Delegierte Verordnung (EU) 2018/959 der Kommission vom 14. März 2018 zur Ergänzung der Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates durch technische Regulierungsstandards zur Festlegung der Beurteilungsmethode, nach der die zuständigen Behörden Instituten die Verwendung fortgeschrittener Messansätze für operationelle Risiken gestatten (Text von Bedeutung für den EWR.)

Durchsuchbarer Text in vereinfachter Darstellung. Tabellen, Abbildungen und verbindliche Gestaltung bitte anhand der Originaldateien prüfen.

den und das Institut seine Verpflichtungen rechtzeitig erfüllt; ii) externe Gerichtskosten, sofern das zugrunde liegende Ereignis kein operationelles Risikoereignis ist. Für die Zwecke des Buchstaben a sind unter Gerichtsverfahren alle Beilegungen von Rechtsstreitigkeiten einschließlich Gerichtsverhandlungen und außergerichtlichen Einigungen zu verstehen. (2) Für die Zwecke dieses Artikels ist unter Rechtsvorschriften mindestens Folgendes zu verstehen: a) alle Anforderungen, die sich aus nationalem oder internationalem Recht und gesetzlichen Bestimmungen ergeben; b) alle Anforderungen, die sich aus vertraglichen Vereinbarungen, internen Regeln und Verhaltenskodizes ergeben und die mit den nationalen und internationalen Vorschriften und Praktiken im Einklang stehen; c) ethische Regeln. Artikel 4 Operationelle Risikoereignisse im Zusammenhang mit Modellrisiken Wenn die zuständigen Behörden beurteilen, ob ein Institut Daten zu operationellen Risikoereignissen und Verlusten im Zusammenhang mit Modellrisiken gemäß Artikel 3 Absatz 1 Nummer 11 der Richtlinie 2013/36/EU sowohl für die Steuerung des operationellen Risikos als auch für die Berechnung der AMA-Eigenmittelanforderungen identifiziert, sammelt und verarbeitet, bestätigen sie, a) dass mindestens eines der folgenden Ereignisse und die damit verbundenen Verluste, die sich aus Modellen ergeben, die für die Entscheidungsfindung verwendet werden, als operationelles Risiko klassifiziert werden: i) unsachgemäße Definition eines ausgewählten Modells und seiner Eigenschaften; ii) unzureichender Nachweis der Eignung eines ausgewählten Modells für das zu bewertende Finanzinstrument oder das Produkt, für das ein Preis festgesetzt werden soll, oder seiner Eignung für die jeweiligen Marktbedingungen; iii) Fehler bei der Umsetzung eines ausgewählten Modells; iv) falsche Marktbewertungen und Risikomessungen infolge eines Fehlers bei der Eingabe eines Geschäftsvorgangs in das Handelssystem; v) Verwendung eines ausgewählten Modells oder seiner Ergebnisse zu einem Zweck, für den es nicht vorgesehen oder konzipiert wurde, einschließlich einer Manipulation der Modellierungsparameter; vi) nicht zeitgenaue und unwirksame Überwachung der Modell-Performance, um festzustellen, ob das Modell weiterhin für den vorgesehenen Zweck geeignet ist. b) dass Ereignisse im Zusammenhang mit einer Unterschätzung der Eigenmittelanforderungen anhand interner Modelle, die von den zuständigen Behörden genehmigt wurden, nicht bei der Identifizierung, Sammlung und Verarbeitung von Daten zu operationellen Risikoereignissen und Verlusten im Zusammenhang mit Modellrisiken berücksichtigt werden. Artikel 5 Operationelle Risikoereignisse im Zusammenhang mit Finanztransaktionen und Marktrisiken Bei der Beurteilung der Identifizierung, Sammlung und Verarbeitung von Daten zu operationellen Risikoereignissen und Verlusten im Zusammenhang mit Finanztransaktionen und Marktrisiken durch ein Institut sowohl für die Steuerung des operationellen Risikos als auch für die Berechnung der AMA-Eigenmittelanforderungen bestätigen die zuständigen Behörden, dass mindestens die folgenden Ereignisse und die damit verbundenen Verluste als operationelle Risiken klassifiziert wurden: a) Ereignisse aufgrund von operationellen Fehlern und Fehlern bei der Dateneingabe wie: i) Fehler und Mängel bei der Einführung oder Ausführung von Aufträgen; ii) Datenverluste oder Missverständnisse beim Datenfluss zwischen den Abteilungen des Instituts; iii) Fehler bei der Klassifizierung; iv) falsche Spezifikationen von Geschäften im Termsheet, darunter Fehler im Zusammenhang mit Transaktionsbeträgen, Fälligkeiten und finanziellen Aspekten. b) Ereignisse aufgrund von Mängeln bei internen Kontrollen wie: i) Mängel bei der ordnungsgemäßen Ausführung eines Auftrags, um im Falle nachteiliger Preisschwankungen eine Marktstellung glatt zu stellen; ii) nicht genehmigte Positionen, die über die zugewiesenen Grenzen hinausgehen, im Zusammenhang mit allen Arten von Risiken. c) Ereignisse aufgrund unzureichender Datenqualität und mangelnder Verfügbarkeit eines IT-Umfelds, z. B. technische Defizite beim Zugang zum Markt, wodurch der Abschluss von Verträgen verhindert wird. Artikel 6 Qualität und Prüffähigkeit der Dokumentation (1) Die zuständigen Behörden prüfen die Qualität der Dokumentation im Zusammenhang mit den von einem Institut verwendeten AMA nach und bestätigen dazu mindestens, a) dass die Dokumentation von der zuständigen Führungsebene des Instituts genehmigt wurde; b) dass das Institut Standards vorgibt, um eine hohe Qualität der internen Dokumentation sicherzustellen; dazu gehört eine spezifische Verantwortlichkeit dafür, zu gewährleisten, dass die Dokumentation vollständig, konsistent, genau, aktuell, genehmigt und sicher ist; c) dass das Layout der Dokumentation in den unter Buchstabe b genannten Standards festgelegt ist, wobei mindestens folgende Punkte angegeben werden müssen: i) Art des Dokuments; ii) Urheber; iii) Überprüfer; iv) genehmigender Vertreter oder Eigentümer; v) Datum der Erstellung und der Genehmigung; vi) Versionsnummer; vii) Änderungshistorie des Dokuments. d) dass das Institut seine Grundsätze, Verfahren und Methoden sorgfältig dokumentiert. (2) Die zuständigen Behörden prüfen die Prüffähigkeit der Dokumentation im Zusammenhang mit den von einem Institut verwendeten AMA nach und bestätigen dazu mindestens, a) dass die Dokumentation ausreichend detailliert und genau ist, um eine Überprüfung der AMA durch Dritte zu ermöglichen; dazu gehören: i) das Verständnis der Gründe und Prozeduren, die der Erstellung des Dokuments zugrunde liegen; ii) das Verständnis des operationellen Risikomesssystems, um festzustellen, wie die AMA-Eigenmittelanforderungen funktionieren, welche Beschränkungen es gibt und was die wichtigsten Annahmen sind, und um zu ermöglichen, dass die Modellentwicklung reproduziert werden kann. KAPITEL 2 QUALITATIVE ANFORDERUNGEN ABSCHNITT 1 Governance Artikel 7 Steuerungsprozess für operationelle Risiken (1) Die zuständigen Behörden beurteilen die Wirksamkeit des AMA-Rahmenwerks eines Instituts für die Governance und die Steuerung operationeller Risiken sowie das Vorhandensein einer klaren Organisationsstruktur mit gut definierten, transparenten und konsistenten Verantwortungsbereichen, indem sie mindestens feststellen, a) dass das Leitungsorgan des Instituts die Governance operationeller Risiken, den Steuerungsprozess für operationelle Risiken und das operationelle Risikomesssystem diskutiert und bewilligt; b) dass das Leitungsorgan des Instituts folgende Punkte mindestens jährlich klar definiert und festlegt: i) die operationelle Risikotoleranz des Instituts; ii) die schriftliche Erklärung der operationellen Risikotoleranz des Instituts in Bezug auf Verluste aufgrund operationeller Risiken und Ereignisarten insgesamt, die qualitative und quantitative Messungen wie Schwellen- und Grenzwerte auf Grundlage von Parametern für Verluste aufgrund operationeller Risiken enthält, die das Institut bereit ist zu verkraften, um die strategischen Ziele und den Geschäftsplan zu erfüllen; es muss sichergestellt sein, dass die Erklärung im gesamten Institut verfügbar und für alle verständlich ist; c) dass das Leitungsorgan des Instituts die Einhaltung der Erklärung der operationellen Risikotoleranz gemäß Buchstabe b Ziffer ii durch das Institut kontinuierlich überwacht; d) dass das Institut einen laufenden Steuerungsprozess für operationelle Risiken anwendet, um operationelle Risiken, welche Misconduct umfassen, zu erkennen, zu beurteilen, zu messen, zu überwachen und zu melden, und dass es in der Lage ist, die Mitarbeiter, die für die Steuerung operationeller Risiken verantwortlich sind, zu benennen; e) dass die Informationen, die sich aus dem unter Buchstabe d genannten Prozess ergeben, an die zuständigen Ausschüsse und Exekutivorgane des Instituts weitergegeben werden und dass die Entscheidungen dieser Ausschüsse den Personen mitgeteilt werden, die innerhalb des Instituts für das Sammeln, die Kontrolle, die Überwachung und die Steuerung operationeller Risiken verantwortlich sind, sowie an die Personen, die für Aktivitäten verantwortlich sind, die ein operationelles Risiko darstellen können; f) dass das Institut die Wirksamkeit der Governance operationeller Risiken, des Steuerungsprozesses für operationelle Risiken und das Messsystem für operationelle Risiken mindestens jährlich überprüft; g) dass das Institut die Ergebnisse der unter Buchstabe f genannten Überprüfung der zuständigen Behörde mindestens jährlich mitteilt. (2) Für die Zwecke der in Absatz 1 genannten Beurteilung berücksichtigen die zuständigen Behörden die Auswirkungen der Governance-Struktur für operationelle Risiken auf das Niveau und die Kultur in Bezug auf die Steuerung operationeller Risiken unter den Mitarbeitern des Instituts, und zwar mindestens Folgendes: a) die Sensibilisierung der Mitarbeiter des Instituts in Bezug auf die Grundsätze und Verfahren für operationelle Risiken; b) den internen Prozess des Instituts im Hinblick auf Probleme mit dem Aufbau und der Wirksamkeit des AMA-Rahmenwerks. Artikel 8 Unabhängige Risikomanagement-Funktion für operationelle Risiken (1) Die zuständigen Behörden beurteilen die Unabhängigkeit der Risikomanagement-Funktion für operationelle Risiken von den Geschäftseinheiten des Instituts, indem sie mindestens feststellen, a) dass die Risikomanagement-Funktion für operationelle Risiken die folgenden Aufgaben getrennt von den Geschäftsbereichen des Instituts erfüllt: i) die Konzeption, Entwicklung, Umsetzung, Wartung und Aufsicht des Steuerungsprozesses für operationelle Risiken und des Messsystems für operationelle Risiken; ii) die Analyse des operationellen Risikos im Zusammenhang mit der Einführung und Entwicklung neuer Produkte, Märkte, Geschäftsbereiche, Prozesse, Systeme und wesentlicher Änderungen bestehender Produkte; iii) die Aufsicht über die Geschäftsaktivitäten, die operationellen Risiken ausgesetzt sein können, die über die Risikotoleranz des Instituts hinausgehen; b) dass seitens des Leitungsorgans und der Geschäftsleitung ein angemessenes Engagement für die Risikomanagement-Funktion für operationelle Risiken besteht und dass die Funktion innerhalb der Organisation ihre Aufgaben erfüllen kann; c) dass die Risikomanagement-Funktion für operationelle Risiken nicht auch die Funktion der Innenrevision übernimmt; d) dass die für die Risikomanagement-Funktion für operationelle Risiken verantwortliche Person mindestens folgende Anforderungen erfüllt: i) ein angemessenes Niveau an Erfahrung bei der Steuerung tatsächlicher und möglicher operationeller Risiken gemäß dem operationellen Risikoprofil; ii) regelmäßige Gespräche mit dem Leitungsorgan und seinen Ausschüssen gemäß der Risikosteuerungsstruktur des Instituts; iii) aktive Einbeziehung in die Erarbeitung der operationellen Risikotoleranz des Instituts und der Strategie für Risikosteuerung und -minderung; iv) Unabhängigkeit von den operationellen Einheiten und Funktionen, die mit der Risikomanagement-Funktion für operationelle Risiken geprüft werden; v) Zuweisung eines Budgets für die Risikomanagement-Funktion für operationelle Risiken durch die für die Risikosteuerung verantwortliche Person gemäß Artikel 76 Absatz 5 Unterabsatz 4 der Richtlinie 2013/36/EU oder durch ein Mitglied des Leitungsorgans in einer Aufsichtsfunktion, jedoch nicht durch eine Geschäftseinheit oder Person in einer Exekutivfunktion. Artikel 9 Einbeziehung der Geschäftsleitung Die zuständigen Behörden beurteilen den Grad der Einbeziehung der Geschäftsleitung eines Instituts, indem sie mindestens feststellen, a) dass die Geschäftsleitung für die Umsetzung des Governance- und Steuerungsrahmens für operationelle Risiken, der vom Leitungsorgan bewilligt wurde, verantwortlich ist; b) dass die Geschäftsleitung durch das Leitungsorgan ermächtigt wurde, Grundsätze, Verfahren und Vorgehensweisen für die Steuerung operationeller Risiken zu erarbeiten; c) dass die Geschäftsleitung die unter Buchstabe b genannten Strategien, Verfahren und Vorgehensweisen für die Steuerung operationeller Risiken umsetzt. Artikel 10 Berichterstattung Die zuständigen Behörden beurteilen, ob die Berichterstattung im Rahmen des operationellen Risikoprofils und der Steuerung operationeller Risiken eines Instituts regelmäßig, pünktlich und stabil ist, indem sie mindestens feststellen, a) dass Probleme im Zusammenhang mit den Berichtssystemen und internen Kontrollen des Instituts schnell und genau erkannt werden; b) dass die Berichte zum operationellen Risiko des Instituts an die zuständigen Führungsebenen und Bereiche des Instituts weitergeleitet werden, die im Bericht als betroffene Bereiche genannt werden; c) dass die Geschäftsleitung des Instituts mindestens vierteljährlich Berichte zum aktuellen Status des operationellen Risikoprofils des Instituts erhält und diese Berichte für ihre Entscheidungsprozesse heranzieht; d) dass die Berichte zum operationellen Risiko des Instituts relevante Steuerungsinformationen und mindestens eine hochwertige Zusammenfassung der wichtigsten operationellen Risiken des Instituts und der jeweiligen Tochtergesellschaften und Geschäftseinheiten enthalten; e) dass das Institut Ad-hoc-Berichte verwendet, falls bei den Grundsätzen, Verfahren und Vorgehensweisen für die Steuerung des operationellen Risikos Defizite auftauchen, um diese Defizite schnell zu erkennen und ihnen entgegenzuwirken und so die potenzielle Häufigkeit und Schwere eines Verlustereignisses erheblich reduzieren zu können. ABSCHNITT 2 Use-Test Artikel 11 Verwendung von AMA Die zuständigen Behörden beurteilen, ob ein Institut die AMA für interne Zwecke verwendet, indem sie mindestens feststellen, a) dass das Messsystem für operationelle Risiken des Instituts für die Steuerung operationeller Risiken in verschiedenen Geschäftsbereichen, Geschäftseinheiten oder rechtlichen Unternehmenseinheiten innerhalb der Organisationsstruktur angewandt wird; b) dass das Messsystem für operationelle Risiken in den verschiedenen Unternehmen der Gruppe eingebettet ist und, wenn es auf konsolidierter Ebene verwendet wird, dass das AMA-Rahmenwerk des Mutterinstituts auf die Tochtergesellschaften ausgeweitet wird und dass das operationelle Risiko dieser Tochtergesellschaften und ihre Geschäftsumfeld- und Internen Kontrollfaktoren (GUFIKF) gemäß Artikel 322 Absatz 1 und Artikel 322 Absatz 6 der Verordnung (EU) Nr. 575/2013 in die konzernübergreifenden AMA-Berechnungen einbezogen werden; c) dass das Messsystem für operationelle Risiken auch für die Zwecke des Verfahrens zur Beurteilung der Angemessenheit des internen Kapitals des Instituts gemäß Artikel 73 der Richtlinie 2013/36/EU verwendet wird. Artikel 12 Kontinuierliche Einbeziehung der AMA Die zuständigen Behörden beurteilen, ob ein Institut sein System zur Steuerung des operationellen Risikos kontinuierlich in seine täglichen Risikosteuerungsprozesse einbezieht, indem sie mindestens feststellen, a) dass das Messsystem für operationelle Risiken regelmäßig aktualisiert und weiterentwickelt wird, wenn mehr Erfahrung und Wissen bei der Steuerung und Quantifizierung operationeller Risiken erlangt wird; b) dass die Art und die Ausgewogenheit der Eingaben in das Messsystem für operationelle Risiken relevant sind und jederzeit die Art des Geschäftsbereichs, der Strategie, der Organisation und das operationelle Risikopotenzial des Instituts widerspiegeln. Artikel 13 Zur Unterstützung der Steuerung operationeller Risiken des Instituts verwendete AMA Die zuständigen Behörden beurteilen, ob ein Institut AMA zur Unterstützung seiner Steuerung operationeller Risiken verwendet, indem sie mindestens feststellen, a) dass das Messsystem für operationelle Risiken wirksam für die regelmäßige und schnelle Berichterstattung mit konsistenten Informationen, die die Art des Geschäftsbereichs und des operationellen Risikoprofils des Instituts genau widerspiegeln, genutzt wird; b) dass das Institut abhelfende Maßnahmen ergreift, um die internen Prozesse nach Erhalt der Ergebnisse des Messsystems für operationelle Risiken zu verbessern. Artikel 14 Zur Verbesserung der Organisation und Kontrolle operationeller Risiken des Instituts verwendete AMA Die zuständigen Behörden beurteilen, ob ein Institut AMA zur Verbesserung seiner Organisation und Kontrolle operationeller Risiken verwendet, indem sie mindestens feststellen, a) dass die Definition der operationellen Risikotoleranz des Instituts und die damit verbundenen Ziele und Aktivitäten zur Steuerung des operationellen Risikos klar innerhalb des Instituts kommuniziert werden; b) dass das Verhältnis zwischen der Geschäftsstrategie und der Steuerung des operationellen Risikos des Instituts, auch im Hinblick auf die Zustimmung zu neuen Produkten, Systemen und Prozessen, klar innerhalb des Instituts kommuniziert wird; c) dass durch das Messsystem für operationelle Risiken die Transparenz, die Risikosensibilisierung und die Erfahrung bei der Steuerung des operationellen Risikos gestärkt werden und Anreize zur Verbesserung der Steuerung des operationellen Risikos im gesamten Institut geschaffen werden; d) dass die Eingaben und Ausgaben des Messsystems für operationelle Risiken bei relevanten Entscheidungen und Plänen genutzt werden, u. a. für Aktionspläne, Betriebskontinuitätspläne, Arbeitspläne der Innenrevision, Entscheidungen über Mittelzuweisungen, Versicherungspläne und Haushaltsentscheidungen. Artikel 15 Vergleich der AMA mit weniger komplizierten Ansätzen (1) Die zuständigen Behörden beurteilen, ob die AMA-Ergebnisse eines Instituts Konstanz und Stabilität aufweisen, indem sie mindestens feststellen, a) dass das Institut vor der Erlaubnis zur Verwendung von AMA für regulatorische Zwecke seine Eigenmittelanforderungen für operationelle Risiken sowohl nach AMA als auch nach weniger komplizierten Messansätzen, die zuvor für das Institut galten, berechnet hat und dass diese Berechnung: i) auf einer zumutbaren regelmäßigen Basis, mindestens jedoch vierteljährlich, durchgeführt wird; ii) alle relevanten rechtlichen Unternehmenseinheiten abdeckt, die zum Zeitpunkt der Ersteinführung AMA verwenden würden; iii) alle operationellen Risiken abdeckt, die zum Zeitpunkt der Ersteinführung von AMA abgedeckt würden. b) dass das Institut mindestens folgende Bedingungen erfüllt: i) der Steuerungsprozess für operationelle Risiken und das Messsystem für operationelle Risiken wurden entwickelt und getestet; ii) alle Probleme wurden gelöst und das System und die Prozesse wurden einer Feinabstimmung unterzogen; iii) es hat dafür gesorgt, dass das Messsystem für operationelle Risiken Ergebnisse liefert, die mit den Erwartungen des Instituts übereinstimmen, auch unter Berücksichtigung von Informationen aus dem aktuellen und den früheren Systemen des Instituts; iv) es hat gezeigt, dass es Modellparameter schnell ändern kann, um die Auswirkungen geänderter Annahmen durch minimale Systemanpassungen oder manuelle Eingriffe zu verstehen; v) es ist in der Lage, angemessene Kapitalanpassungen bei den Eigenmittelanforderungen vorzunehmen, bevor die AMA das erste Mal zum Einsatz kommen; vi) es hat über einen angemessenen Zeitraum gezeigt, dass die neuen Systeme und Berichtsprozesse stabil sind und Steuerungsinformationen liefern, die das Institut bei der Erkennung und Steuerung operationeller Risiken verwenden kann. Für die Zwecke des Buchstaben a deckt die Beurteilung der durchgeführten Berechnung mindestens zwei aufeinanderfolgende Quartale ab. (2) Die zuständigen Behörden können die Verwendung von AMA gestatten, wenn das Institut einen fortlaufenden Vergleich zwischen der Berechnung seiner Eigenmittelanforderungen für operationelle Risiken nach AMA und der Berechnung nach weniger komplizierten Ansätzen, die zuvor für das Institut galten, für ein Jahr nach Erteilung der Genehmigung vorweist. ABSCHNITT 3 Innenrevision und interne Validierung Artikel 16 Funktionsweise der Innenrevision und der internen Validierung (1) Die zuständigen Behörden beurteilen den Grad, zu dem die Innenrevision und die interne Validierungsfunktion eines Instituts nachweisen, dass die Steuerung und Messverfahren des operationellen Risikos für AMA-Zwecke verlässlich und wirksam bei der Steuerung und Messung operationeller Risiken innerhalb der Organisation sind, indem sie mindestens nachprüfen, a) dass die interne Validierungsfunktion mindestens auf jährlicher Basis ein begründetes und gut informiertes Urteil darüber liefert, ob das Messsystem für operationelle Risiken wie vorgesehen funktioniert und ob das Ergebnis des Modells für die verschiedenen internen Zwecke und Aufsichtszwecke geeignet ist; b) dass die Innenrevision die Integrität der Grundsätze, Verfahren und Vorgehensweisen für das operationelle Risiko feststellt, indem sie mindestens jährlich beurteilt, ob diese mit den gesetzlichen Vorschriften und mit bewährten Kontrollpraktiken übereinstimmen, und insbesondere dass die Innenrevision die Qualität der Quellen und Daten, die für die Zwecke der Steuerung und Messung des operationellen Risikos verwendet werden, beurteilt; c) dass die Innenrevision und die interne Validierungsfunktion ein Prüfprogramm verwenden, das die in dieser Verordnung enthaltenen Aspekte zu den AMA abdeckt und regelmäßig aktualisiert wird im Hinblick auf: i) die Entwicklung interner Verfahren zur Feststellung, Messung und Beurteilung, Überwachung, Kontrolle und Minderung operationeller Risiken; ii) die Einführung neuer Produkte, Prozesse und Systeme, durch die das Institut einem wesentlichen operationellen Risiko ausgesetzt wird. d) dass die interne Validierung durch qualifizierte Ressourcen ausgeführt wird, die unabhängig von den validierten Einheiten sind; e) dass, wenn Prüfungstätigkeiten von der Innenrevision oder externen Prüfern oder qualifizierten externen Parteien ausgeführt werden, diese unabhängig von dem zu überprüfenden Prozess oder System sind, und dass im Falle einer Ausgliederung der Tätigkeiten das Leitungsorgan und die Geschäftsleitung des Instituts verantwortlich dafür bleiben, dass die ausgegliederten Funktionen im Einklang mit dem genehmigten Auditplan des Instituts durchgeführt werden; f) dass die Prüfung und interne Validierung des AMA-Rahmenwerks ordnungsgemäß dokumentiert werden und dass ihre Ergebnisse an die zuständigen Personen innerhalb der Institute weitergeleitet werden, darunter gegebenenfalls die Risikoausschüsse, die Risikomanagement-Funktion für operationelle Risiken, das Management des Geschäftsbereichs und andere zuständige Mitarbeiter; g) dass die Ergebnisse der Prüfung und internen Validierung mindestens auf jährlicher Basis zusammengefasst und dem Leitungsorgan des Instituts oder einem für die Bewilligung zuständigen Ausschuss berichtet werden; h) dass die Prüfung und Zustimmung zur Wirksamkeit des AMA-Rahmenwerks des Instituts mindestens jährlich erfolgt. Artikel 17 Governance der Prüfung und internen Validierung Die zuständigen Behörden beurteilen, ob die Governance der Prüfung und internen Validierung eines Instituts qualitativ hochwertig ist, indem sie mindestens feststellen, a) dass die Audit-Programme für die Prüfung des AMA-Rahmenwerks alle wesentlichen Aktivitäten abdecken, die das Institut einem wesentlichen operationellen Risiko aussetzen könnten, darunter auch ausgegliederte Aktivitäten; b) dass die internen Validierungstechniken angemessen in Bezug auf veränderte Markt- und Betriebsbedingungen sind und dass ihre Ergebnisse einem Audit unterzogen werden. ABSCHNITT 4