2.2. Оценка полноты регламентации СУОР во внутренних документах кредитной организации

В рамках оценки регламентации СУОР рекомендуется проверять наличие действующих и утвержденных советом директоров (наблюдательным советом), коллегиальным исполнительным органом или должностным лицом кредитной организации внутренних документов, регламентирующих процесс управления операционным риском в кредитной организации в соответствии с требованиями Положения N 716-П (далее - внутренние документы) <1>, а также наличие в данных внутренних документах следующей информации.

--------------------------------

<1> Рекомендуемый перечень внутренних документов по управлению операционным риском в кредитной организации размещен на официальном сайте Банка России в информационно-телекоммуникационной сети "Интернет" в следующем разделе: "Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора", "N 716-П от 08.04.2020 Положение Банка России "О требованиях к системе управления операционным риском в кредитной организации и банковской группе", "Разъяснения по формированию внутренних документов по управлению операционным риском".

2.2.1. Определение операционного риска в соответствии со значением, установленным в пункте 4.1 приложения 1 к Указанию N 3624-У, и видов операционного риска в соответствии с требованиями пункта 1.4 Положения N 716-П.

2.2.2. Отражение в Положениях о структурных подразделениях кредитной организации (в первую очередь, специализированных подразделений, центров компетенций, в том числе владельцев процессов, участников процессов) выполняемых ими функций и задач в рамках СУОР в соответствии с требованиями Положения N 716-П.

2.2.3. Определение полномочий руководителей структурных подразделений кредитной организации в области управления операционным риском и их ответственности за выявление операционного риска, присущего деятельности данных подразделений.

2.2.4. Определение требований к выполнению процедур управления операционным риском, указанных в главе 2 Положения N 716-П.

2.2.4.1. Определение требований к процедуре идентификации операционного риска в соответствии с подпунктом 2.1.1 пункта 2.1 Положения N 716-П, в том числе следующие:

- способы выполнения процедуры идентификации операционного риска в соответствии с подпунктом 2.1.1 пункта 2.1 Положения N 716-П;

- порядок ведения реестра операционных рисков с использованием элементов классификации, указанных в пункте 3.1 Положения N 716-П.

2.2.4.2. Определение требований к процедуре сбора и регистрации информации о внутренних СОР и потерях от его реализации в соответствии с подпунктом 2.1.2 пункта 2.1 Положения N 716-П, в том числе следующие:

- способы выполнения процедуры сбора и регистрации информации о внутренних СОР и потерях от его реализации в соответствии с подпунктом 2.1.2 пункта 2.1 Положения N 716-П;

- центров компетенций (см. подпункт 2.1.6 пункта 2.1 настоящих разъяснений);

- правил предоставления информации об идентифицированных СОР центрами компетенций в подразделение, ответственное за организацию управления операционным риском, с учетом требований абзаца тринадцатого подпункта 2.1.2 пункта 2.1 Положения N 716-П;

- возложение на центры компетенций (их руководителей) ответственности за соблюдение целевых значений КПУР, указанных в абзацах втором и седьмом подпункта 1.1.1 и абзацах втором и девятом подпункта 1.2.1 пункта 1 приложения 1 к Положению N 716-П, в разрезе центров компетенций.

2.2.4.3. Определение требований к процедуре определения потерь и возмещений потерь от реализации СОР в соответствии с подпунктом 2.1.3 пункта 2.1 Положения N 716-П, в том числе следующие:

- способы выполнения процедуры определения потерь и возмещений потерь от реализации СОР в соответствии с подпунктом 2.1.3 пункта 2.1 Положения N 716-П.

2.2.4.4. Определение требований к процедуре количественной оценки уровня операционного риска в соответствии с подпунктом 2.1.4 пункта 2.1 Положения N 716-П, в том числе следующие:

- способы выполнения процедуры количественной оценки уровня операционного риска, в том числе с использованием средств автоматизации, в соответствии с подпунктом 2.1.4 пункта 2.1 Положения N 716-П;

- методы и порядок проведения оценки ожидаемых потерь от реализации операционного риска.

2.2.4.5. Определение требований к процедуре качественной оценки уровня операционного риска в соответствии с подпунктом 2.1.5 пункта 2.1 Положения N 716-П, включая методы оценки и анализа вероятности реализации операционного риска, в том числе следующие:

- способы выполнения процедуры качественной оценки уровня операционного риска в соответствии с подпунктом 2.1.5 пункта 2.1 Положения N 716-П;

- правила привлечения внешних экспертов к проведению качественной оценки уровня операционного риска;

- методы проведения процедуры качественной оценки уровня операционного риска, в том числе с использованием средств автоматизации;

- обязанность подразделения, ответственного за организацию управления операционным риском, по разработке плана проведения качественной оценки в значении, установленном в абзаце шестом подпункта 2.1.5 пункта 2.1 Положения N 716-П;

- требования к проведению самооценки операционного риска подразделениями кредитной организации, а также методика ее проведения, с учетом требований абзацев восьмого - тринадцатого подпункта 2.1.5 пункта 2.1 Положения N 716-П;

- требования к проведению профессиональной оценки уровня операционного риска и методика ее проведения в соответствии с требованиями абзацев четырнадцатого - пятнадцатого подпункта 2.1.5 пункта 2.1 Положения N 716-П;

- методика сценарного анализа операционных рисков и порядок его проведения.

2.2.4.6. Определение требований к процедуре выбора и применение способа реагирования на операционный риск в соответствии с подпунктом 2.1.6 пункта 2.1 Положения N 716-П, в том числе следующие:

- способы выполнения процедуры выбора и применения способа реагирования на операционный риск в соответствии с подпунктом 2.1.6 пункта 2.1 Положения N 716-П;

- порядок проведения процедуры выбора и применения способа реагирования на операционный риск, в том числе методы оценки стоимости выбранного способа реагирования.

2.2.4.7. Определение требований к процедуре мониторинга операционного риска в соответствии с подпунктом 2.1.7 пункта 2.1 Положения N 716-П, в том числе следующие:

- способы выполнения процедуры мониторинга операционного риска в соответствии с подпунктом 2.1.7 пункта 2.1 Положения N 716-П;

- правила, методы применения процедуры мониторинга операционного риска в зависимости от уровня операционных рисков и способы документирования результатов процедуры мониторинга операционного риска;

- требования к КИР и к их документированию, с учетом требований абзацев десятого - двадцатого подпункта 2.1.7 пункта 2.1 Положения N 716-П;

- периодичность проведения оценки в целях пересмотра КИР (не реже одного раза в год).

2.2.5. Утверждение классификатора СОР, соответствующего требованиям главы 3 Положения N 716-П и требованиям приложений 4 и 5 к Положению N 716-П.

2.2.6. Определение требований к дополнительным элементам СУОР, указанным в пункте 4.1 Положения N 716-П, включая следующие:

- утверждение перечня процессов в соответствии с требованиями подпункта 4.1.1 пункта 4.1 Положения N 716-П, с учетом рекомендаций, указанных в подпунктах 2.1.5 и 2.1.6 настоящих разъяснений;

- утверждение политики управления операционным риском и внутренних документов в соответствии с требованиями подпунктов 4.1.2 и 4.1.3 пункта 4.1 Положения N 716-П, с учетом рекомендаций, указанных в подпункте 2.1.8 пункта 2.1 настоящих разъяснений;

- определение подразделения кредитной организации уполномоченного, осуществлять оценку эффективности функционирования СУОР, и порядка проведения данной оценки, в соответствии с требованиями подпункта 4.1.4 пункта 4.1 Положения N 716-П;

- правила привлечения для оценки эффективности функционирования СУОР внешних экспертов и порядок проведения данной оценки организацией, осуществляющей внешний аудит в соответствии с требованиями подпункта 4.1.4 пункта 4.1 Положения N 716-П;

- комплекс мероприятий кредитной организации, направленных на повышение качества СУОР и уменьшение негативного влияния операционного риска, включая мероприятия, направленные на предотвращение и (или) снижение вероятности СОР, и мероприятия, направленные на ограничение размера потерь от реализации СОР, в соответствии с подпунктом 4.1.5 пункта 4.1 Положения N 716-П;

- способы мотивации работников кредитной организации к участию в управлении операционным риском в соответствии с требованиями подпункта 4.1.6 пункта 4.1 Положения N 716-П, с учетом рекомендаций, указанных в подпункте 2.12.2.2 и 2.12.2.3 пункта 2.12 настоящих разъяснений;

- отчеты по операционному риску и информация о СОР, формируемые кредитной организацией в соответствии с пунктом 4.2 Положения N 716-П с учетом подпункта 2.2.7 пункта 2.2 настоящих разъяснений.

2.2.7. Определение требований к системе отчетов по операционному риску, с учетом пункта 4.2 Положения N 716-П, включая следующее.

2.2.7.1. В рамках ежедневного информирования в соответствии с подпунктом 4.2.1 пункта 4.2 Положения N 716-П:

- определение в функционале подразделения, ответственного за организацию управления операционным риском, обязанности ежедневного информирования руководителя службы управления рисками о СОР, зарегистрированных в базе событий за отчетную дату (далее - ежедневное информирование о СОР), и в функционале руководителя службы управления рисками обязанности ежедневного рассмотрения вышеуказанной информации;

- порядок осуществления ежедневного информирования о СОР и критерии значимости СОР, включаемых в ежедневное информирование по операционному риску;

- порядок организации действий в случае применения программно-аппаратных средств, позволяющих обеспечить автоматизированное ежедневное информирование о СОР.

2.2.7.2. В рамках ежеквартального формирования отчетов, указанных в подпункте 4.2.2 пункта 4.2 Положения N 716-П (далее - ежеквартальные отчеты по операционному риску):

- определение в функционале подразделения, ответственного за организацию управления операционным риском, обязанности формирования и направления руководителю службы управления рисками ежеквартальных отчетов по операционному риску;

- определение в функционале коллегиальных исполнительных органов, уполномоченных на рассмотрение ежеквартальных отчетов по операционному риску, обязанности по их рассмотрению с учетом рекомендаций, указанных в подпункте 2.1.2 пункта 2.1 настоящих разъяснений;

- определение сроков рассмотрения коллегиальным исполнительным органом ежеквартальных отчетов по операционному риску в соответствии с требованиями подпункта 4.2.5 пункта 4.2 Положения N 716-П.

2.2.7.3. В рамках формирования отчета по управлению операционным риском за год в соответствии с требованиями подпункта 4.2.3 пункта 4.2 Положения N 716-П (далее - отчет по операционному риску за год):

- определение в функционале подразделения, ответственного за организацию управления операционным риском, обязанности формирования и направления руководителю службы управления рисками отчета по операционному риску за год;

- определение в функционале руководителя службы управления рисками, коллегиального исполнительного органа и совета директоров (наблюдательного совета) обязанности по рассмотрению отчета по операционному риску за год;

- порядок предоставления на рассмотрение совета директоров (наблюдательного совета) отчета по операционному риску за год и сроки его рассмотрения.

2.2.7.4. Определение методики и порядка составления отчетов по операционному риску, включая следующие элементы:

- форматы отчетов и состав содержащейся в них информации, с учетом требований к содержанию отчетов, указанных в подпунктах 4.2.2 и 4.2.4 пункта 4.2 Положения N 716-П;

- документооборот, сроки и потоки информации, необходимые для составления отчетов;

- ответственность подразделений и должностных лиц за полное, корректное и своевременное предоставление информации в подразделение, ответственное за организацию управления операционным риском, в целях составления отчетов;

- сроки предоставления отчетов на рассмотрение коллегиальным исполнительным органам и советом директоров (наблюдательным советом) кредитной организации;

- порядок и сроки хранения отчетов в соответствии с требованиями подпункта 4.2.5 пункта 4.2 Положения N 716-П.

2.2.8. Требования к информационной системе, обеспечивающей управление операционным риском, в соответствии с подпунктом 4.3.1 пункта 4.3 Положения N 716-П <2>.

--------------------------------

<2> Обязательно для банков, размер активов которого составляет 500 миллиардов рублей и более, для иных кредитных организаций - в зависимости от характера и масштаба деятельности с учетом политики управления операционным риском кредитной организации.

2.2.9. Требования к управлению модельным риском в соответствии с подпунктом 4.3.2 пункта 4.3 Положения N 716-П <2>.

2.2.10. Определение показателей уровня операционного риска и порядка их соблюдения в соответствии с пунктом 4.5 Положения N 716-П.

2.2.11. Проведение подразделением, ответственным за организацию управления операционным риском, регулярного (не реже одного раза в год) анализа необходимости пересмотра требований политики управления операционным риском и внутренних документов кредитной организации.

Рекомендуется проводить путем проверки Протоколов заседаний уполномоченных коллегиальных исполнительных органов и совета директоров (наблюдательного совета) на наличие в них рассмотрения соответствующих вопросов.

2.2.12. Установление порядка ведения и использования базы событий (например, Порядком ведения базы событий <3>).

--------------------------------

<3> Рекомендуемый перечень внутренних документов по управлению операционным риском в кредитной организации размещен на официальном сайте Банка России в информационно-телекоммуникационной сети "Интернет" в следующем разделе: "Ответы на типовые запросы кредитных организаций по вопросам банковского регулирования и надзора", "N 716-П от 08.04.2020 Положение Банка России "О требованиях к системе управления операционным риском в кредитной организации и банковской группе", "Разъяснения по формированию внутренних документов по управлению операционным риском".

2.2.12.1. Отражение во внутренних документах кредитной организации, регламентирующих порядок ведения базы событий, в том числе следующей информации:

- порядка ведения базы событий консолидировано по банковской группе с учетом потерь от реализации операционного риска у участников банковской группы, в соответствии с пунктом 6.3 Положения N 716-П;

- порога регистрации, установленного кредитной организацией для отражения в базе событий информации о СОР, в соответствии с пунктом 6.5 Положения N 716-П;

- требований к форме и содержанию вводимой информации, в соответствии с пунктом 6.6 Положения N 716-П;

- порядка учета величины валовых прямых потерь в соответствии с подпунктом 6.7.1 пункта 6.7 Положения N 716-П;

- порядка идентификации прямых потерь и возмещений в разрезе всех СОР, повлекших потери, в соответствии с подпунктом 6.7.2 пункта 6.7 Положения N 716-П;

- критериев однородности СОР для целей их группировки в соответствии с пунктом 6.12 Положения N 716-П;

- порядка контроля за своевременностью отражения возмещения потерь от реализации СОР в соответствии с пунктом 6.16 Положения N 716-П;

- порядка верификации корректности исправления записи в базе событий в соответствии с пунктом 6.20 Положения N 716-П;

- перечня должностей работников кредитной организации, ответственных за выполнение функций, указанных в пункте 6.21 Положения N 716-П.

2.2.12.2. Установление внутренними документами кредитной организации способов мотивации работников кредитной организации к своевременному информированию о реализованных и возможных СОР, (дополнительно см. пункт 5.1 настоящих разъяснений), например, в том числе:

- определение мер ответственности работников кредитной организации за неинформирование или несвоевременное информирование о СОР, о котором им стало известно.

В случае выявления факта не уведомления о СОР, нарушения сроков уведомления, не регистрации или несвоевременной регистрации СОР к допустившим нарушения работникам кредитной организации должны применяться меры дисциплинарной ответственности в соответствии с установленным в кредитной организации порядком. Руководитель риск-координатора несет ответственность за организацию и контроль своевременного предоставления информации об инциденте операционного риска и в случае выявления факта непредоставления и (или) несвоевременного предоставления риск-координатором информации об инциденте операционного риска риск-менеджеру в отношении руководителя риск-координатора также применяются меры дисциплинарного взыскания в соответствии с установленным в кредитной организации порядком;

- определение инструментов поощрения за инициативное информирование работниками кредитной организации о выявленных ими СОР.

2.2.12.3. Установление внутренними документами кредитной организации ответственности руководителей центров компетенций, в том числе владельцев процессов, кредитной организации за выявление и регистрацию СОР, возникающих в рамках их процессов, в соответствии с пунктом 1.3 и подпунктом 2.1.2 пункта 1.2 Положения N 716-П, в том числе:

- за назначение в каждом подразделении, входящем в состав возглавляемого ими структурного подразделения уполномоченных сотрудников за выявление СОР (далее - риск-координаторов), ответственных за осуществление идентификации, оценки, мониторинга и контроля операционного риска в рамках осуществления текущей деятельности подразделений и бизнес-процесса в соответствии с пунктом 6.21 Положения N 716-П. Риск-координатор должен быть назначен соответствующим распорядительным документом кредитной организации для каждого центра компетенции, в том числе владельца процесса. Список риск-координаторов должен быть актуален;

- за поддержание списков риск-координаторов в актуальном состоянии и за своевременное информирование подразделения рисков об изменениях в них;

- за организацию информационного обмена о произошедших СОР в соответствии с абзацем тринадцатым подпункта 2.1.2 пункта 2.1 Положения N 716-П;

- за возложение на риск-координаторов ответственности за информирование администраторов базы событий и риск-менеджеров (экспертов) подразделений, осуществляющих оценку потерь от СОР, и за мониторинг операционного риска.

2.2.12.4. Установление внутренними документами кредитной организации, регулирующими сбор данных о событиях не только операционных, но и иных видов нефинансовых рисков (в случае если события связаны с операционным риском) требований к регистрации событий по данным видам рисков в базах событий соответствующих видов рисков в соответствии с требованиями пунктов 6.9 - 6.10 Положения N 716-П, в том числе с учетом следующего:

- события нефинансовых рисков, связанные с операционным риском, подлежат регистрации в базах событий с учетом порога регистрации, устанавливаемого для событий операционного риска во внутренних документах кредитной организации в соответствии с пунктом 6.5 Положения N 716-П;

- в базе событий подлежат регистрации события риска информационной безопасности и риска информационных систем со статусами качественной оценки "очень высокий" или "высокий" (независимо от времени простоя);

- рекомендуется осуществлять анализ предъявленных к кредитной организации исков, на предмет выявления связанных с операционным риском, свыше порога, установленными внутренними документами кредитной организации (например, 100 тыс. руб. и более).

Указанные критерии являются минимальными: риск-координаторы вправе информировать риск-менеджеров СУОР об инцидентах операционного риска с суммой ущерба менее указанных пороговых значений, если это способствует эффективному управлению операционными рисками.

2.2.13. Установление требований к системе контрольных показателей уровня операционного риска, в том числе:

- определение на плановый годовой период перечня КПУР в соответствии с приложением 1 к Положению N 716-П;

- установление целевых значений КПУР в соответствии с пунктом 5.2 Положения N 716-П;

- методика учета недостающих данных, в случае если период ведения базы событий кредитной организации составляет менее 10 лет;

- оформление расчета и обоснования сигнальных и контрольных значений КПУР в виде заключения с учетом требований пункта 5.3 Положения N 716-П;

- порядок действий должностных лиц, функции и ответственность органов управления и подразделений кредитной организации и иные требования в соответствии с пунктом 5.4 Положения N 716-П, в том числе в случае нарушения контрольных значений КПУР.

2.2.14. Установление требований к управлению риском информационной безопасности, в том числе определение:

- порядка управления риском информационной безопасности;

- порядка ведения базы событий риска информационной безопасности, в том числе соблюдение требований к классификации событий риска информационной безопасности в соответствии с пунктами 3.3 - 3.15 Положения N 716-П и требований к ведению базы событий в соответствии с пунктами 6.6 - 6.21 Положения N 716-П;

- порядка функционирования системы информационной безопасности в соответствии с требованиями пункта 7.7 Положения N 716-П;

- политики информационной безопасности, содержание которой соответствует требованиям пункта 7.8 Положения N 716-П, утвержденной коллегиальным исполнительным органом кредитной организации;

- порядка и сроков предоставления отчетов, указанных в пункте 7.10 Положения N 716-П;

- закрепление за службой информационной безопасности или отдельным структурным подразделением, ответственным за обеспечение информационной безопасности (далее - служба информационной безопасности), функций, указанных в пункте 7.9 Положения N 716-П.

2.2.15. Установление требований к управлению риском информационных систем, в том числе определение:

- порядка управления риском информационных систем в соответствии с требованиями пункта 8.1 Положения N 716-П;

- политики информационных систем в соответствии с требованиями пункта 8.2 Положения N 716-П, содержание которой соответствует требованиям пункта 8.3 Положения N 716-П, утвержденной коллегиальным исполнительным органом кредитной организации;

- порядка и правил проведения анализа и пересмотра политики информационных систем;

- перечня информационных систем в соответствии с пунктом 8.5 Положения N 716-П;

- требований к информационным системам в соответствии с подпунктами 8.7.1 - 8.7.8 пункта 8.7 Положения N 716-П;

- методику обеспечения качества данных в информационных системах, обеспечивающих критически важные процессы, в соответствии с подпунктом 8.7.5 пункта 8.7 Положения N 716-П;

- порядок обеспечения качества данных в информационных системах, обеспечивающих критически важные процессы, в соответствии с подпунктом 8.7.6 пункта 8.7 Положения N 716-П;

- требований по обеспечению непрерывности и качества функционирования информационных систем в соответствии с подпунктами 8.8.1 - 8.8.13 пункта 8.8 Положения N 716-П;

- обязанностей, полномочий, требований к квалификации, ответственности за результаты функционирования должностного лица (лица, его замещающего), ответственного за обеспечение функционирования информационных систем кредитной организации и координацию деятельности подразделения (подразделений), ответственного (ответственных) за обеспечение функционирования информационных систем, в соответствии с пунктами 8.3 и 8.4 Положения N 716-П (далее - должностное лицо, ответственное за информационные системы), должностного лица (должностные лица), несущего (несущих) персональную ответственность за обеспечение качества данных в информационных системах, в соответствии с подпунктом 8.7.6 пункта 8.7 Положения N 716-П, и должностного лица, ответственного за обеспечение непрерывности функционирования информационных систем, в соответствии с подпунктами 8.8.10 и 8.8.11 пункта 8.8 Положения N 716-П.