Rekomendacje zostały opracowane na podstawie dyskusji Okrągłego Stołu CRO: Ryzyko Bankowe – mapa wyzwań dla sektora bankowego podczas Europejskiego Kongresu Finansowego 2026.

Uczestnicy Okrągłego Stołu CRO, który odbył się podczas Europejskiego Kongresu Finansowego 2026 w Sopocie, zgodnie uznali, że zarządzanie ryzykiem bankowym weszło w erę nieciągłości: założenie przewidywalności przestało być punktem wyjścia, a zarządzanie ryzykiem coraz częściej oznacza zarządzanie nieciągłością, nie zaś odchyleniem od normy. Nakładające się szoki geopolityczne, makroekonomiczne, technologiczne i prawne materializują się szybciej, głębiej i w sposób coraz bardziej nieliniowy, podważając skuteczność modeli zbudowanych wyłącznie na danych z przeszłości. Jednocześnie rośnie napięcie między coraz bardziej złożonymi oczekiwaniami regulacyjnymi a potrzebą zachowania przez banki zdolności strategicznej, szybkości działania i konkurencyjności. Poniższe rekomendacje stanowią podsumowanie głosu liderów zarządzania ryzykiem największych banków w Polsce oraz partnerów wiodących firm doradczych, kierowany do uczestników rynku finansowego i decydentów publicznych.

Rekomendacja 1: Od regulacyjnej zgodności z DORA do faktycznej odporności: testować odporność systemową sektora, a nie wyłącznie odporność indywidualną instytucji

Paneliści podsumowali, że zgodność proceduralna z DORA nie jest tożsama z realną odpornością na zmasowany, sponsorowany przez obce państwo cyberatak lub awarię krytycznego dostawcy ICT – bank jest bowiem tak bezpieczny, jak bezpieczne jest otoczenie, w którym funkcjonuje, w tym infrastruktura krytyczna kraju. Globalne incydenty technologiczne ostatnich lat pokazały, że ani pojedyncze banki, ani sektor jako całość nie dysponują rzetelną mapą procesów krytycznych i współzależności w outsourcingu technologicznym, a ryzyko operacyjne uległo silnej koncentracji u dostawców o charakterze oligopolistycznym. Niniejsza rekomendacja rozwija i wzmacnia rekomendację EKF 2025 dotyczącą wyzwań IT polskiej bankowości w części odnoszącej się do budowy odporności systemowej.

Propozycje działań:

• opracowanie i regularne, wspólne testowanie sektorowych scenariuszy typu Severe but Plausible – w tym zmasowanego, sponsorowanego przez obce państwo cyberataku, awarii krytycznego dostawcy ICT/chmury oraz kilkudniowego blackoutu energetyczno-telekomunikacyjnego w skali kraju (UKNF, NBP, ZBP/KIR, we współpracy z operatorami infrastruktury krytycznej);
• zbudowanie międzybankowej mapy powiązań z krytycznymi dostawcami ICT i aktywne zarządzanie ryzykiem koncentracji na poziomie sektora;
• przekształcenie zarządzania ryzykiem stron trzecich z jednorazowego badania due diligence w proces ciągły, obejmujący permanentne testowanie strategii wyjścia;
• opracowanie sektorowych scenariuszy komunikacji z klientami i rynkiem na wypadek awarii ogólno-sektorowych;
• analiza możliwości współdzielenia zasobów oraz synchronizacji standardów operacyjnych dla wzajemnej zastępowalności instytucji w sytuacjach kryzysowych;
• wdrożenie modelu zarządzania ryzykiem dla GenAI, obejmującego nadzór nad ryzykiem „czarnej skrzynki” oraz wspólne, sektorowe mechanizmy kontroli ryzyka wewnętrznego (insider risk).

Rekomendacja 2: Wprowadzić współodpowiedzialność całego łańcucha – operatorów telekomunikacyjnych, platform cyfrowych, banków i dostawców usług płatniczych – za przeciwdziałanie transakcjom oszukańczym

Paneliści wskazali, że skuteczna ochrona klientów przed przestępstwami socjotechnicznymi nie jest możliwa bez zaangażowania całego łańcucha, w którym oszustwo powstaje. Znaczna część ataków jest inicjowana bowiem poprzez fałszywe reklamy inwestycyjne i deepfake’i dystrybuowane w mediach społecznościowych oraz spoofowany ruch telekomunikacyjny – a więc poza infrastrukturą banków, które pozostają jednak ostatecznym płatnikiem strat, podczas gdy faktyczne źródła zagrożenia dla obywateli pozostają nietknięte. Podkreślono, że polski sektor bankowy należy do najbezpieczniejszych transakcyjnie na świecie – relacja rocznych strat klientów do wolumenu przetwarzanych transakcji wynosi około 1 grosza na każde 1000 zł – a dalsza redukcja strat obywateli wymaga domknięcia łańcucha odpowiedzialności, nie zaś jego koncentracji na jednym ogniwie. Niniejsza rekomendacja wprost wzmacnia rekomendację EKF 2025 „Przeciwdziałanie transakcjom oszukańczym”.

Propozycje działań:

• przyjęcie narodowej strategii walki z transakcjami oszukańczymi, wyznaczającej kompleksowy plan działań i mierniki skuteczności dla wszystkich interesariuszy (właściwe ministerstwa, UKNF, UOKiK, UKE, NBP);
• pełne wykorzystanie rozszerzenia zakresu podmiotowego uzgodnionego w pakiecie PSD3/PSR – obejmującego m.in. dostawców usług komunikacji elektronicznej i największe platformy internetowe – oraz jego uzupełnienie na poziomie krajowym o współodpowiedzialność finansową tych podmiotów za straty poszkodowanych w przypadku niewywiązania się z obowiązków przeciwdziałania, wykraczającą poza wąski zakres odpowiedzialności przyjęty w PSR (ograniczony do podszywania się pod dostawcę usług płatniczych);
• egzekwowanie obowiązków przejrzystości reklam wynikających z aktu o usługach cyfrowych (DSA) oraz ich uzupełnienie o obowiązek weryfikacji przez platformy cyfrowe, czy zleceniodawca reklamy usług finansowych posiada wymaganą licencję, wraz z zakazem publikacji reklam podmiotów nielicencjonowanych i maksymalnym czasem usunięcia zgłoszonej reklamy oszustwa;
• konsekwentne egzekwowanie i uszczelnianie obowiązków blokowania ruchu podszywającego się pod numerację krajową, wynikających z ustawy o zwalczaniu nadużyć w komunikacji elektronicznej, wraz z okresową oceną ich skuteczności (UKE, operatorzy telekomunikacyjni);
• budowa centralnego systemu antyfraudowego, zapewniającego wymianę informacji o oszustwach w czasie rzeczywistym między bankami, dostawcami usług płatniczych, operatorami telekomunikacyjnymi i platformami cyfrowymi;
• kontynuacja ogólnokrajowej edukacji uświadamiającej klientom skalę i mechanizmy oszukańczych reklam.

Rekomendacja 3: Przywrócić czujność wobec ryzyka kredytowego – stabilność portfeli kredytowych nie jest dana na zawsze

Paneliści podsumowali, że tradycyjne modele ilościowe, oparte na założeniu powrotu do średniej i danych historycznych, utraciły moc predykcyjną w warunkach fragmentaryzacji, agresywnej rywalizacji geopolitycznej oraz permanentnych, nakładających się szoków o przebiegu szarpanym, nieciągłym i asymetrycznym. Paneliści wskazali, że rekordowo niskie koszty ryzyka kredytowego mogą być iluzją wynikającą z opóźnienia, z jakim szoki geopolityczne i makroekonomiczne przenoszą się na bilanse przedsiębiorstw i gospodarstw domowych, a systemy wczesnego ostrzegania poszukujące wyłącznie wzorców z przeszłości pozostają ślepe na zdarzenia geopolityczne, które nie mają precedensu. Zwrócono również uwagę na ryzyko strukturalne: dynamiczny przyrost obligacji skarbowych w bilansach banków, przy wysokim deficycie finansów publicznych i rosnących kosztach obsługi długu, ogranicza zdolność państwa do ponownego, masowego wsparcia gospodarki w razie kolejnego szoku, co potencjalnie obciąża przyszłą jakość portfeli kredytowych.

Propozycje działań:

• adaptacja modeli i systemów wczesnego ostrzegania w kierunku patrzenia w przyszłość, w tym włączenie danych niefinansowych i sygnałów spoza sprawozdawczości (zaburzenia łańcuchów dostaw, ekspozycja na taryfy celne i rynki objęte konfliktami);
• systematyczna analiza efektów wtórnych szoków makroekonomicznych i geopolitycznych na poziomie branż i pojedynczych ekspozycji; scenariuszowe zarządzanie portfelem z elastyczną alokacją kapitału pod materializujące się ryzyka, w miejsce statycznych budżetów ryzyka;
• pogłębiony monitoring sektorów wrażliwych na zaburzenia łańcuchów dostaw i transformację energetyczną;
• uwzględnianie w modelach ryzyka ograniczonej przestrzeni fiskalnej państwa jako czynnika osłabiającego publiczne mechanizmy absorpcji przyszłych szoków.

Rekomendacja 4: Uznać retroaktywne ryzyko reinterpretacji orzeczniczej za odrębną, systemową kategorię ryzyka – wykraczającą poza klasyczne ryzyko prawne

Paneliści podsumowali, że pewność umów jest dobrem wspólnym konsumentów, banków i całej gospodarki: jej erozja podnosi koszt kredytu dla nowych kredytobiorców, a odzwierciedlone w wycenach polskich banków dyskonto z tytułu nienazwanych ryzyk prawno-regulacyjnych pomniejsza m.in. wartość oszczędności Polaków ulokowanych w funduszach emerytalnych i inwestycyjnych. Sektor przeszedł od ryzyka niewypłacalności klienta do ryzyka treści samej umowy kredytowej. Aktywa prawidłowo obsługiwane z perspektywy ryzyka kredytowego mogą – wskutek retroaktywnej zmiany oceny prawnej zawartych kontraktów – generować potężne straty operacyjne, czego portfel kredytów CHF jest jedną z największych kwotowo materializacji ryzyka operacyjnego w Europie. Nie jest to już lokalna anomalia, lecz paneuropejska podatność. Istotą problemu nie są rozstrzygnięcia poszczególnych sporów, lecz brak systemowych mechanizmów zapewniania pewności prawa.

Propozycje działań:

• rozważenie ujęcia retroaktywnego ryzyka reinterpretacji orzeczniczej jako odrębnej kategorii w taksonomii ryzyka operacyjnego – wraz z procesami identyfikacji, pomiaru, rezerwowania i włączenia do apetytu na ryzyko – z wykorzystaniem podejścia hybrydowego i testów warunków skrajnych;
• rozszerzenie oceny produktu o potencjalną przyszłą zmianę społecznej, regulacyjnej i sądowej oceny kontraktu, a nie wyłącznie o zgodność z literą prawa w dniu zawarcia umowy; standaryzacja umów kredytowych oraz systemowa certyfikacja produktów finansowych przez szeroko pojęte instytucje nadzoru – dająca obu stronom kontraktu gwarancję jego stabilności i obniżająca premię za ryzyko prawne wliczaną w koszt kredytu dla nowych kredytobiorców;
• analiza europejskich mechanizmów porządkujących spory masowe – ustawowego, ostatecznego terminu składania roszczeń oraz obligatoryjnej mediacji poprzedzającej drogę sądową, oferującej konsumentom szybszą i tańszą ścieżkę rozstrzygnięcia niż wieloletni proces;
• wniesienie polskiego doświadczenia w zakresie materializacji tego ryzyka na forum europejskie jako wkładu w paneuropejską debatę o pewności umów.

POBIERZ PLIK