1 Indledning

Tilsynsprioriteterne for 2025-27 afspejler ECB Banktilsyns mellemfristede strategi for de næste tre år. De udarbejdes af ECB's tilsynsråd, gennemgås en gang om året og bygger på en omfattende vurdering af de største risici og sårbarheder for enheder under tilsyn. De tager også højde for resultatet af tilsynskontrol- og vurderingsprocessen (SREP)^[1] og de fremskridt, der er gjort i forhold til de foregående års prioriteter. De understøtter en effektiv fordeling af de tilgængelige tilsynsressourcer og kan tilpasses fleksibelt, hvis ændringer i risikobilledet tilsiger det.

I løbet af det seneste år har den europæiske banksektor udvist modstandsdygtighed over for usikre eksterne forhold og vist, at den er i stand til fortsat at understøtte den økonomiske genopretning. De europæiske banker rapporterer om stærke kapital- og likviditetspositioner. Bankernes aktivkvalitet har generelt været robust i forhold til de mere udfordrende makrofinansielle forhold, idet deres lønsomhed er nået op på det højeste niveau siden oprettelsen af det europæiske banktilsyn, især som følge af højere renter.

Selvom bankernes balancer og risikoprofiler er robuste, kræves der forsigtighed på grund af de vedvarende store geopolitiske spændinger og den dermed forbundne usikkerhed om de makroøkonomiske udsigter. Enhederne under tilsyn hidtil har været i stand til at modstå de seneste geopolitiske stød, bl.a. understøttet af realøkonomiens generelle robusthed, men det er afgørende, at bankerne fortsat er årvågne og regelmæssigt vurderer de mulige konsekvenser af sådanne begivenheder for deres forretningsaktiviteter, operationer og risikoprofil. I den forbindelse er det fortsat en prioritet at afhjælpe mangler i bankernes rammer for kreditrisikostyring, navnlig i relation til tidlig identifikation af en forringet aktivkvalitet og anvendelse af et forsigtigt hensættelsesniveau. Endvidere er det vigtigt at forbedre rammerne for bankernes operationelle modstandsdygtighed for at styrke deres evne til at modstå eventuelle operationelle forstyrrelser som følge af pludseligt opståede begivenheder. De geopolitiske støds tværgående karakter kræver en holistisk tilsynsstrategi og særligt fokus på bankernes evne til at modstå sådanne stød inden for rammerne af tilsynsprioriteterne.

Samtidig skal bankerne yderligere styrke deres bestræbelser på effektivt at afhjælpe væsentlige mangler, som tilsynsmyndighederne har påpeget i tidligere konjunkturperioder, og afhjælpe dem rettidigt. På områder, som tidligere har været genstand for tæt tilsynskontrol, vil tilsynsmyndighederne fokusere deres bestræbelser på, at bankerne effektivt og rettidigt afhjælper konstaterede mangler. Det gælder især aggregering af risikodata og risikorapportering (RDARR). På trods af et mangeårigt samarbejde med tilsynsmyndighederne, og selvom det er anerkendt, at der er sket forbedringer, mangler nogle banker fortsat at håndtere væsentlige mangler. Desuden vil fuld overholdelse af tilsynsforventningerne i relation til bankernes styring af klima- og miljørelaterede risici fortsat være en prioritet.

Eftersom teknologiske fremskridt prioriteres stadig højere for banksektoren i fremtiden, er det afgørende, at bankerne styrker deres digitaliseringsindsats og foretager en forsigtig styring af risici som følge af indførelsen af nye teknologier. Selv om enheder under tilsyn gør fremskridt på dette område for at kunne øge deres konkurrenceevne i fremtiden, skal de være forberedt på nye risici som følge af digitaliseringen af deres operationer og tjenesteydelser. Det vil hjælpe dem til at øge deres forretningsmodellers bæredygtighed og sætte dem i stand til at høste fordelene ved innovative teknologier.

På denne baggrund fokuserer tilsynsprioriteterne for 2025-27 på bankernes modstandsdygtighed over for umiddelbare makrofinansielle trusler og alvorlige geopolitiske stød (Prioritet 1), vigtigheden af rettidig afhjælpning af kendte væsentlige mangler (Prioritet 2) og behovet for at håndtere udfordringer som følge af den digitale omstilling og nye teknologier (Prioritet 3). Hver prioritet er rettet mod et antal specifikke sårbarheder i banksektoren – kaldet "prioriterede sårbarheder" – for hvilke der er fastsat specifikke strategiske mål og udarbejdet arbejdsprogrammer. Risicienes indbyrdes afhængighed afspejles i arbejdsprogrammernes udformning med det formål at styrke effektiviteten og virkningen af tilsynsmyndighedernes samarbejde med bankerne. Figur 1 viser fem centrale sårbarheder i bankerne og det særlige fokus på geopolitiske risici, som disse tre overordnede prioriteter søger at afhjælpe.

Figur 1

Tilsynsprioriteter for 2025-27, der adresserer identificerede sårbarheder i banker

Hovedformålet med ECB Banktilsyns strategiske planlægning er at udvikle en sund strategi for de næste tre år. Tilsynsprioriteterne fremmer effektiviteten og konsekvensen i de fælles tilsynsteams planlægningsarbejde og understøtter en mere effektiv ressourceallokering i overensstemmelse med de tilsvarende risikotoleranceniveauer. Tilsynsprioriteterne bidrager også til, at de nationale tilsynsmyndigheder bliver i stand til – på en forholdsmæssig måde – at opstille deres egne prioriteter for tilsynet med mindre signifikante institutter. En gennemsigtig formidling af prioriteterne præciserer også tilsynsforventningerne til bankerne, øger tilsynets indvirkning på banksektorens evne til at øge sin modstandsdygtighed og bidrager til at sikre lige konkurrencevilkår.

ECB Banktilsyn vil fortsat overvåge og vurdere både i) udviklingen i risici og sårbarheder i enheder under tilsyn og ii) de fremskridt, som bankerne gør med gennemførelsen af tilsynsprioriteterne. Regelmæssig gennemgang af de strategiske prioriteter giver ECB Banktilsyn fleksibilitet til i nødvendigt omfang at tilpasse sit fokus og sine aktiviteter, så de svarer til ændringerne i risikobilledet.

I de næste afsnit uddybes resultatet af risikoidentifikations- og risikovurderingsprocessen i 2024, og tilsynsprioriteterne og de underliggende arbejdsprogrammer for 2025-27 beskrives. Tilsynsmyndighederne vil også udføre andre regelmæssige aktiviteter og opfølgning af tidligere prioriteter som led i deres løbende samarbejde med bankerne og som supplement til arbejdet med de tre prioriteter for 2025-27.

2 Risikovurdering og tilsynsprioriteter for 2025-27

2.1 Makroøkonomiske og operationelle forhold for enheder under tilsyn

Mens væksten i realt BNP i euroområdet er begyndt at stige gradvis, og inflationspresset fortsat er aftagende, er vækstudsigterne på kort sigt fortsat afdæmpede og forbundet med betydelig geopolitisk og politisk usikkerhed^[2]. Det økonomiske opsving i moderat tempo i euroområdet i 2024 kunne hovedsagelig tilskrives servicesektoren, mens fremstillingssektoren fortsat er svag^[3]. De nyeste indikatorer viser en svagere vækst på kort sigt og en betydelig usikkerhed, mens realvæksten i BNP forventes at stige på mellemlangt sigt. Opsvinget forventes at blive styrket som følge af stigninger i forbrugernes disponible realindkomst (som vil understøtte det private forbrug), styrkelsen af den udenlandske efterspørgsel og den aftagende dæmpende effekt af tidligere pengepolitiske stramninger^[4]. Samtidig er HICP-inflationen aftaget og forventes at nå målet i fremskrivningsperioden. Kerneinflationen ventes også at fortsætte med at falde, men den ligger fortsat lidt højere end den samlede HICP-inflation på kort sigt.

Risiciene i tilknytning til vækstudsigterne er fortsat nedadrettede på mellemlangt sigt på grund af den øgede usikkerhed. Trods forventninger om en tilbagevenden til moderat vækst er sandsynligheden for, at der opstår halebegivenheder, tilsyneladende højere end for et år siden, fordi de geopolitiske risici er øget^[5]. Voksende geopolitiske spændinger (fx som følge af krigen i Ukraine og konflikten i Mellemøsten) og den stigende afglobaliseringstendens kan få energipriserne og fragtomkostningerne til at stige på kort sigt og forstyrre den globale handel – hvilket igen vil påvirke vækstudsigterne for euroområdet negativt og få inflationspresset til at stige igen^[6]. Samtidig kan ekstreme vejrbegivenheder og overgangen til en lavemissionsøkonomi få inflationen – især fødevareprisinflationen – til at stige^[7].

Ud over indvirkningen på de generelle vækst- og inflationsudsigter forventes geopolitiske risici og de strukturelle udfordringer som følge af den klimarelaterede overgang og den digitale omstilling af det finansielle system også at få en direkte indvirkning på banksektoren. Geopolitiske stød kan forværre risiciene for ledelse, operationer og forretningsmodeller, navnlig igennem finansielle sanktioner eller cyberangreb. Desuden kan der være væsentlige konsekvenser for risikoprofilerne, især i situationer, hvor bankerne har store direkte eller indirekte eksponeringer i balancen over for modparter, der er berørt af de tilsvarende risici. Samtidig er de klima- og miljørelaterede risicis betydning for det finansielle system og økonomien generelt vokset, hvilket har medvirket til at forme bankernes operationelle forhold. På grund af bankernes væsentlige eksponering for klimarelaterede fysiske risici og omstillingsrisici er de tvunget til at tilpasse sig de mere gennemgribende konsekvenser af klima- og miljøkriser, som potentielt kan føre til en kaotisk omstilling og yderligere forværre de fysiske skader^[8]. Desuden kræver den igangværende teknologiske omstilling af økonomien, at bankerne handler proaktivt for at fremskynde digitaliseringsindsatsen, forbedre risikostyringspraksissen og imødegå den voksende konkurrence fra finansielle institutioner, som ikke er banker.

Den gunstige prisfastsættelse af risici på de finansielle markeder i det seneste år kan medføre pludselige stemningsskift på markedet og revurdering af aktivpriserne som følge af negative overraskelser. Det gradvise opsving i den økonomiske aktivitet og forventninger om pengepolitiske lempelser har medført øget risikovillighed, lavere risikopræmier og flere måneder med forholdsvis afdæmpet volatilitet på aktiemarkederne. Disse forhold kan sammen med usikkerhed om den fremtidige vækst og inflation i verdens største økonomier bane vejen for pludselige korrektioner af aktivpriserne og større volatilitet på de globale finansielle markeder, hvis de makroøkonomiske udsigter forværres, eller hvis der opstår geopolitiske stød^[9]. Det illustreres af det bratte og kortvarige fald på de globale finansielle markeder i begyndelsen af august – med negative økonomiske overraskelser i USA og bekymring over de stigende renter i Japan, der udløste en pludselig reaktion imod risikotagning.

2.2 Tilsynsprioriteter for 2025-27

Prioritet 1: Bankerne skal styrke deres evne til at modstå umiddelbare makrofinansielle trusler og alvorlige geopolitiske stød.

Den vedvarende usikkerhed om de makroøkonomiske udsigter og de geopolitiske truslers stigende omfang nødvendiggør en øget tilsynskontrol med bankernes evne til at modstå eventuelle relaterede stød. På grund af de vedvarende nedadrettede risici for vækstudsigterne i euroområdet og den store usikkerhed er det endnu vigtigere at tage højde for andre scenarier end basisscenariet og overveje forskellige udviklingsforløb for den økonomiske vækst og renterne. Bankerne skal effektivt afhjælpe de mangler, der er konstateret inden deres rammer for kreditrisikostyring, rettidigt identificere en eventuel forringelse af aktivernes kvalitet og opretholde tilstrækkelige hensættelser. Den makroøkonomiske udvikling kan påvirke risikoen for bankernes eksponeringer over for ikke-finansielle selskaber, fx små og mellemstore virksomheder (SMV'er). Desuden kan de påvirke risiciene i forbindelse med eksponeringer over for finansielle institutioner, som ikke er banker, herunder som følge af afsmitning fra stød til denne sektor. Derfor vil disse spørgsmål også fortsat være i fokus i de fremtidige tilsynsaktiviteter.

På grund af de geopolitiske risicis tværgående karakter kan disse føre til en negativ makrofinansiel udvikling og påvirke de bredere operationelle forhold for bankerne. De kan udgøre en direkte trussel mod bankernes operationelle modstandsdygtighed, især når de fører til øgede IT- og cybersikkerhedsrisici og dermed kræver en målrettet tilsynsindsats i de kommende år for at afhjælpe relaterede mangler. I erkendelse af de mange forskellige transmissionskanaler for geopolitiske risici vil tilsynsmyndighederne gennemføre forskellige målrettede initiativer for at øge opmærksomheden og styrke bankernes modstandsdygtighed over for disse stød. Den EU-dækkende stresstest i 2025, som koordineres af Den Europæiske Banktilsynsmyndighed (EBA), er et sådant initiativ.

Prioriteret sårbarhed: Mangler i rammerne for styring af kreditrisici

Strategisk mål: Bankerne skal rettidigt identificere eventuelle forringelser af aktivernes kvalitet og afspejle disse i forsigtige hensættelser og kapitalniveauer. De skal også intensivere deres bestræbelser på rettidigt og effektivt at afhjælpe relevante mangler, som tilsynsmyndighederne har påpeget.

De europæiske husholdninger og virksomheder har hidtil vist stor modstandsdygtighed over for de ændrede makroøkonomiske forhold og skiftet mod højere renter. Robuste balancer og det gradvise økonomiske opsving i euroområdet bidrager til at understøtte udsigterne for virksomhederne, mens boligmarkederne forventes at forblive modstandsdygtige, understøttet af lav arbejdsløshed, reallønsstigninger og forventninger om yderligere rentenedsættelser. Bankernes misligholdte lån er dog begyndt at stige, om end i et ret langsomt tempo, og der ses en mere udtalt udvikling for porteføljer, som er mere sårbare over for de aktuelle makrofinansielle forhold – navnlig erhvervsejendomme og SMV-porteføljer. På trods af denne tendens er bankernes dækningsgrad fortsat med at falde, også for mere risikobetonede segmenter, delvis som følge af den fortsatte afgang af gamle misligholdte lån. Den langsomme stigning i dækningsgraden for nye misligholdte lån og svage (stadie 2) lån^[10] derfor anledning til bekymring om, at bankernes hensættelser muligvis ikke i tilstrækkelig grad afspejler potentielle nye risici eller de nedadrettede risici, som skyldes de svage økonomiske udsigter og de udfordrende geopolitiske forhold.

Tilsynsaktiviteterne har sat fokus på vedvarende mangler i bankernes IFRS 9-rammer, som viser, at nogle banker stadig ikke lever op til tilsynforventningerne på dette område. I de seneste to år har tilsynsmyndighederne foretaget to horisontale vurderinger med fokus på bankernes evne til at afspejle nye risici i deres modeller for forventet kredittab. Disse vurderinger viser, at bankerne har gjort fremskridt, når det gælder at afspejle nye risici, især i relation til klima- og miljørelaterede risici. Fremskridtene inden for visse nye risici, fx geopolitiske risici, har dog været utilstrækkelige^[11]. Tilsynsmyndighederne er også fortsat med at foretage inspektioner på stedet, hvor der ses på kreditrisiko, og i nogle institutter har man foretaget konklusioner i relation til fx parametre for modeller for forventet kredittab, stagnation og hensættelsesunderskud. SREP 2024 fremhævede desuden vedvarende mangler på områder som hensættelser, oprettelse af lån, klassificering og (fornyet) vurdering af sikkerhedsstillelse^[12].

Fremadrettet vil ECB Banktilsyn fortsætte overvågningen af bankernes evne til rettidigt at identificere forringelser af aktivkvaliteten og anvende en passende hensættelsespraksis. I den sammenhæng vil tilsynsmyndighederne fokusere på brugen af overlay og dækningen af nye risici, herunder geopolitiske risici. I opfølgningsfasen vil tilsynsmyndighederne fortsat samarbejde med bankerne for at sikre en effektiv og rettidig afhjælpning af konklusionerne fra tidligere tilsynsperioder og anvende alle tilgængelige foranstaltninger til at nå dette mål^[13]. Samtidig vil målrettede inspektioner på stedet fortsat fokusere på långivningsmodeller og -politikker i fx porteføljer med SMV'er og detail- og erhvervsejendomme. Tilsynsmyndighederne vil også vurdere bankernes tidlige identifikation og håndtering af potentielle nødlidende låntagere i sårbare porteføljer, navnlig i form af en målrettet gennemgang af bankernes SMV-porteføljer.

Hovedaktiviteter som en del af arbejdsprogrammet for disse tilsynsprioriteter

• Opfølgningsfase til den målrettede gennemgang af IFRS 9, der bl.a. fokuserer på anvendelsen af overlay og dækning af nye risici (herunder geopolitiske risici). Tilsynsmyndighederne overvåger bankernes fremskridt i relation til tidligere konklusioner, følger op på afhjælpningen af disse og foretager eskaleringsforanstaltninger i nødvendigt omfang.
• Forlængelse af inspektioner på stedet vedrørende kreditrisiko med fokus på IFRS 9's kollektive stadiefastsættelse og hensættelser for virksomheder/SMV'er, porteføljer af detail- og erhvervsejendomme, herunder værdiansættelse af sikkerhedsstillelse.
• Målrettet gennemgang af SMV-porteføljer med fokus på tidlig identifikation og håndtering af potentielle nødlidende låntagere, SMV-modeller og styring af eksponering mod SMV'er.

Prioriteret sårbarhed: Mangler i rammerne for operationel modstandsdygtighed i relation til IT-outsourcing og IT-sikkerheds-/cyberrisici

Strategisk mål: Bankerne skal overholde de retlige krav, der følger af forordningen om digital operationel modstandsdygtighed (DORA), for så vidt angår IKT-risikostyring, indberetning af hændelser, afprøvning af digital operationel modstandsdygtighed og tredjepartsudbydere. De skal øge indsatsen for rettidigt og effektivt at afhjælpe tidligere konstaterede mangler, navnlig i relation til styring af cybersikkerheds- og outsourcingrisici.

Stigende cybertrusler og afhængighed af fælles tredjepartsudbydere udgør fortsat store udfordringer for bankerne. Antallet af væsentlige cyberhændelser indberettet af enhederne under tilsyn steg kraftigt i 2023 og forblev på et tilsvarende niveau i de første tre kvartaler af 2024. Den igangværende digitalisering af bankernes tjenester og operationer samt optrapningen af de geopolitiske spændinger (som har øget risikoen for angreb fra statsejede grupper)^[14] har begge spillet en vigtig rolle i den kraftige stigning i cyberhændelser i de seneste to årtier^[15]. Desuden melder bankerne om øget afhængighed af tredjepartsudbydere af kritiske funktioner, idet næsten alle institutter anvender cloudtjenester til outsourcede kritiske aktiviteter^[16]. En høj grad af koncentration i brugen af tredjeparts-IT-udbydere kan yderligere forværre afsmitningen og øge de potentielle systemiske konsekvenser af cyberhændelser^[17].

De utilfredsstillende SREP-scorer for operationel risiko og resultaterne af tilsynsaktiviteterne inden for cyberrobusthed og outsourcingstyring bekræfter manglerne i bankernes operationelle rammer og behovet for at rette op på dem. I SREP 2024 var operationel risiko fortsat området med den dårligste gennemsnitlige score, og IKT-relaterede elementer var den primære drivkraft^[18]. På outsourcingområdet har tilsynsmyndighederne konstateret, at mere end 10 % af de kontrakter, der dækker kritiske funktioner, ikke er i overensstemmelse med de relevante forordninger^[19]. I den sammenhæng bør bankerne vurdere koncentrationsrisici i relation til specifikke udbydere, geografiske placeringer (i lyset af de øgede geopolitiske risici) og funktionaliteter og styre disse risici i overensstemmelse hermed samt vurdere og styre risikoen for potentielle afledte effekter på tværs af flere sektorer som følge af banknetværkenes indbyrdes forbundne karakter.

Stresstesten af cyberrobusthed i 2024 viste, at bankerne generelt har indført rammer for reaktion og genopretning på højt niveau. Stresstesten afslørede imidlertid også vigtige områder, hvor der var behov for forbedringer, herunder rammer for forretningskontinuitet, planlægning af reaktioner på hændelser, sikre backup og administration af tredjepartsudbydere^[20]. Tilsynsmyndighederne vil således følge op på mangler i forbindelse med bankernes evne til at komme sig efter et vellykket cyberangreb^[21]. På denne baggrund vil tilsynsmyndighederne fortsætte de seneste års indsats med at gennemføre målrettede gennemgange og initiativer til vurdering af bankernes operationelle robusthed og deres overholdelse af de relevante tilsynsforventninger og lovgivningsmæssige krav (navnlig kravene i DORA, som træder i kraft fra januar 2025).

Hovedaktiviteter som en del af arbejdsprogrammet for disse tilsynsprioriteter

• Indsamling af data om tredjepartsudbydere af IKT-tjenester med henblik på at identificere forbindelser mellem enheder under tilsyn og tredjepartsudbydere, mulige koncentrationsrisici samt svagheder i bankernes outsourcingordninger
• Målrettede gennemgange af risikostyringsrammer for outsourcingrisici samt af rammerne for cyberrobusthed og risikostyring
• Opfølgende arbejde på konklusioner fra stresstest af cyberrobusthed
• Målrettede inspektioner på stedet af operationelle risici og rammer for IT-robusthed
• Gennemførelse af DORA inden for de tilsynsmæssige rammer

Særligt fokus: Indarbejdelse af styringen af geopolitiske risici i tilsynsprioriteterne

Den seneste optrapning af geopolitiske spændinger kræver, at bankerne indfører en robust risikostyring og risikobegrænsning, og nødvendiggør øget tilsynskontrol på kort og mellemlangt sigt.

Eftersom de geopolitiske risici er af en tværgående karakter, vil bankernes robusthed, strategier og risikostyring blive vurderet ved hjælp af forskellige aktiviteter. For det første indgår den geopolitiske risiko i ovennævnte prioriterede aktiviteter i forbindelse med bankernes styring af kreditrisiko og operationel risiko. Desuden vil tilsynsmyndighederne vurdere de risikostyringsprocesser og rammer for risikovillighed, som bankerne anvender til at overvåge og afbøde geopolitiske risici. Det vil ske ved hjælp af målrettede benchmarkingtiltag vedrørende risikovillighed og risikokultur med fokus på at afspejle de konsekvenser, som geopolitiske risici har for bankernes rammer for risikoidentifikation og risikovillighed. Geopolitiske risici bliver desuden et centralt element i den EU-dækkende stresstest i 2025, som vil omfatte en forberedende scenarieanalyse til vurdering af bankernes evne til at modellere modpartsrisiko under stress.

For at styrke bankernes forståelse af, hvordan de håndterer geopolitiske risici, og yderligere præcisere tilsynsforventningerne på området vil tilsynsmyndighederne gennemgå den nuværende praksis, herunder med fokus på rammer for risikostyring, kapital- og likviditetsplanlægning og interne stresstest.

Prioritet 2: Bankerne skal effektivt og rettidigt afhjælpe vedvarende væsentlige mangler

Det gradvise skift i fokus fra risikoidentifikation til afhjælpning af risici er et centralt element i tilsynsstrategien inden for rammerne af SSM. Banker med uløste væsentlige mangler vil derfor blive bedt om at øge indsatsen for fuldt ud at leve op til tilsynsforventningerne og rettidigt gennemføre robuste korrigerende handlingsplaner. Tidligere års omfattende tilsynsaktiviteter har ført til, at der er konstateret væsentlige mangler med hensyn til i) bankernes forretningsstrategier og styring af klima- og miljørelaterede risici og ii) deres RDARR-kapaciteter. På baggrund af nye risici (herunder geopolitiske risici) er det yderst vigtigt, at bankerne har indført tilstrækkelige og effektive RDARR-rammer til, at de kan sikre rettidig beslutningstagning og effektiv strategisk styring. ECB Banktilsyn anerkender, at der allerede er gjort store fremskridt på dette område, men afhjælpningsprocessen er endnu ikke afsluttet, og den vil kræve opfølgning i de kommende tilsynsperioder.

Prioriteret sårbarhed: Mangler i forretningsstrategier og risikostyring i relation til klima- og miljørelaterede risici

Strategisk mål: Bankerne skal fuldt ud leve op til tilsynsforventningerne i relation til styring af klima- og miljørisici samt kravene i den nye bankpakke CRR3/CRD6 (herunder dem, der vedrører tilsynsmæssige overgangsplaner) og afhjælpe de konstaterede mangler rettidigt.

Bankernes evne til at styre klima- og miljørelaterede risici i tilstrækkelig grad står fortsat højt på tilsynsdagsordenen på grund af stigende fysiske risici og overgangsrisici, og fordi bankerne endnu ikke fuldt ud opfylder de tilhørende tilsynsforventninger, og de nye krav, der følger af ikrafttrædelsen af den nye bankpakke i 2025. De stigende fysiske risici afspejler den fortsatte stigning i de globale temperaturer (hvor 2024 forventes at blive det varmeste år, der nogensinde er målt), og at antallet af klimarelaterede katastrofer (fx naturbrande og oversvømmelser) er steget kraftigt i de seneste år. Samtidig giver det langsomme fremskridt mod at nå nulemissionsmålene anledning til bekymring med hensyn til omstillingsrisici. En stor procentdel af de globale børsnoterede selskaber er ikke tilpasset den retning, der skal følges for at reducere den globale opvarmning til 2 °C eller derunder^[22]. Hvad angår banksektoren, så viser en ny vurdering, at 90 pct. af de banker, der er undersøgt, stadig ikke er i overensstemmelse med EU's klimamål, hvilket ikke blot øger deres eksponering for højere kreditrisikoniveauer, men fx også for juridiske risici, hvis der ikke sker en yderligere anvendelse af god praksis til at imødegå disse risici^[23]. Samtidig er 70 pct. af de europæiske banker eksponeret for omdømmerisici på grund af risikoen for miljørelaterede retstvister^[24].

Tilsynsvurderinger viser, at bankerne stadig arbejder på at overholde tilsyns forventningerne til styringen af klima- og miljørelaterede risici^[25]. De fleste – men ikke alle – bankerne under ECB's tilsyn gjorde en stor indsats for at gøre fremskridt med deres væsentlighedsvurderinger inden fristen i marts 2023. For de banker, hvor dette ikke var tilfældet, eskalerede ECB processen yderligere ved at udstede bindende tilsynsafgørelser med mulighed for at pålægge tvangsbøder, hvis bankerne ikke overholdt de fastsatte tidsfrister^[26]. En vurdering fra december 2023 – som var den fastsatte frist for indarbejdelse af klima- og miljørelaterede risici i bankernes ledelse, strategier og risikostyring – viste, at de grundlæggende rammer for klima- og miljørelaterede risici generelt var på plads, men at de manglede i en række banker (hvor tilsynsmyndighederne nu foretager opfølgning). Samtidig er der stadig svagheder, som svækker en hensigtsmæssig styring af klima- og miljørelaterede risici. De er blevet meddelt i yderligere breve med feedback til bankerne, og ECB overvåger fortsat de relevante institutters fremskridt tæt. Tilsynsmyndighederne vil også holde et vågent øje med, at bankerne overholder den endelige frist ultimo 2024 for fuld overholdelse af tilsynsforventningerne, herunder vedrørende integration i den interne procedure til vurdering af kapitalgrundlaget samt stresstest.

Tilsynsvurderinger og inspektioner på stedet vil også fremover belyse, om bankernes strategier og styring af klima- og miljørelaterede risici er tilstrækkelige, og om de er i overensstemmelse med kommende lovmæssige ændringer. Vurderingen af de oplysninger, som enhederne under tilsyn har offentliggjort under søjle 3, har vist, at der er betydelige muligheder for forbedring^[27]. I takt med at bankernes offentliggørelsespraksis modnes, vil tilsynsmyndighederne fortsat regelmæssigt gennemgå og vurdere, om denne praksis er tilstrækkelig. Den kommende bankpakke CRR3/CRD6 vil pålægge strengere oplysningskrav og kræve, at bankerne udarbejder planer for tilsynsmæssig overgang, som skal revideres af tilsynsmyndighederne i overensstemmelse med EBA's kommende retningslinjer. Desuden vil klima- og miljørelaterede risici fortsat blive vurderet ved inspektioner på stedet. De vil blive udført både selvstændigt og som led i visse risikospecifikke inspektioner, og tilsynsmyndighederne vil foretage dybdegående undersøgelser af bankernes evne til at imødegå risici for forringelse af omdømme og retstvister.

Hovedaktiviteter som en del af arbejdsprogrammet for disse tilsynsprioriteter

• Overvågning af fuld opfyldelse af tilsynsforventninger og gennemførelse af eskaleringstrappen
• Horisontal vurdering af bankernes overholdelse af oplysningskravene under søjle 3 vedrørende miljømæssige, sociale og ledelsesmæssige (ESG) risici
• Dybdegående undersøgelser af bankernes evne til at håndtere risikoen for forringelse af omdømme og retstvister i forbindelse med klima- og miljørelaterede forpligtelser.
• Gennemgang af bankernes overgangsplanlægning i overensstemmelse med forventede mandater fra CRD6
• Målrettede inspektioner på stedet med fokus på klima- og miljørelaterede aspekter, enten alene eller som led i planlagte gennemgange af individuelle risici (fx risici relateret til kredit, operationer og forretningsmodel).

Prioriteret sårbarhed: Mangler i aggregeringen og rapporteringen af risikodata

Strategisk mål: Bankerne bør øge deres bestræbelser på at afhjælpe langvarige mangler i deres RDARR-rammer og bringe deres praksis i overensstemmelse med tilsynsforventningerne. Hvis bankerne ikke lever op til tilsynsforventningerne, kan det udløse eskaleringstiltag.

De fremskridt, der er gjort med hensyn til at afhjælpe mangeårige mangler i RDARR-rammerne, er fortsat utilstrækkelige. Et betydeligt antal enheder under tilsyn opfylder stadig ikke fuldt ud tilsynsforventningerne og Baselkomiteen for Banktilsyns principper for effektiv aggregering af risikodata og risikorapportering. SREP 2024, som er den målrettede gennemgang af RDARR-kapacitet og kampagnen på stedet, har fremhævet svagheder i forbindelse med i) ledelsesorganernes inddragelse og ekspertise, ii) RDARR-rammernes omfang, iii) dataarkitekturens og IT-infrastrukturens tilstrækkelighed, iv) komplekse og fragmenterede IT-systemer og v) styring af datakvalitet.

I overensstemmelse med sidste års tilsynsprioriteter vil ECB Banktilsyn styrke indsatsen for at sikre, at enhederne under tilsyn overholder de tilsynsforventninger, der er fastsat i "Guide on effective risk data aggregation and risk reporting". Tilsynsmyndighederne vil yderligere øge presset på banker, der ikke retter op på mangler inden for de fastsatte frister, ved i relevant omfang gøre fuld brug af de tilsynsmæssige eskaleringsværktøjer (herunder sanktioner)^[28]. Denne afhjælpningsstrategi vil tage højde for bankernes individuelle forhold og vil blive tilpasset væsentligheden af de uløste mangler, deres position i afhjælpningsprocessen og deres historik for håndtering af tilsynsmæssige spørgsmål. Tilsynsmyndighederne vil også fortsætte den målrettede gennemgang af RDARR-kapaciteten og udføre målrettede inspektioner på stedet i tæt samarbejde med bankerne, når der konstateres mangler.

Hovedaktiviteter som en del af arbejdsprogrammet for disse tilsynsprioriteter

• Opfølgning på den målrettede gennemgang af RDARR-praksis og efterlevelse af de tilsynsforventninger, der er fastsat i "Guide on effective risk data aggregation and risk reporting" og afhjælpning af tidligere identificerede konklusioner, hvor eksisterende eskaleringsværktøjer i nødvendigt omfang udnyttes fuldt ud.
• Målrettede inspektioner på stedet, hvor der ses på overordnede spørgsmål vedrørende ledelse og IT-infrastruktur, kapacitet til aggregering af risikodata og risikorapporteringspraksis
• Ledelsesrapport om datastyring og datakvalitet – et årligt spørgeskema, der skal sikre, at bankernes ledelsesorganer er tilstrækkeligt ansvarlige for intern, finansiel og tilsynsrapportering

Prioritet 3: Bankerne skal styrke deres digitaliseringsstrategier og håndtere nye udfordringer som følge af anvendelsen af nye teknologier

Bankerne står over for mange strukturelle og langsigtede tendenser, og digitalisering er en af dem. De teknologiske fremskridt har resulteret i en hurtig tilpasning af mange brancher, herunder banksektoren, hvilket skaber mange nye forretningsmuligheder, men også nye udfordringer og risici for de etablerede aktører. Digital omstilling har fået høj prioritet for mange banker, der ønsker at forblive konkurrencedygtige, og det er afgørende, at disse banker har indført tilstrækkelige sikkerhedsforanstaltninger til at begrænse potentielle risici som følge af den nye forretningspraksis og de nye teknologier. I den sammenhæng spiller udfordringerne med cybertrusler også en central rolle, da fremskridt på digitaliseringsområdet kan underminere bankernes operationelle robusthed. På langt sigt forventes digitaliseringen at styrke bankernes konkurrenceevne, forbedre deres forretningsmodeller og gøre dem mere modstandsdygtige over for konkurrence fra aktører uden for banksektoren.

De hurtige fremskridt på teknologiområdet – fx fremkomsten af generativ kunstig intelligens (AI) – og de kraftige stigninger i anvendelsen af denne teknologi i banker (hvor kunstig intelligens fx anvendes i både tilsynsmæssige og ikke-tilsynsmæssige sammenhænge) kræver en struktureret tilgang. Banktilsynsmyndighederne er nødt til at udvikle målrettede strategier for bedre at kunne forstå bankernes reaktion på de strukturelle tendenser, der former deres sektors fremtid, fx digitale platforme, strategiske partnerskaber og brugen af kunstig intelligens. ECB støtter derfor en hensigtsmæssig styring af de risici, der er forbundet med digitalisering og indførelse af bedste praksis for branchen.

Prioriteret sårbarhed: Mangler i bankernes digitaliseringsstrategier

Strategisk mål: Bankerne bør styrke deres digitaliseringsstrategier og de dertil knyttede gennemførelsesplaner for at kunne foretage relevant afbødning af de underliggende risici, herunder risici som følge af anvendelsen af nye/avancerede teknologier såsom cloudtjenester og kunstig intelligens.

Enhederne under tilsyn har nydt godt af rekordhøje rentabilitetsniveauer, primært som følge af skiftet fra lavrenteforhold til positive renter, hvilket har øget nettorentemarginalen. Bankerne har gearet højere indtægter, samtidig med at de har begrænset omkostningsstigningerne, hvilket har forbedret rentabiliteten (som afspejlet i det seneste fald i forholdet mellem omkostninger og indtægter). Disse forbedringer hænger dog i høj grad sammen med eksogene faktorer relateret til de makrofinansielle forhold, som bankerne opererer under, mens der stadig er strukturelle udfordringer i relation til bankernes forretningsmodeller. På denne baggrund kan enheder under tilsyn opfordres til at udnytte disse uventede overskud til yderligere at fremme digitaliseringen og intensivere deres rammer for operationel robusthed.

I de seneste år har ECB Banktilsyn prioriteret vurderingen af risici i forbindelse med digitaliseringen af banksektoren. Tilsynsaktiviteter som markedsefterretninger, målrettede gennemgange og inspektioner på stedet har gjort det muligt at gøre status over bankernes gode praksis og identificere vigtige aspekter for en bæredygtig, veldrevet og risikobevidst styring af bankernes digitalisering. I juli 2024 offentliggjorde ECB Banktilsyn en rapport om centrale vurderingskriterier og god praksis for digitalisering^[29], som gav tilsynsmyndighederne det grundlag, de har brug for til at etablere en helhedsorienteret vurderingsramme for digitalisering. Fremadrettet vil ECB Banktilsyn fortsætte sin indsats på dette område og gennemføre målrettede inspektioner på stedet og gennemgange med fokus på nøgleteknologier, anvendelsesområder og forretningsområder med henblik på yderligere at øge forståelsen og fortsætte forbedringen af den tilsynsmæssige tilgang. Tilsynsmyndighederne vil samarbejde med bankerne for at følge op på deres konklusioner og følge en entydig eskaleringstilgang.

Hovedaktiviteter som en del af arbejdsprogrammet for disse tilsynsprioriteter

• Målrettede aktiviteter med fokus på den indvirkning, bankernes digitale aktiviteter har på deres forretningsmodeller/strategier og de risici, der følger af anvendelsen af innovative teknologier
• Målrettede inspektioner på stedet i forbindelse med digital omstilling, hvor der ses på både IT-relaterede og forretningsmodellerrelaterede aspekter af bankernes strategier

2.3 Yderligere tilsynsaktiviteter og opfølgning på tidligere prioriteter

Ud over de tilsynsprioriteter, der er skitseret for 2025-27, vil ECB Banktilsyn fortsat udføre andre regelmæssige aktiviteter og ad hoc-aktiviteter.

Opfølgende afhjælpende aktiviteter, der udføres som led i de regelmæssige tilsynsaktiviteter

Eftersom der er gennemført omfattende tilsynsrelaterede gennemgange i de foregående år, har nogle af de tidligere prioriteter nu nået et modent stadium, hvor det tilsynsmæssige fokus flyttes fra identifikation af de største sårbarheder til reel afhjælpning af de tilsvarende konklusioner. I dette afsnit gennemgås de fremskridt, der er gjort i de seneste år, og der sættes fokus på områder, hvor der stadig er behov for opmærksomhed, og hvor der vil blive fulgt op i form af regelmæssige tilsynsaktiviteter.

I de seneste tre år har tilsynsmyndighederne fokuseret på rammerne for bankernes kreditrisikostyring. Der er lagt særlig vægt på robustheden af porteføljer, som er mere følsomme over for den makrofinansielle situation og/eller er eksponeret for refinansieringsrisiko, fx porteføljer af bolig- og erhvervsejendomme. Som følge heraf har bankerne forbedret deres evne til at håndtere en potentiel kraftig stigning i antallet af nødlidende debitorer i ejendomsporteføljer. Nogle banker har dog stadig arbejde, der skal gøres, før de fx fuldt ud kan overholde EBA's retningslinjer for oprettelse og overvågning af lån, tage relevante hensyn til låntagernes refinansieringsrisici og foretage rettidig ajourføring af værdiansættelsen af sikkerhedsstillelse. Tilsynsmyndighederne er desuden fortsat med at gennemgå interne modeller, hvilket har resulteret i en lang række konklusioner og foranstaltninger vedrørende interne ratingbaserede modeller.

Den målrettede gennemgang af styring af modpartskreditrisiko, som blev gennemført i 2022, og de forskellige inspektioner på stedet, som er blevet gennemført i de seneste år, har afdækket væsentlige sårbarheder i bankernes risikostyringspraksis (stresstest, håndtering af misligholdelse og dokumentation osv.). Efter denne målrettede gennemgang har de pågældende banker fremlagt målrettede handlingsplaner med frist for endelig afhjælpning ultimo 2025. I oktober 2023 offentliggjorde ECB desuden en vejledning om forsvarlig praksis for ledelse og styring af modpartskreditrisiko^[30].

Der er også udført betydelige tilsynsaktiviteter i 2024 for at håndtere mangler i rammerne for forvaltning af aktiver og passiver. Der er foretaget målrettede gennemgange af mulighederne for likviditetsberedskab og optimering af sikkerhedsstillelse, gennemførligheden af finansieringsplaner, styring af og strategier for forvaltning af aktiver og passiver samt rente- og kreditspændsrisici. Disse har ført, at der er fundet mangler i bl.a. i) vurdering af sikkerhedsstillelse og monetarisering (ukendt belånbarhed af sikkerhedsstillelse for centralbanker, overdreven optimistisk tid til likviditet osv.), ii) forudsætninger anvendt til modellering af fremskrivninger for indlån (overdreven optimistisk fremtidig vækst i indlån, brug af forsimplede forudsætninger osv.), iii) backtesting af modeller til forvaltning af aktiver og passiver, validerings- og rekalibreringsprocesser, og iv) generelle rammer for forvaltning af aktiver og passiver (datastyring, informationsystemers tilpasningsevne, kalibrering af grænser i risikovillighedserklæringer osv.).

Håndtering af mangler i bankernes ledelsesorganers funktion har været en tilsynsprioritet siden 2020. Tilsynsaktiviteter (som har omfattet målrettede gennemgange af ledelsesorganers effektivitet og mangfoldighed, inspektioner på stedet og årlige dataindsamlingsøvelser) har afsløret væsentlige svagheder og kortlagt de fremskridt, der er gjort for at afhjælpe dem. Der er gjort fremskridt inden for mangfoldighed, men nogle banker viser fortsat svagheder, når det gælder kollektiv egnethed (herunder i relation til IT-ekspertise og bestyrelsens uafhængighed), successionsplanlægning samt udvalgenes funktion og sammensætning. Viden fra denne analyse har dannet grundlag for opdateringen af ECB's "Guide on governance and risk culture", som forventes offentliggjort i begyndelsen af 2025 og skitserer de tilsynsforventningerne til bankerne.

Fremadrettet vil tilsynsmyndighederne fokusere på at konsolidere og afhjælpe eksisterende konklusioner på ovennævnte områder med henblik på at sikre fuld overholdelse af de tilsynsmæssige og lovgivningsmæssige forventninger. Tilsynsmyndighederne vil følge op på konklusionerne af tilsynsaktiviteterne og samarbejde med relevante banker på individuelt grundlag med henblik på at håndtere uløste spørgsmål (navnlig mangeårige spørgsmål). Hvis afhjælpningstiltagene ikke er rettidige eller tilstrækkelige, kan tilsynsmyndighederne anvende eskaleringsstrategier og i nødvendigt omfang gøre fuld brug af de tilsynsværktøjer, som de har til rådighed.