6.2. Этап 2 - Оценка инструментов внутреннего контроля

После выявления и оценки присущих рисков необходимо оценить инструменты внутреннего контроля для определения того, насколько эффективно они способны снижать совокупные риски. Инструменты внутреннего контроля представляют собой программы, принципы и меры, которые применяет финансовая организация в целях защиты от материализации риска ОД либо для того, чтобы обеспечить безотлагательное выявление потенциальных рисков. Инструменты внутреннего контроля используются также для обеспечения соответствия регулятивным требованиям к деятельности финансовой организации. Множество аналогичных инструментов внутреннего контроля применимы к различным направлениям деятельности финансовой организации и используются как на уровне подразделения, непосредственно обслуживающего клиентов (1-я линия защиты), так и на уровне подразделения, ответственного за соблюдение законодательства в сфере ПОД (2-я линия защиты) <6>. Имеющиеся инструменты внутреннего контроля оцениваются с точки зрения их эффективности в снижении присущего риска ОД и определении уровня остаточного риска. Инструменты контроля за соблюдением законодательства в сфере ПОД оцениваются, как правило, по следующим контрольным категориям:

--------------------------------

<6> 1-я и 2-я линии защиты упоминаются в контексте классического механизма "трех линий защиты", в рамках которого операционная деятельность организации выполняет функцию 1-й линии, деятельность по соблюдению законодательства в сфере ПОД и прочие функции внутреннего контроля - 2-й линии, а аудит - 3-й линии.

- корпоративное управление в целях соблюдения законодательства в сфере ПОД, управленческий надзор и прозрачность;

- принципы и процедуры;

- "Знай своего клиента", надлежащая проверка клиента, усиленная проверка клиента;

- другие предшествующие оценки рисков (как на локальном уровне, так и на уровне финансовой организации);

- управленческая информация/отчетность;

- хранение данных и срок хранения;

- наличие уполномоченного сотрудника/подразделения, ответственного за соблюдение законодательства в сфере ПОД;

- выявление подозрительных операций и направление о них сообщений;

- мониторинг и контроль;

- обучение;

- независимое тестирование и надзор (включая актуальные результаты внутреннего аудита или прочие существенные сведения);

- иные инструменты контроля.

Каждая категория оценивается с точки зрения общей модели ее функционирования и операционной эффективности. При этом может быть выявлен как благоприятный, так и неблагоприятный показатель использования инструментов контроля; информация о таких показателях должна быть тщательно зафиксирована в целях оценки операционной эффективности каждого инструмента внутреннего контроля. Кроме того, необходимо по возможности обеспечить увязку инструментов внутреннего контроля с ключевыми показателями деятельности либо иными параметрами.

Одним из способов оценки эффективности инструментов внутреннего контроля является осуществление специализированной самооценки внутренним структурным подразделением финансовой организации либо в рамках отдельного направления ее деятельности. Самооценка такого рода может быть проведена в автономном режиме на основе экспертного опыта в предметной сфере и имеющейся внутренней информации, в том числе полученной в рамках обзоров деловых рисков, аудиторских и контрольных тестирований. Конкретному инструменту внутреннего контроля может быть присвоена оценка в соответствии с заранее определенной шкалой оценок или на основе качественных факторов, например: "удовлетворительно", "требует улучшений" или "имеются недостатки", - для каждого из вышеуказанных факторов внутреннего контроля.

Например, в отношении категории "Обучение", для вынесения суждения об эффективности механизма обучения потребуется наличие ряда элементов. Сама по себе оценка инструмента внутреннего контроля должна быть сосредоточена на каждом из таких элементов, например: была ли проведена оценка потребностей персонала в обучении, проводится ли специальная подготовка лиц, выполняющих ключевые функции в финансовой организации, проводится ли обучение своевременно. Финансовой организации необходимо оценить, функционирует ли каждый элемент удовлетворительно, требует ли он улучшений либо в нем имеются недостатки. Для каждого элемента в категории "Обучение" могут быть разработаны рекомендации, которыми надлежит руководствоваться в случае присвоения ему той или иной оценки. Наряду с этим категории "Обучение" может быть дана и совокупная оценка. Если проставляется совокупная оценка этой категории, то она должна быть основана на базовых оценках, присвоенных отдельным элементам в рамках указанной категории.

В случае если выясняется, что механизм функционирования инструмента внутреннего контроля не разработан, инструмент функционирует неэффективно либо не существует, следует принять меры по устранению таких недостатков (в тех случаях, когда такие меры еще не реализуются). На примере категории "Обучение" это может означать внедрение модифицированной специализированной программы обучения персонала или введение процедур усиленной проверки клиента. В тех случаях, когда соответствующие корректирующие меры уже принимаются, факт их реализации должен быть зафиксирован в рамках подготовки комментариев по конкретному недостатку. Тем не менее факт реализации корректирующих мер не должен влиять на оценку остаточного риска, поскольку такие меры сами по себе не являются фактором снижения присущего риска. Оценка присущего риска и инструментов внутреннего контроля является оценкой "на определенный момент времени"; таким образом, эффективное осуществление корректирующих мер может оказать благоприятное влияние на уровень остаточного риска только в рамках последующей оценки рисков.

Как и в случае с факторами присущего риска (рассмотрено выше), по итогам оценки каждому элементу, действующему в рамках инструмента внутреннего контроля, присваивается оценка, в результате агрегирования которых можно получить представление об относительной надежности того или иного инструмента внутреннего контроля. Затем каждому элементу может быть присвоен весовой коэффициент, отражающий значимость, для финансовой организации. Например, можно ожидать, что в рамках оценки рисков категории "Надлежащая проверка клиентов" будет присвоен больший весовой коэффициент, чем категории "Хранение данных и срок хранения". Пример приведен в приложении I.