycji, rozumianych zgodnie z art. 392 rozporządzenia nr 575/2013, oraz z uwzględnieniem wartości ekspozycji obliczonej zgodnie z art. 389, art. 390 oraz art. 429 ust. 4 rozporządzenia nr 575/2013 zasady: a) zarządzania ryzykiem koncentracji z tytułu ekspozycji wobec każdego kontrahenta, w tym kontrahentów centralnych, grup powiązanych kontrahentów i kontrahentów działających w tym samym sektorze gospodarki, regionie geograficznym, prowadzących tę samą działalność lub obrót takimi samymi towarami, ekspozycji denominowanych w tej samej walucie lub indeksowanych do tej samej waluty, a także z tytułu stosowania technik ograniczenia ryzyka kredytowego oraz zarządzania ryzykiem koncentracji związanym z dużymi pośrednimi ekspozycjami kredytowymi, takimi jak pojedynczy wystawca zabezpieczenia, uwzględniające zapewnienie spójności w odniesieniu do polityki kredytowej, polityki w zakresie inwestycji kapitałowych oraz polityki w zakresie transakcji pozabilansowych, b) zarządzania ryzykiem koncentrac