Beleidsregel van De Nederlandsche Bank N.V. van 30 juni 2015 betreffende het Internal Capital Adequacy Assessment Process, bedoeld in artikel 3:17, tweede lid, onderdeel c, van de Wet op het financieel toezicht, van beleggingsondernemingen met een vergunning als bedoeld in artikel 2:96 van de Wft en van beheerders van een beleggingsinstelling met een vergunning als bedoeld in artikel 2:65 van de Wft aan wie het is toegestaan om één of meerdere van de activiteiten te verrichten of diensten te verlenen als bedoeld in artikel 2:67a, tweede lid, van de Wft (Beleidsregel ICAAP beleggingsondernemingen en beleggingsinstellingen Wft 2015)

Artikel 1.1 In deze beleidsregel wordt verstaan onder: a. Wft: Wet op het financieel toezicht ; b. Bpr: Besluit prudentiële regels Wft ; c. DNB: De Nederlandsche Bank N.V.; d. richtlijn kapitaalvereisten: richtlijn nr. 2013/36 Richtlijn 2002/87/EG Richtlijnen 2006/48/EG 2006/49/EG /EU van het Europees Parlement en de Raad van 26 juni 2013 betreffende toegang tot het bedrijf van kredietinstellingen en het prudentieel toezicht op kredietinstellingen en beleggingsondernemingen, tot wijziging vanen tot intrekking van deen(PbEU 2013, L 176); e. verordening kapitaalvereisten: verordening (EU) nr. 575/2013 van het Europees Parlement en de Raad van 26 juni 2013 betreffende prudentiële vereisten voor kredietinstellingen en beleggingsondernemingen en tot wijziging van Verordening (EU) nr. 648/2012 (PbEU 2013, L 176); f. ICAAP: Internal Capital Adequacy Assessment Process; g. ICAAP document: rapport waarin de beleggingsonderneming de bevindingen uit het ICAAP vastlegt; h. onderneming: artikel 2:96 van de Wft artikel 2:65 van de Wft artikel 2:67a, tweede lid, van de Wft een beleggingsonderneming met een vergunning als bedoeld inen een beheerder van een beleggingsinstelling met een vergunning als bedoeld inaan wie het is toegestaan om één of meerdere van de activiteiten te verrichten of diensten te verlenen als bedoeld in. 2015 21650 24-07-2015 30-06-2015 2015 21650 24-07-2015 30-06-2015 25-07-2015

Artikel 1.2 1 Beleggingsondernemingen die moeten voldoen aan de solvabiliteitseis als bedoeld in artikel 92 van de verordening kapitaalvereisten dienen hun ICAAP op te stellen overeenkomstig de artikelen 73 tot en met 96 van de richtlijn kapitaalvereisten en de bij die artikelen behorende richtsnoeren van de Europese Bankautoriteit. Deze beleidsregel is niet op hen van toepassing. 2 Beleggingsondernemingen als bedoeld in artikel 95, eerste en tweede lid, van de verordening kapitaalvereisten dienen bij het opstellen van hun ICAAP rekening te houden met hetgeen in deze beleidsregel is bepaald. 3 Beleggingsondernemingen als bedoeld in artikel 96, eerste lid onder a, en eerste lid onder b, van de verordening kapitaalvereisten dienen bij het opstellen van hun ICAAP rekening te houden met hetgeen in deze beleidsregel is bepaald. 4 artikel 3 van het Bpr Deze beleidsregel is niet van toepassing op beleggingsondernemingen als bedoeld in. 5 artikel 2:65 van de Wft artikel 2:67a, tweede lid, van de Wft Beheerders van een beleggingsinstelling met een vergunning als bedoeld in, aan wie het is toegestaan om één of meerdere van de activiteiten te verrichten of diensten te verlenen als bedoeld indienen bij het opstellen van hun ICAAP rekening te houden met hetgeen in deze beleidsregel is bepaald. 2015 21650 24-07-2015 30-06-2015 2015 21650 24-07-2015 30-06-2015 25-07-2015

Artikel 1.3 1 Het ICAAP wordt op hetzelfde consolidatieniveau toegepast als waarop de solvabiliteitseisen volgend uit de verordening kapitaalvereisten worden toegepast. 2 In het ICAAP verwacht DNB dat de onderneming rekening houdt met de risico’s die kunnen voortkomen uit de relaties met andere entiteiten binnen de groep waartoe de onderneming behoort. 2015 21650 24-07-2015 30-06-2015 2015 21650 24-07-2015 30-06-2015 25-07-2015

Artikel 2.1 1 artikel 23 van het Bpr Het beleid gericht op het beheersen van relevante risico’s, als bedoeld in het eerste lid vanwordt door de onderneming schriftelijk vastgelegd in een ICAAP document. 2 Een ICAAP dient te voldoen aan de in deze beleidsregel en aan de in artikelen 79 tot en met 87 van de richtlijn kapitaalvereisten gestelde normen en technische criteria. 3 Het ICAAP is proportioneel tot de aard, de omvang en de complexiteit van de activiteiten van de onderneming. 4 Een ICAAP dient aan de volgende eisen te voldoen: a. de onderneming is verantwoordelijk voor het opstellen en uitvoeren van het ICAAP; b. het ICAAP dient een integraal onderdeel te zijn van de besluitvorming van het management van de onderneming; c. het beleid van de onderneming voor de toepassing van het ICAAP dient regelmatig beoordeeld te worden; d. het ICAAP dient risico gebaseerd te zijn; e. het ICAAP dient alomvattend te zijn; f. het ICAAP moet toekomstgericht zijn; g. het ICAAP moet gebaseerd zijn op een adequate meting en beoordeling van processen; h. het ICAAP leidt tot een redelijke uitkomst. 2015 21650 24-07-2015 30-06-2015 2015 21650 24-07-2015 30-06-2015 25-07-2015

Artikel 2.2 1 bijlage 1 Het ICAAP document bevat een beschrijving van de risico’s waaraan de onderneming verwacht bloot te staan, de beheersmaatregelen die de onderneming heeft genomen en een onderbouwing en kwantificering van het aan te houden toetsingsvermogen dat de onderneming verwacht nodig te hebben. Bij het opstellen van het ICAAP document kan de onderneming gebruik maken van het overzicht zoals is opgenomen in. 2 DNB dient bij de evaluatie van het ICAAP ten minste de beschikking te hebben over toereikende gegevens betreffende: a. de wijze waarop het ICAAP is geïntegreerd in de activiteiten van de onderneming; b. artikel 3:53 van de Wft artikel 3:57 Wft de wijze waarop de onderneming waarborgt dat zij doorlopend voldoet aan het vereiste eigen vermogen als bedoeld inen het vereiste toetsingsvermogen als bedoeld in; c. de wijze waarop de hoogste leiding van de onderneming betrokken is bij het ICAAP; d. welke huidige en toekomstige risico’s de onderneming heeft geïdentificeerd; e. hoe de omzetting van het risicoprofiel plaatsvindt naar het benodigde toetsingsvermogen; f. hoe rekening is gehouden met stresstesten; g. hoe het ICAAP intern wordt beoordeeld en wat de periodiciteit is van de beoordeling; h. hoeveel toetsingsvermogen volgens de onderneming nodig is ter dekking van de huidige en mogelijk toekomstige risico’s; i. artikel 3:57 van de Wft artikel 3:53 van de Wft wat de belangrijkste verklaringen zijn voor eventuele significante verschillen tussen het minimum toetsingsvermogen ingevolgeen het eigen vermogen ingevolge, dat de onderneming op basis van de uitkomsten van het ICAAP aan deze, door de regels ingevolge artikel 3:57 van de Wft afgedekte, risico’s toewijst; j. artikel 3:57 van de Wft hoe, in het geval de onderneming deel uitmaakt van een groep en DNB geconsolideerd toezicht houdt op deze groep, het aangehouden toetsings-vermogen is verdeeld over de belangrijkste entiteiten in de groep en hoe het zich verhoudt tot het toetsingsvermogen ingevolgeen het op basis van het ICAAP nodig geachte toetsingsvermogen voor deze entiteiten. 3 artikel 24b van het Bpr Bpr Het ICAAP document bevat tevens het rapport over het risicobeheer zoals bedoeld in het tweede lid van, indien de onderneming het rapport ingevolge de bepalingen in hetdient op te stellen. 4 De onderneming dient jaarlijks het ICAAP uit te voeren. DNB verwacht dat de onderneming het ICAAP opstelt op basis van de financiële gegevens per het einde van het vierde kwartaal zoals opgenomen in de rapportages aan DNB. 5 De onderneming stelt op verzoek van DNB een ICAAP document op en stuurt dit aan DNB. DNB kan de onderneming verzoeken het ICAAP gedurende het jaar te actualiseren. DNB verwacht dat de onderneming bij materiële wijzigingen in het risicoprofiel van de onderneming ook een actualisering van het ICAAP uitvoert. 2015 21650 24-07-2015 30-06-2015 2015 21650 24-07-2015 30-06-2015 25-07-2015

Artikel 3.1 1 artikel 23 van het Bpr Voor het beheersen van de relevante risico’s als bedoeld in het tweede lid vandient de onderneming ten minste de aspecten zoals genoemd in dit hoofdstuk van deze regeling te betrekken. 2 Risico’s die voortkomen uit het bedrijfsmodel van de onderneming dienen meegenomen te worden in het ICAAP in aanvulling op hetgeen in dit hoofdstuk wordt gesteld. 3 artikel 2.2 De onderneming dient te beoordelen of zij is blootgesteld aan andere risico’s dan de risico’s opgenomen in dit hoofdstuk. Deze beoordeling moet onderdeel zijn van het ICAAP document zoals bedoeld in. 2015 21650 24-07-2015 30-06-2015 2015 21650 24-07-2015 30-06-2015 25-07-2015

Artikel 3.2 – Financiële risico’s 1 Bij de beoordeling van het krediet- en tegenpartijrisico kan gedacht worden aan: a. het risico dat een tegenpartij niet aan de verplichtingen jegens de onderneming kan voldoen; b. het risico dat geen beroep kan worden gedaan op garanties afgegeven door de moeder of andere entiteiten binnen de groep; c. het risico dat te betalen belastingen door de moeder of andere entiteiten binnen de groep wegens het zijn van een fiscale eenheid, door de onderneming moeten worden betaald; d. het risico dat de onderneming loopt op het aanhouden van zijn contant geld bij een bank; e. het risico van niet op de balans opgenomen posities, zoals aangegane vorderingen of verplichtingen en verstrekte en ontvangen verpandingen en garanties; f. het krediet spread risico binnen de eigen handelsportefeuille van de onderneming; g. het risico van een geconcentreerde exposure op tegenpartijen. 2 Bij de beoordeling van het marktrisico kan gedacht worden aan: a. het risico op de eigen handelsportefeuille van de onderneming als gevolg van wijzigingen in marktprijzen van financiële instrumenten. Hierbij kan gedacht worden aan onder andere interest rate risk en equity price risk; b. het risico van niet-beheerste waardeveranderingen als gevolg van valutakoersschommelingen in posities; c. het risico dat posities niet geliquideerd kunnen worden als gevolg van een gebrek aan liquiditeit in de markt; d. het risico dat de onderneming loopt op eigen beleggingen in securitisaties. 3 Bij de beoordeling van het concentratierisico kan gedacht worden aan: a. het aantal klanten van de onderneming, hierbij kan met name gedacht worden aan het aantal grote klanten van de onderneming, de mate waarin deze klanten materieel bijdragen aan de omzet van de onderneming en de mate waarin het beheerd vermogen afhankelijk is van één of enkele klanten; b. de mate waarin het aantal klanten kan wijzigen; c. de mate waarin het toetsingsvermogen van de onderneming door één of enkele partijen wordt verstrekt, de mate waarin deze kapitaalverschaffers, ook na een eventuele kapitaalsinjectie in de onderneming, kapitaalskrachtig zijn en de invloed die de kapitaalspositie van de kapitaalverschaffers kan hebben op de beheerste en integere bedrijfsvoering van de onderneming; d. de afhankelijkheid van één of enkele verschaffers van vreemd vermogen; e. de afhankelijkheid van een beperkt aantal adviesmandaten; f. de afhankelijkheid van één of een beperkt aantal typen beleggingsproducten; g. het risico dat een grote afhankelijkheid bestaat van slechts enkele tegenpartijen binnen de eigen handelsportefeuille; h. de uitsluitende focus op één beleggingsdienst of beleggingsactiviteit. 4 Bij de beoordeling van het liquiditeitsrisico kan gedacht worden aan: a. het risico dat een onderneming te weinig liquide middelen heeft om aan zijn korte termijn verplichtingen te kunnen voldoen; b. het risico van beperkte diversifiëring in de funding van de onderneming; c. het risico op eventuele bijstortverplichtingen door de onderneming; d. het risico dat op korte termijn onttrekkingen plaatsvinden aan beheerd vermogen. 5 Bij de beoordeling van het renterisico voortvloeiend uit niet-handelsactiviteiten kan gedacht worden aan het risico op een rentemismatch in posities voor eigen rekening die worden aangehouden in vastrentende waarden en rentederivaten. 2015 21650 24-07-2015 30-06-2015 2015 21650 24-07-2015 30-06-2015 25-07-2015

Artikel 3.3 – Operationele, strategische en integriteit risico’s 1 Bij de beoordeling van het operationeel risico kan gedacht worden aan: a. de risico’s verbonden aan de organisatiestructuur; b. het risico dat falende interne processen, systemen of handelen van personeel kunnen leiden tot reputatieschade of financiële vergoedingen aan klanten; c. de risico’s die de onderneming loopt vanwege de omvang van het aantal klanten of het beheerd vermogen; d. het risico verbonden aan de IT systemen van de onderneming; e. de vervangbaarheid en de deskundigheid van het personeel en de mate waarin essentiële kennis binnen de onderneming geconcentreerd is bij het personeel; f. het risico dat de onderneming loopt op eventuele verzekeringen en de bij deze verzekeringen horende eigen risico’s; g. het risico op aansprakelijkheid van de onderneming jegens zijn klanten en het risico op het oplopen van claims als gevolg van het niet nakomen van verplichtingen jegens derden; h. het risico op het niet naleven van wet- en regelgeving door de onderneming; i. het risico dat de onderneming loopt op securitisaties welke door de onderneming zijn opgezet; j. het risico dat aan een externe partij (service providers) uitbestede activiteiten niet (voldoende) worden nagekomen, met (gedeeltelijke) uitval van systemen tot gevolg, die leidt tot verstoringen in de dienstverlening van de onderneming; k. het risico van een complex IT-systeem, bedrijfsproces of verdienmodel, wat leidt tot een verhoogde kans op kosten of operationele fouten; l. het risico dat de onderneming doelwit wordt van cybercriminaliteit; m. artikel 6:17 van de Nadere regeling gedragstoezicht financiële ondernemingen de risico’s met betrekking tot een aan de onderneming gelieerde beleggersgiro, waarbij gedacht kan worden aan de garantstelling van de beleggersgiro door de onderneming, zoals bedoeld in onderdeel i van. 2 Bij de beoordeling van het strategisch risico kan gedacht worden aan: a. de risico’s die de onderneming loopt gelet op zijn verdienmodel en de mate waarin een nieuwe ondernemingsstrategie impact heeft op het aanwezige toetsingsvermogen; b. het risico van wijzigingen in toekomstige wet- en regelgeving die invloed heeft op het verdienmodel van de onderneming; c. risico’s met betrekking tot de business continuity van de onderneming; d. het risico dat overeenkomsten met cliënten, medewerkers of leveranciers juridisch niet houdbaar dan wel onvoldoende robuust zijn. 3 Bij de beoordeling van het integriteitsrisico kan gedacht worden aan het risico dat medewerkers bij het uitoefenen van hun functie niet integer handelen. 2015 21650 24-07-2015 30-06-2015 2015 21650 24-07-2015 30-06-2015 25-07-2015

Artikel 3.4 – Overige risico’s 1 Bij de beoordeling van het restrisico kan gedacht worden aan alle risico's die niet onder de andere genoemde risico's zijn genoemd, waaronder een materialiserend staartrisico. Hieronder worden bijvoorbeeld extreme calamiteiten verstaan, die van invloed zijn op de economische omgeving van de onderneming, zoals in geval van terrorisme- of oorlogsdreiging die het werkterrein of de economische blootstelling van de instelling kunnen raken. 2 Bij de beoordeling van het risico van buitensporige hefboomwerking kan gedacht worden aan hefboomwerking op de balans van de beheerder als gevolg van een hoog bestanddeel vreemd vermogen. 3 Bij de beoordeling van de risico’s die voortvloeien uit de macro-economische omgeving waarin de onderneming actief is en die verband houden met de stand van de conjunctuurcyclus kan gedacht worden aan: a. het risico dat de stand van de conjunctuurcyclus invloed heeft op het verdienmodel van de onderneming; b. het risico dat de onderneming in haar reputatie nadelig wordt beïnvloed door het handelen van concurrenten, klanten of andere entiteiten binnen de groep of een verslechterend imago van de bedrijfstak. 4 Bij de beoordeling van de risico’s als bedoeld in het derde lid zal de onderneming scenario’s ontwikkelen welke afhankelijk zijn van de strategie en het businessplan van de onderneming. Deze scenario’s kunnen de volgende onderwerpen bevatten: het effect van een market downturn op de transactie volumes of de invloed op de huidige kapitaalniveaus indien de onderneming herstructureert, een nieuwe markt betreedt of een nieuw product lanceert. 2015 21650 24-07-2015 30-06-2015 2015 21650 24-07-2015 30-06-2015 25-07-2015

Artikel 4.1 1 artikel 24a van het Bpr hoofdstuk 3 De solide, doeltreffende en alomvattende strategieën en procedures, als bedoeld in het eerste lid vandienen rekening te houden met de beoordeling van de risico’s zoals bedoeld invan deze regeling. 2 hoofdstuk 3 De onderneming dient in zijn ICAAP aan te tonen dat de op basis vangeconstateerde risico’s afdoende worden beheerst zodat de onderneming doorlopend aan haar vereiste toetsingsvermogen kan voldoen. 3 De onderneming dient in zijn ICAAP document aan te geven welke beheersingsmaatregelen zijn getroffen. Tevens dient de onderneming in het ICAAP document een evaluatie van de effectiviteit van de getroffen beheersingsmaatregelen op te nemen. 2015 21650 24-07-2015 30-06-2015 2015 21650 24-07-2015 30-06-2015 25-07-2015

Artikel 4.2 1 hoofdstuk 3 De onderneming dient in de beoordeling van haar risico’s, zoals bedoeld in, te bepalen welke beheersingsmaatregelen nodig zijn ter dekking van het geconstateerde risico. 2 Bij de bepaling van de benodigde beheersingsmaatregelen dient de onderneming tevens aan te geven hoeveel toetsingsvermogen volgens de onderneming nodig is ter dekking van de geconstateerde risico’s. 3 DNB verwacht dat de onderneming een aanvullend vermogen aanhoudt in ten minste de volgende gevallen: a. bepaalde risico’s of aspecten daarvan worden niet gedekt door de vereiste solvabiliteit; b. artikel 3:17 van de Wft de door de onderneming genomen beheersmaatregelen niet binnen een redelijke termijn zullen leiden tot verbetering van de ingevolgeingevoerde strategieën, procedures en maatregelen. 2015 21650 24-07-2015 30-06-2015 2015 21650 24-07-2015 30-06-2015 25-07-2015

Artikel 5.1 1 DNB zal bij de evaluatie van het ICAAP letten op: a. de door de onderneming geïdentificeerde risico’s; b. de haalbaarheid van de door de onderneming genoemde beheersmaatregelen; c. de mate waarin de onderneming een aanvullend vermogen ter dekking van de geconstateerde risico’s, welke niet worden gedekt door de vereiste solvabiliteit, hanteert; d. hoe het aanvullend vermogen is toegewezen aan elk van de geïdentificeerde risico’s; e. hoe het door de onderneming aangehouden vermogen zich verhoudt tot het vereiste toetsingsvermogen. 2 artikel 3:111a van de Wft DNB zal zich bij de beoordeling of de onderneming voldoende aanvullend vermogen aanhoudt baseren op hetgeen bepaald is in het tweede lid van. 2015 21650 24-07-2015 30-06-2015 2015 21650 24-07-2015 30-06-2015 25-07-2015

Artikel 6.1 Deze beleidsregel treedt in werking met ingang van de dag na de datum van uitgifte van de Staatscourant waarin deze beleidsregel wordt geplaatst. 2015 21650 24-07-2015 30-06-2015 2015 21650 24-07-2015 30-06-2015 25-07-2015

Artikel 6.2 Deze beleidsregel wordt aangehaald als: Beleidsregel ICAAP beleggingsondernemingen en beleggingsinstellingen Wft 2015. 2015 21650 24-07-2015 30-06-2015 2015 21650 24-07-2015 30-06-2015 25-07-2015