Р. Бедрединов - Управление операционными рисками банка: практические рекомендации

• комитет по рискам или иной комитет, наделенный соответствующими полномочиями (далее – комитет по рискам);

• директор по рискам [41];

• риск-менеджеры [42].

3-я линия защиты– подразделение внутреннего аудита (далее – подразделение по аудиту), которое осуществляет независимый аудит системы управления операционными рисками. Ответственные – аудиторы.

Визуальная схема субъектов, управляющих операционными рисками, и их задач представлена на схеме 2.

6.5.2. Порядок назначения, права и обязанности этих субъектов обозначены в разделе 4 настоящих Рекомендаций. Формат их работы, особенности взаимодействия, обучения и координации обозначены в остальных разделах прежде всего в разделе 6.

6.5.3. Риск-менеджеры контролируют, чтобы структура субъектов управления операционными рисками соответствовала требованиям раздела 4 настоящих Рекомендаций, а формат их работы соответствовал требованиям всех разделов Рекомендаций и детализирующих её нормативных документов банка. Каждое несоответствие обозначается риском с уровнем «высокий», и решается в рамках процедур раздела 6.2.

6.5.4. Риск-менеджеры особое внимание уделяют организации следующих координирующих действий:

6.5.4.1. Актуализация списков ответственных за работу с операционными рисками своих подразделений (риск-координаторов – по правилам п. 4.1.1 и экспертов по инцидентам – по правилам п. 4.1.2), определение их прав в автоматизированной системе управления операционными рисками (если таковая внедрена в банке).

6.5.4.2. Обучение вышеназванных сотрудников, оказание им помощи в написании методик управления операционными рисками департамента, оперативная координация такой работы.

6.5.4.3. Мониторинг эффективности работы с операционными рисками (по правилам п. 6.2.5) и инцидентами (по правилам п. 6.1.9), контроль дисциплины, поддержание мотивации сотрудников к повышению эффективности управления своими операционными рисками.

6.5.4.4. Обеспечение всех подразделений актуальными отчетами об их операционных рисках (по правилам п. 6.6), эскалация вопросов о проблемах операционных рисков (по правилам п. 6.2).

6.5.4.5. Выполнение функций арбитра при разграничении компетенции по работе с рисками или инцидентами между подразделениями. Установление общих правил работы всех департаментов со своими операционными рисками и инцидентами, лимитами прав на решения об операционных рисках.

6.6.1.Отчетность о рисках.

6.6.1.1. Система отчетности банка об операционных рисках – это совокупность технического, программного и организационного обеспечения, а также персонала, предназначенная для того, чтобы своевременно обеспечивать внутренние структуры банка и внешних контрагентов надлежащей информацией об уровне операционного риска в банке с целью эффективного управления.

6.6.1.2. Банк, в числе прочего составляет следующие виды отчетности об операционных рисках (пример деления приведен на схеме 6):

• сигнальные (для немедленной эскалации мер) – см. Приложение 9.1 [43];

• о KPI [44]субъектов, управляющих операционными рисками (для оценки эффективности их деятельности) – см. пп. 6.1.9, 6.2.5, 6.6.3;

• общеаналитические (для оценки ситуации и тенденций по операционным рискам, последующей выработки мер) – см. Приложение 9.2.

6.6.1.3. Риск-менеджеры готовят отчет об уровне операционного риска и представляют его на рассмотрение департаментов и территориальных дирекций, управлений, филиалов [45](еженедельно), комитета по рискам (ежемесячно), Правления банка (ежеквартально), Совета директоров (ежегодно) и иных уполномоченных субъектов (по требованию). Отчеты должны быть подготовлены: на основании данных/отчетов, получаемых от ответственных подразделений по управлению операционными рисками по направлению деятельности и/или из систем банка, в четкой, сжатой и логичной форме. Отчеты должны содержать описание и оценку рисков, их концентрацию и динамику, прогнозы, предлагаемые меры по их минимизации, сведения об исполнении мер по устранению риска, аллокацию капитала под операционный риск и прочую информацию по операционным рискам. Требования к отчетности по инцидентам изложены также в п. 6.1.7.

6.6.1.4. Процедуры принятия мер минимизации и предотвращения рисков в соответствии с информацией, содержащейся в отчетности, порядок действий, ответственность должностных лиц за принятие мер, контроль исполнения мер определяются в подразделе 6.2.

6.6.1.5. С риск-менеджерами должны предварительно согласовываться все отчеты подразделений, содержащие информацию об операционных рисках (об инцидентах, о рисках, проблемах, обусловливающих операционный риск и о мерах минимизации рисков).

6.6.1.6. Информация об операционном риске должна быть широко представлена во внутренней отчетности об общем уровне риска, принимаемого на себя банком; в управленческой отчетности, в том числе в целях анализа риска и распределения (внутреннего размещения) капитала в соответствии с концепцией экономического капитала).

6.6.1.7. Риск-менеджеры отвечают за разработку и реализацию внутренней системы отчетности по вопросам операционного риска.

Схема 6. Пример группировки отчетов по операционным рискам

6.6.2.Поддержка базы рисков.

6.6.2.1. Для обеспечения удобства исполнения риск-процедур (обработки инцидентов, проверки процессов, контроля исполнения мер минимизации рисков и т. д.), для осуществления онлайн контроля за эффективностью этих процедур, для возможности формирования отчетов и прогнозов о рисках вся работа с рисками должна производиться подразделениями банка в единой базе операционных рисков [46]. Риск-менеджеры обеспечивают функционирование единой базы операционных рисков [47].

6.6.3.Критерии оценки эффективности системы отчетности об операционных рисках.

6.6.3.1. Эффективность деятельности риск-менеджеров по построению системы отчетности о рисках оценивается по следующим показателям:

1. Количественные показатели: – количество департаментов, получающих отчеты об ОР; – количество отчетов об ОР, представляемых в департаменты; – количество исполненных, запросов на доработку отчетов об ОР;

2. Качественные показатели: – степень удовлетворенности департаментов отчетами об ОР; – бесперебойная работа базы инцидентов и рисков; – выполнение запросов на отчеты; – использование методики расчета операционного риска продвинутым способом.