Управление операционным риском. 
Основные принципы

Система управления операционным риском это постоянный процесс, который графически можно отобразить следующим образом:

Основные принципы управления рисками, включая операционные изложены в документах Базельского комитета по совершенствованию корпоративного управления. К ним относятся «Основы систем внутреннего контроля в кредитных организациях» (сентябрь 1998 г.), «Повышение транспарентности банков» (сентябрь 1998 г.), «Совершенствование корпоративного управления в кредитных организациях» (сентябрь 1999 г.), «Передовая практика управления и надзора за операционным риском» (февраль 2003 г.).

Как Совет директоров В документе Базельского комитета рассматривается структура управления, состоящая из совета директоров и высшего звена управления. Комитету известно о том, что имеются существенные отличия в правовой и регулятивной системах различных стран относительно функций Совета директоров и высшего менеджмента. В некоторых странах основной, если не исключительной, функцией Совета директоров является такой контроль исполнительной власти (высшего менеджмента, генерального директора), который обеспечивает выполнение руководством стоящих перед банком задач. Для этого в некоторых случаях он даже называется наблюдательным советом. Это означает, что у совета нет исполнительных функций. В других странах совет наделен более широкими полномочиями, позволяющими определять планирование общей структуры руководства банком. Исходя из этих различий, термины «совет директоров» и «руководители высшего звена управления» используются в данной работе не для определения правовых рамок, а для обозначения двух уровней принятия решений в банке, так и высшее звено управления несут ответственность за создание банковской (корпоративной) культуры, в которой приоритет отдается эффективному управлению операционным риском и приверженности надлежащим мерам оперативного контроля. Управление операционным риском наиболее эффективно там, где банковская культура поощряет высокие стандарты нравственного поведения на всех уровнях банковской структуры. Совет директоров и высшее руководство должны способствовать созданию такой корпоративной культуры, которая устанавливает, словом и делом, атмосферу единства всего персонала в деятельности банка.

Принцип 1: Совет директоров должен знать об основных аспектах операционных рисков банка, как особой категории рисков, которой следует управлять, должен утверждать и периодически пересматривать подходы к управлению операционными рисками в банке (политику). Эта политика должна давать единое для банка определение операционного риска и устанавливать принципы его выявления (идентификации), оценки, мониторинга, контроля (ограничения).

Принцип 2: Совет директоров должен обеспечить, чтобы подходы к управлению операционным риском подвергались эффективному и всестороннему внутреннему аудиту функционально независимыми, соответствующим образом подготовленными и компетентным сотрудниками. Подразделение внутреннего аудита не должно нести непосредственную ответственность за управление операционным риском.

Принцип 3: Исполнительное руководство должно отвечать за реализацию утвержденных подходов к управлению операционным риском. Эти подходы должны последовательно реализовываться во всей банковской организации, сотрудники на всех ее уровнях должны понимать свои обязанности в отношении операционного риска. Исполнительное руководство обязано отвечать за разработку политик, процессов и процедур управления операционным риском в рамках всех существенных для банка продуктов, видов деятельности, процессов и систем. Политика управления рисками в банке была разъяснена персоналу на всех уровнях, связанных с материальным ущербом.

Принцип 4: Банкам необходимо выявлять (идентифицировать) и оценивать операционный риск, присущий существенным для них продуктам, видам деятельности, процессам и системам. Банки также должны обеспечивать надлежащую оценку операционного риска, присущего продуктам, видам деятельности, процессам и системам до начала их реализации и внедрения. Некоторые банки начали проводить количественную оценку подверженности операционному риску, используя различные подходы. Например, данные об исторически установленных потерях могут представить значимую информацию для оценки подверженности банка операционному риску и разработки политики снижения/контроля за риском. Эффективным способом правильного использования этой информации является установление системы постоянного отслеживания и регистрации частоты, величины и других параметров, характеризующих потери в конкретных эпизодах. В некоторых банках комбинируются данные о внутренних потерях с данными о внешних потерях, анализ последовательности событий (сценария) и факторы оценки риска. Уязвимым моментом, безусловно, является всё же довольно большая условность ретроспективной информации о потерях, и небольшая доля вероятности повторения события, связанного с потерями, с теми же параметрами проявления.

Принцип 5: В банках должен быть налажен процесс регулярного мониторинга структуры операционного риска и потенциальных убытков. Должна быть организована на постоянной основе система доведения информации до менеджмента высшего звена и совета директоров, способствующая упреждающим действиям по управлению операционным риском. В общем, совет директоров должен получать достаточную высококачественную информацию, позволяющую понять совокупную структуру операционного риска и сосредоточиться на материальной и стратегической сторонах бизнеса.

Принцип 6: Банки должны иметь политики, процессы и процедуры контроля и ограничения существенных операционных рисков. Следует также периодически пересматривать стратегии ограничения и контроля риска и соответственно менять параметры операционного риска, используя подходящие стратегии и механизмы. Операционный риск может сильнее проявиться, когда банки вовлекаются в новые виды деятельности или разработку новых продуктов (в частности, где эта деятельность или продукты не сочетаются с основной стратегией бизнеса банка), вступают на незнакомые рынки и/или участвуют в бизнесе, который географически удален от головного офиса. Более того, во многих случаях, финансовые институты не обеспечивают, чтобы инфраструктура управления риском поспевала за ростом деловой активности.

Принцип 7: Банки должны иметь планы действия и обеспечения непрерывной деятельности при наступлении непредвиденных обстоятельств, с тем чтобы не прекращать работу и ограничивать убытки. В качестве одного из методов реализации данного принципа может применяться построение в банке катастрофоустойчивого центра обработки данных. Особое внимание следует уделять способности восстанавливать электронные и физические записи, которые необходимы для возобновления бизнеса.

Банки должны периодически обновлять свои планы восстановления и непрерывности бизнеса, чтобы они сочетались с текущими операциями и стратегией бизнеса. Более того, эти планы следует периодически проверять, чтобы убедиться, что банк будет способен выполнить планы при неблагоприятном стечении обстоятельств, связанным с серьезным нарушением бизнеса. Даже непродолжительные сбои в работе основных ИТ-систем служат причиной серьезных финансовых потерь. По результатам опроса, проведенного компанией Eagle Rock Alliance более 40% компаний прекращают свое существование при 72-часовом простое ИТ-сервисов. Очевидно, что ни один из ведущих российских банков не может себе позволить и этих трех суток. В своей практике автор данной работы сталкивался с ситуацией, когда сбой компьютерной системы регионального банка, с одновременной невозможностью осуществлять обслуживание вкладных операций физических лиц, привел к массовой панике и ажиотажу среди вкладчиков, и банк оказался на грани банкротства.

Принцип 8. Надзорные органы обязаны требовать, чтобы все банки независимо от размера применяли эффективные подходы к выявлению, оценке, мониторингу и контролю (ограничению) существенных операционных рисков.

Принцип 9. Надзорные органы должны осуществлять прямо или косвенно независимую оценку политик, процедур и практики банка, связанных с операционными рисками. Надзорные органы должны иметь механизмы, позволяющие им отслеживать изменения в управлении рисками в банках.

Принцип 10. Банки должны публиковать достаточную информацию, с тем, чтобы дать возможность участникам рынка оценить их подход к управлению операционным риском.