3. Как должна быть организована оценка рисков?

Какой бы ни был избран подход, финансовые организации должны обеспечить тщательное документирование и утверждение такого подхода руководством высшего звена. Методология оценки риска должна содержать четкие формулировки, особенно применительно к оцениваемым факторам, критериям, используемым для присвоения баллов, к соответствующим весовым коэффициентам, используемым в методологии количественной оценки, к применяемым оценочным корректировкам, включая, в частности, разумные основания для таких корректировок и специфические параметры направления деятельности/структурного подразделения финансовой организации. В то время как произвольные оценочные корректировки не должны быть нормой, могут возникнуть обстоятельства, при которых корректировка "в ручном режиме" становится необходимой, особенно в ходе первых нескольких оценок рисков и до тех пор, пока применяемая методология оценки не стабилизируется.

Способ проведения оценки риска может повлиять на решение, к чьей компетенции относится такая оценка и кто ею управляет, то есть: проводится ли оценка риска на уровне отдельных направлений деятельности, страны, региона или финансовой организации; кроме того, на указанное решение окажут влияние структура, глобальное присутствие и уровень сложности деятельности финансовой организации. Для оценки риска в масштабе финансовой организации могут быть агрегированы несколько оценок (до общего уровня организации), хотя реализация тактических действий может оставаться в компетенции отдельных направлений деятельности финансовой организации, нежели на уровне финансовой организации/группы компаний. При этом предпочтительно, чтобы осуществление стратегических действий относилось к компетенции и осуществлялось на уровне группы компаний или региональном уровне. Лица, к компетенции которых относится осуществление тех или иных действий, могут различаться в зависимости от масштабов и сложности деятельности финансовой организации; тем не менее они должны находиться в наиболее благоприятном положении с точки зрения принятия на себя ответственности за обеспечение выполнения необходимых действий.

Охват оценки рисков должен быть четко сформулирован, то есть: (i) оценка рисков проводится независимо от конкретного направления деятельности и посвящена вопросам соблюдения требований законодательства или (ii) это комплексная оценка рисков, охватывающая одновременно вопросы деятельности финансовой организации и соблюдения требований законодательства.

Аналогичным образом форма проводимой оценки или виды задаваемых вопросов могут различаться в зависимости от оцениваемой сферы бизнеса (в том случае если деятельность финансовой организации охватывает ту или иную сферу бизнеса). Например, финансовая организация, предоставляющая исключительно услуги по управлению активами состоятельных лиц, может сфокусировать свои вопросы и инструменты контроля преимущественно на рисках, связанных с особенностями географического "присутствия", и риске по типу клиента, нежели на рисках по виду предоставляемых продуктов или каналов их реализации, которые, вероятно, представляют больший интерес для розничного бизнеса. Это позволит обеспечить повышенное внимание оцениваемой сфере и провести более тщательный анализ.

Проводя оценку рисков, финансовые организации должны выбрать подходящий формат сопоставления ее результатов. Возможные варианты включают: (i) создание индивидуальной внутренней системы регистрации ответов на вопросы, задаваемые в рамках оценки рисков, и присвоения рискам соответствующих уровней, (ii) использование программ для работы с электронными таблицами, (iii) расчет уровней рисков вручную, а также другие возможные варианты. Выбранный подход должен быть соизмерим с размером и сложностью деятельности финансовой организации, поскольку от этого зависят результативность и управляемость оценки рисков. Финансовая организация должна выбрать наиболее подходящий подход и после принятия решения задокументировать его логическое обоснование. При принятии решения финансовая организация также должна учесть, возможно ли с использованием такого подхода рассчитать уровни рисков и отслеживать действия, которые потребовалось предпринять в ходе проведения оценки рисков. Хотя упомянутые действия могут затрагивать другую внутреннюю систему, должно быть зафиксировано, что определенное действие явилось результатом оценки риска.

Если в финансовой организации используются различные подходы, принципы методологии оценки рисков должны соблюдаться последовательно, с тем чтобы соответствующие результаты могли быть сопоставимы с точки зрения уровней идентифицированных рисков. После завершения разработки методологии оценки рисков финансовой организации целесообразно обеспечить последовательность в ее применении на определенном уровне, то есть: никакие изменения в методологии не должны становиться препятствием для сопоставления результатов проведенной оценки рисков с результатами предыдущих оценок рисков, с тем чтобы имелась возможность выявить реальные рост/стабильность/снижение рисков в любой финансовой организации. Пример процесса структурирования оценки рисков приведен в приложении B.