Evropská komise 3. září 2026 zveřejnila nařízení 2026/1167, které bankám v celé Unii přesně předepisuje, jak mají počítat a evidovat takzvané operační riziko, tedy ztráty ze selhání systémů, podvodů, chyb zaměstnanců, kybernetických útoků nebo sporů se zákazníky. Nařízení vychází z pravidel CRR, unijního rámce pro kapitál bank, a od 23. září 2026 platí přímo ve všech členských zemích bez výjimky, tedy i pro banky a správce majetku, se kterými pracují klienti s účty ve více zemích Evropské unie.
Podobná pravidla pro velké banky platí už roky, novinka je v míře detailu. To, co dosud bylo často na uvážení jednotlivých institucí a jejich interních modelů, dostává jednotný metodický rámec platný pro celou Unii. Je to pokračování trendu, který nastartovala finanční krize před necelými dvaceti lety a který dnes pokrývá nejen úvěrové a tržní riziko, ale stále podrobněji i to, jak banky měří vlastní chyby.
Jádrem nařízení je takzvaný obchodní ukazatel, číslo, které odráží velikost a povahu bankovního byznysu a podle kterého se počítá, kolik kapitálu musí banka držet jako polštář proti operačním selháním. Nařízení nově podrobně určuje, co všechno se do tohoto ukazatele počítá, včetně úrokových, leasingových a dividendových příjmů nebo výnosů ze služeb. U finanční složky si banky mohou nově zvolit mezi klasickým účetním přístupem a takzvanou obezřetnostní hranicí, tu ale musí předem oznámit svému dohledu, tedy v Česku České národní bance. Řeší se i to, co se stane s obchodním ukazatelem při fúzích, akvizicích, prodejích částí byznysu nebo ukončení činnosti – banka musí postupovat podle přesně daných kroků a informovat dohledový orgán předem.
Zajímavá je nová klasifikace ztrát z operačního rizika. Nařízení rozděluje škodné události do sedmi hlavních kategorií s dalšími podkategoriemi a doplňkovými štítky, mezi kterými je vedle právního, technologického nebo modelového rizika poprvé výslovně i ESG riziko a riziko greenwashingu. Regulátor tak formálně uznává, že zavádějící marketing takzvaně zeleného produktu je stejně reálné operační riziko jako chyba v IT systému, a banky ho budou muset evidovat a započítávat do svého kapitálového polštáře stejně jako jakoukoli jinou ztrátu.
Instituce s obchodním ukazatelem od 750 milionů eur výše mají navíc povinnost sbírat podrobná data o jednotlivých ztrátách a počítat z nich roční ztrátu z operačního rizika, nařízení jen definuje výjimky, kdy by tento výpočet představoval nepřiměřenou zátěž.
Co to znamená pro vaši banku?
Představte si klienta s účty u bank ve třech různých zemích eurozóny. Dosud mohl narazit na to, že každá z bank sleduje a hlásí operační selhání jinak, podle vlastní interní metodiky. Od konce září 2026 budou muset všechny tři používat stejnou taxonomii i stejný způsob výpočtu kapitálového polštáře, což usnadňuje i nezávislé srovnání jejich odolnosti. Pro klienta to není jen byrokratický detail, je to standard, podle kterého lze posuzovat, jak zralá je instituce, které svěřujete majetek. Banka, která tuhle evidenci zvládá bez problémů, má zpravidla vyspělejší řízení rizik jako celek, banka, která s ní bojuje, to dřív nebo později pozná klient na vlastní kůži, ať už zpožděným převodem, nebo horší reakcí na incident.
„Banka, která neumí spočítat vlastní selhání, ho nedokáže ani řídit.“
Jak to využít při výběru banky nebo správce majetku?
Až budete příště hodnotit banku, brokera nebo správce majetku, zeptejte se přímo, jak evidují a řídí operační rizika, hlavně kybernetická a technologická, a jak rychle a transparentně komunikují případné incidenty. Protože jde o nařízení, ne o směrnici, platí stejně v Praze, Vídni i na Kypru, což je pro klienty s majetkem rozprostřeným po Evropské unii spíš dobrá zpráva – nemusíte srovnávat pravidla země od země, standard je všude stejný. Aisa International v tomto kontextu nehodnotí konkrétní banky ani nezpracovává jejich rizikové reporty, naší rolí je nezávisle posoudit, jestli instituce, se kterými pracujete, odpovídají vašim nárokům na bezpečnost a transparentnost, a případně doporučit, na co se dál zeptat.
Pokud vaše banka nebo správce majetku nedokáže srozumitelně vysvětlit, jak sleduje vlastní operační rizika, je to varovný signál bez ohledu na to, jak solidně instituce navenek působí.
Časté otázky
- Co přesně je operační riziko v bankovnictví?
Riziko ztráty způsobené selháním vnitřních procesů, systémů, lidí nebo vnějšími událostmi – typicky kybernetické útoky, podvody, chyby v IT nebo právní spory.
- Co je obchodní ukazatel a proč na něm tolik záleží?
Ukazatel odrážející velikost a povahu bankovního byznysu, ze kterého se počítá, kolik kapitálu musí banka držet jako rezervu proti operačním ztrátám.
- Proč se v pravidlech poprvé objevuje riziko greenwashingu?
Regulátor tím uznává, že zavádějící marketing environmentálně označovaných produktů je reálné finanční riziko, ne jen reputační problém.
- Platí nová pravidla stejně ve všech zemích EU?
Ano, jde o nařízení, které je přímo účinné ve všech členských státech bez nutnosti vnitrostátního provedení, na rozdíl od směrnic.
- Týká se to i menších bank, nebo jen velkých institucí?
Metodika platí obecně, ale povinnost sbírat podrobná data o ztrátách mají hlavně instituce s obchodním ukazatelem nad 750 milionů eur.
- Jak zjistím, jestli moje banka nová pravidla splňuje?
Přímým dotazem na banku nebo správce majetku, jak evidují operační rizika a jak transparentně komunikují incidenty, případně přes nezávislého poradce.
