Какова функция аудита?

Мы определили в общих терминах процесс управления рисками, который сможет поддержать эффективное корпоративное руководство рисками. Но каким образом совет директоров узнает, что исполнительные и коммерческие руководители действуют в соответствии с оговоренными советом директоров целями (и минимальными правовыми и нормативными требованиями)?

Ответ можно найти в банковской функции аудита и периодических исследованиях, которые выполняются в банке. Ключевая роль функции аудита заключается в обеспечении независимой оценки деятельности по управлению рисками.

Например, законодательные директивы обычно требуют, чтобы внутренний аудит проверял общий процесс управления рисками. Это означает проверку адекватности ведения документации, эффективности процесса, достоверности системы управления рисками, организации подразделения по контролю за рисками, внедрения показателей риска в ежедневную практику управления и т. д.

Давайте еще раз рассмотрим пример рыночного риска. Законодательные директивы обычно требуют, чтобы внутренний аудит направлял процесс утверждения моделей ценообразования и систем оценки проверяемых производных инструментов, используемых персоналом во фронти бэк-офисах, подтверждение любого существенного изменения процесса измерения риска, а также диапазон рисков, рассматриваемых в модели оценки риска.

Регулирующие органы также требуют, чтобы внутренний аудит проводил проверку достоверности управленческих информационных систем, а также независимость, точность и полноту данных по позиции.

Помимо законодательных требований ключевой целью внутреннего аудита должна быть оценка разработки и концептуальной достоверности мер риска (включая методологии, связанные со стресс-тестированием). Внутренние аудиторы должны подтвердить точность моделей посредством анализа тестирования на основе исторических данных.

Аудит должен также оценивать точность элементов управленческой информационной системы по рискам, например процессов, используемых для кодирования и внедрения внутренних моделей. Сюда должны входить проверка контроля сбора данных по рыночной позиции, а также контроль над процессами оценки параметров (например, предположения о волатильности и корреляции).

Обязанности аудита часто включают в себя обеспечение гарантии относительно разработки и точности базы данных по финансовым ставкам, которые используются для получения параметров, вводимых в аналитические модели VaR для рыночного и кредитного рисков. Аудит также рассматривает адекватность и эффективность процедур мониторинга рисков, развитие планов относительно обновления систем управления рисками, адекватности и эффективности контроля в рамках управленческой информационной системы по рискам, а также надежность процессов проверки.

Аудит должен также проверить документацию, связанную с соответствием количественным/качественным критериям, изложенным в законодательных директивах. Он должен прокомментировать надежность структуры отчетности по модели value-at-risk.

В блоке 4−6 в общих чертах представлено, каким образом должен выглядеть отчет по результатам аудита функции риск-менеджмента. Это также проясняет опасности, которые могут возникнуть в случае появления недоразумений относительно роли риск-менеджмента и роли аудита. Блок 4−7, наоборот, описывает подход для оценки функции риск-менеджмента, который может быть принят третьими сторонами, например рейтинговыми агентствами, которым необходимо сравнить структуры риск-менеджмента множества различных организаций.

БЛОК 4−6

ПРИМЕР: ОТЧЕТ ПО РЕЗУЛЬТАТАМ АУДИТА

Если с точки зрения управления рисками все в порядке, то для обеспечения надежного контроля над рисками и соответствия законодательным критериями аудит должен использовать адекватные процессы (например. Соглашение об уровне капитала «BIS» 1998 г.).

Например, в краткой форме заключение группы аудиторов относительно контроля за рисками в банковской торговой деятельности может быть следующим.

• 1. Подразделение по управлению рисками не зависит от коммерческих подразделений организации.
• 2. Руководство компании использует внутренние модели риска.
• 3. Банковская модель оценки рисков охватывает все существенные риски.

Кроме того, если в организации все в порядке, группа аудиторов должна дать заключение об адекватности и эффективности следующих процессов.

• 1. Моделирования ценообразования риска и оценочных систем, используемых сотрудниками фронти бэк-офисов.
• 2. Подтверждения документами систем и процессов управления рисками.
• 3. Подтверждения любого существенного изменения процесса оценки риска.
• 4. Обеспечения целостности управленческой информационной системы по рискам.
• 5. Сбора данных по позиции (а также то, что любые позиции, которые не учтены, не влияют существенным образом на отчетность по рискам).
• 6. Подтверждения согласованности, своевременности и надежности источников данных, используемых для внутренних моделей, а также того, что источники данных являются независимыми.
• 7. Обеспечения точности и соответствия допущений об уровне волатильности и корреляции.
• 8. Обеспечения точности оценки и расчета преобразования риска.
• 9. Подтверждения точности модели посредством постоянного тестирования на основе исторических данных.

БЛОК 4−7

ВОЗМОЖНО ли ОЦЕНИТЬ КАЧЕСТВО УПРАВЛЕНИЯ РИСКАМИ В ОРГАНИЗАЦИИ?

В большей части этой главы мы говорили об установлении правильных структур для эффективного корпоративного руководства рисками. Но существует л и такой способ оценки практики управления рисками во всей организации, чтобы и организация, и внешние наблюдатели могли получить объективное представление о культуре и стандартах управления рисками?

Один из авторов работал с кредитным рейтинговым агентством над созданием такой системы оценки.

В соответствии с предлагаемым авторами подходом риски, связанные с конкретным аспектом, и функции управления рисками в рамках организации оцениваются с использованием анкетирования по следующим трем ключевым направлениям.

¦ Политика. Например, соответствуют ли толерантность к риску бизнес-стратегии? Должным ли образом информация о риске распространяется внутри и вне компании?

¦ Методология. Например, связаны ли методологии риска с показателями эффективности? Должным ли образом контролируются математические модели? Понимает ли высшее руководство риски в моделях?

¦ Инфраструктура. Например, имеются ли в наличии соответствующие специалисты и операционные процессы (например, данные, программное обеспечение и качество персонала) для контроля рисков и отчетность по ним?

Основная структура ПМИ (политика, методологии, инфраструктура) может быть использована для большинства сфер, а не только в рамках каждого из трех ключевых направлений; можно разработать более подробный список вопросов, который учитывает аспекты, соответствующие конкретной сфере.

Например, для торговых финансовых учреждений нам может потребоваться описание процесса делегирования ограничений для рыночного риска и кредитного риска (поскольку он относится к торговому портфелю).

Сбор этой информации включает анкетирование, а также проведение заседаний высшего руководства торговой организации для рассмотрения результатов. Внутреннему комитету рейтингового агентства будет представлена окончательная оценка, кредитный аналитик примет ее во внимание при общем анализе организации.

Отрицательная оценка может повлиять на кредитный рейтинг организации — это четкий показатель того, насколько стала важна связь между риск-менеджментом, корпоративным руководством и раскрытием информации о рисках.

В банковской сфере шли дискуссии на тему того, должна ли контролировать функция аудита функцию управления операционным риском банка, в конце концов, аудит непосредственно работает с качеством внутреннего контроля.

К сожалению, было бы ошибкой допустить, чтобы аудит определял правила управления банковским операционным риском. Независимость аудита от функции управления рисками — это предпосылка для оценки любых гарантий, которые она дает совету директоров. Если такой независимости нет, то существует опасность того, что аудит закончится попыткой дать независимое заключение относительно качества деятельности в риск-менеджменте, который разработал сам аудит или помогал им управлять. Это будет подразумевать классический конфликт интересов в сфере банковского корпоративного руководства.