R-2013/2092 Stockholm den 10 januari 2014 Till Finansinspektionen FI Dnr 11-11528, 12-4167 Sveriges advokatsamfund har genom remiss den 25 november 2013 beretts tillfälle att avge yttrande över Förslag till regler om hantering av operativa risker samt nya regler om it-system, informationssäkerhet och insättningssystem i kreditinstitut och värdepappersbolag. Advokatsamfundet har inga principiella invändningar mot det remitterade förslaget samt välkomnar att de föreslagna föreskrifterna och allmänna råden bygger på internationellt erkända standarder särskilt eftersom Finansinspektionen (FI) genom författningstexten klargör vilka sådana standarder som FI betraktar som normativa för instituten. Advokatsamfundet har emellertid vissa allmänna synpunkter, liksom vissa mer detaljerade synpunkter, på den föreslagna författningstexten. Allmänna synpunkter En av de största riskerna torde vara bristande lönsamhet, inte minst på grund av svårigheterna för instituten att reducera sina kostnader i takt med att intäkterna sjunker. 1 På individuell institutnivå torde olönsamma institut vara mindre stabila, ha svårare att erhålla kapital, ha svårare att attrahera lämplig personal och ha svårare att på ett gott sätt ta hand om kundernas intressen. Regleringar som är kostnadsdrivande för instituten bör därför noga övervägas och kalibreras, så att kostnaderna kan försvaras i ljuset av nyttan. 1 Se R J Herring, The Basel 2 Approach To Bank Operational Risk: Regulation On The Wrong Track, ICMA Centre Discussion Paper (2002) s. 6.
2 Kostnaderna påverkar också den systemiska stabiliteten. Olönsamma institut torde inte endast vara mindre stabila, eftersom de förfogar över mindre resurser än lönsamma institut deras större svårigheter att erhålla kapital och lämpligt kapital bidrar dessutom till att öka den systemrisk som det individuella institutet kan utgöra. Kostnader som inte kan motiveras av nyttan kan också snedvrida konkurrensen och leda till en mindre effektiv finansiell sektor, med negativa konsekvenser för samhällsekonomin och kunderna (t.ex. genom högre avgifter, en mindre produkt- och tjänsteutbud och resursslöseri). Det är därför av stor betydelse att de föreslagna författningarna tillämpas proportionellt. I avsnitt 6.2.2 diskuterar FI de administrativa kostnaderna av de föreslagna författningarna. Advokatsamfundet efterlyser mer information om hur FI har kommit fram till kostnadsanalysen, t.ex. vad gäller den uppskattade tidsåtgången för att ta fram interna regler motsvarande den föreslagna regleringens krav. Förslaget ger intrycket av att FI föreställer sig att reglerna skulle tas fram av en person under en arbetsvecka om 40 timmar. Detta förefaller vara helt orealistiskt även för mindre institut. I större och mer komplexa organisationer kommer dessutom den troliga kostnaden vida överstiga den av FI framräknade. Advokatsamfundet menar också att de löpande kostnaderna efter den första implementeringen torde bli betydande, eftersom dessa kostnader uppkommer inom i princip hela organisationen löpande och tills nya regler införs. Den ackumulerade kostnaden torde därför kunna bli betydande. Kostnadsaspekten är särskilt framträdande när det gäller utläggning av verksamhet. Om utläggning av verksamhet begränsas i för hög utsträckning kommer detta att leda till omotiverat höga kostnader för instituten. Utläggningen kan också vara ett viktigt sätt för instituten att säkra tillgång till högsta kvalitet på de funktioner som har lagts ut, eftersom utläggningen medger en högre grad av specialisering hos den som tillhandahåller den utlagda tjänsten. De föreslagna författningarna föreslås träda i kraft den 1 maj 2014 och inga övergångsbestämmelser föreslås. Det torde därför finnas mycket lite tid för instituten att om så behövs anpassa sin verksamhet efter de nya reglerna. Detta utgör naturligtvis ett problem. Advokatsamfundet noterar att FI på ett förtjänstfullt sätt under arbetet med de föreslagna författningarna har samrått inte endast med Riksbanken samt Myndigheten för samhällsskydd och beredskap, utan också med branschens intresseorganisationer. I den mån det som nu föreslås ligger i linje med vad som redan allmänt tillämpas i branschen t.ex. på grundval av de ovan nämnda internationella standarderna utgör den korta anpassningstiden ett mindre problem. Om däremot förslagen utgör betydande förändringar kanske främst för de mindre instituten som i stor utsträckning inte är medlemmar i branschorganisationerna och därför inte har haft möjlighet att på ett tidigare stadium lämna synpunkter och anpassa sin verksamhet förutsätter Advokatsamfundet att FI i sin tillsynspraxis hanterar institutens behov av anpassningstid på ett pragmatiskt och rimligt sätt.
3 I litteraturen om riskhantering i finansiella institut varnas för att riskhanteringen kan bli en för specialiserad stödfunktion i stället för en integrerad del av ledningen av företaget. 2 Advokatsamfundet välkomnar att FI tydligt anger var i institutens organisation ansvaret för att de operativa riskerna hanteras ligger nämligen på styrelsen. I författningstext förekommer ofta att ansvaret läggs på bolaget eller institutet, utan att därvid anges vilket organ som har huvudansvaret. Av FI:s sanktionspraxis framgår att FI i ökande grad under de senaste åren har ålagt institutens styrelser ett övergripande ansvar för att instituten har verksamma compliance-system. Frågor som är av strategisk betydelse eller som driver institutens kapitalkrav torde principiellt alltid ligga på styrelsen. Åtminstone sedan införandet av Basel II har instituten varit skyldiga att kvantifiera sina operativa risker och avsätta visst kapital för att motsvara dessa risker. De operativa riskerna är mycket heterogena, inte sällan idiosynkratiska och låter sig inte på något enkelt och entydigt sätt definitionsmässigt eller operativt differentieras från motpartsrisker respektive marknadsrisker. 3 För att kvantifieringen inte ska bli i grunden missvisande förutsätts att det som kvantifieras är tillräckligt homogent för att kvantifieringens homogena perspektiv inte döljer viktig information. Kvantifieringen av operativa risker enligt i princip samma grundläggande linjer som kvantifieringen av kreditrisk och marknadsrisk har kritiserats såsom i grunden vilseledande. Richard J Herring har t.ex. påpekat att: In contrast to credit risk and market risk, there is no compelling rationale for setting a capital charge for operational risk. Institutions can increase the option value of deposit insurance by taking bigger market or credit risks since larger risks may yield larger returns. Risk sensitive capital requirements thus have a direct impact on incentives to take greater risks. But operational risk is downside risk only. Taking more operational risk does not enhance the option value of deposit insurance. It is simply a kind of expense that institutions try to minimize to the extent that it is cost effective to do so. These two different species of risk are best dealt with in two different ways. 4 Det är inte självklart att kvantitativa kapitalkrav är det mest verkningsfulla sättet att hantera operativa risker. De problem som uppkommer på grund av att operativa risker realiseras (såsom i det också av FI anförda exemplet med Barings Bank 1995) har i allmänhet inte berott på att de drabbade instituten har haft otillräckligt kapital utan på att de har haft otillräcklig intern kontroll. Som Herring påpekar: Appropriate policies, procedures and processes are the most direct way of dealing with internal events, and insurance is the most effective way of dealing with external events. These are the sorts of issues that are best dealt with in the supervisory process rather than through an extended but essentially arbitrary exercise in capital regulation. 5 2 Se J. Pézier, Operational Risk Management, ICMA Centre Discussion Paper in Finance 2002-21 s. 1. 3 Se t.ex. R. Hanemann, A. Schneider & Th. Weigl, Mindestanforderungen an das Risikomanagment (MaRisk), 4 upp (2013) s. 1052. 4 Se a a s. 7. 5 Se a a s. 10.
4 Eftersom unionsrätten, som här bygger på Basel II, kräver kvantifiering av operativa risker kan FI självklart inte underlåta att utöva tillsyn över de kvantitativa riskmåtten och kraven. Advokatsamfundet vill emellertid understryka behovet av att FI i sin tillsyn utvecklar ett sätt att meningsfullt utöva tillsyn över institutens kvalitativa riskhantering avseende operativa risker, dvs. över institutens praktiska arbete med den interna kontrollen. Kvantitativa kapitalkrav kan inom ramen för Pelare II användas som ett tillsynsinstrument för att ge instituten ekonomiska incitament för att förbättra det kvalitativa riskarbetet. Synpunkter på författningarnas närmare utformning FI diskuterar huruvida GL 44 respektive BCBS riktlinjer skulle behandlas i separata författningar (s. 18). Advokatsamfundet delar FI:s bedömning att det lämpligaste är att behandla dem tillsammans. Advokatsamfundet menar att det är angeläget att inte splittra upp FI:s föreskrifter för mycket redan däri ligger en operativ risk, eftersom det gör det svårare för tillämparna att hitta relevanta författningar. Det kan dock vara en fördel inte minst för internationellt verksamma svenska institut om FI t.ex. i sitt besluts-pm angav genom vilka individuella författningsbestämmelser vilka delar av de internationella standarderna har genomförts. FI föreslår att krav införs på rutiner för intern och extern kommunikation, som en del av kontinuitetshanteringen. Advokatsamfundet vill understryka att det är av vikt att riskregleringens bestämmelser om extern kommunikation inte leder till normkonflikter eller omotiverade komplikationer för de institut som också omfattas av de värdepappersmarknadsrättsliga reglerna om marknadskommunikation. När det gäller innehållet i 6 kap. i förslaget till föreskrifter och allmänna råd om hantering av operativa risker - har Advokatsamfundet följande synpunkter. I 6 kap. 3 föreslås att ett företag ska se till att personal som initierar och genomför affärstransaktioner under en tidsperiod inte ska få utföra sina arbetsuppgifter. Även personer på andra funktioner omfattas. Bestämmelsen som i och för sig är välmotiverad utifrån välkända erfarenheter av hur olika sorters bedrägliga beteenden har avslöjats i olika institut säkerställer att insynen i institutens affärer med nödvändighet inte begränsas till en eller ett fåtal personer med möjlighet att förhindra att missförhållanden upptäcks. Emellertid kan den tänkta regleringen inte anses förenlig med proportionalitetsprincipen. Bestämmelsen träffar exempelvis ett värdepappersbolag med ett fåtal anställda, som har tillstånd att ta emot och vidarebefordra order. Även sådana bolag ska under tio dagar stoppa de anställda från att göra sina vanliga arbetsuppgifter. Detta förefaller oproportionellt, särskilt som det torde vara uppenbart att CEBS i sina riktlinjer i praktiken endast velat kontrollera egenhandeln hårdare (se exempelvis avsnitt 16 i CEBS riktlinjer, där frånvarokravet motiveras med att frånvaron ska få till följd att traders are physically unable to mark or value their own books ). Advokatsamfundet menar att det inte finns några tungt vägande argument till stöd för tanken att reglering av denna art behöver införas för små värdepappersbolag med begränsad verksamhet.
5 Advokatsamfundet menar dessutom att det är mer ändamålsenligt att såvitt avser värdepappersbolag begränsa regleringen i 6 kap. till att endast omfatta sådana värdepappersbolag som har tillstånd enligt 2 kap. 1 3 lagen (2007:528) om värdepappersmarknaden. Vidare bör en proportionalitetsprincip skrivas in i det aktuella kapitlet, på samma sätt som har gjorts i exempelvis 3 kap. (se även avsnitt 10 i CEBS riktlinjer). Beträffande 1 kap. 3 förslaget till föreskrifter och allmänna råd om it-system, informationssäkerhet och insättningssystem har Advokatsamfundet följande synpunkter. Bestämmelsen ålägger instituten att tydligt ange var inom organisationen ansvaret för itsystemen och it-verksamheten ska ligga. Advokatsamfundet vill understryka att itfrågorna inte endast är av begränsad teknisk betydelse. Valet av it-system kan ha strategisk betydelse för ett institut och t.ex. påverka möjligheterna att göra en omorganisation, förvärv av andra företag och annan verksamhet respektive avyttring av verksamheter (de svårigheter som uppkom vad gäller it-systemen i samband med apoteksreformen är ett välkänt aktuellt exempel). Advokatsamfundet menar därför att det är viktigt att också institutens styrelser förstår och tar ansvar för åtminstone de affärsstrategiska och mest kostnadsdrivande aspekterna av institutens it-verksamhet. SVERIGES ADVOKATSAMFUND Anne Ramberg