(1) Institute müssen über Folgendes verfügen:
- a. ein gut dokumentiertes System für die Bewertung und Steuerung operationeller Risiken, das eng in die täglichen Risikomanagementprozesse integriert ist, fester Bestandteil des Prozesses zur Überwachung und Kontrolle des Risikoprofils des Instituts in Bezug auf operationelle Risiken ist und bei dem die Verantwortungsbereiche klar zugewiesen sind. Im Rahmen des Systems für die Bewertung und Steuerung operationeller Risiken werden die Exponiertheiten des Instituts gegenüber operationellen Risiken ermittelt und werden relevante Daten zu operationellen Risiken, einschließlich Daten zu wesentlichen Verlusten, nachverfolgt;
- b. eine von den Geschäfts- und operativen Einheiten des Instituts unabhängige Funktion für die Steuerung operationeller Risiken;
- c. ein System zur Berichterstattung an die Geschäftsleitung, in dessen Rahmen maßgeblichen Funktionen innerhalb des Instituts über das operationelle Risiko Bericht erstattet wird;
- d. ein System für regelmäßige Überwachung und Berichterstattung in Bezug auf Exponiertheiten gegenüber operationellen Risiken und erlittene Verluste sowie Verfahren für das Ergreifen geeigneter Korrekturmaßnahmen;
- e. Verfahren zur Gewährleistung der Einhaltung und Grundsätze für den Umgang mit Fällen von Nichteinhaltung;
- f. regelmäßige Überprüfungen der Prozesse und Systeme des Instituts für die Bewertung und Steuerung operationeller Risiken, die von internen oder externen Prüfern vorgenommen werden, welche über das notwendige Wissen verfügen;
- g. solide und wirkungsvolle interne Validierungsprozesse;
- h. transparente und zugängliche Datenflüsse und Prozesse im Zusammenhang mit dem System für die Bewertung operationeller Risiken des Instituts.