Выявление и оценка

Принцип 6: Исполнительный орган должен обеспечивать выявление и оценку операционного риска, присущего всем существенным продуктам, направлениям деятельности, процессам и системам, с целью четкого понимания природы рисков и стимулов, создающих предпосылки для их (рисков) возникновения.

38. Выявление и оценка риска являются основополагающими атрибутами эффективной системы управления операционным риском. Для эффективного выявления рисков необходимо учитывать как внутренние <*>, так и внешние факторы <**>. Надежная оценка риска позволяет банку лучше понимать уровень и виды его рисков и более эффективно распределять управленческие ресурсы и определять стратегии.

--------------------------------

<*> В частности, организационную структуру банка, характер деятельности банка, качество его кадровых ресурсов, организационные изменения и текучесть кадров.

<**> В частности, изменения общих условий для осуществления деятельности в отрасли и внедрение технологических нововведений.

39. К примерам методов, которые могут использоваться для выявления и оценки операционного риска, относятся:

(а) Аудиторские заключения. Несмотря на то что аудиторские заключения основное внимание уделяют недостаткам и пробелам системы контроля, они могут давать представление о начальном и остаточном уровнях риска, вызванного внешними или внутренними факторами;

(б) Сбор и анализ данных об убытках кредитной организации. Данные об операционных убытках представляют собой важную информацию для оценки подверженности банка операционному риску и эффективности внутреннего контроля. Анализ случаев возникновения убытков может дать представление о причинах крупных убытков и информацию о том, являются ли сбои в системе контроля эпизодическими или системными <*>. Кроме того, для банков будет полезно фиксировать и отслеживать роль операционного риска в убытках, вызванных кредитным и рыночным рисками, с целью получения более полного представления об операционном риске, которому они подвергаются;

--------------------------------

<*> Классификация внутренних данных об убытках, особенно в крупных банках, по Уровню 1 и типам случаев возникновения убытков, приведенная в Приложениях 8 и 9 документа Базель II, может упростить сопоставление с внешними данными об убытках.

(в) Сбор и анализ внешних данных. В состав внешних данных входят суммарные операционные убытки, сроки, данные о покрытии убытков, а также соответствующая эпизодическая информация о случаях возникновения убытков в других организациях. Внешние данные об убытках могут сопоставляться с внутренними данными об убытках, использоваться для выявления потенциальных недостатков в системе контроля или рисков, не выявленных ранее;

(г) Оценка риска. В процессе оценки риска, которую часто называют Самооценкой риска (СОР), банк оценивает процессы, лежащие в основе его операций, путем сопоставления с перечнем потенциальных угроз и трудностей и рассматривает их потенциальные последствия. Подобный подход используется в процессе Самооценки контроля над рисками (СОКР), в рамках которого, как правило, оцениваются внутренний риск, присущий деятельности банка (риск до учета средств контроля), эффективность системы контроля и остаточный риск (риск после учета средств контроля). Система показателей, основанная на СОКР и учитывающая остаточные риски, направлена на использование результатов СОКР для построения параметров оценки контрольной среды;

(д) Классификация бизнес-процессов. В рамках классификации бизнес-процессов определяются основные этапы бизнес-процессов, виды деятельности и организационные функции. Кроме того, определяются ключевые моменты возникновения риска в общей деятельности банка. Классификация способствует выявлению отдельных рисков, взаимозависимостей между рисками и недостатков контроля или управления рисками. Она также помогает определить очередность последующих управленческих мер;

(е) Индикаторы уровня рисков и показатели эффективности. Индикаторы уровня рисков и показатели эффективности представляют собой значения (величины) и/или статистические данные, дающие представление о рисках, которым подвержен банк. Индикаторы уровня риска, которые нередко называют Ключевыми индикаторами уровня риска (КИУР), используются для контроля основных факторов, связанных с возникновением наиболее значимых рисков. Показатели эффективности, которые часто называют Ключевыми показателями эффективности (КПЭ), позволяют понять состояние операционных процессов, что, в свою очередь, обеспечивает выявление недостатков, сбоев и потенциальных убытков. Индикаторы уровня рисков и показатели эффективности часто используются с эскалационными показателями (показателями обострения, увеличения масштабов) для того, чтобы предупредить момент, когда уровень риска приблизится или станет выше пределов или лимитов, и помочь в подготовке планов по снижению уровня риска;

(ж) Сценарный анализ. Сценарный анализ представляет собой процесс получения экспертного заключения руководителей по направлениям деятельности и риск менеджеров для выявления потенциальных случаев возникновения операционного риска и оценки их возможных последствий. Сценарный анализ является эффективным средством изучения потенциальных источников существенного операционного риска и потребности в дополнительных средствах контроля или снижения риска. Учитывая субъективность процесса сценарного анализа, для обеспечения его непротиворечивости и последовательности необходима надежная система управления;

(з) Измерение риска. Крупным банкам представляется целесообразным применять для целей количественной оценки подверженности операционному риску результаты использования методов оценки риска в качестве исходных данных для модели оценки подверженности операционному риску. Результаты применения модели могут использоваться в процессе определения экономического капитала, а также распределяться по направлениям деятельности для сопоставления риска и доходности;

(и) Сравнительный анализ. Сравнительный анализ включает сравнение результатов применения различных методов оценки для получения более полного представления об уровне и видах операционного риска банка. В частности, сопоставление периодичности предоставления внутренних данных и их существенности с СОКР помогает банку определить, насколько эффективны процессы самооценки. Данные сценариев могут сравниваться с внутренними и внешними данными для более полного понимания того, насколько банк потенциально подвержен риску.

40. Банк должен обеспечить, чтобы внутренние механизмы ценообразования и измерения показателей надлежащим образом учитывали операционный риск. Если операционный риск не учитывается, действия, связанные с принятием риска, могут быть не согласованы с риск-аппетитом и допустимым уровнем риска.

Принцип 7: Исполнительный орган должен обеспечить наличие процесса одобрения всех новых продуктов, направлений деятельности, процедур и систем, который бы учитывал подверженность операционному риску.

41. Как правило, операционный риск банка увеличивается, когда банк осуществляет новые виды деятельности или разрабатывает новые продукты, выходит на незнакомые рынки, внедряет новые бизнес-процессы или технологические системы и/или осуществляет деятельность на расстоянии от головной организации. Кроме того, уровень риска может повышаться, когда осуществляется переход от начальной стадии использования новых продуктов, видов деятельности, процессов или систем на уровень возникновения существенных источников дохода или критических для бизнеса операций. Банк должен обеспечивать, чтобы инфраструктура управления риском соответствовала новшествам и не отставала от темпов роста или изменений продуктов, видов деятельности, процессов и систем.

42. Банк должен иметь принципы и процедуры, предусматривающие анализ и одобрение новых продуктов, видов деятельности, процессов и систем. В процессе анализа и одобрения должны учитываться:

(а) внутренние риски нового продукта, услуги или вида деятельности;

(б) изменения уровня и видов операционного риска банка, а также его ориентированности на риск и допустимого уровня риска, включая и риск, присущий используемым продуктам и видам деятельности;

(в) необходимые средства контроля, процессы управления риском и стратегии снижения риска;

(г) остаточный риск;

(д) изменения соответствующих пределов или лимитов риска; а также

(е) процедуры и значения (величины), используемые для измерения, контроля и управления риском, присущим новому продукту или виду деятельности.

Кроме того, процесс одобрения должен обеспечивать надлежащие инвестиции в кадровые и технические ресурсы до того, как новые продукты будут представлены на рынок. Внедрение новых продуктов, видов деятельности, процессов и систем должно контролироваться с целью выявления существенных отличий в уровне и видах операционного риска от ожидаемых, а также для управления всеми непредвиденными рисками.