На что направлено управление операционными рисками

Управление рисками организации

Управление рисками организации – тип стратегии управления бизнес-процессами. Она направлена на выявление, понимание и подготовку к видам угроз, опасностей и других потенциальных отклонений от стандартных операционных процедур, которые могут быть восприняты как риски.

Управление рисками организации: основные направления

Процессы управления рисками охватывают 4 основные области:

Управление рисками угроз

Для оценки угроз, риск менеджеры следуют следующим пяти шагам:

Этот процесс ориентирован на превентивное и на антикризисное управление рисками.

В управлении рисками следует различать понятия риска, угрозы и воздействия:

Внутренний контроль

Внутренний контроль — механизм обеспечения выполнения бизнес-процессов, в соответствии с требованиями, которые обеспечивают снижение вероятности и тяжести последствий рисков.

Процессы внутреннего контроля позволяет повысить эффективность бизнес-процессов в общем и, в частности, процессов связанных с отчетностью, и обеспечением выполнения требований регуляторов.

Крупные организации, особенно действующие в строго регулируемых областях, часто имеют обширную систему внутреннего контроля.

Внутренний аудит

Как бы парадоксально это не было, но внутренний аудит — надсмотрщик за надсмотрщиком. Основанная задача внутреннего аудита заключается в том, чтобы убедиться, что процессы внутреннего контроля работают должным образом. Что важнее, функция внутреннего аудита имеет и другой уровень. Именно внутренний аудит отвечает за стоимость, эффективность и результативность процессов системы управления рисками организации.

Внутренний аудит оценивает как, фактически, осуществляется практическое управление рисками в организации и насколько управление соответствует документированным политикам и процедурам. Естественно, при обнаружении расхождения, задача внутреннего аудита определить что и как нужно поменять: процессы или документацию.

Внутренние аудиторы следят за операционной деятельностью компании, последовательностью управления и соблюдением требований системы управления рисками.

Соответствие регуляторным требованиям

Компании должны следовать определенным правилам и требованиям регулирующих органов. Данная область управления рисками организации концентрируется именно на этих вопросах.

Регуляторы выдвигают требования к безопасности объектов, учету персональных данных, экологической политике, социальной ответственности, финансовой отчетности и так далее.

Как правило, в компаниях существуют специализированные подразделения, комплаенс службы, которые занимаются интерпретацией требований регуляторов, разрабатывают процессы и процедуры, проводят обучение, дают рекомендации и осуществляют консультационную поддержку сотрудников компании. Часто комплаенс служба состоит буквально из одного — двух сотрудников, которые, также, выполняют функции внутреннего контроля.

Примеры подходов к управлению рисками организации

В процессе эволюции подходов к управлению рисками организации, были разработаны соответствующие стандарты. Каждый из стандартов описывает разные походы к выявлению, анализу, реагированию и общему управлению рисками и возможностями. Далее приведены наиболее популярные стандарты управления рисками организации.

ISO 31000

ISO 31000 относится к семейству стандартов управления рисками, определенных Международной организацией по стандартизации.

Наряду с более широким семейством стандартов, ISO 31000 относится к конкретному стандарту в рамках этого семейства. ISO 31000:2018 является самой последней версией на момент написания статьи.

ISO 31000: 2018 содержит набор руководящих принципов по управлению рисками для организаций. Это не набор требований и соблюдение данных принципов не позволяет пройти сертификацию, в отличие от других стандартов ISO, таких, как ISO 9001.

Другие стандарты семейства, например IEC/FDIS 31010, включают описание и рекомендации по конкретным методам управления рисками организации.

Casualty Actuary Society (CAS) – это общество профессионалов специализирующихся на страховании имущества и несчастных случаев.

В 2003 году Комитет по управлению корпоративными рисками общества определил ERM, используя два понятия: тип риска и процессы управления рисками.

О ERM они сказали следующее:

…дисциплина, с помощью которой любая организация оценивает, контролирует, эксплуатирует, финансирует и отслеживает риски из всех источников с целью повышения краткосрочной и долгосрочной ценности организации для ее заинтересованных сторон. – Комитет CAS ERM, из Overview of Enterprise Risk Management

Примеры типов рисков

Процессы управления рисками

COSO – это совместная американская инициатива, созданная в 1985 году для предотвращения корпоративного мошенничества. В их книге Enterprise Risk Management: Integrating with Strategy and Performance (2017 Edition) говорится:

Управление рисками организации – это не функция или отдел. Это культура, возможности и практика, которую организации интегрируют со стратегией. ERM применяют при осуществлении стратегии, с целью управления рисками при создании, сохранении и реализации ценности. – Enterprise Risk Management: Integrating with Strategy and Performance

COSO акцентирует внимание на пяти компонентах системы управления рисками организации:

Руководство и культура

Управление рисками организации не может быть успешным, если организация не стремится полностью интегрировать его в свою культуру.

Это касается этики, лежащей в основе обязанностей работников, кодексов поведения и правильного понимания рисков, а также всех связанных с ними управленческих программ и решений.

Стратегия и постановка целей

Фундаментальной частью системы управления рисками организации является обеспечение соответствия стратегий управления рисками основным целям и более широким бизнес-стратегиям.

Бизнес-цели являются основой для планирования и реализации стратегий, одновременно служа стартовой площадкой для выявления, оценки и реагирования на риски.

Производительность

Оценка того, как определенные риски могут повлиять на эффективность ключевых процессов, важна для определения приоритетов работы с рисками.

В этом контексте риски распределяются по приоритетам в порядке серьезности их последствий.

После этого меры реагирования на риски отбираются на основе оценки выявленного потенциала риска. Результаты этой части процесса доводятся до сведения ключевых заинтересованных сторон.

Анализ и пересмотр

Анализируя эффективность процессов управления рисками, организации могут определить, насколько хорошо работает программа ERM, включая необходимость внесения изменений.

Информация, коммуникация и отчетность

ERM – это не единый контрольный список или фиксированный набор шагов; это непрерывный процесс сбора и оценки информации из внутренних и внешних источников во всех подразделениях организации.

Пять вышеприведенных компонентов поддерживаются дополнительным набором принципов. Эти принципы носят широкий характер и охватывают все – от корпоративного руководства программой ERM до методов мониторинга рисков.

Каждый из принципов является кратким и лаконичным. В таком виде они приводятся в Enterprise Risk Management: Integrating with Strategy and Performance (издание 2017 года):

Организации могут использовать эти принципы в качестве ориентира для определения контекста и подтверждения своих усилий по пониманию и созданию программы управления рисками организации, согласованной с их стратегией и бизнес-целями.

Процесс управления рисками организации

Процесс управления рисками организации состоит из пяти элементов:

Определение целей и обеспечение согласованности ERM со стратегией бизнеса

В основе структуры COSO ERM лежит идея использования корпоративного управления рисками для достижения успеха в реализации бизнес-целей.

Само по себе, определение рисков не будет реализовывать бизнес-цели. Скорее плоды комплексной программы ERM жизненно важны для разработки стратегии достижения бизнес-целей.

Использование структуры ERM помогает гарантировать, что бизнес способен согласовать цели с миссией, видением и основными ценностями.

Идентификация и документирование рисков

Риски следует рассматривать как все, что потенциально может повлиять на успешное достижение бизнес-целей. Все риски должны быть четко определены и хорошо документированы.

Речь идет обо всех рисках, начиная от крупных, более значительных рисков, вплоть до небольших рисков, на уровне отдельных проектов или процессов.

Для успешного выявления рисков необходим четко определенный процесс систематической оценки каждой области деятельности.

Оценка документированных рисков

Простого определения рисков недостаточно. Должна быть понятна вероятность возникновения риска и степень его последствий, в случае наступления.

После того как значительные риски были должным образом задокументированы, следующая задача состоит в том, чтобы оценить их с точки зрения вероятности и предполагаемой значимости.

Иногда трудно или невозможно точно предсказать вероятность, или временные рамки определенных рисков, например, стихийных бедствий. Тем не менее это упражнение должно выполняться в меру возможностей организации и на всех уровнях.

Эта задача особенно важна для того, чтобы убедиться, что все документированные риски имеют существенную достоверность. Нестандартные предположения, записанные в ходе групповых мозговых штурмов, могут выглядеть разумно, но потребовать дальнейшего изучения и уточнения. Качественный и прогностический анализ поможет рассортировать риски по степени значимости.

Существуют различные методы оценки документированных рисков, от простых качественных подходов, таких как матрица приоритетов, до более глубоких математических моделей.

Суть этой задачи состоит в том, чтобы помочь руководству определить, какие риски заслуживают самого пристального внимания.

Другой вариант – создать тепловую карту значимости риска. Цель тепловой карты состоит в том, чтобы подкрепить результаты оценки риска иллюстрацией, дополняющей активный диалог о том, как эти результаты соотносятся с текущим аппетитом организации к риску, и определить срочные решения, которые могут потребовать внедрения.

Ниже приведен упрощенный пример тепловой карты обзора приоритетов рисков:

Ответ на риск

Ответ на риск предназначен для того, чтобы выяснить, как реагировать на высокоприоритетные риски.

Руководство несет ответственность за тщательный анализ вероятностей и предполагаемых последствий каждого риска, а также за учет всех связанных с этим затрат и выгод при разработке соответствующей стратегии реагирования на риск.

Ответ на риск подразделяется на четыре собственные категории:

Уклонение

Как ясно следует из названия, этот тип реагирования на риск включает в себя просто “уход” от риска.

Например, компания может принять решение о переезде, исходя из рисков, связанных с определенной геополитической напряженностью, или полностью отказаться от продукта или услуги, которые оказались особенно рискованными.

Иногда может быть слишком поздно уклоняться от рисков, потому что ущерб уже нанесен и понесены издержки.

Вот почему профилактические меры и адекватный анализ потенциальных рисков так важны – чтобы держать реакцию уклонения на контроле.

Снижение

Часто риски могут быть снижены различными способами.

Диверсификация продуктовой линейки может снизить риск, связанный с изменением тенденций или сезонными покупками, использование нескольких временных решений для обеспечения отказоустойчивости, таких как автономное резервное копирование и несколько операционных центров, снизит риск стихийных бедствий, автоматизация определенных задач в процессе снизит риск человеческой ошибки и т. д.

Простые изменения в стандартных операционных процедурах, даже кажущиеся обыденными изменения, такие как обеспечение надлежащего информирования сотрудников о политике компании, иногда могут привести к значительному снижению риска.

Разделение

Разделение рисков – это принцип приобретения страховки для хеджирования или компенсации своих рисков.

На финансовом примере концепция коротких опционов и длинных опционов позволяет инвесторам хеджировать свои ставки на движение цен.

Соглашения о совместном предприятии также могут означать, что компании разделяют потенциальные риски и выгоды.

По сути, разделение рисков – это идея переложить часть риска на другую сторону с пониманием того, что вы заменяете воспринимаемую “ценность” этого риска более ощутимыми денежными затратами.

Принятие

Принять риск это значит не предпринимать никаких действий.

Вместо того чтобы покупать страховой полис, бизнес может решить “выполнить самострахование”. Это может принять форму выделения ресурсов для борьбы с определенными рисками, если они проявятся.

Мониторинг рисков

Идентификация рисков – это не то, что делается один раз. Как и совершенствование бизнес-процессов, это непрерывный процесс.

Контекст, в котором выявляются определенные риски, постоянно меняется, и поэтому такие риски необходимо отслеживать, чтобы постоянно определять их значимость.

Иногда изменение обстоятельств может привести к тому, что риск станет еще больше. Яркий пример тому – геополитические волнения. Организации нуждаются в надлежащих системах мониторинга и реагирования на изменения обстоятельств и адекватного определения того, представляют ли выявленные риски все еще угрозу.

Источник

Управление опер. рисками в банке (2)

Если Вы уже прочитали перевод первой части книги и поняли, что такое операционный риск, позвольте Вас запутать. Операционный риск может стоять за спиной у многих иных видов банковских рисков. Думали, что реализован кредитный риск? А нет, этот операционный. Предполагали, что вот тот риск нужно учитывать, как стратегический? Ну, нет же, этот тоже операционный! Разобраться в хитросплетении рисковых ситуаций и отличить один вид событий от другого поможет вторая глава книги итальянских авторов, перевод которой находится под ссылкой.

2.3. Основное сходство и различие между операционным риском и другими категориями риска.

Одна из основных характеристик операционного риска — это наличие операционного риска «за спиной» множества потерь, которые могут быть приписаны к другим видам риска, в связи с чем возникает проблема разделения операционных потерь от потерь по другим видам риска. Соответственно, пруденциальное регулирование описывает некоторые детали предотвращения завышенных оценок, двойного учета или ненадлежащего снижения требований к капиталу на покрытие рисков. Определение границы между операционным риском и другими рисками было определено отраслью как фундаментальная проблема постоянного сбора и моделирования данных об операционных потерях. В следующих разделах будут рассмотрены сходство и различие между операционным риском и кредитным риском, рыночным риском, стратегическим риском, репутационным риском и комплаенс-риском.

2.3.1 Операционный риск и кредитный риск.

Под термином «кросс-кредитный риск» мы подразумеваем те события, причиной которым послужила реализация события операционного риска, но которые в силу своей экономической сущности относятся к данным, учитываемым при расчете капитала на покрытие кредитного риска. Аналогично, под термином «потери на границе кредитного риска» мы понимаем возникшие в результате реализации операционного риска убытки по кредитам, такие как потери в результате ошибок или мошенничества в процессе выдачи и сопровождения кредита[1].

Обилие информации, собираемой по случаям «кросс-кредитного риска», затрудняет определение требуемого потока информации и требует участия:

(i) структур, ответственных за мониторинг подверженности кредитному риску и его количественную оценку,

(ii) структур, отвечающих за контроль и управление операционными рисками,

чтобы обе стороны могли анализировать рисковые ситуации и определять любые необходимые меры по минимизации потерь. Также требуется определение наиболее подходящих структур для информирования о крупных событиях, четкого распределения обязанностей, а также определения сроков и процедур отчетности. Соответственно, лучше будет задействовать централизованную структуру, чем децентрализованную, в соответствии с полномочиями первой в области контроля над кредитным риском и оздоровлением проблемных областей. Ниже приведены некоторые примеры пересечений между операционным риском и кредитным риском:

• Внутреннее мошенничество: изменение сотрудником данных, представленных заемщиком в целях оценки кредитоспособности (например, изменение параметров оценки, таких как личные данные или данные о залоге, а также оставление без внимания негативных событий, связанным с заемщиком); предоставление кредитов фиктивным клиентам; неправомерное реализация залога; мошенничество при идентификации личности заемщика;

• Внешнее мошенничество: представление недостоверных персональных данных или фиктивных данных о финансовом состоянии получателя кредита; фальсификация оценок внешнего оценщика относительно залога; представление счетов / счетов-фактур, касающихся фиктивных или уже погашенных кредитов;

• Клиенты, продукты и бизнес-практика: небрежное или халатное управление кредитами в нарушение внутренних правил или соответствующего законодательства;

• Управление исполнением, доставкой и процессами: невозможность взыскания задолженности из-за потери кредитной документации; задержка в погашении кредита; халатность в оценке кредитоспособности клиента; халатность при мониторинге кредита; неполное или неправильное управление дополнениями к договору; халатность при сборе, управлении и сохранении залога (например, недостатки в управлении залогом из-за ошибок при подготовке соответствующей документации: недействительные положения, неоднозначные условия и т. д.).

В настоящее время для учреждений, использующих AMA-подход (усовершенствованный подход, согласно Базель), убытки от операционного риска, связанные с кредитным риском, исторически включаемые во внутренние базы кредитного риска, должны регистрироваться в базах данных операционного риска и идентифицироваться отдельно. Такие убытки не подлежат учету в капитале на покрытие операционного риска при условии, что учреждения продолжают учитывать их в капитале на покрытие кредитного риска. В частности, в ЕВА[2] (2015) конкретно упоминаются два вида операционного риска, связанные с кредитным риском: мошенничество «от первого лица» и «от третьего лица» (статья 30 (1)). Мошенничество от первого лица происходит на начальном этапе жизненного цикла кредитного продукта или кредитного процесса и совершается клиентом с использованием его собственного лицевого счета (например, побуждение к принятию решений о выдаче кредита на основе поддельных или недостоверных финансовых документов, таких как несуществующее или оцененное по завышенной стоимости обеспечение и поддельные справки о заработной плате). Напротив мошенничество от третьего лица, которое всегда происходит в рамках кредитного продукта или кредитного процесса, совершается третьей стороной, которая действует незаконно, используя учетные данные другого (не подозревающего) лица (например, мошенничество с использованием электронных данных, фишинг и использование данных других клиентов или фиктивных идентификационных данных в заявке на кредит; мошенническое использование кредитных карт клиентов третьими лицами).

2.3.2 Операционный риск и рыночный риск

Под термином события «кросс-рыночного» риска мы понимаем случаи, причиной которых послужил операционный риск (например, покупка / продажа финансовых инструментов по неверной стоимости), но которые не покрываются средствами контроля рыночного риска. Ниже приведены некоторые примеры пересечений между операционным риском и рыночным риском:

• Внутреннее мошенничество: закрытие операций трейдерами по нерыночным ценам / параметрам;

• Перерывы в бизнесе и сбои систем: частичная или полная недоступность систем доступа к рынку, препятствующая правильному исполнению операций;

• Управление исполнением, доставкой и процессами: ошибки во время исполнения заказов (например, покупка / продажа неверных ценных бумаг; совершение покупок, а не заказов на продажу, и наоборот; обработка заказов с ошибками в количестве финансовых инструментов или в валюте покупки); закрытие позиций из-за ошибок в процессе оценки (невозможность обновить цены или другие соответствующие параметры).

В 2010 году CEBS[3] рассмотрела вопрос «Операционный риск в сравнении с рыночным риском», определив некоторые критерии различия между этими двумя рисками (CEBS 2010). Соответственно, в рамки операционного риска должно входить:

• События из-за операционных ошибок (например, ошибки ввода или исполнения заказов, ошибки классификации из-за программного обеспечения, используемого фронт-офисом и центральным офисом, техническая недоступность рынка).

• События, вызванные сбоями в системе внутреннего контроля (сбои в работе контрольных процедур, превышение лимитов и т. д.).

• События, зависящие от неправильного выбора моделей вне четко определенных процессов и формализованных процедур (например, выбор модели без проверки ее пригодности для оценки финансового инструмента, и для текущих рыночных условий).

• События, возникающие из-за неправильной реализации моделей (например, ошибки во ИТ-внедрении выбранной модели).

Во всех вышеупомянутых случаях потери должны быть включены в «область потерь по операционному риску», если только позиция не намеренно остается открытой после признания события операционного риска. В этом последнем случае любая доля убытков из-за неблагоприятных рыночных условий, возникающих после решения о сохранении открытой позиции, должна быть отнесена к рыночному риску.

И наоборот, сфера действия операционного риска должна исключать те события, которые вызваны неправильным выбором модели, если такой выбор делается посредством формализованного корпоративного процесса, в котором тщательно изучаются плюсы и минусы модели.

В частности, для учреждений, использующих AMA-подход, EBA (2015) определяет «события операционного риска, связанные с финансовыми операциями, в том числе связанные с рыночным риском» (статья 6). Типы рисков, о которых сообщалось в CEBS (2010), как указано выше, в основном соответствуют положениям, изложенным в статье 6 EBA, где, однако, риск моделей не упоминается. Вместо этого модельный риск определен в Статье 5 EBA (2015): «События операционного риска, связанные с модельным риском». В этой статье также упоминаются утвержденные регулирующим органом внутренние модели: события, связанные с занижением требований к капиталу этими моделями, исключаются из «сферы операционного риска».

При использовании AMA-подхода в капитал на покрытие операционного риска также должны включаться потери операционного риска, связанные с рыночными рисками.

2.3.3 Операционный риск и стратегический риск.

Во избежание перекосов в банковской системе и штрафов, вытекающих из различий в расчете требований к капиталу на покрытие операционного риска, среди финансовых учреждений также должно быть четкое и общее определение событий и воздействий, рассматривающихся как операционные риски и как стратегические риски. Кроме того, полное понимание различий между управлением стратегическим и операционным риском – это ключ, позволяющий сотрудникам организации управлять риском и защищать организации от ущерба.

С одной стороны, текущий подход рассматривает как убытки от операционного риска те потери, которые были вызваны официальными расчетами или добровольным решением организации, желающей предотвратить любой будущий правовой риск. В сферу операционного риска также включаются события, возникающие из-за внутренних несоответствий и ошибок, и внешние события, возникающие при реализации проекта. С другой стороны, потери от реализации стратегического риска — это убытки, возникающие в результате неправильных или неуместных стратегических решений, не связанных с нарушением правил, норм или этического поведения, и не вызванные правовым риском (CEBS 2010).

Как описано в CEBS, объем операционного риска распространяется на следующие примеры (перечень не является завершенным):

• Агрессивные продажи, вытекающие из отдельных инициатив или из политики компании по достижению конкретных целей, с последующим нарушение законодательства, внутренних правил или этического поведения;

• толкование нормативных актов, противоречащее отраслевой практике;

• Возврат средств клиентам в результате событий операционного риска, до того, как клиенты подадут жалобу, но, после того, как организация уже была обязана возместить другим клиентам убытки за то же событие;

• Ошибки при уплате налогов, приводящие к убыткам (например, штрафы, проценты по задолженности).

В противоположность этому, в рамки операционного риска не включаются следующие аспекты:

• Неправильные решения при слиянии/поглощении и при организационно-управленческой проверке;

• Решения, несовместимые с уровнем чувствительности к риску компании, когда эти решения не нарушают правил, норм или этического поведения;

• Возврат средств клиентам по собственной инициативе компании, где нет нарушения правил, норм или этического поведения.

Кроме того, поскольку некоторые стратегические вопросы могут влиять на организацию в целом — а не на одну или несколько ее частей — и увеличивать подверженность организации риску, стратегические риски управляются на уровне совета директоров, тогда как операционный риск влияет на повседневную работу и, следовательно, управляется в основном на уровне риск-менеджеров.

2.3.4 Операционный риск и репутационный риск.

В отличие от вышеупомянутых случаев, для которых надзорные органы предоставили документацию и описания, на связь операционного риска и репутационного официальных ссылок нет. Однако связи между двумя типами риска есть и многочисленны.

Действительно, события операционного риска, в первую очередь связанные с отношениями с клиентами и нарушениями законодательства, во многих случаях наносят ущерб репутации банка, особенно если получают широкое освещение в СМИ. Например, недоступность ИТ-систем может привести к соответствующему репутационному ущербу даже в случае незначительных сбоев. Так, сбой, препятствующий некоторым клиентам осуществлять онлайн-торговлю, повлечет последующие жалобы пострадавших клиентов и усиленное распространение новостей в СМИ. Репутации банка будет нанесен непоправимый ущерб.

Существуют некоторые типы операционного риска, которые встречаются часто, но имеют незначительное влияние, и если их рассматривать отдельно от их репутационного компонента, могут быть в значительной степени недооценены при разработке стратегий минимизации риска. Случай с банкоматом (ATM) является подходящим примером: хотя частые сбои могут не повлечь за собой значительные потери, эти события могут сильно повлиять на способность банка развивать деловые отношения с текущими клиентами или привлекать новых. Другим примером является распространение дистанционного обслуживания, которое предоставило банковской отрасли прекрасную возможность для развития новых коммерческих каналов. Несмотря на свой потенциал, этот инструмент влечет за собой риск утраты доверия клиентов, если их информация не защищена должным образом: на самом деле, сейчас задача IT риск-менеджера не ограничивается мониторингом рисков, связанных с доступом к данным, а распространяется на проблемы целостности и конфиденциальности информации и тесно связана с кибер-риском.

Следовательно, операционный и репутационный риск могут быть сильно взаимосвязанны. Действительно, несколько случаев ущерба репутации, нанесенного финансовой системе, показывают, как операционный риск может вызвать репутационный риск. Так было в случае со скандалом с участием Société Générale в 2008 году, упомянутым выше: помимо потери в размере 7,1 млрд. долларов США и падения стоимости ценных бумаг на фондовой бирже, банк также пострадал от шумихи в СМИ. Аналогично, в 2004 году LTSB был оштрафован за ненадлежащую продажу финансовых продуктов своим розничным клиентам, таким образом нанеся значительный ущерб своему имиджу (Bazzarello и Де Мори 2009).

Следовательно, интеграция оценок операционного риска с количественными и качественными оценками репутационного риска имеет ключевое значение. Также важно, чтобы возможная количественная оценка репутационного риска позволила избежать двойного учета убытков в расчет требований к общему капиталу финансового учреждения.

Принимая во внимание эти взаимосвязи, было бы также целесообразно для банков принять стратегии минимизации рисков, нацеленные на ограничение подверженности и операционному, и репутационному риску. Такие стратегии должны содержать несколько подходов: от ревизии процессов для улучшения системы внутреннего контроля до инвестиций в информационные технологии, внедрения культуры осведомленности о «рисках» и ограничения деловой активности согласно установленному риск-аппетиту организации к операционному или репутационному риску.

Наконец, выбранные стратегии минимизации должны поддерживаться разумной коммуникационной стратегией, которая в некоторых случаях может быть более эффективной, чем только предотвращение рисков и управление ими. В случае подверженности банка риску мошенничества и ненадлежащего размещения финансовых инструментов клиентов, своевременное уведомление о произошедших событиях, и наличие плана действий банка имеет основополагающее значение для управления экономическими последствиями, связанными как с операционными, так и с репутационными рисками.

2.3.5. Операционный риск и комплаенс-риск.

Как указано в разд. 2.2, CRD (Директива 2013/36 / EU) прямо включает правовой риск в определение операционного риска, в прямом соответствии с Базель 2.
Правовой риск охватывает все виды событий, приводящих к потерям/ другим расходам, и являющихся следствием нарушения правил, приведших к судебным разбирательствам / добровольным действиям организации во избежание будущих правовых рисков. Должностные преступления недвусмысленно включены в перечень событий правового риска. EBA (2015), статья 4, дает детальное определение риска, объясняя значение «нарушения правил», «правил», «судебного разбирательства», «других добровольных действий» и «других расходов».

Тем не менее, Базельский комитет проводит различие между операционным риском (BCBS[4] 2004) и комплаенс-риском (BCBS 2005). С одной стороны, операционный риск — это «риск потери в результате ошибок и сбоев во внутренних процессах, действиях персонала и систем или в результате внешних событий. Это определение включает правовой риск, но исключает стратегический и репутационный риск». Кроме того, правовой риск включает, но не ограничивается, штрафы, взыскания или санкции как надзорных органов, так и частных организаций. С другой стороны, комплаенс-риск определяется как риск юридических или нормативных санкций, существенных финансовых потерь или потери репутации, которые банк может понести в результате несоблюдения законов, нормативных актов, собственных стандартов саморегулирования и кодексов поведения, применимых в банковской деятельности. Определения, представленные выше (BCBS 2004, 2005), представляют четкие различия между двумя видами рисков как с точки зрения как событий, так и последствий, и впоследствии некоторые события легко можно отнести к определенному типу риска (например, ущерб, вызванный стихийными бедствиями, вандализм, внешнее мошенничество и другие внешние события явно относятся только к операционному риску). Еще одно различие, которое ясно выявляется при сравнении определений, относится к последствиям. В отличие от комплаенс-риска, количественная оценка операционного риска не отражает влияние риска на репутацию: действительно, в определении операционного риска репутационный риск исключается явно, в то время как ссылка на репутацию появляется в определении комплаенс-риска.

Тем не менее, есть множество точек соприкосновения, которые позволяют рассматривать комплаенс-риск как компонент риска операционного, и приводят к множественной синергии и коллаборации между подразделениями, управляющими двумя типами риска. Это также признается Базельским комитетом (BCBS 2005), согласно которому существует «тесная связь между комплаенс-риском и определенными аспектами операционного риска» вследствие существования «серой зоны».

Фактически, существование кросс-кейсов возникает из «серой зоны», которая включает в себя нарушение договора (непосредственно включено в перечень событий, ведущих к операционному риску) и банковскую ответственность банка за поведение, несоответствующее нормам комплаенс, что приводит к судебным процессам, включенным в правовой риск (ABI и DIPO 2009). Включение правового риска в операционный риск — первая и главная причина размытия границ между различными формами риска.

Сравнивая причины операционного и комплаенс-риска (Таблица 2.2), мы можем доказать, что нарушение правил и внутренних процедур характерно для обоих видов, и что существует огромное разнообразие событий операционного риска, включая так называемый «чистый» риск. Существует некоторая неопределенность в отношении того факта, что все несоответствия правилам автоматически преобразуются в комплаенс-риск: спектр событий операционного риска будет произвольно сокращен. Например, внутреннее мошенничество, допущенное неадекватной процедурой контроля при авторизации операций, будет включено в комплаенс-риск, несмотря на то, что это риск операционный. То же самое относится и к сбою ИТ-системы в ходе стихийного бедствия, при котором из-за нарушения системы непрерывности бизнеса не произошло восстановление операций: это тоже событие операционного, а не комплаенс-риска. Кроме того, преднамеренность действий не должна являться веским отличительным критерием, поскольку противоправное поведение не может оцениваться по-другому, будучи оправданным просто как проявление небрежности или забывчивости, преднамеренной или нет (Birindelli and Ferretti 2013). В таблице 2.2 показано огромное разнообразие последствий комплаенс-риска: в ней сделана четкая ссылка к утрате деловой репутации (риск второго уровня), тогда как потери должны быть материальными, с исключением (дискуссионно) незначительного ущерба в зависимости от нормативных нарушений. Комплаенс-риск может влиять (или не влиять) на репутацию, и репутационный риск может предположительно возникать без генерации комплаенс-риска, в соответствии с его природой риска второго уровня: операционная ошибка также может повлиять на имидж банка. Однако исключение репутационного риска из операционного риска, чьи события часто приводят к ухудшению имиджа, вызывает возражения в литературе (Lawrence 2003).

Таблица 2.2. BCBS: сравнение определений риска (Birindelli and Ferretti 2013).

Кроме того, правовой риск, как компонент операционного риска, не включает влияние на репутацию банка. Более того, его причины отличаются от тех причин, что вызывают комплаенс-риск: несмотря на общие источники, нарушение правил саморегулирования следует отнести только к комплаенс-риску. И наоборот, убытки, возникающие из-за неадекватной и неправильной юридической документации или из-за документации с чрезмерно обременительными условиями для банка, включаются в правовой риск, так же как и потери из-за несоответствующего поведения со стороны контрагентов банка, а не самого банка.

Сходство между подразделением комплаенс и подразделением операционного риска проистекает из управления общими рисками, а также из того факта, что они оба представляют собой контролирующие структуры второго уровня с задачей идентифицировать риски процессов, реализуемых различными структурами. Для достижения общей цели должна быть создана модель эффективной синергии: кросс-риск менеджмент, чему способствует взаимный обмен информацией и ее проверка (Birindelli and Ferretti 2013).

Наконец, стоит отметить, что взаимосвязь между комплаенс-риском и правовым риском проанализирована с точки зрения банков, работающих в общей правовой системе (Terblanché 2012). Комплаенс-риск должен рассматриваться как компонент правового риска и, в свою очередь, также как компонент операционного риска в общей правовой системе. Тербланше (2012) определяет правовой риск как широкую концепцию, которая включает в себя все аспекты правовой системы, в то время как комплаенс-риск является более узкой концепцией, которая включает только кодифицированные аспекты правовой системы. Таким образом, правовой риск включает в себя комплаенс-риск, но комплаенс-риск не включает в себя правовой риск.

2.4 Заключение.

В течение долгого времени операционный риск признавался только как технический вопрос. В отличие от кредитного и рыночного рисков, полагаемых руководителями банков как основной источник беспокойства, ученые, казалось, не интересовались этой темой. Исследователи заинтересовались этой темой только в последние годы, когда Базельский комитет по банковскому надзору начал публиковать информацию о том, как банки должны управлять своей подверженностью операционному риску. Такие события, как крах банка Barings в 1995 году и другие финансовые скандалы (например, Daiwa, Enron, Sumitomo и т. д.), подчеркнули реальную опасность операционного риска с точки зрения прямых потерь и ущерба репутации, и убедили банковскую индустрию обращаться с ним осторожно.

С тех пор операционный риск был предметом нескольких исследований. Многие анализы сфокусировались на профиле операционного риска банка, описанном матрицей бизнес-линий и типов событий, а также на основных факторах, лежащих в основе подверженности банка операционному риску. Большое внимание также уделялось эволюции операционного риска с течением времени и его взаимосвязи с другими банковскими рисками. Все эти обсуждения нашли общую платформу в Базель 2, где, среди прочего, операционному риску впервые было дано определение. Это определение подняло вопросы необходимости четкого разграничения операционного риска и других видов рисков (кредитный, рыночный, стратегический, репутационный и риск соблюдения), чтобы избежать дублирования в управлении ими.

[1] Прим. переводчика: в качестве иллюстрации возможно привести случай кредитования по подложным документам, когда физическое лицо предоставляет фиктивную справку о доходах, получает кредит, а потом уходит в дефолт из-за невозможности обслуживать долг. Таким образом, реализуется кредитный риск – вынос задолженности заемщика на счета просроченных ссуд. Однако причиной реализации кредитного риска послужил риск операционный – целенаправленные мошеннические действия клиента. Событие должно быть зафиксировано в системе учета инцидентов операционного риска, но в целях корректного учета, должно учитываться при формирования капитала на покрытие потерь по кредитному риску.

[2] European Banking Authority. Европейское банковское управление. Регулирующий орган, который работает для поддержания финансовой стабильности в банковской отрасли Европейского союза (ЕС). Европейское банковское управление (EBA) было создано в 2010 году Европейским парламентом и заменило Комитет европейских банковских надзоров (CEBS)

[3]Committee of European Banking Supervisors. Европейский комитет органов банковского надзора.

Источник