Zpráva ČNB o výkonu dohledu za rok 2025: hlavní regulatorní témata pro finanční instituce

Úvod

Při čtení letošní zprávy ČNB je patrný jeden společný motiv: regulatorní pozornost se stále více přesouvá od tradičních finančních rizik směrem k rizikům provozním, technologickým a compliance.

To neznamená, že by ustoupila do pozadí témata kapitálové přiměřenosti, likvidity nebo finanční stability. Český finanční sektor podle ČNB i v roce 2025 potvrdil svou stabilitu a odolnost. O to více se pozornost dohledu mohla zaměřit na oblasti, které budou pro finanční instituce v následujících letech stále významnější.

Významná část dohledových aktivit se proto soustředila na digitální provozní odolnost, kybernetickou bezpečnost, řízení rizik spojených s ICT dodavateli, oblast AML/CFT nebo nově regulovaný sektor kryptoaktiv. Právě v těchto oblastech lze hledat nejvýznamnější regulatorní trendy, které budou ovlivňovat fungování bank, finančních institucí i dalších regulovaných subjektů v následujících letech.

DORA: první rok nového dohledového rámce

Rok 2025 byl prvním rokem účinnosti nařízení DORA[1] a současně prvním rokem, kdy ČNB vykonávala dohled nad digitální provozní odolností finančních institucí. Vedle kontrol zaměřených na řízení ICT rizik a souvisejících interních procesů věnovala významnou pozornost také metodické podpoře trhu a sběru dat o připravenosti institucí na nové regulatorní požadavky.

První zkušenosti hodnotí ČNB spíše pozitivně. Kontroly v bankách a pojišťovnách neodhalily závažné systémové nedostatky a podle regulátora se většina institucí na novou regulaci připravovala s dostatečným předstihem. Současně se však ukázalo, že jednou z nejnáročnějších oblastí je řízení rizik spojených s dodavateli ICT služeb, včetně úpravy smluvní dokumentace a plnění nových evidenčních povinností.

Právě oblast třetích stran patří mezi témata, která DORA výrazně posiluje. V roce 2025 proběhl první celoevropský sběr údajů o smluvních vztazích s poskytovateli ICT služeb. Na základě těchto dat získala ČNB detailnější přehled o koncentraci technologických rizik a o závislosti finančního sektoru na klíčových globálních dodavatelích. Součástí nové agendy je také evropský dohled nad kritickými poskytovateli ICT služeb, na jehož fungování se ČNB podílí prostřednictvím společných dohledových struktur.

Pro finanční instituce je důležité, že digitální odolnost již není vnímána pouze jako otázka IT nebo kybernetické bezpečnosti. Stává se samostatnou dohledovou oblastí, ve které bude ČNB v následujících letech věnovat zvýšenou pozornost zejména řízení outsourcingu, vztahům s ICT dodavateli a schopnosti institucí prokazatelně řídit technologická rizika.

MiCA: vysoký počet žádostí, nízká kvalita dokumentace

Rok 2025 přinesl pro ČNB zcela novou dohledovou agendu v podobě licencování a dohledu nad poskytovateli služeb souvisejících s kryptoaktivy (CASP) podle nařízení MiCA [2]. Již během prvního roku obdržela ČNB celkem 245 žádostí o licenci CASP, což představovalo nejvyšší počet v celé Evropské unii. Zajímavé je, že většina žádostí byla podána až na samém konci přechodného období, kdy jen v červenci 2025 dorazilo více než 200 podání.

První zkušenosti však ukázaly, že hlavní výzvou nebyl samotný počet žádostí, ale jejich kvalita. Podle ČNB značná část podaných žádostí postrádala informace nezbytné pro jejich posouzení. Regulátor současně upozornil na vysoký počet tzv. ready-made společností a účelově založených subjektů, jejichž cílem bylo primárně získání licence bez odpovídajícího obchodního modelu nebo reálného zázemí pro poskytování regulovaných služeb. Pouze velmi malý podíl žadatelů tvořily subjekty s transparentní vlastnickou strukturou, jasně definovaným způsobem financování a reálným podnikatelským záměrem.

Ke konci roku 2025 nebyla udělena žádná licence CASP a většina ukončených řízení skončila jejich zastavením, nejčastěji kvůli neúplnosti žádosti nebo jiným procesním nedostatkům. Prvních šest povolení bylo vydáno až v únoru 2026. Z pohledu trhu tak první rok aplikace MiCA naznačuje, že ČNB bude při licenčních řízeních klást důraz nejen na formální splnění požadavků, ale také na kvalitu dokumentace, transparentnost struktury žadatele a věrohodnost jeho obchodního modelu.

Audit goldplatingu a snižování regulatorní zátěže

Vedle nových regulatorních požadavků přinesl rok 2025 také iniciativu směřující ke snížení administrativní zátěže finančních institucí. ČNB provedla audit tzv.goldplatingu, tedy národních regulatorních požadavků, které jdou nad rámec minimálních požadavků evropské legislativy. Cílem bylo identifikovat oblasti, kde přínos dodatečné regulace nepřevažuje nad náklady na její plnění.

Na základě výsledků auditu ČNB rozhodla o zrušení 36 nadbytečných požadavků vyplývajících z vyhlášek a úředních sdělení. Současně byla přijata vyhláška č. 197/2025 Sb., která odstranila desítky administrativních povinností v 19 vyhláškách a zrušeno bylo také 14 úředních sdělení. Změny se týkaly zejména oblastí, kde postačuje evropská regulace nebo kde může ČNB potřebné informace získat z jiných zdrojů.

Nejde přitom o jednorázový krok. Protože řada obdobných povinností vyplývá přímo ze zákonů, předložila ČNB Ministerstvu financí dalších 41 návrhů na jejich zrušení či úpravu. Pro regulované subjekty je to zajímavý signál, že vedle nových regulatorních agend existuje i snaha průběžně přehodnocovat požadavky, které již nepřinášejí odpovídající regulatorní přidanou hodnotu.

AML/CFT: příprava na evropský dohled a důraz na efektivitu kontrol

Oblast AML/CFT zůstala i v roce 2025 jednou z hlavních dohledových priorit ČNB. Významným tématem byl také vznik nové evropské AML autority (AMLA)[3],která zahájila svou činnost v roce 2025 a od roku 2028 bude vykonávat přímý dohled nad vybranými povinnými osobami ve finančním sektoru. Pro české regulované subjekty jde o důležitý krok směrem k větší harmonizaci AML dohledu na evropské úrovni. ČNB se současně zapojovala do odborných diskusí a pracovních skupin souvisejících s nastavením budoucího fungování AMLA.

V rámci výkonu dohledu se ČNB zaměřovala především na kvalitu a robustnost řídicích a kontrolních systémů v oblasti AML/CFT, včetně identifikace a hodnocení rizik, nastavení kontrolních mechanismů a účinného provádění mezinárodních sankcí. Součástí dohledových aktivit bylo také plošné testování sankčních screeningových systémů bank a životních pojišťoven, které potvrdilo vysokou úroveň jejich účinnosti, současně však odhalilo prostor pro další zlepšování některých kontrolních mechanismů.

Významné místo ve zprávě zaujímá rovněž problematika neoprávněného přijímání vkladů od veřejnosti, označovaného jako „černé bankovnictví“. ČNB tuto oblast označuje za jednu ze svých dlouhodobých dohledových priorit a v roce 2025 za ni pravomocně uložila pokuty v celkové výši 52 mil. Kč. Regulátor současně deklaroval, že bude v této oblasti pokračovat v intenzivní dohledové i sankční činnosti.

Další dohledové oblasti relevantní pro správce fondů, poskytovatele platebních služeb a úvěrové společnosti

Vedle témat DORA, MiCA a AML/CFT přinesla zpráva ČNB několik zajímavých poznatků také pro další segmenty finančního trhu.

U investičních společností a fondů se ČNB zaměřila zejména na fungování compliance a interního auditu, kvalitu informací poskytovaných investorům, AML/CFT a řízení outsourcingu. Kontroly odhalily například nedostatky v oceňování aktiv, správě majetku fondů nebo v dokumentaci ekonomické výhodnosti jednotlivých transakcí. Z pohledu osob zapsaných v seznamu podle § 15 ZISIF stojí za zmínku pokračující sankční aktivity ČNB související s vedením tohoto seznamu, v jehož rámci došlo k řadě výmazů a souvisejících sankčních řízení.

V sektoru platebních institucí a institucí elektronických peněz zůstávala středem pozornosti kapitálová vybavenost, ochrana klientských prostředků a AML/CFT. ČNB opakovaně identifikovala nesoulad mezi licencovanou a skutečně vykonávanou činností nebo nedostatky při ochraně klientských prostředků. Zajímavou změnou bylo také otevření přímého přístupu platebních institucí a institucí elektronických peněz do systému CERTIS, které má posílit jejich provozní nezávislost a zefektivnit vypořádání plateb.

U nebankovních poskytovatelů spotřebitelských úvěrů se ČNB soustředila především na posuzování úvěruschopnosti klientů. Dohledová šetření odhalila nedostatky při ověřování příjmů, výdajů a finančních závazků spotřebitelů. Současně regulátor upozornil na rostoucí počet podnětů týkajících se neoprávněného poskytování spotřebitelských úvěrů či využívání podnikatelských úvěrů pro fakticky spotřebitelské financování.

Digitalizace dohledu a využití umělé inteligence

Méně nápadným ,ale velmi důležitým trendem je pokračující proměna samotného výkonu dohledu.

ČNB ve zprávě opakovaně zmiňuje využívání pokročilých analytických nástrojů, automatizovaného zpracování dat a testování řešení založených na umělé inteligenci. Tyto nástroje využívá například při vyhodnocování dohledových dat, analýze dokumentace nebo zpracování licenčních řízení.

Pro regulované subjekty to znamená, že regulatorní kontrola bude stále více založena na datové analýze a identifikaci vzorců chování. Kvalita reportingu, konzistence předkládaných informací a schopnost doložit fungování interních procesů proto budou nabývat na významu.

Co z toho plyne pro regulované subjekty?

Zpráva ČNB potvrzuje, že mezi hlavní regulatorní témata budou v následujících letech patřit digitální provozní odolnost, řízení ICT rizik a outsourcingu, oblast AML/CFT a nově také regulace kryptoaktiv. Současně je patrný důraz na kvalitu vnitřních procesů a skutečnou efektivitu kontrolních mechanismů, nikoliv pouze na formální plnění regulatorních povinností. Vedle zavádění nových pravidel lze zároveň sledovat i snahu o snižování regulatorní zátěže v oblastech, kde národní požadavky přesahují evropský rámec.

Závěr

Zpráva o výkonu dohledu nad finančním trhem za rok 2025 ukazuje, že regulatorní prostředí pro finanční instituce se dále vyvíjí směrem k většímu důrazu na provozní odolnost, technologická rizika a kvalitu vnitřních kontrolních mechanismů.

Přestože ČNB hodnotí český finanční sektor jako stabilní a odolný, právě oblasti DORA, MiCA, AML/CFT nebo řízení outsourcingových vztahů budou s vysokou pravděpodobností patřit mezi klíčová témata regulatorního dialogu i v následujících letech. Pro regulované subjekty proto nebude rozhodující pouze formální soulad s právními předpisy, ale především schopnost prokázat, že nastavené procesy skutečně fungují v praxi.

Chcete si udělat kompletní obrázek o prioritách ČNB? Vedle dohledových aktivit je zajímavé sledovat také sankční praxi regulátora. Té se podrobně věnuje navazující článek mé kolegyně Markéty Koutné: ČNB v roce 2025 uložila pokuty za 115 milionů korun.

[1] Nařízení Evropského parlamentu a Rady (EU)2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č.600/2014, (EU) č. 909/2014 a (EU) 2016/1011

[2] Nařízení Evropského parlamentu a Rady (EU)2023/1114 ze dne 31. května 2023 o trzích kryptoaktiv a o změně nařízení (EU)č. 1093/2010 a (EU) č. 1095/2010 a směrnic 2013/36/EU a (EU) 2019/1937

[3] unijní Orgán pro boj proti praní peněz a financování terorismu.

‍

‍